el cliente pregunta cómo estamos protegidos contra ataques a través de nuestros proveedores

Esta pregunta se refiere al artículo 21, apartado 2, letra d, no a toda su política de seguridad

Esta pregunta se centra específicamente en la seguridad de la cadena de suministro: qué hace para evitar que una debilidad en su proveedor permita un ataque en su empresa. Esta es una de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2, junto con, entre otras, el análisis de riesgos, la gestión de incidentes y la criptografía. Por lo tanto, quien formula la pregunta no quiere saber cómo están protegidos sus propios sistemas — esa es otra pregunta en la lista — sino cómo controla los riesgos que provienen de terceros.

Por lo general, la prueba concreta de esto consta de tres elementos: una evaluación del proveedor antes de celebrar un contrato, requisitos de seguridad establecidos contractualmente (piense en un acuerdo de tratamiento de datos o un anexo de seguridad separado), e inventario de qué proveedores tienen acceso a qué sistemas o datos. Si no lo tiene, entonces "no" es la respuesta honesta — una lista de proveedores sin requisitos subyacentes no es prueba de control. Si desea examinar más a fondo qué entiende exactamente el cliente por esta pregunta, ayuda ver si la empresa establece requisitos de seguridad con sus propios proveedores está desarrollado por separado en el expediente de la cadena, independientemente de si usted mismo está sujeto a la directiva.

Si está certificado en ISO 27001, la respuesta suele estar lista: el Anexo A contiene una medida de control específica para relaciones con proveedores (A.5.19 a A.5.22 en la versión de 2022), y un auditor ya lo ha verificado. Sin certificación, la respuesta no es automáticamente "no" — se trata de lo que hace realmente, no del sello. En caso de duda, compruebe si la empresa está certificada en ISO 27001 ya está registrado en el expediente, eso evita investigación adicional en esta pregunta.

De dónde viene esto: artículo 21, apartado 2, letra d NIS2

El artículo 21, apartado 2, letra d de la Directiva (UE) 2022/2555 menciona explícitamente "la seguridad de la cadena de suministro" como parte obligatoria de la gestión de riesgos, incluida la relación con proveedores individuales. La Ley de Ciberseguridad asume esta obligación cuando entre en vigor; hasta entonces, la pregunta ya puede aparecer porque el cliente también está sujeto a la directiva y lo transmite en la cadena, aunque usted mismo no sea una entidad NIS2.