NIS2 y Cadena de Suministro: Cómo Evaluar el Riesgo de tus Proveedores
Muchos incidentes llegan por un proveedor: un software con una vulnerabilidad, un servicio en la nube caído o una cuenta de soporte comprometida. NIS2 lo tiene en cuenta, pero con más matiz del que suelen presentar las guías.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo). Si no lo está, puedes verte afectada de forma indirecta si un cliente incluido te exige garantías por contrato.
Qué dice la Directiva
- Art. 21.2.d: entre las áreas mínimas está “la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos”.
- Art. 21.3: al estudiar la idoneidad de esas medidas, las entidades tendrán en cuenta “las vulnerabilidades específicas de cada proveedor y prestador de servicios directo y la calidad general de los productos y las prácticas en materia de ciberseguridad de sus proveedores”, incluidos sus procedimientos de desarrollo seguro, así como los resultados de las evaluaciones coordinadas de riesgos de cadenas de suministro críticas (art. 22.1).
Es un deber de considerar y evaluar el riesgo, proporcionado al tamaño y la exposición de la entidad. La Directiva no prescribe MFA, cifrado, auditorías anuales o trimestrales, aviso del proveedor en 24 horas, borrado en 30 días, consentimiento de subcontratación, certificaciones ni cláusulas modelo.
Un enfoque proporcionado (ilustrativo)
- Inventario de proveedores con acceso a tus sistemas o datos, o de los que dependes para operar.
- Clasificación por impacto: qué pasaría si falla o es atacado. Criterios como acceso a datos sensibles, acceso remoto a tus sistemas y sustituibilidad.
- Información proporcional a la criticidad: para un proveedor crítico puedes pedir información sobre sus medidas de seguridad, gestión de incidentes y subcontratación; para uno menor, bastan comprobaciones sencillas.
- Contrato: refleja lo que hayas decidido pedir (véase abajo).
- Seguimiento: revisa cuando cambien el servicio, el proveedor o el riesgo, con la frecuencia que decidas.
Qué puede reflejarse en un contrato (según el riesgo)
Como opciones, no como cláusulas obligatorias por NIS2:
- Deber de avisar de incidentes que afecten a tus datos o servicios, con un plazo acordado.
- Medidas de seguridad mínimas aplicables al servicio.
- Reglas de subcontratación y de acceso a tus sistemas.
- Devolución o borrado de datos al terminar el contrato y condiciones de salida.
- Tratamiento de datos personales (contrato de encargado del tratamiento si procede).
- Derecho a información o a auditoría razonable en proveedores críticos.
Los plazos concretos y el alcance de cada cláusula se negocian; no hay valores fijados por la Directiva. Para redactarlas, consulta a un asesor jurídico.
Notificación de incidentes: cosa distinta
La obligación de notificar incidentes significativos (art. 23) recae sobre la propia entidad incluida y se dirige al CSIRT o a la autoridad competente que designe cada Estado; no se traslada al proveedor por el hecho de tenerlo. Ver gestión de incidentes.
Qué no afirmar
- Que seas responsable de la seguridad de tus proveedores: debes evaluarla, no garantizarla.
- Que existan porcentajes o cifras oficiales de incidentes por cadena de suministro sin citar la fuente.
- Que INCIBE ofrezca plantillas o herramientas concretas de evaluación de proveedores si no puedes enlazarlas.
Artículos relacionados
- Checklist NIS2: las áreas del artículo 21
- Segmentación de red en PYMEs
- Sectores de los anexos I y II de NIS2
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículos 21, 22 y 23, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿Soy responsable de la seguridad de mis proveedores según NIS2?
- No de forma directa. Las entidades incluidas deben tener en cuenta la seguridad de su cadena de suministro, incluidos los aspectos de seguridad de la relación con proveedores directos, considerando sus vulnerabilidades y la calidad de sus prácticas de ciberseguridad (art. 21.2.d y 21.3). Es una evaluación de riesgo, no una garantía del tercero.
- ¿NIS2 obliga a auditar a los proveedores o a incluir cláusulas concretas?
- No. La Directiva no prescribe auditorías anuales ni trimestrales, cuestionarios, certificaciones, plazos de aviso ni cláusulas modelo. Qué pedir y cómo reflejarlo en el contrato depende de tu análisis de riesgos, de la relación con cada proveedor y, en su caso, de la ley española.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
