NIS2 y la cadena de suministro: cómo evaluar a tus proveedores

Puedes tener tu propia seguridad impecable y aun así sufrir una brecha por culpa de un proveedor. Esa es la realidad que la directiva NIS2 cadena de suministro pone sobre la mesa: tu seguridad es tan fuerte como el eslabón más débil de tus terceros. En los proyectos regulados que dirijo, este es uno de los puntos que más esfuerzo nuevo está exigiendo.

Qué exige NIS2 sobre los proveedores

NIS2 obliga a las entidades afectadas a gestionar los riesgos de seguridad derivados de su cadena de suministro. No basta con asegurar lo propio: hay que evaluar la seguridad de los proveedores, especialmente los que prestan servicios críticos, y exigirles un nivel adecuado. La responsabilidad ya no se delega; se comparte y se supervisa.

Esto enlaza con las sanciones de NIS2: un fallo originado en un tercero mal gestionado puede acarrear consecuencias para la entidad principal.

Cómo evaluar a tus proveedores

Clasifica por criticidad

No todos los proveedores merecen el mismo escrutinio. Clasificarlos según su acceso a sistemas y datos críticos permite concentrar el esfuerzo donde el riesgo es real. Un proveedor de material de oficina no es un proveedor de cloud.

Exige evidencias, no promesas

Pedir certificaciones, resultados de auditorías o cuestionarios de seguridad convierte la confianza en algo verificable. Conecta con la gestión del riesgo de ciberseguridad: evaluar terceros es extender tu análisis de riesgos más allá de tus muros.

Contratos con cláusulas de seguridad

Las obligaciones de seguridad deben quedar por escrito: niveles exigidos, derecho de auditoría y deberes de notificación de incidentes. Un contrato bien redactado es la herramienta más eficaz para gobernar la NIS2 cadena de suministro.

Gobernar el riesgo de terceros de forma continua

La evaluación no es un acto único, sino un proceso vivo. Los proveedores cambian, y con ellos su riesgo. Mantener un registro actualizado de terceros y su nivel de seguridad es justo el tipo de control que he integrado en la herramienta de cumplimiento que desarrollo, porque hacerlo en hojas de cálculo dispersas no escala ni resiste una auditoría.

Documentar la due diligence sin frenar el negocio

Cuando empecé a aplicar NIS2 en proyectos reales, descubrí que el mayor riesgo no era la falta de controles, sino la falta de evidencia. Puedes exigir a un proveedor que cifre los datos o que notifique incidentes, pero si no documentas esa exigencia y su cumplimiento, ante una auditoría es como si nunca hubiera ocurrido. Por eso ahora trabajo con un expediente vivo por cada tercero crítico: contrato con cláusulas de seguridad, último cuestionario respondido, evidencias técnicas y fecha de la próxima revisión.

Ese expediente me permite responder en minutos a la pregunta que tarde o temprano llega desde dirección o desde el regulador: ¿sabemos quién toca nuestros datos y con qué garantías? Mantenerlo actualizado cuesta menos de lo que parece si lo integras en el flujo de compras, de modo que ningún proveedor entre en producción sin haber pasado por el filtro de seguridad. La due diligence deja así de ser un trámite anual para convertirse en una condición de entrada.

Anticipar riesgos emergentes en la cadena

La cadena de suministro no es estática: cambia con cada subcontratista que tu proveedor incorpora y con cada nueva tecnología que despliega. Por eso evalúo no solo el estado actual, sino la trayectoria. Un proveedor que invierte en seguridad, que publica sus certificaciones y que comunica con transparencia sus incidentes me da mucha más confianza que otro impecable sobre el papel pero opaco en la práctica. La madurez se demuestra con hechos sostenidos, no con una foto puntual.

Entre esos riesgos emergentes hay uno que conviene poner ya sobre la mesa con los proveedores críticos: la transición a la criptografía resistente a ordenadores cuánticos. Los datos que hoy se exfiltran cifrados podrían descifrarse en el futuro, así que pregunto a mis terceros por su hoja de ruta en esta materia, un tema que desarrollo en mi artículo sobre criptografía post-cuántica para empresas. Incorporar esta dimensión a la evaluación de proveedores es, hoy, una señal clara de visión a largo plazo.

Un consejo práctico que repito a los equipos: clasifica a tus proveedores por criticidad antes de evaluarlos. No tiene sentido aplicar el mismo nivel de exigencia al servicio que procesa datos sensibles de clientes que al que gestiona el catering de la oficina. Concentra el esfuerzo de auditoría donde un fallo tendría impacto real en la continuidad o en el cumplimiento, y simplifica el resto. Esta proporcionalidad es, además, lo que el propio espíritu de NIS2 espera de una gestión de riesgos madura y sostenible en el tiempo.

Conclusión: tu seguridad incluye la de otros

NIS2 y la cadena de suministro nos recuerdan que la seguridad ya no termina en el perímetro propio. Gobernar a los proveedores con criterio, evidencias y contratos sólidos no es burocracia: es proteger a la organización del riesgo que entra por la puerta de un tercero. Y, cada vez más, es una obligación legal ineludible.

Preguntas frecuentes sobre NIS2 y la cadena de suministro