el cuestionario pregunta cómo gestionamos los riesgos de nuestros proveedores

La seguridad de la cadena es una de las diez medidas obligatorias

No se trata simplemente de una pregunta adicional: la seguridad de la cadena de suministro se menciona como apartado separado en el artículo 21 apartado 2 de NIS2, junto con las otras nueve medidas como análisis de riesgos, tratamiento de incidentes y control de acceso. El cliente que hace esta pregunta verifica si tu empresa también mira hacia atrás: no solo tu propia seguridad, sino también la de las partes de las que dependes. Esto se alinea con requisitos de seguridad que la propia empresa establece para sus proveedores — el mismo principio, un paso más adelante en la cadena.

En la práctica, generalmente se pregunta por tres cosas: ¿tienes una política o proceso para evaluar proveedores en cuanto a riesgos de ciberseguridad, estableces requisitos contractuales (por ejemplo, obligación de notificar incidentes, niveles mínimos de seguridad), y lo supervises después de firmar el contrato? Si no tienes ese proceso, un «no» con una breve explicación es una respuesta perfectamente válida — mejor que un «sí» que no puedas justificar. Si tienes una evaluación de proveedores pero sin una sección específica sobre ciberseguridad, especifícalo con precisión: la prueba debe corresponder con lo que declares. Un certificado ISO 27001 con Anexo A generalmente cubre este tema, así que si la empresa está certificada en ISO 27001 suele ser el documento justificativo más rápido de entregar.

Procedencia: artículo 21, apartado 2 y Anexo A

Las diez medidas del artículo 21 apartado 2 de NIS2 incluyen la seguridad de la cadena como punto separado, independiente del análisis general de riesgos. ISO/IEC 27001 lo desarrolla más en las medidas de control del Anexo A, específicamente orientadas a las relaciones con proveedores y los requisitos que les estableces. La Ley de Ciberseguridad transpone esta obligación a la legislación holandesa y entra en vigor el 15 de agosto de 2026 — por ahora, la Directiva de la UE es la fuente, y en la práctica el cliente a menudo ya pregunta en previsión de esto.