Las convocatorias del Kit Digital han finalizado. En su categoría de ciberseguridad el bono cubre 125 euros por dispositivo: hasta 6.000 euros en el segmento de 10 a 49 empleados, 1.125 euros de 3 a 9 y 250 euros de 0 a 2, con 12 meses de prestación del servicio. Los datos odontológicos son categoría especial del artículo 9 del RGPD, con sanciones de hasta 20 millones de euros o el 4 por ciento de la facturación global.
Una clínica dental maneja historiales clínicos, radiografías, datos de tarjetas y números de seguridad social. Todo ello es dato de categoría especial según el Reglamento General de Protección de Datos (RGPD), lo que eleva automáticamente el nivel de exigencia en materia de seguridad. Un incidente de ransomware o una filtración no solo paraliza la agenda: puede acarrear multas de hasta 20 millones de euros o el 4 % de la facturación global anual, según el artículo 83.5 del RGPD. Y, sin embargo, la mayoría de clínicas dentales en España siguen operando con medidas de seguridad diseñadas para otra época.
Esta guía responde con precisión qué medidas son obligatorias, cuáles son recomendadas por el INCIBE para el sector salud y qué cubría el programa Kit Digital, cuyas convocatorias han finalizado.
Por qué las clínicas dentales son objetivo preferente del cibercrimen
Los datos odontológicos combinan información sanitaria, financiera e identificativa en un único expediente. Según el informe State of Ransomware in Healthcare 2025 de Sophos, el sector sanitario fue el más atacado por ransomware en Europa durante 2024, con un tiempo medio de recuperación de 17 días y un coste promedio superior a los 1,6 millones de euros por incidente (sumando rescate, restauración y lucro cesante).
Las clínicas dentales presentan una superficie de ataque específica:
- Software de gestión de clínica con acceso a historiales, agenda y facturación, frecuentemente desactualizado o sin soporte activo.
- Equipos de radiología digital (OPG, TAC cone beam) que transmiten imágenes DICOM por la red local sin cifrado en muchos casos.
- Terminales de cobro y pasarelas de pago compartiendo la misma red que los equipos clínicos.
- Accesos remotos no controlados del personal de mantenimiento del software dental.
- Copias de seguridad almacenadas en el mismo disco local del servidor, invisibles para cualquier ataque de cifrado.
Marco normativo obligatorio para clínicas dentales en España
Antes de hablar de soluciones técnicas conviene conocer las obligaciones legales vigentes. No cumplirlas no es solo un riesgo de sanción: ante un incidente, la ausencia de medidas documentadas agrava la responsabilidad de la clínica.
RGPD y Ley Orgánica 3/2018 (LOPDGDD)
El tratamiento de datos de salud está sujeto al artículo 9 del RGPD, que exige base jurídica explícita (consentimiento expreso o relación asistencial) y medidas de seguridad técnicas y organizativas acordes con el riesgo. La AEPD, en su guía para el sector sanitario publicada en 2023, establece que las clínicas deben realizar una Evaluación de Impacto en Protección de Datos (EIPD) cuando el tratamiento sea sistemático a gran escala, y que deben disponer de un Registro de Actividades de Tratamiento (RAT) actualizado como obligación básica.
Transposición de NIS2 en España (anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, sin publicar)
La Directiva NIS2 está pendiente de transposición en España: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en el Consejo de Ministros en enero de 2025 y no se ha publicado en el BOE. La directiva incluye a los proveedores de asistencia sanitaria en su alcance. Mientras no se transponga, no crea obligaciones directas para la clínica; cuando la ley entre en vigor, las que superen los 50 empleados o 10 millones de euros de facturación tendrán obligaciones específicas de gestión de incidentes, entre ellas notificar los incidentes significativos en menos de 24 horas.
Código de Conducta del Consejo General de Dentistas
El Consejo General de Dentistas de España cuenta con un Código de Conducta en materia de Protección de Datos dirigido a sus colegiados. Su adopción no es obligatoria, pero proporciona una hoja de ruta de cumplimiento reconocida por el sector y puede usarse como demostración de diligencia ante la autoridad de control.
Medidas mínimas exigibles: qué debes tener ya implantado
La siguiente tabla resume las medidas técnicas y organizativas que el INCIBE y la AEPD consideran imprescindibles para una clínica dental con tratamiento de datos de salud, ordenadas por nivel de urgencia:
| Medida | Nivel de exigencia | Fundamento normativo | Estado más habitual en clínicas |
|---|---|---|---|
| Copias de seguridad cifradas y verificadas (regla 3-2-1) | Obligatorio | RGPD art. 32; guía AEPD seguridad sanitaria | Solo backup local, sin verificar |
| Antivirus/EDR gestionado en todos los equipos | Obligatorio | RGPD art. 32; INCIBE guía sector salud 2024 | Antivirus de consumo, sin gestión central |
| Parches y actualizaciones de software dental y SO | Obligatorio | RGPD art. 32; NIS2 art. 21 | Actualizaciones manuales o ignoradas |
| Segmentación de red (clínica / pacientes / administración) | Muy recomendado | INCIBE; Código Conducta CGD | Red plana única para todos los dispositivos |
| Autenticación multifactor (MFA) en accesos remotos y correo | Muy recomendado | NIS2 art. 21; INCIBE | Solo usuario y contraseña |
| Cifrado de historiales en reposo y en tránsito | Obligatorio (datos categoría especial) | RGPD art. 9 y 32 | Sin cifrado o solo HTTPS en web |
| Registro de actividades de tratamiento (RAT) | Obligatorio | RGPD art. 30; LOPDGDD arts. 48-49 | Inexistente o desactualizado |
| Protocolo de respuesta a incidentes y notificación a AEPD | Obligatorio | RGPD art. 33-34 | Sin protocolo documentado |
| Formación de personal en phishing y manipulación social | Muy recomendado | RGPD art. 32; Código Conducta CGD | Sin formación específica |
| Control de acceso basado en roles (quién ve qué expediente) | Obligatorio | RGPD principio de minimización; art. 32 | Acceso total a todos los empleados |
Vectores de ataque específicos del sector dental: los más frecuentes en 2025
El INCIBE publicó en su Balance de Ciberseguridad 2024 los principales vectores de incidente en el sector salud en España. Para clínicas dentales, los más relevantes son:
Ransomware a través del software de gestión dental
Los programas de gestión dental (Gesden, Clinicsoft, Denwix, entre otros) se comunican frecuentemente con servidores del fabricante para actualizaciones y soporte remoto. Si esa conexión no está controlada, cualquier vulnerabilidad no parcheada en el software o en el servidor del fabricante se convierte en una puerta de entrada. En 2024 se registraron varios incidentes en España en los que el vector inicial fue precisamente el cliente de actualización del software clínico.
Correo electrónico como vector de entrada (phishing y BEC)
El personal administrativo de la clínica recibe presupuestos, facturas y solicitudes de proveedores de material dental. Los ataques de Business Email Compromise (BEC) suplantan a proveedores conocidos para desviar pagos o instalar malware mediante adjuntos de Word o PDF con macros. Es el vector más sencillo y más utilizado porque no requiere vulnerabilidades técnicas: basta con que un empleado abra el archivo.
Dispositivos de imagen sin actualizar
Los equipos de radiología digital utilizan sistemas operativos embebidos que raramente reciben actualizaciones de seguridad. Muchos de estos dispositivos corren sobre Windows 7 o Windows XP en sistemas de imagen que el fabricante no ha migrado. Al estar conectados a la red local, actúan como pivote para moverse lateralmente hacia el servidor de historiales.
Kit Digital para ciberseguridad en clínicas dentales: convocatorias finalizadas
Las convocatorias del Programa Kit Digital han finalizado (Acelera Pyme). La Orden TDF/39/2026 solo modifica los arts. 4, 6.3 y 28.8 de las bases y no abre plazo para solicitudes nuevas. El programa, financiado con fondos Next Generation EU y gestionado por Red.es, incluye la categoría Ciberseguridad, que se paga a 125 € por dispositivo (Orden TDF/435/2024, tabla del art. 18.2). Para autónomos, microempresas y pequeñas empresas, los importes máximos son:
- Segmento I (10-49 empleados): hasta 6.000 € para la solución de ciberseguridad (48 dispositivos).
- Segmento II (3-9 empleados): hasta 1.125 € (9 dispositivos).
- Segmento III (0-2 empleados y autónomos): hasta 250 € (2 dispositivos).
La solución de ciberseguridad subvencionable bajo Kit Digital debe incluir, como mínimo: antimalware, antispyware, control de correo spam, navegación segura, análisis y detección de amenazas y monitorización de la red. La tabla del art. 18.2 fija 12 meses de prestación del servicio.
Si ya tienes un bono concedido, en nuestra página de ciberseguridad con ayudas para pymes explicamos qué incluye el servicio, desde el diagnóstico inicial hasta la justificación ante Red.es.
Requisitos que pedía el Kit Digital
Para acceder al Kit Digital, la clínica tenía que cumplir estos requisitos en el momento de la solicitud:
- Estar al corriente de pago con la Seguridad Social y la Agencia Tributaria.
- No haber recibido ayudas de minimis que superen los 300.000 € en los últimos tres ejercicios fiscales.
- Disponer de nivel básico de madurez digital según el test de autodiagnóstico de acelera.pyme.es.
- No estar en proceso concursal ni tener deudas pendientes con la Administración.
Kit Consulting: diagnóstico previo (convocatoria finalizada)
Complementario al Kit Digital, el programa Kit Consulting (también gestionado por Red.es) permitía contratar un diagnóstico con un Asesor Digital Adherido por importes de hasta 12.000 € (10-49 empleados), 18.000 € (50-99) o 24.000 € (100-249 empleados); su convocatoria también está finalizada. Ese diagnóstico podía incluir la evaluación de la postura de ciberseguridad de la clínica y el plan de adecuación al RGPD sanitario, para abordar la inversión con una hoja de ruta documentada antes de gastar.
Qué debe incluir un proyecto de ciberseguridad para una clínica dental
Un proyecto bien dimensionado para una clínica dental de entre 5 y 20 empleados tiene cuatro bloques diferenciados:
1. Diagnóstico y análisis de riesgos
Inventario de todos los activos que tratan datos de pacientes (software de gestión, equipos de imagen, terminales, correo), análisis de los riesgos reales —no teóricos— y clasificación por probabilidad e impacto. Sin este paso, cualquier inversión en herramientas puede ir en la dirección equivocada.
2. Protección técnica
Implantación de EDR (Endpoint Detection and Response) gestionado, configuración de firewall de nueva generación con inspección del tráfico saliente, segmentación de la red, MFA en el correo y accesos remotos, y cifrado de la base de datos de historiales. La protección técnica es la que cubre directamente los requisitos del Kit Digital.
3. Backup verificado y plan de recuperación
Las copias de seguridad deben seguir la regla 3-2-1: tres copias, en dos soportes diferentes, una fuera de la clínica (nube o ubicación alternativa). Y lo más importante: deben probarse periódicamente. Un backup que nunca se ha restaurado no existe. El plan de recuperación debe establecer el RTO (tiempo máximo de recuperación) y el RPO (pérdida máxima de datos tolerable) aceptables para la clínica.
4. Documentación legal y formación
RAT actualizado, contratos con encargados del tratamiento (el proveedor del software de gestión, el gestor de la nube, el servicio de mantenimiento informático), procedimiento de notificación de brechas a la AEPD en 72 horas y formación del personal en reconocimiento de phishing. Esta última parte es imprescindible: la gran mayoría de las brechas de datos en el sector sanitario incluyen el factor humano como elemento coadyuvante, según sucesivas ediciones del informe DBIR de Verizon.
Desde Summum Sistemas gestionamos proyectos de ciberseguridad con ayudas para clínicas del sector sanitario, también con bonos de Kit Digital ya concedidos, y nos coordinamos con el DPO cuando el proyecto requiere adecuación al RGPD sanitario, incluido el control horario del personal del centro.
Preguntas frecuentes
¿Una clínica dental con dos empleados está obligada a cumplir el RGPD de la misma forma que una gran clínica?
Sí, en cuanto al fondo de las obligaciones: el RGPD no establece umbrales mínimos de tamaño para las obligaciones de seguridad cuando se tratan datos de salud. Lo que sí varía es la proporcionalidad de las medidas: una clínica unipersonal no necesita un CISO a tiempo completo, pero sí debe tener copias de seguridad cifradas, accesos controlados, contratos firmados con sus proveedores tecnológicos y un procedimiento para notificar brechas a la AEPD. La AEPD tiene en cuenta el tamaño de la organización al valorar sanciones, pero no exime del cumplimiento básico.
¿El Kit Digital cubre el coste del DPO externo o solo las herramientas técnicas?
El Kit Digital en su categoría de Ciberseguridad financia exclusivamente soluciones tecnológicas (antimalware, monitorización, filtrado web, etc.), no los servicios de consultoría legal ni la figura del DPO. Para la consultoría de adecuación al RGPD, el instrumento era el Kit Consulting, que cubría servicios de asesoramiento con Asesores Digitales Adheridos y cuya convocatoria también está finalizada. Si tu clínica necesita también DPO externo, puedes consultarlo con el equipo de Summum Consultoría, que se ocupa de la parte legal y de protección de datos del sector sanitario.
¿Cuánto tiempo dura el proceso de implantación de ciberseguridad con Kit Digital?
Hoy ya no se pueden presentar solicitudes: las convocatorias del Kit Digital han finalizado. Con un bono ya concedido y el acuerdo firmado con el Agente Digitalizador, la implantación técnica en una clínica de tamaño habitual (5-15 equipos) se completa normalmente en dos a cuatro semanas. Después, el Agente Digitalizador presta el servicio durante los 12 meses que fija la tabla del art. 18.2 de la Orden TDF/435/2024.
¿Qué pasa si la clínica sufre un ataque antes de implantar las medidas?
La obligación de notificar a la AEPD una brecha de datos que afecte a datos de salud existe independientemente del estado de madurez en ciberseguridad de la clínica. El plazo es de 72 horas desde que se tiene conocimiento del incidente (RGPD art. 33). Si la brecha puede suponer un alto riesgo para los derechos de los pacientes, también hay que notificarles directamente a ellos (art. 34). La ausencia de medidas previas no exime de notificar; al contrario, es un agravante en la valoración de la infracción por parte de la AEPD. Lo más urgente tras detectar un incidente es contenerlo, documentarlo y notificarlo: el orden importa.