INCIBE e setor: ES-ISAC Salud e novas linhas da UE

A cibersegurança volta a estar na agenda do setor da saúde com vários movimentos públicos e setoriais que afetam a gestão diária das clínicas privadas: por um lado, o Ministério da Saúde espanhol divulgou informação sobre o padrão de ataques que o setor está a registar em 2024, segundo o INCIBE (o Instituto Nacional de Cibersegurança de Espanha); por outro, foi anunciada a constituição do ES-ISAC Salud como iniciativa público-privada com a participação do INCIBE e de associações do setor da saúde; e, em paralelo, a Comissão Europeia mantém em aberto a conceção de um plano de ação específico para hospitais e prestadores de cuidados de saúde que prevê uma consulta às partes interessadas, ainda em fase de definição, segundo a própria Comissão Europeia. Em Espanha, além disso, a Estratégia de Cibersegurança do SNS (o Sistema Nacional de Saúde espanhol) publicada em sanidad.gob.es define linhas de coordenação e de partilha de informação com o INCIBE, com implicações indiretas para fornecedores e operadores do ecossistema da saúde.

O que foi anunciado e porque importa a uma clínica privada

O Ministério da Saúde espanhol, numa nota do seu Gabinete de Imprensa, associou o aumento da exposição do setor à «necessária interligação entre serviços de saúde» e indicou que, segundo dados do INCIBE, os ataques mais frequentes contra o setor da saúde em 2024 foram malware, intrusões, roubo de dados e ransomware, afetando centros de cuidados de saúde primários e hospitais, segundo o próprio Ministério da Saúde, que cita o INCIBE. Embora a referência se centre no âmbito público e hospitalar, a mensagem operacional para uma clínica privada é direta: os vetores e tipos de incidente descritos pelo INCIBE (malware, intrusão, exfiltração de dados e cifragem) alinham-se com os riscos habituais sobre o processo clínico, as marcações, a faturação, os gateways de pagamento e os sistemas de documentação.

Em paralelo, meios de comunicação do setor noticiaram a constituição do ES-ISAC Salud como um centro orientado para reforçar a cibersegurança e a ciber-resiliência do setor, numa iniciativa anunciada com a participação do INCIBE e de associações do âmbito privado, segundo o portal espanhol iSanidad. O valor prático para uma clínica, se se concretizar em fluxos de informação e alertas setoriais, seria dispor de indicadores e avisos mais ajustados ao contexto da saúde, algo especialmente relevante quando a clínica depende de vários fornecedores tecnológicos (software clínico, laboratório, radiologia, plataforma de assinatura, alojamento ou cópias de segurança).

Por último, a Comissão Europeia publicou informação sobre o seu plano de ação europeu de cibersegurança para hospitais e prestadores de cuidados de saúde, indicando que a sua conceção será feita em colaboração com prestadores de cuidados de saúde, Estados-Membros e a comunidade de cibersegurança, e que «em breve será lançada uma consulta» às partes interessadas para delinear as ações de maior impacto, segundo a Comissão Europeia. Para as clínicas privadas, isto antecipa possíveis linhas de trabalho e requisitos futuros, mas a Comissão Europeia apresenta-o como um processo ainda por concretizar.

Incidentes mais citados em 2024: o foco do INCIBE e do Ministério da Saúde

O Ministério da Saúde espanhol enumerou, citando o INCIBE, quatro categorias de incidentes frequentes no setor em 2024: malware, intrusões, roubo de dados e ransomware, segundo a nota do Gabinete de Imprensa do Ministério. A consequência de gestão para uma clínica privada é verificar se os seus procedimentos e contratos cobrem esse «quadrante» de incidentes: deteção e contenção de malware, controlo de acessos para evitar intrusões, prevenção da exfiltração (incluindo o acesso indevido a informação clínica e administrativa) e capacidade de recuperação perante a cifragem.

A mesma comunicação do Ministério da Saúde aponta a interligação de serviços como um fator de contexto, segundo o Ministério. Numa clínica, essa interligação costuma concretizar-se em integrações com terceiros (laboratórios, plataformas de receita médica privada quando aplicável, ferramentas de videoconsulta, fornecedores de assinatura ou de armazenamento). Em termos de governação interna, isto obriga a inventariar dependências e a saber que fornecedor intervém em cada fluxo de dados, especialmente quando se tratam dados de saúde.

ES-ISAC Salud: o que é e o que esperar a curto prazo

A constituição do ES-ISAC Salud foi comunicada como uma iniciativa público-privada setorial anunciada com a participação do INCIBE e de organizações do âmbito industrial e assistencial privado, segundo o iSanidad. Um ISAC (centro de partilha e análise de informação) costuma orientar-se para a partilha de alertas, indicadores e boas práticas entre os membros. Dado que a informação publicada é um anúncio setorial, o que importa a uma clínica privada é acompanhar a evolução: que canais de adesão vão existir, que tipo de informação será partilhada e se a sua participação será direta ou através de associações, aspetos que não ficam detalhados na informação publicada pelo iSanidad.

Enquanto esses pontos não se concretizam, uma implicação imediata é interna: preparar a clínica para receber alertas externos e atuar com base neles. Isso inclui designar um responsável pela receção dos avisos (gerência, responsável de sistemas ou fornecedor de TI), definir um circuito de escalamento (o que fazer se o aviso afetar um fornecedor crítico) e manter atualizada a lista de sistemas e serviços ligados.

Estratégia de Cibersegurança do SNS: coordenação e partilha

A Estratégia de Cibersegurança do SNS disponível em sanidad.gob.es inclui, entre as suas linhas, «analisar alternativas com o INCIBE para a partilha de informação» por parte de empresas fornecedoras de TI para os Serviços Públicos de Saúde e «estabelecer as funções de coordenação a assumir pelo Ministério da Saúde», segundo o documento da Estratégia. Embora o âmbito principal seja o SNS, a clínica privada é afetada por arrastamento quando trabalha com fornecedores que também prestam serviço a entidades públicas ou quando integra serviços normalizados no ecossistema da saúde.

Na prática, isto pode traduzir-se em mais exigências contratuais por parte dos fornecedores e numa maior formalização das evidências de segurança (políticas, registos de incidentes, notificações, compromissos de resposta). A Estratégia, tal como está publicada, aponta uma direção de coordenação, mas o seu impacto concreto nas obrigações de terceiros dependerá da forma como for implementada, segundo o próprio documento ao descrever funções e alternativas.

Plano de ação europeu: consulta pendente e possíveis efeitos

A Comissão Europeia indicou que o plano de ação europeu sobre cibersegurança para hospitais e prestadores de cuidados de saúde será concebido com a participação dos Estados-Membros e do setor, e que será lançada uma consulta às partes interessadas, segundo a Comissão Europeia. Para uma clínica privada espanhola, o ponto-chave é tratar-se de um trabalho em fase de conceção: convém acompanhar a consulta e os documentos que forem publicados para antecipar mudanças nos requisitos de cibersegurança, especialmente no que se refere à continuidade do serviço, à resposta a incidentes e à relação com os fornecedores.

Até que se concretize, a recomendação operacional numa perspetiva de cumprimento é de acompanhamento e preparação: identificar que processos são mais críticos (agenda, processo clínico, cobranças, comunicações com os pacientes) e que dependências externas se poderiam tornar um ponto único de falha, sem assumir ainda obrigações novas que não foram publicadas.

IA e resposta a incidentes: coordenação anunciada

O Plano IA360 publicado pela Moncloa (a Presidência do Governo espanhol) menciona a «resposta a incidentes decorrentes do comportamento de modelos ou agentes avançados, em coordenação com o INCIBE e o Centro Criptológico Nacional», bem como a cooperação internacional, segundo o próprio documento. Para as clínicas privadas, isto é relevante na medida em que se incorporem sistemas baseados em IA em tarefas administrativas ou de apoio (por exemplo, classificação de e-mails ou automatização documental), porque introduz um quadro de coordenação pública para incidentes ligados a estes sistemas, caso cheguem a afetar serviços essenciais ou dados sensíveis.

O documento não detalha obrigações específicas para clínicas, mas marca uma linha institucional de coordenação com o INCIBE que pode influenciar guias, quadros de atuação ou futuras exigências aos fornecedores, segundo o Plano IA360.

O que a gerência deveria verificar sem esperar por novos desenvolvimentos

Com o que foi publicado pelo Ministério da Saúde, pela Comissão Europeia e pelos documentos estratégicos, a direção de uma clínica pode retirar três tarefas de controlo imediato: (1) inventário de fornecedores e sistemas ligados, porque a interligação aumenta a exposição, segundo o Ministério da Saúde; (2) procedimento interno de gestão de incidentes que contemple os quatro tipos mais citados pelo INCIBE para 2024 (malware, intrusões, roubo de dados, ransomware), segundo o Ministério da Saúde, que cita o INCIBE; e (3) acompanhamento de iniciativas setoriais como o ES-ISAC Salud e da consulta europeia, porque podem tornar-se canais relevantes de informação e futuras referências de cumprimento, segundo o iSanidad e a Comissão Europeia.

Qualquer adaptação contratual ou documental (por exemplo, com fornecedores de TI ou serviços na nuvem) deverá ser revista com o assessor correspondente, já que as fontes citadas descrevem linhas de atuação e anúncios, mas não substituem a interpretação jurídica ou fiscal aplicável a cada clínica.

Referências e ligações

• Nota do Ministério da Saúde espanhol sobre incidentes e dados do INCIBE: Ministério da Saúde
• Documento da Estratégia de Cibersegurança do SNS (sanidad.gob.es): Estratégia de Cibersegurança
• Anúncio do ES-ISAC Salud com a participação do INCIBE (cobertura setorial): ES-ISAC Salud
• Informação da Comissão Europeia sobre o plano de ação e a consulta: Plano de ação europeu
• Plano IA360 (La Moncloa) e coordenação com o INCIBE e o CCN: Plano IA360

Este artigo resume informação pública do setor. Não constitui aconselhamento jurídico nem fiscal.