Guía práctica · México

Expediente clínico electrónico en México: qué exige la NOM-004 y la NOM-024

Por el equipo de Sositi MedConnect · Actualizado en septiembre 2026

El expediente clínico electrónico (ECE) es el conjunto de documentos clínicos de un paciente registrados en un sistema informático. En México lo regulan dos normas: la NOM-004-SSA3-2012 define qué debe contener el expediente y por cuánto tiempo conservarse (mínimo 5 años desde el último acto médico), y la NOM-024-SSA3-2012 fija los requisitos de seguridad, integridad y confidencialidad del sistema electrónico que lo almacena.

Qué es el expediente clínico electrónico

Es la versión digital del expediente clínico: historia clínica, notas de evolución, resultados de estudios, recetas, consentimientos informados y demás documentos generados en la atención de un paciente, almacenados en un sistema de información en lugar de papel.

Legalmente no es un documento distinto al expediente en papel: tiene el mismo valor y las mismas obligaciones. Lo que cambia es que, además de cumplir con el contenido de la NOM-004, el sistema que lo guarda debe cumplir con la NOM-024.

Qué exige la NOM-004-SSA3-2012 (contenido del expediente)

La NOM-004-SSA3-2012, Del expediente clínico, es de observancia obligatoria para todo prestador de servicios de atención médica de los sectores público, social y privado, incluidos los consultorios privados de cualquier especialidad. Sus puntos más relevantes para un consultorio son:

Datos generales: nombre, domicilio y tipo de establecimiento; nombre, sexo, edad y domicilio del paciente.
Historia clínica: ficha de identificación, antecedentes heredofamiliares, personales patológicos y no patológicos, padecimiento actual, interrogatorio por aparatos y sistemas, exploración física con signos vitales (temperatura, tensión arterial, frecuencia cardiaca y respiratoria, peso y talla), diagnósticos, pronóstico e indicación terapéutica.
Nota de evolución en cada consulta subsecuente: evolución del cuadro, signos vitales, resultados de estudios, diagnósticos, pronóstico, tratamiento e indicaciones (medicamento, dosis, vía y periodicidad).
Toda nota debe llevar fecha, hora, nombre completo de quien la elabora y su firma (o firma electrónica).
Carta de consentimiento informado en los supuestos que marca la norma (procedimientos con riesgo, anestesia, investigación, etc.), con nombre y firma del paciente o su representante, del médico y de dos testigos.
Conservación mínima de 5 años contados a partir de la fecha del último acto médico.
El expediente es propiedad del prestador de servicios; el paciente tiene derecho a recibir un resumen clínico y a la confidencialidad de sus datos.
Si el expediente se lleva en medios electrónicos, el sistema debe apegarse a la NOM-024-SSA3-2012.

Qué exige la NOM-024-SSA3-2012 (el sistema electrónico)

La NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud, regula los llamados SIRES: los sistemas que capturan, almacenan e intercambian información clínica. Para un consultorio o clínica privada, lo importante es que el software que uses garantice:

Confidencialidad: solo el personal autorizado accede a la información, con autenticación de usuarios y control por rol.
Integridad: los registros no pueden modificarse sin dejar rastro; las notas deben poder versionarse, no borrarse ni sobrescribirse.
Disponibilidad: respaldos y continuidad del servicio para que el expediente esté accesible cuando se necesite.
Trazabilidad: bitácora (auditoría) de quién consultó o modificó qué y cuándo.
Interoperabilidad: capacidad de intercambiar información clínica con otros sistemas usando los catálogos y guías que publica la Secretaría de Salud.
Protección de datos personales sensibles conforme a la LFPDPPP (los datos de salud son sensibles por definición).

Cumplir la norma vs. estar certificado ante la DGIS

Son dos cosas distintas. Cumplir la NOM-024 significa que el sistema implementa los controles anteriores. La certificación como SIRES ante la Dirección General de Información en Salud (DGIS) es un trámite formal y aparte, en el que la autoridad revisa el sistema y emite un certificado con folio.

Para la mayoría de los consultorios privados el requisito exigible en una verificación sanitaria es que el expediente cumpla con la NOM-004 y que el sistema proteja la información conforme a la NOM-024 y la LFPDPPP. Si tu clínica participa en convenios con instituciones o aseguradoras que exijan un SIRES certificado, pregúntalo explícitamente a cualquier proveedor antes de contratar.

Lista de verificación para elegir un expediente clínico electrónico

Historia clínica y notas de evolución versionadas (append-only), nunca sobrescritas.
Fecha, hora y autor en cada nota, de forma automática.
Cifrado de los datos sensibles en la base de datos (no solo HTTPS en tránsito).
Control de acceso por rol: la recepción no debe poder abrir expedientes.
Autenticación en dos pasos (2FA) para el personal clínico.
Bitácora de auditoría inmutable de lecturas y escrituras.
Respaldos automáticos diarios fuera del servidor principal.
Consentimiento informado con firma del paciente, médico y testigos, y sello de integridad del documento.
Instrumentos de tu especialidad (odontograma, escalas psicométricas, goniometría, antropometría) integrados al expediente, no en hojas aparte.
Exportación de tus datos si decides cambiar de proveedor.

Cómo lo resuelve Sositi MedConnect

Requisito normativo y su implementación en Sositi MedConnect
Requisito	Norma	En Sositi MedConnect
Historia clínica con antecedentes y exploración	NOM-004	Historia clínica versionada por paciente (cada cambio crea una versión).
Nota de evolución por consulta con fecha, hora y autor	NOM-004	Notas de evolución con autor y marca de tiempo automáticos; edición con historial.
Signos vitales en cada consulta	NOM-004	TA, FC, FR, temperatura, SpO₂, glucosa, peso, talla e IMC con alertas.
Receta con datos del médico y cédula	NOM-004	Receta electrónica en PDF con folio, cédula y logo.
Consentimiento informado con paciente, médico y testigos	NOM-004	Firma en pantalla de los cuatro firmantes con sello SHA-256 y registro de fecha, IP y dispositivo.
Confidencialidad y control de acceso	NOM-024 / LFPDPPP	Roles (admin, doctor, recepción), 2FA, sesiones de 8 h; la recepción no ve expedientes.
Integridad	NOM-024	Registros clínicos append-only; nada se sobrescribe.
Cifrado de datos sensibles	NOM-024 / LFPDPPP	AES-256-GCM en reposo para notas, diagnósticos, recetas y todo el expediente psicológico y de fisioterapia.
Trazabilidad	NOM-024	Bitácora de auditoría inmutable (sin borrado) de accesos y cambios.
Disponibilidad	NOM-024	Respaldo diario automático de la base de datos fuera del servidor.

Preguntas frecuentes

¿Cuántos años debo conservar el expediente clínico?

Mínimo 5 años contados a partir de la fecha del último acto médico, según la NOM-004-SSA3-2012. Aplica igual en papel o electrónico.

¿Es obligatorio llevar el expediente clínico electrónico?

No. La NOM-004 obliga a llevar expediente clínico, en papel o electrónico. Si eliges el formato electrónico, el sistema debe cumplir la NOM-024-SSA3-2012.

¿Puedo llevar mi expediente en Excel o Word?

Técnicamente puedes capturar información ahí, pero no cumples la NOM-024: no hay control de acceso por rol, ni auditoría, ni integridad (cualquiera puede editar o borrar) ni cifrado de datos sensibles. Ante una verificación o una queja, es difícil demostrar que el expediente no fue alterado.

¿De quién es el expediente clínico?

Del prestador de servicios (el médico o la clínica). El paciente tiene derecho a la confidencialidad de sus datos y a recibir un resumen clínico cuando lo solicite.

¿Un consentimiento informado firmado en pantalla tiene validez?

Sí, siempre que se garantice la atribución (quién firmó), la intención y la integridad del documento. El Código de Comercio (arts. 89 a 114) reconoce la firma electrónica y los mensajes de datos. Un sello de integridad (hash) del documento y el registro de fecha, IP y dispositivo refuerzan la prueba.

Fuentes oficiales

Esta guía es informativa y no sustituye asesoría legal. Verifica siempre el texto vigente de cada norma en el Diario Oficial de la Federación.