debemos demostrar que verificamos a nuestros proveedores en materia de ciberseguridad, cómo lo hago

Seguridad de la cadena: lo que requiere el artículo 21, apartado 2, letra d

El artículo 21, apartado 2, letra d de la Directiva NIS2 menciona la seguridad de la cadena de suministro como una de las diez medidas obligatorias, incluidos los aspectos de seguridad de las relaciones entre la entidad y sus proveedores directos. En la práctica, esto significa: debe poder demostrar que al establecer y mantener relaciones con proveedores, evalúa si ese proveedor representa un riesgo para su propio servicio. Una política de proveedores documentada con al menos tres componentes suele ser suficiente: un criterio de selección previo (qué requisitos exige a los nuevos proveedores), una prueba periódica durante la vigencia, y un procedimiento de escalada si un proveedor notifica un incidente. Esto es la misma pregunta que su cliente le hace sobre riesgo de cadena — aquí está rellenando esencialmente su propia respuesta, pero un nivel más abajo en la cadena.

Qué cuenta como prueba depende de lo maduro que sea su proceso. Una cláusula contractual en la que su proveedor se compromete a ciertos requisitos de seguridad es un punto de partida pero no una prueba. Más sólido es un cuestionario que envía directamente a sus proveedores, vinculado a una etiqueta de riesgo simple (bajo/medio/alto) basada en lo que ese proveedor ve o toca en sus sistemas. Si no dispone de esto, la respuesta más honesta es que aún debe establecer el proceso — no que marque "sí" en una cláusula contractual que no es relevante. Tenga en cuenta: esta es una pregunta separada de si su propia organización entra dentro del ámbito de aplicación de la Directiva; incluso si usted mismo no está directamente bajo NIS2, un cliente puede seguir pidiendo esto a través de la obligación de cadena.

De dónde viene esto: Directiva y ley holandesa

La obligación figura en el artículo 21, apartado 2, letra d de la Directiva (UE) 2022/2555; la Ley de Ciberseguridad (Cyberbeveiligingswet) implementa esto en la legislación holandesa y se espera que entre en vigor el 15 de agosto de 2026. ISO/IEC 27001 Anexo A contiene una medida de control similar sobre relaciones con proveedores, lo que explica por qué los clientes con un cuestionario ISO suelen hacer la misma pregunta que los clientes que hacen referencia a NIS2.