el cuestionario pregunta cómo controlamos la seguridad de nuestros proveedores

Seguridad de la cadena: su cliente pregunta a sus propios proveedores

Esta pregunta se refiere al artículo 21, apartado 2, letra d de la NIS2: seguridad de la cadena de suministro, incluida la relación con cada proveedor o prestador de servicios directo. Su cliente desea saber no solo cómo está usted protegido, sino también cómo lo exige a sus subcontratistas. Concretamente, suele preguntarse si incluye requisitos de seguridad en los contratos, si evalúa a los proveedores con anticipación, y si verifica periódicamente que cumplan esos requisitos.

Si aún no ha formalizado este proceso, la respuesta más honesta es que lo hace de manera informal —por ejemplo, mediante cláusulas contractuales sin evaluación estructurada— o que aún no lo hace. Marcar "sí" porque suena lógico no ayuda: si su cliente pregunta luego por un contrato de ejemplo o una lista de proveedores con puntuación de riesgo, debe estar disponible. La misma pregunta suele volver en una forma ligeramente diferente, es decir, si la empresa establece requisitos de seguridad con sus propios proveedores — es esencialmente el mismo requisito, pero desvinculado de la pregunta sobre contratos. Por lo tanto, tiene sentido formular una respuesta que pueda reutilizar en varios cuestionarios.

Origen: artículo 21, apartado 2, y Anexo A.5.19-21

La base legal es el artículo 21, apartado 2, letra d de la Directiva NIS2, una de las diez medidas obligatorias mencionadas. Para la práctica holandesa, esto se refleja en la Ley de Ciberseguridad, la transposición de NIS2 que entra en vigor el 15 de agosto de 2026 —la pregunta de su cliente a menudo se adelanta a lo que será obligatorio para usted más adelante, a menos que ya esté sujeto a la Directiva a través de la definición de entidad según NIS2. Quien aplica ISO/IEC 27001 reconocerá el mismo requisito en el Anexo A, las medidas de control bajo A.5.19 a A.5.21 sobre relaciones con proveedores y los requisitos de seguridad que se establecen en ellas. Ambas fuentes piden esencialmente lo mismo: no solo saber quiénes son sus proveedores, sino demostrar que supervisa su nivel de seguridad.