el cliente quiere saber cómo está asegurado nuestro proveedor de nube, qué relleno ahí

Esta pregunta entra en la supervisión de la cadena, no en tu propia seguridad

Esto corresponde al artículo 21, apartado 2, letra d de la Directiva NIS2: seguridad en la cadena de suministro, incluyendo la relación con tus propios proveedores. El cliente aquí no pregunta si tus sistemas son seguros, sino si sabes y puedes demostrar que tu proveedor de nube lo es. Este es un documento diferente al de, por ejemplo, tu propia política de acceso o tu propia política de cifrado.

La respuesta normalmente consta de dos niveles. Primero: ¿has establecido tú mismo requisitos de seguridad a ese proveedor, ya sea contractualmente o en la selección? Esto lo respondes sobre la base de tu propio expediente de compras, no sobre la base de lo que afirma el proveedor. Después: ¿qué demuestra el proveedor mismo? Solicita el documento que normalmente ya comparte con los clientes — un certificado ISO 27001 con declaración de alcance, un informe SOC 2, o un resumen de sus medidas NIS2 si él mismo está sujeto a la directiva. Si no tienes ese certificado en tu expediente, entonces "no" o "desconocido" es la respuesta correcta — no "sí" basado en una suposición. Esto se alinea con requisitos de seguridad que la empresa establece a sus propios proveedores: como norma, este documento debe estar presente, incluso si se trata de un único socio de nube grande en lugar de una larga cadena de proveedores.

Dónde proviene el documento: Anexo A frente al contrato

La norma ISO/IEC 27001 Anexo A no tiene una sección separada de "seguridad en la nube"; la evidencia está distribuida entre las medidas de control para relaciones con proveedores y acceso. En la práctica, esto significa: primero verifica si tú mismo ya has establecido qué política de acceso y gestión de activos empresariales se aplica, pues a menudo allí también se describe cómo se regula el acceso al entorno de nube. Para el proveedor mismo, el certificado o informe de auditoría es el lugar de consulta, no una declaración tuya sobre sus sistemas — pues no puedes confirmar en nombre del proveedor lo que él hace internamente.