¿Qué ocurre si uno de tus proveedores tecnológicos sufre un incidente cibernético?

Lo que todo ejecutivo de salud debe saber sobre el riesgo de terceros, la continuidad operativa y la protección del paciente cuando los proveedores fallan.

Por Mladen Petrovic | 26 de julio, 2026

La salud depende hoy de un ecosistema complejo de plataformas de historia clínica electrónica, sistemas de facturación, hosting en la nube, herramientas de monitoreo remoto y un sinnúmero de aplicaciones especializadas. Los proveedores tecnológicos externos se encuentran en el centro de casi todos los flujos de trabajo clínicos y de negocio. Cuando uno de esos proveedores sufre un incidente cibernético, las consecuencias van mucho más allá del departamento de TI: llegan directamente a la atención del paciente, la exposición regulatoria y la reputación de la organización.

Los ejecutivos a veces asumen que una brecha “pertenece” al proveedor que fue comprometido. Esa suposición crea puntos ciegos peligrosos. Bajo HIPAA y las directrices más amplias sobre cadena de suministro, las organizaciones de salud siguen siendo responsables de proteger la información del paciente y mantener operaciones seguras, incluso cuando la interrupción comienza fuera de su propia red.

---

La responsabilidad no se externaliza con la subcontratación

HIPAA trata a muchos proveedores tecnológicos como socios comerciales, porque crean, reciben o almacenan información de salud protegida en nombre de una entidad cubierta. Un hospital puede compartir datos del paciente con estos socios, pero solo después de recibir garantías escritas de que el proveedor protegerá esa información y ayudará al hospital a cumplir sus obligaciones de privacidad.

Cuando un socio comercial sufre una brecha de información de salud protegida no asegurada, la Regla de Notificación de Brechas de HIPAA sigue imponiendo responsabilidades centrales a la entidad cubierta. Los pacientes, los reguladores y, en algunos casos, los medios deben recibir notificación oportuna, independientemente de si el incidente comenzó en el propio centro de datos del hospital o en el entorno en la nube del proveedor. Los ejecutivos no pueden tratar los incidentes de terceros como “el problema de cumplimiento de otro”.

---

El riesgo de proveedores como riesgo central de negocio

Los proveedores externos representan hoy una parte significativa de las brechas de datos y los eventos de ransomware en salud, porque los atacantes se dirigen al eslabón más débil de una cadena de sistemas conectados. El compromiso de un proveedor puede exponer datos sensibles del paciente, interrumpir el acceso a las aplicaciones clínicas o retrasar los flujos de facturación y reclamaciones críticos para los ingresos.

La Guía de Gestión del Riesgo en la Cadena de Suministro de Ciberseguridad para la Industria de la Salud (HSCC) insta a los líderes de salud a tratar la seguridad de la cadena de suministro como un riesgo empresarial, no como un detalle técnico. CISA transmite el mismo mensaje a los sectores de infraestructura crítica: las organizaciones deben identificar, analizar y controlar los riesgos asociados a los proveedores externos de tecnología de la información y las comunicaciones como parte de su resiliencia global. Para los ejecutivos, esto transforma la selección de proveedores de un ejercicio de adquisición a una decisión estratégica con impacto directo en la continuidad operativa y la seguridad del paciente.

---

Responsabilidad compartida ante un incidente cibernético

La Regla de Seguridad de HIPAA espera que las entidades cubiertas y los socios comerciales implementen medidas para prevenir, detectar y responder al malware, incluido el ransomware. Esa expectativa incluye la planificación de contingencias, las copias de seguridad de datos, los procedimientos de respuesta a incidentes y la formación del personal. Estas salvaguardas no se detienen en los límites internos de la organización. Los prestadores deben extenderlas a los proveedores de alto riesgo mediante contratos, evaluaciones y supervisión continua.

Cuando el ransomware afecta a un proveedor que gestiona datos de pacientes, HIPAA presume que se ha producido una brecha a menos que el proveedor y la entidad cubierta puedan demostrar una baja probabilidad de que la información haya sido comprometida. El proveedor debe notificar a la entidad cubierta, y esta debe evaluar el impacto, coordinar la respuesta y, si es necesario, activar sus propios planes de continuidad para mantener en funcionamiento las operaciones clínicas y de negocio. La responsabilidad de proteger a los pacientes y restaurar los servicios es compartida, no externalizada.

---

Por qué las certificaciones y el alineamiento regulatorio importan en los proveedores

Para los proveedores tecnológicos externos, las certificaciones y el alineamiento regulatorio son mucho más que simples casillas que marcar. ISO 27001 e ISO 27701 demuestran que un proveedor gestiona la seguridad y la privacidad a través de un sistema de gestión formal, mientras que el cumplimiento del RGPD demuestra respeto por las estrictas normas europeas sobre datos personales y de salud.

Sin embargo, las organizaciones de salud siguen necesitando proveedores que se alineen explícitamente con HIPAA y firmen acuerdos de socios comerciales sólidos, porque HIPAA define cómo los socios deben proteger la información de pacientes en EE. UU., apoyar las notificaciones de brechas y compartir la responsabilidad cuando algo sale mal.

---

Proteger la continuidad operativa

Los incidentes cibernéticos en salud ya no solo filtran datos. Interrumpen la prestación del cuidado. Un HCE o un sistema de imágenes caído puede obligar a los clínicos a recurrir a flujos de trabajo en papel, retrasar procedimientos y aumentar el riesgo de error. Las directrices del HSCC recomiendan que las organizaciones traten las interrupciones cibernéticas como otros desastres, construyendo y probando planes de continuidad del negocio que anticipen la pérdida de sistemas clave de terceros.

Esos planes deben responder preguntas prácticas para los ejecutivos: qué servicios clínicos se detienen si un proveedor específico queda fuera de línea, cuánto tiempo puede la organización operar de forma segura con flujos de trabajo alternativos y qué impactos financieros, legales y reputacionales conlleva una interrupción prolongada.

El documento de ransomware del HHS subraya la importancia de las copias de seguridad sólidas, los procedimientos de recuperación y los procesos de respuesta a incidentes para que las entidades de salud puedan volver a la normalidad sin pagar rescates ni aceptar interrupciones prolongadas. Cuando un proveedor controla datos o aplicaciones críticas, los líderes necesitan claridad por escrito sobre cómo ese proveedor apoyará la recuperación y qué hará la organización si el proveedor no puede hacerlo.

---

Qué deben exigir los ejecutivos a sus proveedores tecnológicos

La adecuación funcional y el precio siguen importando, pero ya no definen una buena asociación tecnológica en salud. Las directrices del HHS y CISA, junto con las recomendaciones de cadena de suministro del HSCC, apuntan a un modelo de evaluación de proveedores más maduro, basado en la gobernanza y la gestión del riesgo.

Los equipos ejecutivos deben exigir que los proveedores:

• Se comprometan contractualmente con las salvaguardas alineadas a HIPAA y los deberes de notificación de brechas como socios comerciales.
• Proporcionen documentación transparente de sus programas de seguridad, procesos de respuesta a incidentes y participación en iniciativas de intercambio de amenazas.
• Respalden las estrategias de contingencia con objetivos de tiempo de recuperación claros, procedimientos de copia de seguridad probados y planes de comunicación durante las interrupciones.
• Se alineen con las prácticas de riesgo en la cadena de suministro específicas del sector salud, incluyendo la gestión segura del ciclo de vida del software y la corrección oportuna de vulnerabilidades.

Al mismo tiempo, los directorios y los equipos de liderazgo deben establecer una supervisión interna del riesgo de terceros, mantener inventarios de proveedores críticos e incluir escenarios de interrupción de proveedores en las discusiones de riesgo empresarial. En la salud moderna, la ciberseguridad ya no trata solo de proteger la información. Trata de proteger la continuidad del cuidado, la estabilidad de las operaciones ambulatorias y la confianza que los pacientes depositan en cada interacción con su prestador de salud.