Resolución 1644 de 2026: qué exige en ciberseguridad a clínicas, IPS y EPS

La Resolución 1644 de 2026 del Ministerio de Salud y Protección Social, expedida el 31 de julio de 2026, es la norma que hoy regula la telesalud y la telemedicina en Colombia, y derogó la Resolución 2654 de 2019 (art. 44). Además de reglas clínicas, fija exigencias concretas de seguridad de la información para clínicas, IPS y EPS que atienden a distancia: confidencialidad, integridad y disponibilidad de los datos, trazabilidad, cifrado, control de acceso y protección de los datos de salud. La vigilancia la ejerce la Superintendencia Nacional de Salud (art. 42).

Nota de actualización (17 de octubre de 2026): una versión anterior de este artículo atribuía a la Superintendencia de Salud una «Resolución 2654» de ciberseguridad. La Resolución 2654 de 2019 era del Ministerio de Salud, regulaba la telesalud y fue derogada por la Resolución 1644 de 2026.

La Resolución 2654 de 2019, también del Ministerio de Salud, establecía las disposiciones para la telesalud y los parámetros de la telemedicina. La 1644 de 2026 la reemplaza desde su expedición (art. 44) y distingue entre las actividades de telesalud y la prestación de servicios en modalidad de telemedicina. Los prestadores que ya tenían servicios de telemedicina habilitados tienen doce meses para armonizar sus servicios con la nueva norma (art. 43), es decir, hasta finales de julio de 2027.

A los prestadores de servicios de salud del Sistema General de Seguridad Social en Salud que hacen telesalud o prestan servicios en modalidad de telemedicina, y en la práctica a los proveedores tecnológicos que les suministran plataformas. La norma deja la responsabilidad en el prestador: según el artículo 3.27, «el responsable del uso de las tecnologías suministradas por el proveedor será el prestador». Tercerizar la plataforma no traslada la responsabilidad.

La norma define la brecha de seguridad como un incidente grave de acceso no autorizado, fuga o divulgación de información sensible (art. 3.5) y exige identificar los riesgos de privacidad y confidencialidad e implementar salvaguardas específicas (art. 29.1). Los incidentes y eventos propios de la atención por telemedicina se incorporan al sistema de reporte del prestador y al Sistema de Información para la Calidad (art. 29.5). Si la brecha compromete datos personales, aplican además las obligaciones de la Ley 1581 de 2012, incluido el reporte de incidentes de seguridad ante la Superintendencia de Industria y Comercio.

Un hospital tiene una presión operativa que otras empresas no tienen: no puede esperar días mientras negocia con un atacante, porque hay pacientes en cirugía y en urgencias que dependen de sistemas que deben seguir funcionando. Esa urgencia lo convierte, desde la perspectiva de un atacante, en un blanco con mayor probabilidad de pago rápido. La telemedicina suma una superficie más: plataformas, dispositivos de los pacientes y proveedores conectados a la historia clínica.