En tres sistemas clínicos muy usados en Suiza aparecieron más de 40 vulnerabilidades medias o graves. El fallo no estaba en los hospitales.

Imagine la escena: una clínica de medicina estética en Zúrich firma con un proveedor de agenda en línea. Para conectarlo al programa de la clínica, el proveedor pide un acceso remoto permanente, por si hay que corregir algo. Nadie pregunta quién en esa empresa puede usarlo, desde dónde ni cómo se registra. Dos años después, la clínica tiene seis proveedores con acceso parecido y ninguna lista de ellos.

Cuando se habla de ciberseguridad en una clínica, se piensa en el antivirus y en la contraseña de recepción. Los datos suizos de 2025 apuntan a otro sitio: a los programas que la clínica compra y a quienes los mantienen.

Lo que encontró el instituto nacional de pruebas.

En enero de 2025, el Instituto Nacional de Pruebas de Ciberseguridad (NTC) publicó el resultado de un año analizando tres sistemas de información clínica muy extendidos en los hospitales suizos, en condiciones reales. Encontró más de 40 vulnerabilidades medias o graves, tres de ellas de la máxima criticidad. Según el informe, muchas eran tan evidentes y fáciles de explotar que, a las pocas horas de empezar las pruebas, permitían el control completo del sistema y de los datos de pacientes.

El informe añade dos detalles que conviene leer despacio. El primero: algunos fabricantes pidieron al instituto y a los hospitales firmar acuerdos de confidencialidad que habrían impedido avisar a otros afectados, y el NTC se negó. El segundo: la mayoría de los fallos ya se corrigió, pero algunos problemas de fondo exigen rehacer la arquitectura del programa, algo que, según los propios fabricantes, puede llevar varios años.

Lo que cambió en 2025.

Desde el 1 de abril de 2025, la ley suiza de seguridad de la información obliga a una lista de organizaciones a avisar al Bundesamt für Cybersicherheit (BACS) de un ciberataque en las 24 horas siguientes a descubrirlo. En la lista están los centros sanitarios que figuran en la lista hospitalaria cantonal y también, y esto se comenta menos, los fabricantes de programas usados por infraestructuras críticas cuando el programa tiene acceso de mantenimiento remoto. Desde octubre de 2025, quien no atiende el requerimiento del BACS se expone a una multa de hasta 100.000 francos.

Según el informe anual del BACS citado por la prensa suiza, en 2025 llegaron 222 avisos obligatorios, casi uno al día, además de 64.733 avisos voluntarios. Y en agosto de 2025, 18 hospitales fundaron una asociación para compartir información sobre ataques, el Healthcare Cyber Security Center, abierta desde septiembre a los hospitales con mandato público.

El punto ciego: la clínica privada se queda sola.

Una clínica de estética, dental o de longevidad que no figura en la lista hospitalaria cantonal no tiene, en general, obligación de avisar, y tampoco puede entrar en la asociación que crearon los hospitales. Puede avisar al BACS de forma voluntaria, y conviene saberlo. Pero no comparte información con nadie de forma automática, y sus proveedores, el de la web, el de la agenda, el del chatbot o el del CRM, suelen tener más acceso del que nadie ha apuntado.

La propia ley reconoce el riesgo: incluye entre los obligados a avisar a los fabricantes de programas con acceso de mantenimiento remoto. Si el legislador considera ese acceso una puerta que vigilar en un hospital, también lo es en una clínica privada.

Su clínica es tan segura como el proveedor menos vigilado que tiene una llave.

Mi posición.

Creo que una clínica privada debería pedir a sus proveedores digitales lo mismo que el instituto recomienda a los hospitales: requisitos de seguridad escritos en el contrato antes de comprar, pruebas periódicas, actualizaciones a tiempo, la red de pacientes separada de la de trabajo y ningún acuerdo de confidencialidad que le impida avisar a quien deba. Y una lista viva de quién tiene acceso a qué. La web y el formulario de contacto entran en esa lista, porque es por donde llegan los datos de salud. La seguridad no se compra con el programa. Se exige en el contrato y se comprueba después.

Si su clínica está o no obligada a avisar lo confirma el propio BACS a petición, o su asesoría jurídica. No soy abogado, y esta nota no sustituye esa consulta.

Lo que yo revisaría.

• La lista de accesos. Qué proveedores pueden entrar en sus sistemas, con qué cuenta y desde dónde.
• Los contratos. Si incluyen requisitos de seguridad, plazos de corrección y la obligación de avisarle de un incidente.
• Las cláusulas de silencio. Si algún acuerdo le impide contar un fallo a otros afectados o a las autoridades.
• El formulario de la web. Dónde se guardan los datos que deja un paciente y quién puede verlos.
• El plan de 24 horas. A quién llama la clínica si algo falla un sábado y quién decide avisar.

Por dónde empezar.

1. Esta semana

   Hacer la lista

   Cada proveedor con acceso a sus sistemas, a su web o a sus datos, y qué acceso tiene.

2. Este mes

   Leer los contratos

   Seguridad, avisos de incidentes y confidencialidad, proveedor por proveedor.

3. Este trimestre

   Cerrar puertas

   Retirar accesos que nadie usa y separar la red de pacientes de la de trabajo.

4. Cada año

   Probar

   Una prueba de seguridad independiente de la web y de los sistemas que tocan datos de pacientes.

Una pregunta para el próximo comité: si mañana su proveedor de software clínico descubriera una vulnerabilidad grave, ¿cuánto tardaría usted en saberlo? ¿Y por quién: por el proveedor, por la prensa o por un paciente?

Y otra que casi nadie hace en voz alta: ¿cuántas personas que no trabajan en su clínica pueden entrar hoy en sus sistemas, y cuándo revisó alguien esa lista por última vez?

Si quiere que revise por dónde entran hoy los datos de sus pacientes en su web y quién más los toca, empiece por el Diagnóstico Estratégico. Qué proveedores conservar y con qué condiciones lo decide la dirección de su clínica, no un diseñador.