el cuestionario pregunta sobre la seguridad de nuestro proveedor de nube

El proveedor de nube se considera dentro de la seguridad de la cadena de suministro, no dentro de tus propias medidas

Esta pregunta no se refiere a tus propios sistemas, sino a un proveedor en tu cadena de suministro. El artículo 21 apartado 2 de la Directiva NIS2 menciona explícitamente en el punto (d) «la seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad en las relaciones entre cada entidad y sus proveedores o proveedores de servicios directos». Tu proveedor de nube es uno de estos proveedores de servicios directos. Por lo tanto, el cliente no desea saber si la nube en sí es segura — nadie puede garantizar eso — sino si tú como cliente has evaluado si ese proveedor tiene un nivel de seguridad suficiente, y si eso está documentado en algún lugar.

La evidencia que generalmente se solicita aquí no es tu propio certificado ISO, sino el del proveedor de nube: una declaración ISO/IEC 27001, un informe SOC 2, o una referencia a los acuerdos contractuales sobre protección de datos. Si no tienes esto a mano, entonces «no, aún no está documentado» es una respuesta más honesta que un compromiso descuidado — especialmente porque requisitos de seguridad para proveedores propios a menudo reaparece nuevamente de manera más amplia en el mismo cuestionario, y la inconsistencia entre dos respuestas se nota. Comprueba también si la pregunta se refiere realmente a cifrado de datos en la nube — eso suele presentarse junto con «seguridad de la nube», pero es una medida diferente subyacente.

Base legal: artículo 21 apartado 2 letra d, complementado con el Anexo A de ISO 27001

La obligación de evaluar proveedores y proveedores de servicios se establece en el artículo 21 apartado 2 letra d de la Directiva NIS2 y reaparece en la Ley holandesa de Ciberseguridad una vez que entre en vigor el 15 de agosto de 2026. El Anexo A de ISO/IEC 27001 lo desarrolla más adelante en las medidas de control para relaciones con proveedores (categorías A.5.19 a A.5.23), que se refieren específicamente a la evaluación y seguimiento de proveedores de servicios en la nube e IT.