el cliente pregunta cómo gestionamos el acceso de proveedores externos

El acceso para proveedores externos forma parte del artículo 21 apartado 2

Esta pregunta se refiere a cómo gestiona usted el acceso de terceros a sus sistemas y datos, y afecta a dos de las diez medidas del artículo 21 apartado 2 de NIS2 simultáneamente: punto (i), la política de acceso, y punto (d), la seguridad de la cadena de suministro respecto a proveedores. Por lo tanto, el cliente no solo quiere saber si las partes externas tienen acceso, sino también cómo está delimitado ese acceso, quién lo otorga y lo revoca, y si ese proceso está documentado. Una respuesta como "los proveedores obtienen acceso solo después de la aprobación" es demasiado vaga sin explicar cómo se lleva a cabo esa aprobación y con qué frecuencia se revisa.

Lo que usted necesita concretamente: una descripción del proceso de autorización para cuentas externas, preferiblemente con una mención del principio de mínimo privilegio (acceso limitado a lo necesario) y del plazo en el que se revisa o se revoca el acceso al final de la tarea. Si falta ese proceso, entonces "no" es la respuesta honesta aquí — un "sí" sugestivo sin un documento subyacente causa más daño en una inspección del cliente que un no con una explicación de que la política está en desarrollo. Este tema se superpone con la política de acceso y gestión de activos empresarialesdonde se trata la estructura de autorización más amplia, y con la pregunta de si la empresa establece requisitos para sus propios proveedorespues la gestión del acceso externo es en la práctica a menudo parte de la misma política de cadena de suministro.

Dónde se encuentra esto: artículo 21 apartado 2, puntos (d) e (i)

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona en el punto (i) "política de control de acceso" como una de las diez medidas obligatorias, y en el punto (d) la seguridad de la cadena de suministro incluyendo la relación con proveedores — el acceso externo forma parte de ambas. En la Norma ISO/IEC 27001 Anexo A se desarrollan las medidas de control correspondientes para la gestión del acceso y para las relaciones con proveedores a nivel de control, lo que explica por qué un cliente a menudo pregunta por un número de control específico del Anexo A en lugar de por el texto de la directiva en sí. Para empresas que caen dentro de la transposición holandesa, esta obligación reaparece en la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026.