Porquê um action plan específico para a saúde
O setor da saúde é o mais visado por ciberataques na UE por razões que combinam elevado impacto (risco de vida direto), pressão máxima para pagamento de resgates e sistemas frequentemente desatualizados com equipamentos médicos que não suportam patches de segurança modernos.
O relatório ENISA Health Sector Threat Landscape documenta:
- 45% dos incidentes no setor são ransomware (vs. 81% para o cybercrime em geral).
- 28% envolvem violações de dados, incluindo registos de saúde eletrónicos (EHR).
Ataque ao Synnovis (NHS, jun 2024): O grupo Qilin atacou o Synnovis, fornecedor de análises clínicas de vários hospitais londrinos. Resultado: cancelamento de 1.134 operações e 2.194 consultas, suspensão de transfusões sanguíneas em King's College Hospital e Guy's Hospital. Demonstração extrema do impacto físico real dos ciberataques à saúde.
Principais ações do plano (Comunicação COM(2025) 10)
O plano é uma comunicação da Comissão, sem força vinculativa, e organiza ações de apoio escalonadas em 2025 e 2026 em quatro eixos: prevenção, deteção, resposta e recuperação, e dissuasão. Entre as ações previstas:
- Centro Europeu de Apoio à Cibersegurança para hospitais e prestadores de cuidados de saúde, na ENISA: orientação, ferramentas, serviços e formação específicos do setor.
- Cyber vouchers: apoio financeiro a hospitais e prestadores de menor dimensão para reforço das capacidades de cibersegurança.
- Serviço de alerta precoce à escala da UE: alertas quase em tempo real sobre ameaças potenciais ao setor da saúde.
- Rede europeia de CISOs de saúde e Health Cybersecurity Advisory Board: partilha de práticas e aconselhamento estratégico.
- Catálogo europeu de vulnerabilidades exploradas (KEV) para a saúde: abrangendo dispositivos médicos, sistemas de registos de saúde eletrónicos e fornecedores de TIC do setor, a manter pela ENISA.
- Exercícios e playbooks de resposta: exercícios de cibersegurança e guias de resposta a incidentes específicos do setor, coordenados pela ENISA com os Estados-Membros.
- Dissuasão: propostas para que os Estados-Membros adotem, a nível nacional, a comunicação de pagamentos de resgate e reforcem a cooperação com as autoridades policiais.
Implicações para Portugal: hospitais como entidades NIS2
O setor da saúde consta do Anexo I do DL 125/2025 (setores de alta criticidade). Nos termos do art. 6.º, as entidades deste setor que excedam os limiares de média empresa são entidades essenciais; as médias empresas são entidades importantes. No setor da saúde, a Diretiva e o DL abrangem, entre outros:
- Prestadores de cuidados de saúde, incluindo hospitais públicos e privados.
- Laboratórios de referência da UE.
- Entidades que exercem atividades de investigação e desenvolvimento de medicamentos.
- Fabricantes de produtos farmacêuticos de base e de preparações farmacêuticas.
- Fabricantes de dispositivos médicos considerados críticos durante uma emergência de saúde pública.
O plano europeu não altera estas obrigações, mas cria instrumentos de apoio de que os hospitais portugueses podem beneficiar:
- Acesso aos serviços do Centro Europeu de Apoio na ENISA e ao serviço de alerta precoce.
- Candidatura a cyber vouchers, quando disponíveis, para hospitais de menor dimensão.
- Participação na rede europeia de CISOs de saúde e nos exercícios setoriais.
Controlos prioritários para o setor de saúde
Referências à Diretiva NIS2 (art. 21.º, n.º 2) e ao DL 125/2025 (art. 27.º, que produz efeitos a 22 de junho de 2028 nos termos do art. 10.º, n.º 2).
| Controlo | Prioridade | Diretiva NIS2 | DL 125/2025 |
|---|---|---|---|
| EHR hardening (controlo de acessos, registos de auditoria, cifra) | Crítica | Art. 21.º n.º 2 alíneas h) e i) | Art. 27.º alíneas g) e h) |
| Isolamento de redes IoMT (dispositivos médicos conectados) | Crítica | Art. 21.º n.º 2 alínea a) | Art. 26.º |
| Backups imutáveis por hospital (3-2-1-1-0) | Crítica | Art. 21.º n.º 2 alínea c) | Art. 27.º alínea b) |
| Tabletop com cenários Qilin/ransomware saúde | Alta | Art. 21.º n.º 2 alínea b) | Art. 27.º alínea a) |
| MFA resistente a phishing em acesso a EHR/PACS | Alta | Art. 21.º n.º 2 alínea j) | Art. 27.º alínea i) |
| Avaliação de fornecedores críticos (PACS, LIMS) | Alta | Art. 21.º n.º 2 alínea d) | Art. 27.º alínea c) e art. 28.º |
Recurso disponível: A NIS2 Portugal disponibiliza um pacote de templates setoriais específico para saúde, incluindo checklist de conformidade, matriz de risco e plano de resposta a incidentes adaptados ao contexto hospitalar.