el cliente quiere saber si nuestro servicio en la nube está suficientemente protegido qué respondo

El proveedor de nube se rige por la política de seguridad de la cadena, no por un apartado separado

Esta pregunta casi nunca es un simple sí/no. El cliente pregunta en realidad si vuestra gestión de proveedores también se aplica a vuestro proveedor de nube, y eso se enmarca en requisitos de seguridad para proveedores propios — punto (d) de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2. La respuesta consta por lo tanto de dos capas: ¿tiene la entidad una política de proveedores, y se ha evaluado concretamente el proveedor de nube conforme a ella. Un "sí" solo a la primera capa sin que el proveedor de nube haya sido nunca evaluado, es una verdad a medias que reaparece en una auditoría.

Lo que cuenta como prueba varía según la madurez del expediente. Si el proveedor de nube tiene un certificado ISO 27001 propio o un informe SOC 2, ese es el documento más sólido — confrontadlo con la pregunta de si la propia entidad está certificada en ISO 27001, pues son dos certificados separados que no deben confundirse en la respuesta. Si falta un certificado, un acuerdo de tratamiento de datos con anexo de seguridad, o una evaluación de proveedores con fecha, es la segunda mejor prueba. Sin uno de los dos, "no" o "en proceso" es la respuesta correcta, aunque el proveedor de nube sea probablemente muy seguro — la probabilidad no es un documento probatorio.

Donde así corresponda: artículo 21, apartado 2, letra d y Anexo A.15

La obligación de evaluar a los proveedores y prestadores de servicios en materia de seguridad figura expresamente en el artículo 21, apartado 2, letra d de la Directiva NIS2, como una de las diez medidas que debe adoptar una entidad. ISO/IEC 27001 lo desarrolla posteriormente en el Anexo A bajo las medidas de control de relaciones con proveedores. En los Países Bajos esto funcionará próximamente a través de la Ley de Ciberseguridad, la transposición nacional de NIS2 que entra en vigor el 15 de agosto de 2026 — hasta esa fecha, la directiva misma es el texto de referencia. Si dudas sobre si esto ya es una obligación para tu propia entidad y no solo una pregunta de un cliente, consulta en si la empresa se incluye de forma independiente en la Directiva NIS2.