Ley, directiva y anexos: cómo encaja todo
La ley en sí no contiene detalles técnicos. El § 390 SGB V encarga a la KBV y a la KZBV fijar los requisitos en una directiva, de acuerdo con la BSI y en coordinación con otros organismos. La directiva debe adaptarse al estado de la técnica y, por eso, se actualiza periódicamente. Para las consultas médicas y de psicoterapia se aplica la directiva de la KBV; para las consultas odontológicas, la de la KZBV. Ambas siguen la misma idea básica, pero difieren en estructura y detalles. Lo determinante es siempre la versión de su asociación federal.
La directiva de la KBV se divide en un texto principal y anexos. Los anexos contienen los requisitos propiamente dichos, escalonados por tipo de consulta: lo que se aplica a toda consulta, lo que se añade en las consultas medianas y lo que deben cumplir además las consultas grandes. Otros anexos se refieren a los grandes equipos médicos y a los componentes descentralizados de la infraestructura telemática. Los requisitos se construyen unos sobre otros; una consulta grande cumple, por tanto, también todos los requisitos de los tipos más pequeños.
La última versión revisada de la KBV entró en vigor el 1 de abril de 2025, y los nuevos requisitos debían aplicarse en un plazo de seis meses. Los ejes de la revisión son la concienciación y la formación del equipo de la consulta, las copias de seguridad y la configuración segura del correo electrónico. Sightadel recoge los requisitos en 49 controles y muestra solo los que se aplican a su perfil de consulta. Cuando hay una nueva versión, los controles se adaptan y sus evidencias anteriores se conservan.
¿Qué tipo de consulta es la suya?
La clasificación es el primer paso y el más importante, porque determina cuántos requisitos se aplican. Lo determinante no es el número total de empleados ni la jornada, sino el número de personas que se ocupan de forma permanente del tratamiento de datos de pacientes. Cuentan tanto los médicos como el personal sanitario de la recepción. El personal de limpieza sin acceso a los sistemas no cuenta.
Hasta cinco de esas personas, la consulta se considera consulta en el sentido de la directiva. Con entre seis y veinte personas es una consulta mediana. Por encima, o si se tratan datos en un volumen considerable, por ejemplo en grandes MVZ o laboratorios, es una consulta grande. Con independencia de ello, se añaden los anexos de grandes equipos y de componentes de la infraestructura telemática si los utiliza.
En Sightadel fija estos datos en el perfil de la consulta. De ellos resulta automáticamente qué controles aparecen. Si cambia el tamaño, por ejemplo por nuevos compañeros o por una fusión, adapta el perfil y los requisitos adicionales aparecen como puntos abiertos. Deje constancia de la justificación de su clasificación para que después sea trazable.
Costes y esfuerzo para la consulta
Para el § 390 SGB V no hay precio de lista en Sightadel. El precio depende del tipo de consulta y del alcance, y se ofrece bajo petición. Los proveedores de TI que atienden a varias consultas reciben una oferta propia. Puede probar Sightadel 14 días sin datos de pago, y todo lo creado pasa al plan de pago.
Los mayores costes suelen surgir en la tecnología y en el proveedor de servicios. Las partidas habituales son un firewall adecuado, la sustitución de equipos antiguos sin soporte del fabricante, una copia de seguridad con copia fuera de la red de la consulta, el cifrado de equipos y soportes de datos y las horas del proveedor de TI para la configuración y la documentación. Estos costes los factura directamente cada proveedor. Si busca un firewall de hardware, pregúntenos por el paquete adecuado.
El esfuerzo interno en la consulta es asumible si se planifica: una persona responsable que vigile el estado, un inventario junto con el proveedor de servicios, una instrucción del equipo y la revisión periódica. Lo que más se suele subestimar es el tiempo necesario para obtener las pruebas del proveedor de servicios. Un acceso propio para el proveedor en Sightadel acorta ese camino.
Responsabilidad, protección de datos y consecuencias de las brechas
La directiva en sí no contiene un catálogo propio de multas, y no está previsto un control periódico de las consultas por parte de las asociaciones regionales de médicos del seguro público. Deducir de ello que la obligación no es vinculante sería un error. La directiva es vinculante para las consultas que atienden a pacientes del seguro médico y odontológico público, y concreta lo que se considera una seguridad adecuada.
Esto cobra relevancia sobre todo tras un incidente. Si una consulta sufre un cifrado o los datos de pacientes caen en manos equivocadas, la autoridad de control de protección de datos comprueba si se habían adoptado medidas técnicas y organizativas adecuadas conforme al art. 32 del RGPD. La directiva es para ello una referencia evidente. A ello se suman posibles obligaciones de notificación según el RGPD, reclamaciones de los pacientes, cuestiones de secreto médico y, en su caso, consecuencias frente a las aseguradoras.
En cambio, quien puede demostrar que los requisitos estaban implantados, la copia de seguridad probada y el equipo instruido está en mejor posición en cada una de esas conversaciones. Por eso merece la pena un estado de evidencias limpio y fechado. La valoración jurídica de cada caso la aclara con su asesoría jurídica o su colegio profesional; Sightadel no presta asesoramiento jurídico.
Colaboración con el proveedor de TI
La mayoría de las consultas no aplican la directiva solas, sino con un proveedor de TI o con el proveedor de su software de gestión de la consulta. Es razonable, pero no traslada la responsabilidad. El responsable sigue siendo el titular de la consulta. Por eso es importante un reparto claro: qué configura el proveedor de servicios, qué documenta y qué debe hacer la propia consulta, como las instrucciones, el plan de emergencia y las reglas de acceso.
La KBV certifica a los proveedores de TI que apoyan a las consultas en la implantación. Un proveedor certificado conoce los requisitos. Pero la certificación se refiere al proveedor, no a su consulta, y no sustituye a una evidencia propia. Pregunte qué controles asume el proveedor y qué pruebas le entrega.
En Sightadel, el proveedor de servicios recibe un acceso propio. Introduce el conjunto de reglas del firewall, los niveles de parches, los registros de copias de seguridad y el inventario de dispositivos directamente en los controles correspondientes. Usted ve en todo momento qué está hecho y qué falta. Si un proveedor atiende a varias consultas, trabaja en todas con la misma estructura. El contrato de encargado del tratamiento con el proveedor de servicios también forma parte de las evidencias.
Mantener el estado: revisión periódica en el día a día de la consulta
Muchos requisitos no son tareas puntuales. Las actualizaciones deben instalarse de forma continua, las copias de seguridad probarse periódicamente, el personal nuevo instruirse y las cuentas del personal que se marcha bloquearse. Si cambia la tecnología, por ejemplo por un nuevo gran equipo, un nuevo conector o una mudanza, hay que actualizar la red y la documentación.
Ha dado buen resultado un ritmo fijo. Cada mes, el proveedor de servicios revisa las actualizaciones y las copias de seguridad; cada trimestre se prueba una restauración por muestreo; cada año se instruye al equipo, se actualiza la documentación de emergencia y se revisa el estado global. Para las consultas más grandes está prevista expresamente una revisión anual.
En Sightadel, cada evidencia tiene una fecha de caducidad. Si caduca, Sightadel avisa a la persona responsable y al proveedor de servicios antes de que surja una brecha. La hoja de evidencias con el estado actual puede generarse, firmarse y archivarse en cualquier momento. Cuando la directiva se actualiza, ve qué controles se han añadido.
Quien quiera ir más allá del mínimo obligatorio, por ejemplo un gran MVZ que podría quedar sujeto a NIS2, construye sobre las mismas evidencias. En Sightadel, el firewall, las copias de seguridad, el plan de emergencia y la instrucción cuentan también para el RGPD, NIS2 e ISO 27001, sin archivarse dos veces.
