el cuestionario pregunta cómo identificamos los riesgos en nuestra cadena de suministro

Los riesgos de la cadena afectan a dos preguntas diferentes

La pregunta sobre riesgos de la cadena de suministro en la práctica se refiere a dos cosas simultáneamente, y el cuestionario a menudo no hace esta distinción de forma explícita. En primer lugar: ¿tiene la empresa una visión clara de los riesgos que llegan a través de sus propios proveedores y prestadores de servicios — piense en un proveedor de TI con acceso a la red, o un componente de software de terceros. En segundo lugar: ¿establece la empresa requisitos a esos proveedores y los supervisa. Este segundo punto se superpone con la pregunta de si la empresa establece requisitos de seguridad a sus propios proveedores — a menudo es literalmente la misma pregunta, solo planteada de nuevo en otra parte de la lista con palabras diferentes.

Quien esté certificado según ISO/IEC 27001 generalmente puede referirse a las medidas de control para las relaciones con proveedores de Annex A — existen específicamente para esta sección, y un auditor ya las ha evaluado. Sin certificado, la respuesta no es automáticamente "no": lo relevante es si existe un análisis de riesgos en el que los proveedores se hayan incluido como punto de atención, aunque sea de forma informal. Esto se alinea con la pregunta más amplia sobre política de análisis de riesgos, donde los riesgos de la cadena típicamente son un párrafo de ella, no un documento separado. Si no hay nada documentado, entonces "no" es la respuesta honesta — presentar un sí sin que exista un análisis de riesgos, cláusula contractual o inventario de proveedores subyacente no resistirá si el cliente solicita la prueba.

De dónde viene esto: artículo 21 apartado 2 NIS2

La seguridad de la cadena se menciona como sección separada en el artículo 21 apartado 2 de la Directiva NIS2, entre las diez medidas enumeradas allí. Para quien está sujeto a la directiva — o en el futuro a la Ley de Ciberseguridad, la transposición holandesa que entra en vigor el 15 de agosto de 2026 — esto no es una medida opcional sino una de las obligatorias. Para quien no está sujeto a ella, pero aun así recibe la pregunta de un cliente, generalmente es una transmisión de ese mismo requisito: el cliente debe poder demostrar que controla su cadena, y por eso lo pregunta.