Aprueban el Documento Técnico: Lineamientos de Política de Seguridad de la Información y Ciberseguridad del Ministerio de Salud
RESOLUCIÓN MINISTERIAL
Nº 763-2026/MINSA
Lima, 31 de agosto del 2026
Visto, el Expediente Nº SEG20250000050, que contiene el Informe Nº D000029-2025-SEG-MINSA, el Informe Nº D000051-2025-SEG-MINSA, el Informe Nº D000013-2026-SEG-MINSA, el Informe Nº D000021-2026-SEG-MINSA, y el Memorándum Nº D002733-2026-OGTI-MINSA de la Oficina General de Tecnologías de la Información; el Informe Nº D000009-2025-DGOS-DIMON-YNC-MINSA de la Dirección General de Operaciones en Salud; el Informe Nº D001390-2025-DIGDOT-DIBAN-MINSA de la Dirección General de Donaciones, Trasplante y Banco de Sangre; el Memorándum Nº D001631-2025-DIGEP-MINSA de la Dirección General de Personal de la Salud; el Memorándum Nº D000772-2025-DGAIN-MINSA de la Dirección General de Aseguramiento e Intercambio Prestacional, el Memorándum Nº D003593-2025-DIGEMID-MINSA de la Dirección General de Medicamentos Insumos y Drogas; el Memorándum Nº D004664-2025-DIGTEL-MINSA de la Dirección General de Telesalud, Referencia y Urgencias; el Informe Nº 0002-2026-GFMRA de la Dirección General de Gestión de Riesgo de Desastres y Defensa Nacional en Salud; el Informe Nº D000116-2025-DIGESA-EA-US-MINSA de la Dirección General de Salud Ambiental e Inocuidad Alimentaria; el Informe Nº D000554-2025-OGC-OIP-MINSA y el Informe Nº D000445-2025-OGC-OIP-MINSA de la Oficina General de Comunicaciones, el Memorándum Nº D003138-2025-OGA-MINSA de la Oficina General de Administración; el Informe Nº D000091-2025-OGDESC-APC-MINSA de la Oficina General de Gestión Descentralizada; el Informe Nº D000005-2026-CDC-UTI-JCT-MINSA del Centro Nacional de Epidemiología, Prevención y Control de Enfermedades; el Memorándum Nº D003525-2025-OGGRH-MINSA de la Oficina General de Gestión de Recursos Humanos; el Informe Nº D000219-2025-OGPPM-OOM-MINSA e Informe Nº D000221-2025-OGPPM-OPEE-MINSA de la Oficina General de Planeamiento, Presupuesto y Modernización; así como, el Informe Nº D000809-2026-OGAJ-MINSA de la Oficina General de Asesoría Jurídica;
CONSIDERANDO:
Que, los numerales I, II y VI del Título Preliminar de la Ley Nº 26842, Ley General de Salud, disponen que la salud es condición indispensable del desarrollo humano y medio fundamental para alcanzar el bienestar individual y colectivo, y que la protección de la salud es de interés público, siendo responsabilidad del Estado regularla, vigilarla y promoverla. Asimismo, dispone que es de interés público la provisión de servicios de salud, cualquiera sea la persona o institución que los provea, siendo responsabilidad del Estado promover las condiciones que garanticen una adecuada cobertura de prestaciones de salud a la población, en términos socialmente aceptables de seguridad, oportunidad y calidad;
Que, el numeral XIV del Título Preliminar de la Ley Nº 26842, Ley General de Salud, establece que la información en salud es de interés público y que toda persona está obligada a proporcionar a la Autoridad de Salud la información que le sea exigible de acuerdo a ley. La información que el Estado tiene en su poder es de dominio público, con las excepciones que establece la ley;
Que, asimismo, el artículo 123 de la Ley Nº 26842, modificado por la Única Disposición Complementaria Modificatoria del Decreto Legislativo Nº 1161, Ley de Organización y Funciones del Ministerio de Salud, precisa que el Ministerio de Salud es la Autoridad de Salud de nivel nacional. Como Organismo del Poder Ejecutivo, tiene a su cargo la formulación, dirección y gestión de la política de salud y actúa como la máxima autoridad normativa en materia de salud;
Que, el numeral 9) del artículo 3 del Decreto Legislativo Nº 1161, Ley de Organización y Funciones del Ministerio de Salud, señala que el Ministerio de Salud tiene como ámbito de competencias a la Investigación y tecnologías en salud;
Que, el artículo 4 del Decreto Legislativo Nº 1161, Ley de Organización y Funciones del Ministerio de Salud y sus modificatorias, establece que el Sector Salud está conformado por el Ministerio de Salud, como organismo rector, las entidades adscritas a él y aquellas instituciones públicas y privadas de nivel nacional, regional y local, y las personas naturales que realizan actividades vinculadas a las competencias establecidas en dicha Ley, y que tienen impacto directo o indirecto en la salud, individual o colectiva;
Que, los sub numerales 4-A1 y 4-A2 del artículo 4 del antes citado Decreto Legislativo, modificado por el Decreto Legislativo Nº 1504, Decreto Legislativo que fortalece al Instituto Nacional de Salud para la prevención y control de las enfermedades, refiere que, la potestad rectora del Ministerio de Salud comprende la facultad que tiene para normar, supervisar, fiscalizar y, cuando corresponda, sancionar, en los ámbitos que comprenden la materia de salud. La rectoría en materia de salud dentro del sector la ejerce el Ministerio de Salud por cuenta propia o, por delegación expresa, a través de sus organismos públicos adscritos y, dentro del marco y los límites establecidos en la dicha Ley, la Ley Orgánica del Poder Ejecutivo, las normas sustantivas que regulan la actividad sectorial y, las normas que rigen el proceso de descentralización; Asimismo, el Ministerio de Salud, ente rector del Sistema Nacional de Salud, y dentro del ámbito de sus competencias, determina la política, regula y supervisa la prestación de los servicios de salud, a nivel nacional, en las siguientes instituciones: Essalud, Sanidad de la Policía Nacional del Perú, Sanidad de las Fuerzas Armadas, instituciones de salud del gobierno nacional y de los gobiernos regionales y locales, y demás instituciones públicas, privadas y público-privadas.
Que, el literal h) del artículo 5 del precitado Decreto Legislativo, establece como una de las funciones rectoras del Ministerio de Salud, dictar normas y lineamientos técnicos para la adecuada ejecución y supervisión de la política nacional y políticas sectoriales de salud, la gestión de los recursos del sector, así como para el otorgamiento y reconocimiento de derechos, fiscalización, sanción y ejecución coactiva en las materias de su competencia;
Que, los artículos 1, 3 y 9 de la Ley Nº 29733, Ley de Protección de Datos Personales, establecen que la Ley tiene el objeto de garantizar el derecho fundamental a la protección de los datos personales, previsto en el artículo 2 numeral 6 de la Constitución Política del Perú, a través de su tratamiento adecuado, en un marco de respeto de los demás derechos fundamentales que en ella se reconocen; que la Ley es de aplicación a los datos personales contenidos o destinados a ser contenidos en bancos de datos personales de administración pública y de administración privada, cuyo tratamiento se realiza en el territorio nacional. Siendo objeto de especial protección los datos sensibles, datos personales constituidos por los datos biométricos que por sí mismos pueden identificar al titular; datos referidos al origen racial y étnico; ingresos económicos; opiniones o convicciones políticas, religiosas, filosóficas o morales; afiliación sindical; e información relacionada a la salud o a la vida sexual; precisando además que, el titular del banco de datos personales y el encargado de su tratamiento deben adoptar las medidas técnicas, organizativas y legales necesarias para garantizar la seguridad de los datos personales. Las medidas de seguridad deben ser preparadas y acordes con el tratamiento que se vaya a efectuar y con la categoría de datos personales que se trate;
Que, mediante Decreto de Urgencia Nº 006-2020, se aprueba el Decreto de Urgencia que crea el Sistema Nacional de Transformación Digital, cuyo numeral 4) del artículo 5 establece que el referido sistema tiene como finalidad fortalecer el acceso y la inclusión a las tecnologías digitales en el país y la confianza digital fomentando la seguridad, transparencia, protección de datos personales y gestión ética de las tecnologías en el entorno digital para la sostenibilidad, prosperidad, bienestar social y económico del país;
Que, mediante Decreto de Urgencia Nº 007-2020, se emite el Decreto de Urgencia que aprueba el Marco de Confianza Digital y dispone medidas para su fortalecimiento, el cual, en el artículo 1, señala que tiene por objeto establecer las medidas que resultan necesarias para garantizar la confianza de las personas en su interacción con los servicios digitales prestados por entidades públicas y organizaciones del sector privado en el territorio nacional. De esta manera, el literal e) del artículo 3 del precitado Decreto de Urgencia define al incidente de seguridad digital como aquel evento o serie de eventos que pueden comprometer la confianza, la prosperidad económica, la protección de las personas y sus datos personales, la información, entre otros activos de la organización, a través de tecnologías digitales;
Que, el artículo 1 del Decreto Legislativo Nº 1412, “Decreto Legislativo que aprueba la Ley de Gobierno Digital”, establece el marco de gobernanza del gobierno digital para la adecuada gestión de la identidad digital, servicios digitales, arquitectura digital, interoperabilidad, seguridad digital y datos, así como el régimen jurídico aplicable al uso transversal de tecnologías digitales en la digitalización de procesos y prestación de servicios digitales por parte de las entidades de la Administración Pública, en los tres niveles de gobierno;
Que, asimismo el artículo 30 del precitado Decreto Legislativo define la Seguridad Digital como el estado de confianza en el entorno digital que resulta de la gestión y aplicación de un conjunto de medidas proactivas y reactivas frente a los riesgos que afectan la seguridad de las personas, la prosperidad económica y social, la seguridad nacional y los objetivos nacionales en dicho entorno. Se sustenta en la articulación con actores del sector público, sector privado y otros quienes apoyan en la implementación de controles, acciones y medidas;
Que, el numeral 94.2 del artículo 94 del Decreto Supremo Nº 029-2021-PCM, que aprueba el Reglamento del Decreto Legislativo Nº 1412, establece que el Marco de Seguridad Digital del Estado Peruano integra aquellas normas que conforman los ámbitos de defensa, inteligencia, justicia e institucional, establecidos en el artículo 32 de la Ley y se articula y sustenta en la normas, procesos, roles, responsabilidades y mecanismos regulados e implementados a nivel nacional en materia de Seguridad de la Información. La seguridad digital es un ámbito del Marco de Confianza Digital establecido en el Decreto de Urgencia Nº 007-2020, Decreto de Urgencia que aprueba el Marco de Confianza Digital y dispone medidas para su fortalecimiento;
Que, la Resolución Directoral Nº 022-2022-INACAL/DN, aprueba entre otras, la Norma Técnica Peruana NTP-ISO/IEC ISO 27001:2022 de Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. Requisitos. 3ra Edición, que Reemplaza a la NTP-ISO/IEC 27001:2014, la cual tiene como objeto especificar los requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de seguridad de la información dentro del contexto de la organización;
Que, la Norma Técnica Peruana NTP-ISO/IEC ISO 27001:2022, en su numeral 5.2, establece que la alta dirección debe establecer una política de seguridad de la información que sea apropiada al propósito de la organización, que incluya objetivos de seguridad de la información o proporcione el marco de referencia para fijar los objetivos de seguridad de la información, así como que incluya el compromiso de satisfacer los requisitos aplicables relacionados a la seguridad de la información; y, el compromiso de mejora continua del sistema de gestión de seguridad de la información. Del mismo modo, establece que la política de seguridad de la información debe estar disponible como información documentada, ser comunicada dentro de la organización; y, estar disponible a las partes interesadas, según corresponda;
Que, el numeral 4.1 del artículo 4 de la Resolución de Secretaría de Gobierno y Transformación Digital Nº 003-2023-PCM/SGTD, que establece la implementación y mantenimiento del sistema de gestión de seguridad de la información en las entidades públicas, dispone que, el Titular de la entidad pública es responsable de la implementación del Sistema de Gestión de Seguridad de la Información (SGSI), para lo cual, como mínimo, debe aprobar las políticas y objetivos para implementar, operar, mantener y mejorar el referido sistema;
Que, el artículo 52 del Reglamento de Organización y Funciones del Ministerio de Salud, aprobado por Decreto Supremo Nº 008-2017-SA y modificatorias, establece que la Oficina General de Tecnologías de la Información es el órgano de apoyo del Ministerio de Salud, responsable de implementar el gobierno electrónico; planificar, implementar y gestionar los sistemas de información del Ministerio; administrar la información estadística y científica en salud del Sector Salud; realizar la innovación y el desarrollo tecnológico, así como del soporte de los equipos informáticos del Ministerio de Salud. Asimismo, es responsable de establecer soluciones tecnológicas, sus especificaciones, estándares; diseñar, desarrollar y mejorar las plataformas informáticas de información en el Sector Salud. Asimismo, establece requerimientos técnicos para la adquisición, aplicación, mantenimiento y uso de soluciones tecnológicas, en el ámbito de competencia del Ministerio de Salud;
Que, asimismo, los literales a) y c) del artículo 53 del Decreto Supremo Nº 008-2017-SA y modificatorias, establecen que son funciones de la Oficina General de Tecnologías de la información, proponer y supervisar la implementación de políticas, normas, lineamientos, planes, estrategias, programas y proyectos en materia de desarrollo de tecnologías de la información, estadística y gestión de la información; gobierno electrónico y su operatividad; así como políticas de seguridad de tecnologías de la información y comunicación del Ministerio de Salud, para asegurar la integridad, confidencialidad y disponibilidad de la misma en el marco de la normativa vigente. De igual forma, promover el desarrollo tecnológico de la información y comunicación para servicios y trámites de calidad de los ciudadanos;
Que, la Resolución Ministerial Nº 431-2015-MINSA, que aprueba el Documento Técnico “Política de Seguridad de la Información del Ministerio de Salud – MINSA”, fue formulada en cumplimiento de los parámetros de la Norma Técnica Peruana ISO/IEC 27001:2014 Tecnología de la Información. Técnicas de Seguridad. Sistemas de Gestión de Seguridad de la Información. Requisitos 2da edición. Por lo que, en atención a los cambios normativos emitidos, a la fecha, referidos a la gestión de seguridad de la información, se hace necesaria la derogación del referido documento técnico;
Que, en dicho contexto, la Oficina General de Tecnologías de la Información en el marco de sus funciones de conformidad con lo dispuesto en el Reglamento de Organización y Funciones del Ministerio de Salud, ha elaborado el Documento Técnico: Lineamientos de Política de Seguridad de la Información y Ciberseguridad del Ministerio de Salud, con la finalidad de contribuir con la protección de los activos de información del Ministerio de Salud, garantizando su confidencialidad, integridad y disponibilidad, para acelerar la transformación digital del sector salud; en concordancia con los principios en materia de gobierno digital, protección de datos personales y transformación digital del sector salud; tomando como base, la normativa vigente, en materia de seguridad y confianza digital;
Con el visado de la Oficina General de Tecnologías de la Información; de la Dirección General de Operaciones en Salud; de la Dirección General de Donaciones, Trasplante y Banco de Sangre; de la Dirección General de Personal de la Salud; de la Dirección General de Aseguramiento e Intercambio Prestacional, de la Dirección General de Medicamentos Insumos y Drogas; de la Dirección General de Telesalud, Referencia y Urgencias; de la Dirección General de Gestión de Riesgo de Desastres y Defensa Nacional en Salud; de la Dirección General de Salud Ambiental e Inocuidad Alimentaria; de la Oficina General de Administración; de la Oficina General de Comunicaciones; de la Oficina General de Gestión Descentralizada;; del Centro Nacional de Epidemiología, Prevención y Control de Enfermedades; de la Oficina General de Gestión de Recursos Humanos; de la Oficina General de Planeamiento, Presupuesto y Modernización; de la Oficina General de Asesoría Jurídica; de la Secretaría General; del Despacho Viceministerial de Salud Pública; y del Despacho Viceministerial de Prestaciones y Aseguramiento en Salud;
De conformidad con lo dispuesto en la Ley Nº 29733, Ley de Protección de Datos Personales; el Decreto de Urgencia Nº 006-2020, Decreto de Urgencia que crea el Sistema Nacional de Transformación Digital, Decreto de Urgencia Nº 007-2020, Decreto de Urgencia que aprueba el Marco de Confianza Digital y dispone medidas para su fortalecimiento; el Decreto Legislativo Nº 1412, Decreto Legislativo que aprueba la Ley de Gobierno Digital; el Decreto Legislativo Nº1161, Ley de Organización y Funciones del Ministerio de Salud y sus modificatorias; el Reglamento de Organización y Funciones del Ministerio de Salud, aprobado mediante Decreto Supremo Nº 008-2017-SA, y modificatorias; así como, la Resolución Directoral Nº 022-2022-INACAL/DN, que aprueba entre otras, la Norma Técnica Peruana NTP-ISO/IEC ISO 27001:2022 de Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. 3ra Edición;
SE RESUELVE:
Artículo 1.- Aprobar el Documento Técnico: Lineamientos de Política de Seguridad de la Información y Ciberseguridad del Ministerio de Salud, que como anexo adjunto forma parte integrante de la presente Resolución Ministerial.
Artículo 2.- Encargar a la Oficina General de Tecnologías de la Información que efectúe la difusión, implementación, supervisión y asistencia técnica del Documento Técnico que se aprueba mediante la presente Resolución Ministerial.
Artículo 3.- Dejar sin efecto la Resolución Ministerial Nº 431-2015/MINSA que aprueba el Documento Técnico “Política de Seguridad de la Información del Ministerio de Salud - MINSA”.
Artículo 4.- Disponer la publicación de la presente Resolución Ministerial en el Diario Oficial El Peruano y encargar a la Oficina de Transparencia y Anticorrupción de la Secretaría General la publicación de la presente Resolución Ministerial y su anexo en la sede digital del Ministerio de Salud (www.gob.pe/minsa), en el mismo día de su publicación en el Diario Oficial El Peruano.
Regístrese, comuníquese y publíquese.
LUIS WILLIAMS DYER FERNÁNDEZ
Ministro de Salud
2549995-1