la lista de preguntas aborda riesgos en nuestra cadena de suministro, qué significa eso

Los riesgos en la cadena de suministro son la seguridad de tus propios proveedores

Los riesgos en la cadena de suministro se refieren a los proveedores y prestadores de servicios que contratas, y si estos representan una brecha en la seguridad de tu cliente. La pregunta no surge de la nada: es una medida literal del artículo 21 apartado 2 de la NIS2, letra d, que aborda explícitamente la seguridad de la cadena de suministro, incluida la relación con proveedores. Tu cliente debe poder demostrar que ha verificado esto con sus propios proveedores —es decir, contigo—. De ahí viene la pregunta en el cuestionario.

En la práctica se pregunta dos cosas simultáneamente. Primera: ¿tienes visibilidad sobre los riesgos que tus proveedores críticos (alojamiento, software, gestión de TI) conllevan? Segunda: ¿estableces requisitos propios para esos proveedores, contractualmente o de otro modo? Lo segundo se superpone con la pregunta de si tus propios proveedores deben cumplir requisitos de seguridad — a menudo es literalmente la misma pregunta con otra presentación, así que primero verifica si ya la habías respondido. Si no tienes una política formal de proveedores, un honesto "no, todavía no" es más preciso que una respuesta que promete más de lo que hay.

Remisible al artículo 21 apartado 2 letra d de la NIS2

Esta pregunta se deriva directamente de las diez medidas del artículo 21 apartado 2 de la Directiva (UE) 2022/2555, en la que la seguridad de la cadena de suministro figura como un apartado separado (letra d) junto a análisis de riesgos y gestión de incidentes. En la Ley de Ciberseguridad, la transposición holandesa que entra en vigor el 15 de agosto de 2026, esta medida aparece para las entidades sujetas a la ley. Quien trabaja con ISO/IEC 27001, reconoce el mismo requisito en el Anexo A entre las medidas de control para relaciones con proveedores. Que tu organización también esté dentro del alcance de esa obligación depende de si la organización como entidad está sujeta a la NIS2 o a su transposición nacional — eso determina si esto es una obligación para ti o solo una pregunta que tu cliente te envía.