¿debemos formular las mismas preguntas de ciberseguridad a nuestros propios proveedores

Sí, porque el artículo 21, apartado 2 lo exige literalmente

Sí, en la mayoría de los casos debe hacerlo. El artículo 21, apartado 2 de la Directiva NIS2 menciona diez medidas que debe adoptar una entidad, y el punto (d) se refiere específicamente a la seguridad de la cadena de suministro — incluyendo la relación con y entre cada proveedor o prestador de servicios. Si su cliente pregunta sobre seguridad de la cadena, no es suficiente mostrar lo que usted mismo hace. También debe poder demostrar qué exige a sus propios subcontratistas y cómo lo controla.

En la práctica, esto suele significar un enfoque escalonado, no una copia de toda la lista de preguntas de su cliente. Generalmente, exija de su parte: tiene el subcontratista medidas básicas en orden (acceso, copias de seguridad, gestión de incidentes), ¿hay una disposición contractual sobre la obligación de notificación en caso de incidente, y — para proveedores críticos — hay pruebas como un certificado ISO 27001 o una declaración propia. Cuanto más peso tenga el subcontratista en su prestación de servicios al cliente, más específicos serán los requisitos que puede transmitir. Esta es la misma pregunta que su cliente le está haciendo ahora sobre requisitos de seguridad para proveedores propios — usted está aquí en el medio de la cadena, no al principio.

Dónde aparece en la directiva y la norma

La obligación en sí se encuentra en el artículo 21, apartado 2, letra (d) de la Directiva NIS2, que menciona la seguridad de la cadena como una de las diez medidas obligatorias. Para la práctica holandesa, esto se traduce en la Ley de Ciberseguridad, la transposición de NIS2 que entra en vigor el 15 de agosto de 2026 — a partir de ese momento, la obligación también se aplica formalmente según la ley holandesa para las entidades sujetas a la ley. Quien pueda demostrar que esto está organizado sistemáticamente, a menudo se refiere al Anexo A de ISO/IEC 27001, donde las relaciones con proveedores y la seguridad en la cadena de suministro se incluyen como medidas de control separadas. Por otra parte, la cuestión de si su propia organización está sujeta a la Directiva NIS2 como entidad es una pregunta aparte que es independiente de lo que su cliente le exija contractualmente; esta diferencia se trata en la pregunta de si la organización está sujeta a la directiva.