Soluciones a medida para empresas healthtech
Quien desarrolla software para pacientes, médicos o clínicas trata datos especialmente sensibles. Los clientes del sector sanitario piden certificados e informes de atestación de la nube, y los fabricantes de productos sanitarios pueden estar incluidos en NIS2. Sightadel guía por la protección de datos, ISO 27001, NIS2 y BSI C5 y mantiene las evidencias sobre una base común.
Punto de partida
Las empresas healthtech trabajan con datos que el RGPD trata como categoría especial. Según el art. 9 del RGPD, los datos de salud solo pueden tratarse si se aplica una de las excepciones allí previstas, por ejemplo el consentimiento explícito. Casi siempre se añade una evaluación de impacto, porque el tratamiento conlleva probablemente un alto riesgo para los interesados.
Los clientes son exigentes. Hospitales, consultas y cajas de seguro médico revisan a fondo a los proveedores. Según el § 393 del código alemán de la seguridad social (SGB V), los prestadores de servicios sanitarios y las cajas solo pueden tratar datos de salud en la nube si existe un informe de atestación C5 vigente. Para el software como servicio eso significa a menudo que la pregunta por la atestación llega en ventas.
Si su software es un producto sanitario, se aplican además el Reglamento de productos sanitarios y sus requisitos de seguridad informática. Los fabricantes de productos sanitarios figuran también en el anexo 2 de la BSIG y, a partir de un tamaño mediano, son entidades importantes. Sightadel no cubre el Reglamento de productos sanitarios. La seguridad de la información que hay detrás la gestiona con ISO 27001 sobre la misma base que todo lo demás.
Por qué ahora
Desde el 1 de julio de 2025, el § 393 SGB V exige en principio una atestación C5 de tipo 2. Para sistemas nuevos que salgan al mercado después del 30 de junio de 2025 basta el tipo 1 durante los primeros 18 meses.
Hospitales y cajas de seguro médico ponen a menudo ISO 27001 o evidencias comparables como condición. Sin certificado se queda fuera.
Con la finalidad prevista, una app puede convertirse en producto sanitario. La empresa pasa entonces, como fabricante, al anexo 2 de la BSIG, a partir de 50 empleados o más de 10 millones de euros de volumen de negocio y de balance.
Los fabricantes de aplicaciones sanitarias digitales (DiGA) acreditan desde el 1 de enero de 2025 la seguridad de los datos con un certificado del BSI y desde el 1 de agosto de 2024 la protección de datos con un certificado según el art. 42 del RGPD.
Cada nuevo tratamiento necesita una base jurídica según el art. 9 del RGPD y, por lo general, una evaluación de impacto antes de ponerse en marcha.
En la due diligence, los inversores y los socios farmacéuticos preguntan por protección de datos, certificados e incidentes. Un SGSI bien mantenido lo responde sin turnos extra.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Los datos de salud son categorías especiales según el art. 9 del RGPD. Hace falta una excepción a la prohibición de tratamiento, una evaluación de impacto según el art. 35 del RGPD en caso de tratamiento a gran escala y, por lo general, un delegado de protección de datos. Como encargado del tratamiento de consultas o clínicas se añaden contratos conforme al art. 28 del RGPD.
Ver el framework →La evidencia habitual de seguridad de la información ante clínicas, cajas y socios. Un SGSI según ISO 27001 es a la vez una buena base para C5, NIS2 y los requisitos de seguridad del software de productos sanitarios.
Ver el framework →Previsto en el § 393 SGB V para el tratamiento en la nube de datos sociales y de salud por prestadores de servicios sanitarios y cajas. Si opera su software como servicio en la nube para estos clientes, a menudo se exige una atestación propia. La emite un auditor según ISAE 3000.
Ver el framework →Los fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro figuran en el anexo 2 de la BSIG y, a partir de un tamaño mediano, son entidades importantes. El software puede ser en sí un producto sanitario. Los proveedores de servicios en la nube pertenecen a la infraestructura digital del anexo 1. La clasificación es una cuestión jurídica para su asesoría.
Ver el framework →Para proveedores cuyo producto usa IA, por ejemplo para evaluar resultados clínicos. Un sistema de gestión según ISO 42001 describe cómo se seleccionan los modelos, cómo se usan los datos y cómo se evalúan los riesgos, y tiene la misma estructura que ISO 27001.
Ver el framework →Orden recomendado
¿Qué datos de salud trata, para qué y con qué base según el art. 9 del RGPD? ¿Es responsable o encargado del tratamiento? De ahí se derivan la evaluación de impacto, los contratos y las obligaciones de información.
¿Es su software un producto sanitario? ¿Le afecta NIS2? ¿Exigen sus clientes una atestación C5? Las respuestas determinan el orden. La valoración jurídica corresponde a su asesoría.
Análisis de riesgos, políticas, accesos, desarrollo seguro, registro de eventos, copias de seguridad y gestión de incidentes. El SGSI sostiene después C5, NIS2 y los requisitos de clientes.
Para una atestación C5 de tipo 2 cuenta que los controles hayan sido eficaces durante meses. Las revisiones de accesos, los cambios y las formaciones necesitan evidencias continuas.
El certificado, la atestación y la documentación de protección de datos proceden de organismos independientes. Después muestra la situación en el Trust Center, para que clínicas y socios encuentren las respuestas por sí mismos.
Enfoque
Con los datos de salud, autoridades, clientes y pacientes preguntan con más detalle. Cuatro puntos deberían estar aclarados y documentados antes del inicio.
Consentimiento explícito, contrato de tratamiento o una base legal: para cada tratamiento de datos de salud está fijado qué excepción del art. 9 del RGPD se aplica. Esto vale también para análisis y mejora del producto.
Las nuevas funciones con datos de salud reciben una evaluación de impacto antes de ponerse en marcha. Queda como evidencia con fecha y se revisa cuando hay cambios.
¿Dónde están los datos, quién puede acceder, qué atestaciones tienen los proveedores? Las clínicas hacen estas preguntas antes de firmar. El módulo Proveedores tiene las respuestas listas con evidencias.
Un incidente puede desencadenar notificaciones a la autoridad de protección de datos, a los clientes y, si se aplica NIS2, al BSI. El procedimiento con plazos y responsabilidades está fijado de antemano.
Cómo ayuda Sightadel
El RGPD, ISO 27001, C5 y NIS2 se trabajan pregunta a pregunta. Donde los requisitos coinciden, una evidencia queda vinculada a varios frameworks.
Más información →Evaluaciones de impacto, contratos, formaciones y evidencias técnicas están en la biblioteca de evidencias con versión y fecha de caducidad. Así no falta ninguna evidencia en el periodo de revisión de una atestación C5.
Más información →La plataforma en la nube, el alojamiento y otros proveedores figuran en una lista con ubicación, contrato, atestaciones y riesgo. Las evidencias caducadas se detectan antes de que un cliente pregunte.
Más información →Certificados, atestaciones, documentos aprobados y subencargados en una página propia. Clínicas y socios encuentran las respuestas por sí mismos.
Más información →Las brechas de las evaluaciones y de las evaluaciones de impacto se convierten en tareas con plazo y persona responsable, también para desarrollo y operaciones.
Más información →Los requisitos para los que no hay un módulo listo, por ejemplo criterios de su solicitud como DiGA o catálogos de grupos hospitalarios, los crea como framework propio.
Más información →Esfuerzo y duración
Los rangos son valores de experiencia, no un compromiso. Lo que más influye es el número de tratamientos con datos de salud, el tamaño del alcance y si su software está clasificado como producto sanitario.
Qué licencia contrata · normalmente Professional
Una empresa healthtech típica gestiona ISO 27001 y el RGPD en la edición Professional. Incluye diez usuarios, diez activos y 25 proveedores, suficiente para desarrollo, operaciones, protección de datos y dirección. Licencia para ISO 27001: desde 750 € al mes. Si ISO 27001 está incluida, el RGPD y C5 cuestan menos de forma permanente. El BSI C5 lo añade cuando los clientes del sector sanitario lo exijan.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
No. Esta página se dirige a empresas que desarrollan u operan software para el sector sanitario. Para consultas y MVZ hay una página de solución propia sobre el § 390 SGB V, la protección de datos y NIS2.
Depende de sus clientes y de su arquitectura. El § 393 SGB V se dirige a prestadores de servicios sanitarios y cajas que tratan datos de salud en la nube. Si opera para ello un servicio en la nube, estos clientes le preguntarán por su atestación. La atestación de su proveedor de alojamiento cubre solo la parte de este.
Lo decide la finalidad prevista del fabricante según el Reglamento de productos sanitarios. El software destinado, por ejemplo, al diagnóstico, la vigilancia o el tratamiento de enfermedades puede ser un producto sanitario. La clasificación la aclara con su asesoría regulatoria. Sightadel no cubre el Reglamento de productos sanitarios como framework.
Según el § 139e SGB V, los fabricantes acreditan la seguridad de los datos desde el 1 de enero de 2025 con un certificado del BSI; la base es la directriz técnica TR-03161. La protección de datos la acreditan desde el 1 de agosto de 2024 con un certificado según el art. 42 del RGPD. Sightadel no emite ninguno de estos certificados. Un SGSI según ISO 27001 ayuda a preparar las revisiones.
Los fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro figuran en el anexo 2 de la BSIG. A partir de 50 empleados o más de 10 millones de euros de volumen de negocio y de balance son entidades importantes. Si su software no es un producto sanitario, puede entrar en consideración una clasificación como servicio en la nube. La valoración de cada caso la aclara con su asesoría.
No siempre. El art. 9 del RGPD prevé varias excepciones, por ejemplo el consentimiento explícito o el tratamiento con fines de asistencia sanitaria sobre la base del derecho o de un contrato con un profesional sanitario. Qué excepción se aplica depende del tratamiento y debe figurar en su registro.
Muchos requisitos se solapan, por ejemplo en accesos, cifrado, registro de eventos y proveedores. En Sightadel una evidencia queda vinculada a ambos frameworks. El certificado y la atestación siguen siendo revisiones separadas con sus propios auditores.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
