Ir para o conteúdo principal

Saúde-ISAC Hacking Healthcare 8-3-2026

Logotipo da Hacking Healthcare com um mouse de computador, um ícone de chapéu de hacker e uma cruz médica.

Nesta semana, o Hacking Healthcare® da Health-ISAC® avalia os novos desenvolvimentos na implementação do Plano de Ação da União Europeia para melhorar a cibersegurança de hospitais e prestadores de serviços de saúde. Em particular, analisamos uma atualização recente da Agência Europeia para a Cibersegurança (ENISA), detalhando o progresso em alguns dos seus itens de ação. Por fim, concluímos esta semana examinando um novo relatório do governo dos EUA que ajuda a ilustrar o crescente fardo dos regimes de notificação de incidentes cibernéticos.

Como lembrete, esta é a versão pública do blog Hacking Healthcare. Para análise e opinião aprofundadas adicionais, torne-se um membro do H-ISAC e receba a versão TLP Amber deste blog (disponível no Portal do Membro).

 

Versão em PDF:

 

Versão de texto:

Bem-vindo de volta ao Hacking Healthcare® !

Atualização do Plano de Ação de Saúde da União Europeia

Em janeiro de 2025, a Comissão Europeia apresentou um plano de ação para reforçar a cibersegurança de hospitais e prestadores de cuidados de saúde. [i] A iniciativa foi descrita como um “passo importante” para melhor proteger o setor da saúde e criar um ambiente mais seguro tanto para os pacientes como para os profissionais de saúde, numa altura em que os ciberataques estavam a aumentar significativamente nos Estados-Membros. [ii] Na semana passada, a Agência da União Europeia para a Cibersegurança (ENISA) publicou um artigo de notícias detalhando os seus “primeiros passos” para a implementação do plano de ação.

Qual era a tarefa atribuída à ENISA?

O próprio Plano de Ação era um documento de 23 páginas que delineava uma série de áreas temáticas onde deveriam ser tomadas medidas. [iii] Essas áreas temáticas incluíam cooperação público-privada, dissuasão, força de trabalho e cadeias de abastecimento, entre outras. Nessas secções, constavam diversas ações propostas que teriam de ser implementadas pela própria Comissão Europeia, pela ENISA, pelos governos dos Estados-Membros europeus e por vários elementos do setor privado.

Especificamente para a ENISA, o plano previa ações como:

  • A criação de um Centro Europeu de Apoio à Cibersegurança dedicado a hospitais e prestadores de cuidados de saúde, que irá desenvolver progressivamente um catálogo de serviços abrangente.
  • Criação de um catálogo europeu de vulnerabilidades exploradas conhecidas (KEV, na sigla em inglês) para dispositivos médicos, sistemas de registros eletrônicos de saúde e fornecedores de equipamentos e softwares de TIC na área da saúde.
  • Desenvolvimento de manuais de resposta a incidentes cibernéticos adaptados ao setor da saúde.
  • O desenvolvimento de uma Rede Europeia de CISOs da Área da Saúde.
  • O desenvolvimento de diretrizes sobre as práticas de cibersegurança mais críticas.

Os membros devem consultar o Plano de Ação para obter a lista completa das ações propostas nas quais a ENISA estaria envolvida.

O que a ENISA anunciou recentemente? 

Em 22 de julho, a ENISA publicou um artigo intitulado “Primeiros passos para a implementação do Plano de Ação de Saúde”. [iv] Nele, a ENISA forneceu uma atualização sobre duas das ações descritas no Plano de Ação.

  • Centro Europeu de Apoio à Cibersegurança – Fundamental para muitas das ações propostas no âmbito do Plano de Ação é o Centro Europeu de Apoio à Cibersegurança, que seria sediado na ENISA. Conforme descrito pela ENISA, este Centro seria um “mecanismo para fornecer orientações, ferramentas e serviços personalizados aos prestadores de cuidados de saúde em toda a Europa”.[V]

    De acordo com o artigo da ENISA, o desenvolvimento mais recente nesta frente é um Acordo de Contribuição de seis milhões de euros que foi assinado entre a ENISA e a Comissão Europeia. [vi] O acordo de contribuição tem a duração de três anos e o seu principal objetivo é impulsionar a implementação do catálogo de serviços.

    Especificamente, o artigo observa que o acordo apoiará ações como “criar e aprimorar abordagens harmonizadas” e “reestruturar e expandir a oferta e a arquitetura de serviços atuais para fortalecer a ação e promover resultados”. [vii]

  • Diretrizes de Compras – A atualização mais imediatamente tangível fornecida pela ENISA foi a publicação de diretrizes de aquisição para a segurança cibernética de hospitais e prestadores de serviços de saúde.[Viii] A ENISA descreve este documento como "destinado a ajudar hospitais e prestadores de serviços de saúde a integrar objetivos de cibersegurança em seus processos de aquisição. Abrangendo todas as fases do ciclo de vida da aquisição, ele oferece orientações práticas para abordar os riscos de cibersegurança de forma abrangente."[Ix]

    Com 69 páginas, o documento está dividido em seções sobre o ciclo de vida da aquisição, orientações de implementação, três cenários de uso com nível moderado de detalhamento, dois anexos que abrangem os tipos de aquisição na área da saúde e mais de 20 páginas sobre listas de verificação e priorização. A ENISA esclarece que “as diretrizes estabelecem requisitos claros de cibersegurança, especificam as informações necessárias que os fornecedores devem fornecer e estão alinhadas com as estruturas regulatórias relevantes, como a Diretiva NIS2, os regulamentos de dispositivos médicos, o Regulamento Geral de Proteção de Dados e o Regulamento Europeu do Espaço de Dados de Saúde”. [x]

Para aqueles que buscam mais informações da ENISA sobre o progresso do Plano de Ação para a Saúde, os próximos passos e mais detalhes sobre as novas diretrizes de aquisição, espera-se que todos esses assuntos sejam abordados na 11ª Conferência de Segurança em Saúde Eletrônica da ENISA, em 7 de outubro.

Relatório do GAO sobre Requisitos Duplicados de Relatórios Cibernéticos   

Passando para os Estados Unidos, um novo relatório governamental do Escritório de Responsabilidade Governamental (GAO) ajudou a destacar as ineficiências dos atuais regimes de relatórios cibernéticos por meio de requisitos duplicados e o ônus de relatórios que isso impõe às organizações que operam na jurisdição dos Estados Unidos. [xi]

Qual é o relatório?

Como parte de uma solicitação do Congresso, o GAO “conduziu uma série de revisões dos regulamentos federais de segurança cibernética para determinar seu impacto na indústria”. [xii] Enquanto as revisões anteriores se concentraram nas perspectivas da indústria sobre o assunto, este relatório de 36 páginas se concentrou na avaliação dos “regulamentos federais de segurança cibernética para identificar oportunidades de harmonização regulatória” e buscou “[determinar] até que ponto os regulamentos e requisitos federais de segurança cibernética são potencialmente duplicados ou conflitantes para entidades regulamentadas do setor privado”. [xiii]

Descobertas

Os destaques dos relatórios do GAO incluem: [xiv]

  • Existem mais de cem regulamentações federais de segurança cibernética, e a maioria delas exige a apresentação de relatórios.
  • A maioria dessas regulamentações contém o mesmo tipo de exigência de relatório aplicável a um setor ou a mesma exigência de relatório que pelo menos uma outra regulamentação.
  • Das 117 regulamentações de cibersegurança identificadas, 80 apresentavam pelo menos um ou mais dos três tipos de requisitos de reporte a seguir, que exigiam que entidades privadas reportassem proativamente:
    • 1) Incidentes de cibersegurança, 2) planos de cibersegurança ou informações técnicas, 3) revisões/auditorias/avaliações.
  • Entidades do setor privado podem enfrentar requisitos de reporte desalinhados entre várias agências, e essas entidades podem enfrentar requisitos conflitantes.
  • No setor de saúde e saúde pública, o GAO identificou um total de 17 regulamentações que exigiam alguma combinação de relatórios de incidentes de segurança cibernética, planos de segurança cibernética ou outros relatórios de informações técnicas, ou relatórios de revisão/auditoria/avaliação.
  • Os esforços do Poder Executivo para harmonizar as regulamentações têm apresentado resultados limitados.

O relatório surge antes da publicação prevista da versão final da Lei de Relatórios de Incidentes Cibernéticos para Infraestruturas Críticas (CIRCIA, na sigla em inglês), que criará requisitos de relatórios de segurança cibernética e pagamento de resgates em todos os setores de infraestrutura crítica.

 

Ação e Análise
**Incluído na Associação Health-ISAC**

 

[i] https://digital-strategy.ec.europa.eu/en/library/european-action-plan-cybersecurity-hospitals-and-healthcare-providers

[ii] https://digital-strategy.ec.europa.eu/en/news/commission-unveils-action-plan-protect-health-sector-cyberattacks

[iii] https://digital-strategy.ec.europa.eu/en/library/european-action-plan-cybersecurity-hospitals-and-healthcare-providers

[iv] https://www.enisa.europa.eu/news/first-steps-forward-for-the-implementation-of-the-health-action-plan

[v] https://www.enisa.europa.eu/news/first-steps-forward-for-the-implementation-of-the-health-action-plan

[vi] https://www.enisa.europa.eu/news/first-steps-forward-for-the-implementation-of-the-health-action-plan

[vii] https://www.enisa.europa.eu/news/first-steps-forward-for-the-implementation-of-the-health-action-plan

[viii] https://www.enisa.europa.eu/publications/procurement-guidelines-for-the-cybersecurity-of-hospitals-and-healthcare-providers

[ix] https://www.enisa.europa.eu/publications/procurement-guidelines-for-the-cybersecurity-of-hospitals-and-healthcare-providers

[x] https://www.enisa.europa.eu/publications/procurement-guidelines-for-the-cybersecurity-of-hospitals-and-healthcare-providers

[xi] https://www.gao.gov/assets/gao-26-108606.pdf

[xii] https://www.gao.gov/assets/gao-26-108606.pdf

[xiii] https://www.gao.gov/assets/gao-26-108606.pdf

[xiv] Encorajamos os interessados ​​no relatório a analisá-lo na íntegra para obterem o contexto completo. Em particular, as duas páginas que descrevem o âmbito e a metodologia para melhor compreenderem as classificações utilizadas e como foram identificadas as regulamentações de cibersegurança.

[xv] https://health-isac.org/health-isac-hacking-healthcare-1-24-2025/

[xvi] O Health-ISAC não é afiliado ao EH ISAC, mas mantém um acordo formal de colaboração com eles.

Boletim informativo mensal da Health-ISAC – Agosto de 2026
Pesquisa da Health-ISAC revela que a recuperação é o elo mais fraco na maturidade cibernética.