El 15 de enero de 2026 se publicó en el Diario Oficial de la Federación el decreto que reforma la Ley General de Salud y añade el Capítulo VI Bis, Salud Digital. Desde entonces, la salud digital dejó de ser una decisión de negocio y se convirtió en una obligación normativa para hospitales, clínicas, laboratorios y sus proveedores tecnológicos.
Qué incorporó la reforma en salud digital
El decreto entró en vigor el 16 de enero de 2026 e incorporó la salud digital como materia de salubridad general. En concreto, la ley ahora define y regula de manera expresa la telesalud, la telemedicina, la salud móvil, los registros médicos o de salud en formato electrónico y los dispositivos portátiles.
Aunque la cobertura mediática se concentró en la prohibición de vapeadores, la reforma tocó áreas mucho más relevantes para la industria: abasto y compras públicas, salud digital, células troncales, regulación de medicamentos, investigación clínica y donación de sangre y plasma.
Las finalidades que fija la ley
El texto define para qué se emplean estas herramientas de salud digital: facilitar servicios a distancia, ampliar cobertura donde el acceso está limitado por barreras geográficas o de infraestructura, optimizar recursos humanos y tecnológicos, y dar apoyo clínico mediante interconsultas.
También reconoce el uso de datos masivos como finalidad para soporte clínico y para gestión de servicios, y ordena la digitalización de información médica y su intercambio seguro.
La telemedicina ya no es sólo una videollamada
La telesalud se describe como prestación de servicios de salud a distancia centrados en la persona, e incluye orientación médica, atención, educación e investigación.
El cambio principal es que la prestación a distancia queda sujeta a condiciones mínimas. Por eso, la reforma exige personal designado y capacitado, sistemas seguros y confiables, y consentimiento informado que garantice comprensión y voluntariedad en la atención digital.
En términos operativos, la atención remota debe dejar evidencia y trazabilidad dentro de los sistemas usados. Además, el registro no es un detalle administrativo: funciona como soporte clínico, como base de continuidad de atención y como elemento de control ante auditorías, quejas o verificaciones.
El piso mínimo de la salud digital mientras llega la regulación secundaria
La legislación secundaria está pendiente. Mientras tanto, las normas oficiales vigentes son el piso mínimo exigible a cualquier proveedor.
La NOM-004-SSA3-2012 establece los criterios científicos, éticos, tecnológicos y administrativos obligatorios en la elaboración, integración, uso, manejo, archivo, conservación, propiedad, titularidad y confidencialidad del expediente clínico. Es de observancia obligatoria para el personal del área de la salud y los establecimientos prestadores de servicios de atención médica de los sectores público, social y privado, incluidos los consultorios.
Asimismo, la NOM-024-SSA3-2012 establece los lineamientos para los sistemas de información de registro electrónico para la salud, con foco en uso seguro, interoperable y actualizado.
Especialistas han advertido que buena parte de los registros electrónicos de salud que operan en el país incumple la NOM-024, lo que multiplica los riesgos para la seguridad clínica y la información personal, además de impedir la estandarización en el intercambio de información.
El punto que afecta directamente a la industria
Aquí conviene ser cuidadoso con la lectura, porque circula información imprecisa.
El texto de la reforma obliga expresamente a las instituciones públicas a evaluar su infraestructura tecnológica, capacitar al personal, integrar e interoperar sus sistemas de telesalud, medir su desempeño y proteger los datos. En consecuencia, la reforma eleva el estándar de interoperabilidad, ciberseguridad y gobernanza de datos en materia de salud digital, aun cuando está pendiente de emitirse legislación secundaria.
Para el sector privado, la exigibilidad concreta de varias de estas obligaciones dependerá de la regulación secundaria que se emita. Lo que sí es exigible hoy, y ya lo era antes, es el cumplimiento de la NOM-004 y la NOM-024 para quien opere expediente clínico electrónico, y el cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en el tratamiento de datos de salud.
Por lo tanto, la recomendación práctica no cambia por esa distinción: quien opere sistemas clínicos sin cumplir NOM-024 tiene exposición hoy, no en 2027.
El eslabón olvidado: los contratos con proveedores tecnológicos
Este es el punto ciego más caro.
La reforma exige interoperabilidad, seguridad de la información y documentación adecuada. Es decir, los datos clínicos pasan de ser archivos aislados a un activo que debe gestionarse con controles legales, técnicos y operativos.
Los riesgos que se materializan una y otra vez son tres: consentimientos incompletos en telemedicina, accesos no controlados a expedientes electrónicos y proveedores tecnológicos sin contratos adecuados.
Ese tercero es el que produce sorpresas. Por ejemplo, una organización de salud contrata una plataforma, un servicio de nube, un desarrollador externo o un servicio de transcripción. Ese proveedor trata datos personales sensibles. Si no existe un contrato con el proveedor que delimite roles de responsable y encargado, defina finalidades, imponga medidas de seguridad y regule la devolución o supresión de datos al terminar, la exposición es de quien contrata.
Qué debe tener el contrato con un proveedor que toca datos clínicos
- Delimitación expresa de los roles de responsable y encargado conforme a la ley vigente.
- Finalidades autorizadas y prohibición de tratamiento para fines propios del proveedor.
- Anexo de seguridad con medidas técnicas, administrativas y físicas.
- Obligación de notificar incidentes de seguridad en plazo definido.
- Reglas de subcontratación y responsabilidad por subencargados.
- Devolución o supresión verificable al terminar la relación.
- Derecho de auditoría.
El checklist mínimo de cumplimiento en salud digital
- Mapa de datos clínicos: qué datos, dónde viven, quién accede.
- Políticas de acceso y bitácoras de consulta.
- Contratos y anexos de seguridad con todos los proveedores que tocan datos.
- Consentimiento informado específico para atención digital.
- Plan de respuesta a incidentes.
Cómo lo resuelve ZERO
ZERO CLM administra el ciclo completo de los contratos con proveedores tecnológicos, incluyendo anexos de seguridad y convenios de encargo, con control de versiones y alertas de renovación. Cuando salga la regulación secundaria y haya que actualizar cláusulas, sabrás exactamente qué contratos tocar y quién quedó bajo qué versión.
ZIGN firma con validez NOM-151 y sello de tiempo emitido por un PSC acreditado ante la Secretaría de Economía, tanto los contratos con proveedores como los consentimientos informados que requieren evidencia de cuándo se otorgaron. Z-ID y Z-KYC verifican identidad con prueba de vida, lo que resuelve la identificación del paciente o del profesional en entornos remotos. Z-KYB valida a los proveedores antes de darles acceso.
ZERO también ofrece consultoría en protección de datos personales, que es el complemento natural del mapa de datos clínicos.
La ley reconoció la salud digital. El expediente sigue siendo el que responde.
Preguntas frecuentes sobre salud digital
¿Qué es el Capítulo VI Bis de la Ley General de Salud?
Es el capítulo incorporado por el decreto del 15 de enero de 2026 que regula la salud digital, incluyendo telesalud, telemedicina, salud móvil, registros médicos electrónicos y dispositivos portátiles como materia de salubridad general.
¿La telemedicina tiene la misma validez que una consulta presencial?
La reforma reconoce la atención a distancia dentro del marco sanitario, sujeta a condiciones mínimas: personal designado y capacitado, sistemas seguros y confiables, y consentimiento informado que garantice comprensión y voluntariedad.
¿Qué normas aplican al expediente clínico electrónico?
La NOM-004-SSA3-2012 sobre expediente clínico y la NOM-024-SSA3-2012 sobre sistemas de información de registro electrónico para la salud, ambas de observancia obligatoria para los sectores público, social y privado.
¿Necesito contrato con mi proveedor de software clínico?
Sí. Cuando un proveedor trata datos personales sensibles es indispensable delimitar los roles de responsable y encargado, las finalidades, las medidas de seguridad y las reglas de devolución o supresión de datos.
Marcar este bloque con FAQPage schema (JSON-LD) al publicar.
| Convierte contratos en control ZERO integra gestión contractual, firma con validez NOM-151, validación de identidad y verificación de empresas en una sola plataforma. Agendar demo zeroclm.com/agenda-tu-demo/ |
Fuentes: Decreto DOF 15/01/2026 (reforma a la Ley General de Salud, Capítulo VI Bis) · NOM-004-SSA3-2012 · NOM-024-SSA3-2012 · Ley Federal de Protección de Datos Personales en Posesión de los Particulares