el cuestionario pregunta cómo controlamos la ciberseguridad de nuestros propios proveedores

Seguridad de la cadena: qué quiere saber exactamente el cliente

Esta pregunta trata sobre el artículo 21 apartado 2 letra d de NIS2: la seguridad de la cadena de suministro, incluida la relación con cada proveedor individual. Por lo tanto, el cliente no quiere saber si usted mismo es seguro, sino si también exige y comprueba esto en sus proveedores. Concretamente, el cuestionario suele buscar tres cosas: ha incluido requisitos de seguridad en los contratos con proveedores, evalúa a los proveedores antes de contratarlos, y los reevalúa periódicamente. Una respuesta como "confiamos en nuestros proveedores" no es prueba para este campo — debe haber un proceso detrás.

Si tiene ese proceso, la prueba suele ser una política de proveedores o una cláusula en el contrato estándar, posiblemente complementada con un resumen de las evaluaciones realizadas. Si no tiene eso, entonces "no" es la respuesta honesta aquí — rellenar basándose en una suposición no resulta en un sí, porque el dossier no tiene una fuente para ello. Este tema está relacionado, por lo demás, con otro campo en el mismo cuestionario: si la empresa establece requisitos de seguridad para sus propios proveedores a menudo es una pregunta separada, pero la prueba se solapa con lo que se pregunta aquí. También es relevante si su propio análisis de riesgos incluye a los proveedores como categoría de riesgo separada; esto concuerda con la política de análisis de riesgos y seguridad de la información que se solicita en otros lugares de la lista.

Fundamento: artículo 21 apartado 2 y Anexo A

La obligación se deriva del artículo 21 apartado 2 letra d de la Directiva (UE) 2022/2555, que menciona la seguridad de la cadena como una de las diez medidas obligatorias. ISO/IEC 27001 lo desarrolla en el Anexo A, entre las medidas de control para relaciones con proveedores: allí se distingue entre los requisitos al inicio de la relación y el seguimiento periódico. Para las empresas holandesas, la misma obligación aparece en la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026 como transposición de NIS2. Si esta obligación se aplica a su empresa, depende de si cae bajo la directiva; esta es una pregunta diferente a la que se plantea aquí, y está aclarada por separado en si la empresa está sujeta a NIS2.