Sightadel
Prueba gratuita

Soluciones · Consultas médicas y dentales, MVZ

La informática de la consulta es segura.
Ahora alguien tiene que poder demostrarlo.

Para las consultas que prestan la atención médica concertada con el seguro médico obligatorio, la directriz de seguridad TI es obligatoria, y la protección de los datos de salud, en cualquier caso. Los grandes centros de atención médica (MVZ) y los laboratorios quedan además sujetos a NIS2. Sightadel lo ordena según el tamaño de la consulta, reparte las tareas entre la consulta y el proveedor de servicios TI y deja constancia de lo que está hecho.

Pruébelo gratis 14 díasSolicitar asesoramiento

Solo en Sightadel

El § 390 SGB V como framework propio: ninguno de los proveedores comparados lo ofrece.

De los nueve proveedores GRC de nuestra comparativa, solo Sightadel incluye la directriz de seguridad informática del § 390 SGB V como framework; los otros ocho no la mencionan en sus sitios web. Las consultas y los MVZ trabajan los requisitos paso a paso y los respaldan con evidencias, junto con el RGPD y NIS2 si es necesario.

Base: información pública en los sitios web de los proveedores, a 10 de octubre de 2026. Ver la comparativa →

Punto de partida

Cómo es en la práctica.

En la mayoría de las consultas, un proveedor externo de servicios TI se ocupa del servidor, del sistema de gestión de la consulta, del conector y de la red. La dirección de la consulta confía en que todo funcione correctamente. Y casi siempre es así. Lo que falta es la visión de conjunto: ¿qué requisitos de la directriz se aplican a nuestro tamaño de consulta, cuáles están cumplidos, quién lo ha comprobado y cuándo, y dónde está la evidencia?

Esa pregunta surge precisamente cuando la asociación regional de médicos concertados (Kassenärztliche Vereinigung) pide información, cuando se produce un incidente de protección de datos, cuando la consulta se vende o se integra en un MVZ, o cuando el seguro de ciberriesgos envía un cuestionario. Entonces no cuenta lo que el proveedor dice haber configurado, sino lo que se puede demostrar. La responsabilidad sigue siendo siempre de la consulta.

La buena noticia: los requisitos son abarcables y concretos. Antivirus, actualizaciones, cifrado, cortafuegos, redes separadas, copias de seguridad probadas, documentación de emergencias y un equipo formado. En las consultas bien atendidas, la mayor parte ya existe. Solo hay que ordenarla una vez y mantenerla después.

Por qué ahora

Motivos habituales para abordar el tema.

01

Nueva versión de la directriz

La Asociación Federal de Médicos del Seguro Médico Obligatorio de Alemania (KBV) revisó su directriz de seguridad TI en 2025, con más peso en la sensibilización del equipo de la consulta. El plazo de implantación ha vencido. Quien aún no haya incorporado los cambios debería hacerlo ahora.

02

La consulta crece o pasa a formar parte de un MVZ

Con más personas dedicadas de forma permanente al tratamiento de datos, la consulta pasa a un nivel superior de la directriz. En un MVZ con muchas sedes se plantea además la cuestión de NIS2.

03

Incidente o casi incidente

Un cifrado por software malicioso, un portátil robado, un envío de resultados a un destinatario equivocado. Después, la autoridad de control de protección de datos pregunta qué medidas existían. Quien puede demostrarlas está en una posición mucho mejor.

04

Cambio de proveedor de servicios TI

Con el cambio se ve cuánto conocimiento estaba solo en manos del proveedor anterior. Una documentación propia y ordenada hace que la consulta sea independiente.

05

Cuestionario del seguro de ciberriesgos

Las aseguradoras preguntan por la autenticación multifactor, las copias de seguridad y la formación. Las respuestas ya están en la implantación de la directriz y pueden reutilizarse.

06

Traspaso o compra de la consulta

Hoy en día, compradores e inversores también revisan la seguridad TI. Una documentación trazable acorta esa revisión y evita rebajas en el precio por falta de claridad.

Frameworks relevantes

Qué aplica y qué exige aquí en concreto.

Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.

§ 390 SGB VObligatorio

Obligatoria para las consultas que prestan la atención médica u odontológica concertada con el seguro médico obligatorio. La directriz de la KBV se aplica a las consultas médicas y la de la asociación federal de odontólogos del seguro médico obligatorio de Alemania (KZBV), a las consultas dentales. Los requisitos se escalonan según el tamaño de la consulta. Anexos específicos regulan los grandes equipos médicos y los componentes de la infraestructura telemática, como el conector y los terminales de tarjetas. No existe certificado. Lo que se espera es una implantación trazable.

Ver el framework →
RGPDObligatorio

Los datos de salud pertenecen a las categorías especiales de datos personales. La consulta necesita un registro de actividades de tratamiento, medidas técnicas y organizativas, contratos de encargado del tratamiento con proveedores y laboratorios y un procedimiento para las violaciones de datos. Que haya que designar a un delegado de protección de datos depende del número de empleados y del volumen del tratamiento.

Ver el framework →
NIS2Según el caso

Los prestadores de asistencia sanitaria figuran entre los sectores de la ley alemana del BSI (BSIG). Quedan incluidas las entidades a partir de tamaño mediano, es decir, desde 50 empleados o con más de 10 millones de euros de volumen de negocio anual y de balance. Las consultas individuales suelen quedar por debajo; los grandes MVZ, las redes de laboratorios y las cadenas de consultas, a menudo por encima. En ese caso se añaden el registro ante la Oficina Federal de Seguridad de la Información (BSI), la gestión de riesgos según el § 30 de la BSIG, las obligaciones de notificación y la responsabilidad de la dirección.

Ver el framework →
ISO/IEC 27001Recomendable

No es obligatoria para las consultas. Para grandes grupos de MVZ, laboratorios y cadenas de consultas con departamento de TI propio, un SGSI según ISO 27001 puede ser el marco adecuado, porque reúne bajo un mismo techo la directriz, la protección de datos y NIS2.

Ver el framework →

Orden recomendado

Por dónde empezar y qué viene después.

  1. 1

    Determinar el tipo de consulta

    Primero aclare en qué nivel de la directriz se encuentra su consulta y si utiliza grandes equipos médicos. En los MVZ y laboratorios compruebe en paralelo si se alcanzan los umbrales de tamaño de NIS2.

  2. 2

    Hacer inventario

    ¿Qué equipos, programas, cuentas y proveedores hay? Sin esta lista no se puede responder bien a ningún requisito. Su proveedor de servicios TI aporta la mayor parte; usted completa los procesos y las responsabilidades.

  3. 3

    Recorrer la directriz punto por punto

    Se responden los controles y se les añaden evidencias: captura de las reglas del cortafuegos, acta de la prueba de restauración, lista de asistencia a la formación. Los puntos abiertos se convierten en medidas con plazo y responsables.

  4. 4

    Incorporar la protección de datos

    El registro de actividades de tratamiento, los contratos de encargado del tratamiento y las medidas técnicas se basan en el mismo inventario. Lo que está demostrado para la directriz sirve también como evidencia de las medidas técnicas.

  5. 5

    Mantener en lugar de empezar de nuevo

    Las evidencias caducan. La copia de seguridad se prueba con regularidad, la formación se repite y el registro se completa cuando se incorporan programas nuevos. Sightadel avisa a tiempo para que la situación no vuelva a quedar desfasada.

Cómo ayuda Sightadel

Las funciones que marcan la diferencia aquí.

Evaluaciones guiadas

La directriz está estructurada por tipo de consulta. Solo ve los controles que se aplican a su nivel, con una explicación comprensible de lo que se pide y de qué evidencia encaja.

Más información →

Planes de acción

Los puntos abiertos se convierten en tareas con plazo. Muchas van al proveedor de servicios TI. Se le invita como Contributor, hace su parte directamente en Sightadel y guarda la evidencia.

Más información →

Biblioteca de evidencias

Actas, extractos de configuración y certificados de formación están en un solo lugar, con fecha y versión. Una misma evidencia puede servir a la vez para la directriz y para las medidas técnicas del RGPD.

Más información →

Riesgo de proveedores

El proveedor de servicios TI, el fabricante del sistema de gestión de la consulta, los laboratorios, las entidades de facturación y los servicios en la nube se gestionan con su contrato de encargado del tratamiento y su evaluación.

Más información →

Plantillas de IA

Las plantillas para el plan de emergencia, el concepto de copias de seguridad y las normas de uso de dispositivos están adaptadas a las consultas. Usted ajusta el texto a sus procesos en lugar de empezar de cero.

Más información →

Tecnología y evidencia de un mismo proveedor

El paquete para consultas: directriz, cortafuegos y evidencia juntos.

La directriz de seguridad TI también exige tecnología, sobre todo un cortafuegos. Junto con Valar ofrecemos un paquete para consultas: la gestión de evidencias en Sightadel y un cortafuegos de hardware adecuado, coordinados entre sí y con una sola persona de contacto. Su proveedor de servicios TI sigue participando.

Paquete para consultas

Consultas médicas, dentales y de psicoterapia, MVZ y pequeños centros sanitarios

Para clínicas y grandes MVZ existe un paquete propio para clínicas; ambos se describen en la página del § 390 SGB V. Recibirá la oferta tras una breve conversación.

Solicitar el paquete para consultas

Esfuerzo y duración

Una estimación honesta.

Consulta individual o pequeña consulta compartida4–8 semanas
Si el proveedor de servicios TI colabora. La dirección de la consulta necesita para ello unas horas a la semana; el proveedor aporta las evidencias y cierra las carencias.
Consulta grande o MVZ pequeño2–3 meses
Más equipos, más cuentas y, a menudo, varias sedes. Aquí compensa tener en la consulta una persona de contacto fija que coordine la implantación.
Grupo de MVZ o laboratorio sujeto a NIS24–9 meses
Además de la directriz se añaden la gestión de riesgos, la cadena de notificación, la cadena de suministro y la responsabilidad de la dirección en la implantación y la supervisión. La duración depende mucho del punto de partida.

Los plazos son valores basados en la experiencia, no un compromiso. Lo que más influye es la rapidez con la que el proveedor de servicios TI aporta evidencias y cierra carencias.

Qué licencia contrata · normalmente Basic

Una consulta típica empieza con la directriz de seguridad TI y la protección de datos en la edición Basic. Incluye cinco usuarios, suficientes para la dirección de la consulta, la gestión de la consulta y el proveedor de servicios TI. Un MVZ grande obligado por NIS2 añade NIS2, normalmente en la edición Professional.

Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.

Precios y calculadora de costesPrueba gratuita

Preguntas y respuestas

Preguntas sobre consultas médicas y dentales, MVZ

Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.

¿La directriz de seguridad TI se aplica también a las consultas privadas?

La directriz del § 390 del Código Social alemán, libro V (SGB V) se dirige a las consultas que prestan la atención médica u odontológica concertada con el seguro médico obligatorio. Las consultas exclusivamente privadas no están incluidas formalmente. Sin embargo, las obligaciones del RGPD sobre la seguridad del tratamiento se aplican a cualquier consulta, y la directriz es una referencia útil para cumplirlas.

¿Qué diferencia hay entre el § 75b y el § 390 SGB V?

En cuanto al contenido, ninguna. La disposición se renumeró en el Código Social. Muchos documentos y proveedores siguen hablando del § 75b. Se trata de la misma obligación y de la misma directriz de la KBV o de la KZBV.

Nuestro proveedor de servicios TI dice que lo ha implantado todo. ¿Es suficiente?

La responsabilidad sigue siendo de la consulta. Una afirmación del proveedor todavía no es una evidencia. Invítelo a Sightadel: así responderá él mismo a los controles técnicos y guardará las evidencias. Usted ve la situación y decide qué falta todavía.

¿Necesitamos un proveedor certificado por la KBV?

No. La KBV mantiene un registro de proveedores de servicios TI certificados, pero recurrir a ellos es voluntario. Puede trabajar con cualquier proveedor. Lo decisivo es que la implantación esté demostrada.

¿Está nuestro MVZ sujeto a NIS2?

Depende del tamaño de la entidad titular. A partir de 50 empleados o de más de 10 millones de euros de volumen de negocio anual y de balance, los prestadores de asistencia sanitaria suelen quedar incluidos. En las agrupaciones puede ser determinante el grupo. Sightadel ayuda con un análisis estructurado; la clasificación definitiva es una cuestión jurídica para su asesoría.

¿Existe un certificado para la implantación de la directriz?

No. La directriz no prevé ningún certificado para las consultas. Lo que puede presentar es un estado de implantación demostrado. En Sightadel puede exportarse como informe, por ejemplo para la Kassenärztliche Vereinigung, la aseguradora o un comprador.

¿Dónde se guardan los datos en Sightadel?

Sightadel se desarrolla y se opera en Alemania. Con cada cliente firmamos un contrato de encargado del tratamiento conforme al art. 28 RGPD. Los datos de pacientes no tienen cabida en Sightadel; allí solo está la documentación de sus medidas.

Revisado por expertos el 8 de octubre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.

Empiece con una sola norma.

14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.

Pruébelo gratis 14 díasHable con nosotros