El Senado da luz verde a un proyecto de ley de ciberseguridad sanitaria centrado en el apoyo rural y la coordinación federal

El Senado de Estados Unidos aprobó por consentimiento unánime la Health Care Cybersecurity and Resilience Act, una propuesta bipartidista destinada a reforzar las defensas cibernéticas del sector sanitario.

La iniciativa pasa ahora a la Cámara de Representantes de Estados Unidos para su consideración. Todavía no es ley, y la información disponible no precisa cuándo se produjo la votación en el Senado.

Los senadores Bill Cassidy, Maggie Hassan, Jon Cornyn y Mark Warner presentaron el proyecto. Una versión anterior se presentó en 2024, pero no llegó a aprobarse antes de que concluyera ese periodo legislativo. Los senadores volvieron a presentarlo en diciembre de 2025.

Si se aprueba, la legislación concedería ayudas para ciberseguridad, ampliaría el apoyo a las clínicas rurales y exigiría una coordinación más estrecha entre las agencias federales responsables de la sanidad y de la seguridad de las infraestructuras críticas. Estas medidas siguen siendo propuestas: los programas, requisitos y mecanismos de coordinación descritos todavía no se han puesto en marcha en virtud de este proyecto.

Las ayudas y la planificación de incidentes son los pilares de la propuesta

La iniciativa crearía ayudas para las organizaciones sanitarias que buscan reforzar su capacidad para prevenir ciberataques y responder a ellos. Los fondos también podrían destinarse a formar al personal en prácticas de ciberseguridad.

Las clínicas rurales recibirían asistencia adicional. Estos centros pueden afrontar los mismos riesgos de ransomware y robo de datos que los grandes sistemas hospitalarios, pero disponen de menos recursos financieros y técnicos para programas de defensa.

Otra disposición encargaría al secretario del Department of Health and Human Services (HHS) elaborar y poner en marcha un plan de respuesta a incidentes de ciberseguridad. La propuesta también plantea actualizar la normativa vigente para fomentar prácticas de seguridad más actuales.

Las disposiciones de la Health Care Cybersecurity and Resilience Act que se han dado a conocer buscan integrar las directrices de los marcos existentes en una estructura más centralizada. Sin embargo, la información facilitada no especifica requisitos de controles técnicos, plazos de cumplimiento, cuantías de las ayudas ni condiciones para acceder a ellas.

Por tanto, el proyecto no es un aviso de seguridad sobre un producto. No identifica software afectado, versiones vulnerables, CVE, indicadores de compromiso ni medidas correctivas específicas para productos concretos.

El HHS, la CISA y la ASPR tendrían funciones de coordinación más claras

Uno de los principales objetivos es mejorar la coordinación entre el HHS y la Cybersecurity and Infrastructure Security Agency (CISA) cuando las entidades sanitarias sufran ciberataques.

La propuesta también formalizaría, según se ha informado, la función de la Administration for Strategic Preparedness and Response (ASPR) como agencia de gestión de riesgos del sector sanitario. En ese papel, la ASPR ocuparía un lugar central en los esfuerzos federales para gestionar los riesgos de ciberseguridad que afectan a todo el sector.

La estructura propuesta establecería una vía más directa para que la CISA proporcione información sobre amenazas adaptada a las organizaciones sanitarias. Centralizarla podría reducir la fragmentación en los casos en que los proveedores reciben actualmente directrices de distintas agencias o a través de varios marcos.

Se trata de efectos previstos, no de resultados demostrados. Que este modelo mejore los tiempos de respuesta o las capacidades de defensa dependerá de cómo las agencias apliquen la ley, compartan información y apoyen a las organizaciones afectadas una vez aprobada.

Cassidy afirmó que la iniciativa busca ayudar a las instituciones sanitarias a proteger los datos confidenciales de los pacientes y reducir la posibilidad de que los ataques retrasen la atención médica. Cornyn destacó la coordinación entre agencias y la mejora de las prácticas de seguridad entre los proveedores rurales. Son declaraciones de los impulsores del proyecto, no evaluaciones independientes de su eficacia futura.

Los proveedores rurales podrían beneficiarse, pero también afrontar nuevos costes

Las organizaciones sanitarias serían las principales beneficiarias de las ayudas propuestas y del apoyo federal. Los pacientes podrían beneficiarse indirectamente si unas defensas más sólidas reducen las interrupciones de los sistemas clínicos, los historiales médicos electrónicos y otros servicios necesarios para prestar atención.

La propuesta pone especial énfasis en los centros rurales. La financiación adicional, la formación y el acceso a información sobre amenazas podrían ayudar a las clínicas que no cuentan con los equipos de seguridad especializados que tienen algunos grandes sistemas sanitarios.

La aplicación de la ley también podría generar presión financiera. Según la perspectiva del sector de la seguridad recogida en la fuente, la aplicación coherente de las medidas será clave para el éxito de la iniciativa. Al mismo tiempo, las nuevas exigencias de cumplimiento podrían convertirse en una carga si la financiación federal y el apoyo técnico no aumentan al mismo ritmo.

Esta distinción es importante. Exigir la adopción de prácticas más estrictas no proporciona por sí solo el personal, la tecnología ni los conocimientos necesarios para cumplirlas. Con la información disponible sobre las disposiciones, no es posible valorar el equilibrio práctico entre la asistencia y la aplicación de las normas.

La aprobación del proyecto por consentimiento unánime demuestra que ningún senador se opuso mediante ese procedimiento. Pero no resuelve el siguiente paso legislativo: la Cámara de Representantes todavía debe examinar la iniciativa para que pueda avanzar.

El ransomware se aborda como un problema de seguridad de los pacientes

La propuesta llega en un contexto de preocupación persistente por el ransomware, los esquemas de doble extorsión y los ataques centrados en robar datos sin cifrar los sistemas.

Para los proveedores sanitarios, las consecuencias pueden ir más allá de las pérdidas económicas o la exposición de información privada. Las interrupciones de las operaciones clínicas, los historiales médicos o la prescripción electrónica pueden retrasar la atención, por lo que la resiliencia operativa también es una cuestión de seguridad de los pacientes.

Durante los incidentes de extorsión, los proveedores afrontan presiones contrapuestas. Deben restablecer los servicios esenciales y proteger a los pacientes, al tiempo que reciben recomendaciones del Gobierno de no pagar rescates. La legislación propuesta busca mejorar la preparación y la capacidad de respuesta, pero la información disponible no establece una política concreta para gestionar las exigencias de rescate.

La fuente informa de que, en el año anterior a su publicación, más de 730 brechas de ciberseguridad afectaron a más de 270 millones de estadounidenses, con un coste medio de 10 millones de dólares por brecha. El material facilitado no identifica el año natural al que corresponde ese periodo ni incluye los registros en los que se basan esas cifras.

Esas cifras describen un conjunto amplio de incidentes. No deben atribuirse a un proveedor, ataque o red en particular, y el número de estadounidenses afectados no equivale al número de brechas.

Anthem, Ascension y Change Healthcare ilustran distintas consecuencias

La información cita tres incidentes importantes del sector sanitario como contexto para la legislación.

En 2015, la brecha que afectó a Anthem habría expuesto información personal e historiales médicos de 78,8 millones de clientes. La fuente cifra el coste en más de 115 millones de dólares.

El ataque de ransomware contra Ascension en 2024 habría interrumpido las operaciones clínicas y el acceso a los historiales médicos electrónicos en 11 estados de Estados Unidos. El caso muestra cómo un incidente cibernético puede afectar a la prestación de servicios sanitarios, aunque los detalles técnicos inmediatos no formen parte de la propuesta legislativa.

Según la fuente, se cree que el ataque de 2024 contra Change Healthcare expuso datos relacionados con más de 190 millones de personas. También habría causado retrasos considerables en la atención y la prescripción electrónica.

Estos incidentes afectaron a organizaciones distintas y tienen cifras de impacto diferentes. No se deben sumar las cantidades como si correspondieran a víctimas únicas, y la información facilitada no atribuye los tres ataques a la misma vulnerabilidad de software, operador o método de intrusión.

Qué viene ahora

El siguiente paso es que la Cámara de Representantes de Estados Unidos examine la propuesta. Hasta que la Cámara actúe y concluya el resto del proceso legislativo, las ayudas, los requisitos de planificación y la estructura de coordinación seguirán siendo medidas propuestas.

Por tanto, las organizaciones sanitarias no tienen que aplicar una nueva medida técnica únicamente por la decisión del Senado. La iniciativa no es un parche de seguridad y la fuente no proporciona indicadores que los administradores puedan utilizar para buscar amenazas.

Su posible importancia radica, más bien, en la financiación, la coordinación federal, la planificación ante incidentes y el reconocimiento de la ciberseguridad sanitaria como una cuestión tanto de protección de datos como de continuidad de los servicios. El efecto operativo final dependerá de que el proyecto se convierta en ley y de cómo se apliquen sus requisitos y programas de asistencia.