¿Qué pide la NOM 024 a un sistema de expediente clínico electrónico?
Por el equipo de Stonework · Actualizada el · 6 min de lectura
Respuesta corta
La NOM 024 SSA3 2012 no te obliga a tener expediente electrónico: aplica a las clínicas y consultorios que adoptan uno y a quien tiene los derechos del sistema. Si lo adoptas, el sistema debe ajustarse a la norma: identificar al paciente con la CURP, usar los catálogos oficiales, permitir la firma electrónica avanzada del médico y proteger la confidencialidad. La forma oficial de demostrarlo es un certificado de cumplimiento que emite la DGIS de la Secretaría de Salud o un organismo acreditado, y dura dos años; al 15 de octubre de 2026 la DGIS listaba 38 certificados vigentes.
Qué regula la NOM 024 y a quién obliga
La NOM 024 SSA3 2012 se publicó en el DOF el 30 de noviembre de 2012. Regula los sistemas de información de registro electrónico para la salud, que la norma llama SIRES: los programas donde un prestador registra, intercambia y consolida la información de sus pacientes (numeral 1.1).
El expediente clínico electrónico es uno de ellos. La norma es de observancia obligatoria en todo el país, pero solo para dos grupos (1.2 y 1.3):
- Los establecimientos de atención médica de los sectores público, privado y social que adoptan un SIRES.
- Las personas o empresas con derechos de propiedad, uso, autoría, distribución o comercialización de esos sistemas.
La norma no te obliga a tener expediente electrónico. Te obliga a que, si usas uno, el sistema se ajuste a sus términos (5.2).
Cómo se relaciona con la NOM 004
| Tema | NOM 004 SSA3 2012 | NOM 024 SSA3 2012 |
|---|---|---|
| Qué regula | El expediente clínico: contenido mínimo, notas, conservación y confidencialidad | Los sistemas electrónicos donde se lleva ese expediente |
| Publicación en el DOF | 15 de octubre de 2012 | 30 de noviembre de 2012 |
| A quién obliga | Personal de salud y establecimientos públicos, sociales y privados, incluidos los consultorios (2) | Establecimientos que adoptan un sistema electrónico y quien tiene derechos sobre ese sistema (1.2) |
| Papel o electrónico | El electrónico es optativo (5.12) | Aplica solo al electrónico |
| Lo que más le importa a tu sistema | Conservar el expediente al menos 5 años desde el último acto médico (5.4) y que cada nota lleve nombre completo y firma autógrafa, electrónica o digital (5.10) | Identificación con CURP, catálogos, firma electrónica avanzada, autenticación y confidencialidad |
La NOM 024 incluye a la NOM 004 entre las normas que deben consultarse (2.2) y pide que los sistemas se ajusten también a ellas (5.2). Qué debe contener el expediente lo dice la 004; cómo debe funcionar el sistema que lo guarda, la 024.
Qué pide la NOM 024 a un sistema
| Requisito | Numeral | En palabras simples |
|---|---|---|
| Identificación del paciente | 6.5.1 y tabla 1 | La CURP es el identificador único de cada persona y el sistema no debe generarla por su cuenta |
| Catálogos fundamentales | Apéndice A | Usar los catálogos oficiales, como la Clasificación Estadística Internacional de Enfermedades para los diagnósticos |
| Intercambio de información | 6.1.3.1 y 6.4.1 | Usar los estándares que indiquen las guías de la Secretaría, como HL7 CDA o XML, según el alcance del intercambio |
| Firma electrónica avanzada | 6.6.2 | Permitir que el profesional de la salud firme con firma electrónica avanzada la información que defina el prestador |
| Autenticación | 6.6.3 | Como mínimo, usuario y contraseña para cada usuario, organización y dispositivo; la norma recomienda agregar más factores |
| Cifrado | 6.6.5 | Cifrar la información que se intercambia entre prestadores |
| Confidencialidad | 5.3 | Garantizar la confidencialidad de la identidad de los pacientes |
| Operación continua | 5.6 | Mantener el sistema en condiciones que aseguren la integridad y la disponibilidad de los datos con el tiempo |
HL7 es un estándar internacional para intercambiar información clínica entre sistemas. La norma también define el registro de auditoría: el registro cronológico de lo que hace cada usuario, que permite reconstruir estados anteriores de la información (3.42).
Además está la ley de protección de datos. El estado de salud es un dato sensible (art. 2, fr. VI): por regla, pide consentimiento expreso y por escrito (art. 8), y las multas pueden aumentar hasta dos veces (art. 59).
Lo explicamos en qué te pide la ley de protección de datos.
Qué es la certificación y cuántos sistemas la tienen
La forma oficial de demostrar que un sistema se ajusta a la norma es un certificado de cumplimiento. Lo emite la Dirección General de Información en Salud (DGIS) de la Secretaría de Salud o un organismo de certificación acreditado (7.3.1).
Para obtenerlo hace falta un dictamen de verificación satisfactorio (7.3.2), y dura dos años (7.5.3).
El certificado es de un sistema y de una versión. La lista que publica la DGIS indica, para cada uno, la versión certificada y las fechas de inicio y fin.
Al 15 de octubre de 2026, la DGIS listaba 38 certificados vigentes. Cubren 37 sistemas, porque uno tiene dos versiones certificadas. De esos 38, 16 vencen en 2027 y uno en diciembre de 2026: la lista cambia, así que revísala el día que vayas a firmar.
Qué preguntarle a un proveedor de software para clínicas
- ¿El sistema tiene certificado vigente de la DGIS? Búscalo tú en la lista oficial.
- ¿Qué versión está certificada y es la que vas a usar?
- ¿Cuándo vence el certificado y qué pasa si no lo renueva?
- ¿Identifica a los pacientes con la CURP y permite la firma electrónica avanzada de los médicos?
- ¿Guarda un registro de quién consultó o cambió cada expediente, y puedes verlo tú?
- ¿Cómo se conservan tus expedientes al menos cinco años desde el último acto médico, aun si dejas de pagar el sistema?
- ¿Cómo exportas todos tus expedientes, en un formato que otro sistema pueda leer, si te cambias?
- ¿Dónde se guardan los datos, quién de su equipo puede verlos y qué dice el contrato sobre cómo los trata por cuenta tuya?
Si una respuesta es vaga, pídela por escrito antes de firmar.
Comprar un sistema certificado o construir uno
Para el expediente clínico, casi siempre conviene comprar uno certificado. Si construyes el tuyo, la norma también te aplica como titular de los derechos del sistema (1.2), y certificarlo pide un dictamen de verificación y renovar el certificado cada dos años.
Ese esfuerzo tiene sentido para una empresa cuyo producto es el expediente, no para una clínica cuyo negocio es atender pacientes.
Lo que sí puede justificar algo a la medida es lo que rodea al expediente: agenda, recordatorios, cobros, inventario de farmacia o reportes para el dueño. Antes de construirlo, pregunta si el sistema certificado permite conectarse con otros y cómo.
Y cuida que lo que construyas no guarde datos clínicos, porque podría quedar dentro de la norma.
Cuándo no hace falta un sistema
Un consultorio con pocos pacientes puede seguir en papel. La NOM 004 permite el expediente en papel y deja el electrónico como opción (5.12).
Lo que no es opcional es el contenido mínimo, la confidencialidad y conservarlo cinco años.
Si decides digitalizar, hazlo por etapas: el método está en cómo pasar de Excel a un sistema. Y antes de firmar con cualquier proveedor, revisa de quién es el código y de quién son los datos.
Preguntas frecuentes
- ¿Es obligatorio tener expediente clínico electrónico?
- No. La NOM 004 deja el electrónico como opción (5.12), y la NOM 024 aplica solo a quien adopta un sistema electrónico y a quien tiene derechos sobre él (1.2).
- ¿Cuánto dura la certificación de la NOM 024?
- Dos años (numeral 7.5.3). La lista de la DGIS muestra, para cada sistema, la versión certificada y las fechas de inicio y fin.
- ¿Necesito el consentimiento del paciente para guardar sus datos de salud?
- Por regla, sí: los datos de salud son sensibles y piden consentimiento expreso y por escrito (Ley de protección de datos, arts. 2 y 8). La excepción es cuando el paciente no puede consentir y los datos son indispensables para atenderlo (art. 9, fr. VI).
- ¿Cuánto tiempo debo guardar los expedientes?
- Al menos cinco años desde el último acto médico (NOM 004, numeral 5.4). Pregúntale a tu proveedor cómo los conservas si dejas de usar su sistema.
Fuentes
- NOM 024 SSA3 2012, sistemas de información de registro electrónico para la salud (DOF 30 de noviembre de 2012). Secretaría de Salud, Dirección General de Información en Salud.
- SIRES con certificado vigente en la NOM 024 SSA3 2012. Secretaría de Salud, Dirección General de Información en Salud, actualizada el 15 de octubre de 2026.
- NOM 004 SSA3 2012, del expediente clínico (DOF 15 de octubre de 2012). Secretaría de Salud, copia publicada por el IMSS.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025, última reforma 14 de noviembre de 2025). Cámara de Diputados.
Aviso. Esta guía explica la ley en términos generales con base en los textos vigentes que se citan. No es asesoría legal ni fiscal y no sustituye a un abogado o a un contador que conozca tu caso.
Cómo hacemos estas guías. Cada cifra lleva su fuente y su fecha; lo que no tiene fuente no entra, y los ejemplos ilustrativos se dicen como tales. Las revisamos antes de publicarlas, cada tres meses y cuando cambia algo que citan.
Cuándo se revisa esta guía. Cuando la DGIS actualice la lista de sistemas certificados, cuando la Secretaría de Salud publique una norma nueva o una modificación de la NOM 024 o de la NOM 004, o cuando se reforme la ley de protección de datos.
Quién la escribe. El equipo de Stonework, un estudio de software en Ciudad de México que construye y opera EventQR, CuentaFácil y Conto, y hace software a la medida para negocios.