¿Establece la empresa requisitos de seguridad a sus propios proveedores?

La cadena de suministro es una de las diez medidas

Sí, en la mayoría de los casos es relevante responder con una referencia a una política concreta de proveedores, no con una garantía general. La pregunta proviene directamente del artículo 21, apartado 2 de la Directiva NIS2, donde la "seguridad de la cadena de suministro" aparece como un punto separado junto a las otras nueve medidas. El cliente no quiere saber si usted mismo está bien asegurado, sino si transmite este requisito a las partes de las que depende: proveedores de alojamiento, proveedores de software, prestadores de servicios informáticos.

En concreto, se trata de preguntas como: ¿hay requisitos de seguridad en los contratos con proveedores críticos, se evalúa el nivel de seguridad en la contratación u onboarding, y hay visibilidad sobre las dependencias más adelante en la cadena. Una empresa que tiene una política de seguridad de la información propia —véase también la pregunta sobre política para el análisis de riesgos y la seguridad de sistemas de información — a menudo ya tiene un marco en el que la evaluación de proveedores es una parte fija. Si falta eso, entonces "no" o "parcialmente" es una respuesta honesta; un compromiso sobre lo que debería suceder no es competencia nuestra.

Donde esto aparece en el artículo 21, apartado 2 NIS2

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 menciona la seguridad de la cadena de suministro como una de las diez medidas que debe adoptar una entidad, incluida la atención a la relación entre la entidad y sus proveedores o prestadores de servicios directos. Este punto a menudo está conectado con otras medidas de la misma lista: un proveedor que no notifica vulnerabilidades también afecta al proceso de identificación y corrección de vulnerabilidades, y un incidente en un proveedor debe seguir la misma ruta que un incidente en la empresa misma. Si esta pregunta es obligatoria en absoluto depende de si la empresa misma está dentro del ámbito de aplicación de la directiva —esta es una pregunta separada con su propia respuesta.