el cliente pregunta cómo regulamos el acceso para proveedores externos o freelancers

El acceso para terceros se incluye en la política de acceso, no en la gestión de la cadena de suministro

Esta pregunta pertenece a la política de acceso de la empresa, no a las preguntas sobre los propios proveedores. El cliente quiere saber cómo evitas que un autónomo o tercero obtenga más derechos de los necesarios, y cómo revocas ese acceso una vez finalizado el trabajo. Haz tú mismo esa distinción: una pregunta sobre los requisitos de seguridad que estableces para terceros se refiere a gestión de la cadena de suministro, una pregunta sobre cómo esos terceros inician sesión en tus sistemas se refiere a acceso. Los cuestionarios a menudo mezclan esto, pero son dos medidas diferentes del artículo 21 apartado 2 de la Directiva NIS2 y dos capítulos diferentes del Anexo A en ISO 27001.

Lo que se pregunta concretamente: ¿tienes un proceso para otorgar, modificar y revocar acceso (incorporación y desincorporación), utilizas cuentas temporales o con fecha de caducidad para externos, y se aplica el principio del mínimo privilegio — acceso solo a lo que es necesario, no a toda la red. Si los externos obtienen acceso remoto, a menudo también se pregunta si autenticación multifactor es obligatorio. Si no tienes una política separada para terceros, sino que te remites a la gestión de acceso general en la que no se hace distinción entre empleados propios y terceros, entonces "no" es la respuesta honesta — una contraseña compartida o una cuenta que sigue activa después de completar un trabajo no cuenta como acceso controlado.

Dónde aparece en la directiva y la norma

El artículo 21 apartado 2 de la Directiva NIS2 menciona la política de control de acceso y la seguridad del personal como dos de las diez medidas obligatorias; ISO 27001 lo desarrolla en el Anexo A bajo control de acceso, con especial atención al acceso por terceras partes y su revocación al término del contrato.