Ciberseguridad, sistemas y cumplimiento
NIS2 para proveedores: prepárate para lo que te pedirán tus clientes
La adaptación a NIS2 para proveedores está pensada para pymes que trabajan con empresas grandes o sectores críticos y empiezan a recibir cuestionarios de ciberseguridad.
Respuesta corta
NIS2 es la Directiva (UE) 2022/2555 sobre ciberseguridad. Afecta directamente a entidades de sectores esenciales e importantes y les pide gestionar también los riesgos de su cadena de suministro. Por eso muchas pymes, sin estar obligadas directamente, reciben de sus clientes cuestionarios y requisitos de seguridad. En España, la ley que la transpone todavía no está aprobada.
¿Por qué te llega aunque seas pequeño?
Tus clientes grandes tienen que demostrar que sus proveedores no son la puerta de entrada de un ataque. Por eso preguntan por contraseñas, doble factor, copias, gestión de incidentes o un responsable de seguridad, y algunos lo incluyen en el contrato.
¿Cómo te preparamos?
Te ayudamos a entender cada pregunta del cuestionario de tu cliente, aplicamos antes las medidas básicas de seguridad, reunimos pruebas de lo que respondes y dejamos escrito cómo actuar ante un incidente.
Lectura del cuestionario
Traducimos cada pregunta del cliente a lo que significa en tu empresa.
Medidas básicas reales
Doble factor, copias probadas, equipos actualizados y accesos revisados antes de contestar.
Evidencias
Capturas, políticas y registros que demuestran que lo que respondes es cierto.
Plan de incidentes
A quién se avisa, en qué orden y cómo se informa al cliente si algo pasa.
Preguntas frecuentes
¿Qué hago si mi cliente me da muy poco plazo para responder el cuestionario de seguridad?
Responde con honestidad lo que ya tienes y acompaña lo pendiente con un plan y fechas. Suele ser mejor que contestar «sí» a algo que no cumples.
¿Tengo que notificar a mi cliente un incidente aunque no haya afectado a sus datos?
Depende de lo que diga tu contrato con él. Por eso conviene leer esas cláusulas antes de firmar y tener por escrito qué incidentes se avisan y en qué plazo.
¿NIS2 ya es obligatoria en España?
La directiva europea existe, pero la ley española que la transpone aún no se ha aprobado. Las exigencias que recibes hoy vienen sobre todo de tus clientes.
¿Cómo sé si NIS2 afecta directamente a mi empresa?
Depende del sector y del tamaño. Lo revisamos con tus datos, aunque muchas pymes solo están afectadas de forma indirecta, como proveedoras.
¿Qué pasa si no respondo bien al cuestionario de seguridad de un cliente?
Puede pedirte medidas correctoras o dejar de contar contigo como proveedor; responder con evidencias evita sustos.
¿Necesito la ISO 27001 para trabajar con clientes afectados por NIS2?
No suele ser obligatoria, aunque algunos clientes la valoran o la piden en licitaciones. Lo habitual es que acepten medidas equivalentes demostradas con evidencias. Si tu sector la exige o vas a licitar a menudo, puede compensar certificarse más adelante partiendo del trabajo ya hecho para los cuestionarios.
¿Qué sectores afecta directamente NIS2?
La directiva distingue entidades esenciales e importantes en sectores como energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, servicios postales, residuos, química, alimentación, ciertas fabricaciones y proveedores digitales. Como regla general se aplica a medianas y grandes empresas de esos sectores, con algunas excepciones por actividad.
¿Puedo reutilizar las respuestas para varios clientes?
En buena parte, sí. Las preguntas se repiten, así que conviene mantener un dosier de seguridad con respuestas y evidencias actualizadas. Cuando llega un cuestionario nuevo se adapta en horas. Ese dosier se revisa cada seis meses o cuando cambia algo importante en la empresa.
Ejemplo aplicado
Ejemplo: un taller de mecanizado de 25 personas que suministra a una eléctrica
Imagina un taller de mecanizado de Bizkaia con 25 empleados que fabrica piezas para el mantenimiento de una gran compañía eléctrica. Un día recibe un cuestionario de seguridad de 60 preguntas con un plazo de un mes, y una cláusula nueva en la renovación del contrato que habla de notificar incidentes. El gerente no sabe qué es la mitad de lo que le preguntan.
Se lee el cuestionario pregunta por pregunta y se traduce a la realidad del taller: quién accede al ordenador de la oficina técnica, dónde están los planos que manda el cliente, qué pasa si un ransomware cifra el servidor. Antes de responder, se aplican las medidas que faltan: doble factor en el correo, copias con una copia aislada, cuentas separadas para cada persona y un procedimiento escrito de qué hacer y a quién avisar ante un incidente.
El cuestionario se entrega con respuestas reales y pruebas adjuntas, no con «sí» a todo. Lo esperable es que la relación con el cliente se mantenga y que, cuando llegue el siguiente cuestionario, buena parte de las respuestas ya estén preparadas.
Precio
Presupuesto cerrado antes de empezar, después de un diagnóstico gratuito en el que vemos qué necesitas de verdad.
Ver precios y packs →Plazo
Te damos las fases y las fechas por escrito en la propuesta, antes de que firmes nada.
Pedir diagnóstico gratis →Qué suele preguntar un cuestionario de seguridad para proveedores
Los cuestionarios cambian de un cliente a otro, pero casi todos preguntan por los mismos bloques:
- Si hay una persona responsable de la seguridad de la información.
- Si el acceso al correo y a los sistemas exige doble factor.
- Cómo se hacen las copias, dónde se guardan y si se prueban.
- Si los equipos tienen antivirus gestionado y actualizaciones al día.
- Cómo se retiran los accesos cuando alguien deja la empresa.
- Si el personal recibe formación para reconocer engaños por correo.
- Cómo y en qué plazo se avisaría al cliente de un incidente que le afecte.
- Qué subcontratistas acceden a sus datos.
Algunos cuestionarios se basan en normas como ISO 27001 o en el Esquema Nacional de Seguridad y usan su vocabulario. Traducir ese vocabulario a lo que hace de verdad tu empresa es la mitad del trabajo.
Qué evidencia guardar para cada medida
Una respuesta sin prueba vale poco en una auditoría. Para cada medida conviene tener una evidencia concreta:
| Medida | Evidencia |
|---|---|
| Doble factor | Captura del panel de administración con la política activada |
| Copias de seguridad | Registro de pruebas de restauración con fechas |
| Actualizaciones | Informe de la consola de gestión de equipos |
| Bajas de personal | Lista de baja completada en cada salida |
| Formación | Listado de asistentes y resultados del simulacro |
| Gestión de incidentes | Plan escrito y acta del último ejercicio |
Las pruebas de restauración pueden salir directamente de la prueba mensual de copias de seguridad.
¿Cuánto tiempo hace falta para responder con garantías?
Una pyme de diez a cincuenta personas con lo básico a medias suele necesitar entre uno y tres meses para responder un cuestionario con evidencias reales. El plazo depende de cuántas medidas faltan de verdad y de la rapidez con que la dirección toma decisiones.
Si el cliente da poco margen, lo sensato es responder con honestidad lo que ya está hecho y acompañarlo de un plan con fechas para lo pendiente. Un plan creíble suele convencer más que un cuestionario todo en verde que luego no se sostiene.
Según la directiva, las entidades afectadas deben dar una alerta temprana de los incidentes significativos en 24 horas y notificarlos en 72, y por eso pedirán a sus proveedores que avisen antes todavía. Tener designado un responsable de ciberseguridad externalizado acorta todo el proceso.
También te puede interesar