Por qué recibe este cuestionario
Si su empresa suministra algo a una organización que está sujeta a la Directiva NIS2 —una entidad crítica o importante, como empresas de energía, hospitales, grandes empresas de transporte o infraestructura digital— entonces ese cliente debe evaluar a sus propios proveedores. La directiva obliga a ese cliente a identificar los riesgos en su cadena de suministro, no solo en sus propios sistemas. Esto se describe en lo que a menudo se denomina obligación de diligencia debida, que se encuentra en el artículo 21 de la directiva. El cuestionario que recibe es la consecuencia práctica de esto: su cliente debe poder demostrar que sabe quiénes son sus proveedores y cómo manejan la seguridad.
Es importante tener en cuenta: el hecho de que reciba un cuestionario no significa automáticamente que su organización esté sujeta a la Directiva NIS2. La mayoría de las empresas que reciben tal lista se consideran afectadas por la cadena de suministro —no están sujetas directamente a la ley, pero sí se ven confrontadas con ella a través de un cliente. Para comprobar si esto se aplica a su organización y qué tipo específico de situación es, puede utilizar una comprobación breve que mapee su situación.
Qué suele contener
Los cuestionarios que circulan actualmente varían mucho según quién los elabore —no hay un formato obligatorio según la ley. Sin embargo, ciertos temas aparecen casi siempre. Preguntas sobre quién dentro de su organización es responsable de la seguridad de la información, si tiene una política para tratar incidentes, cómo regula el acceso a los sistemas, si los empleados reciben capacitación, y si usted también establece requisitos para sus propios proveedores. Algunos cuestionarios también preguntan sobre certificaciones, incidentes anteriores, o cómo maneja las actualizaciones y planes de remediación.
El pensamiento subyacente es siempre el mismo: el cliente intenta hacerse una idea de los riesgos que podrían llegar a él a través de su suministro. No es desconfianza hacia su empresa específicamente, sino una obligación que el cliente debe cumplir. Si desea entender cuáles son las diez medidas que sirven como base para esto, encontrará esa explicación en la descripción general de temas por situación.
Qué solicita una respuesta útil
Una buena respuesta a un cuestionario de seguridad no es necesariamente una en la que marque «sí» en todas partes. Los reguladores y clientes generalmente buscan coherencia: ¿están sus respuestas alineadas con lo que realmente hace, y puede fundamentarlo? Una respuesta vaga u demasiado optimista generará más preguntas a largo plazo que una respuesta honesta que mencione un punto de mejora con un cronograma.
Ayuda tener tres cosas claras para cada pregunta: cuál es la situación actual, quién dentro de su organización puede confirmarlo, y qué documento de prueba lo acompaña —un documento de política, una captura de pantalla de una configuración, un resumen de capacitación. Las empresas que no tienen que buscar estos tres puntos nuevamente para cada pregunta, sino que ya los tienen registrados en un registro actualizado, generalmente pueden completar un cuestionario en aproximadamente una hora en lugar de días. Es exactamente para esto que sirve un dossier con estado, evidencia y responsable por medida.
Lo que no necesita hacer
Es bueno saber que completar y enviar este cuestionario sigue siendo su propia responsabilidad —un servicio puede ayudarle a preparar y estructurar respuestas, pero nunca debe presentar en su nombre ante un cliente o regulador. Tampoco una auditoría, una prueba de penetración o una certificación es lo mismo que completar un cuestionario; eso sigue siendo trabajo para partes especializadas, si un cliente lo solicita específicamente.
Si duda de si las preguntas que recibe son razonables en relación con su tamaño y función, esa es una conversación que es mejor que tenga directamente con el cliente, posiblemente con un abogado si los requisitos se formalizan contractualmente. Secria describe lo que dicen la directiva y la legislación nacional, pero no juzga contratos individuales.
Ir más allá
¿Desea saber primero de dónde procede esta información y cómo se mantiene actualizada? Léalo en la página sobre el funcionamiento de la plataforma. Si aún no tiene claridad sobre su propia posición en la cadena de suministro, comience con la verificación gratuita —que le proporciona en apenas unas preguntas una indicación y un siguiente paso lógico, sin necesidad de tener una cuenta.