Lista de preguntas de seguridad de un cliente: ¿qué debe hacer con ella?

## Por qué recibe este cuestionario Si su empresa suministra algo a una organización que está sujeta a la directiva NIS2 — una entidad esencial o importante, como empresas energéticas, hospitales, grandes empresas de transporte o infraestructura digital — entonces ese cliente debe evaluar a sus propios proveedores. La directiva obliga a ese cliente a cartografiar los riesgos en su cadena de suministro, no solo sus propios sistemas. Esto se describe en lo que a menudo se denomina obligación de diligencia debida, que se encuentra en el artículo 21 de la directiva. El cuestionario que llega a su empresa es la consecuencia práctica de esto: su cliente debe poder demostrar que sabe quiénes son sus proveedores y cómo abordan la seguridad. Es importante tener en cuenta: el hecho de que reciba un cuestionario no significa automáticamente que su empresa esté sujeta a la directiva NIS2. La mayoría de las empresas que reciben una lista de este tipo se consideran afectadas por la cadena — no están sujetas a la ley ellas mismas, pero sí se ven confrontadas con ella a través de un cliente. Puede comprobar si esto aplica a su organización y qué tipo exacto de afectación es mediante [[LINK:/nis2-check|una breve verificación que cartografía su situación]]. ## Lo que generalmente contiene Los cuestionarios que circulan actualmente varían mucho según quién los redacte — no existe un formato obligatorio en la ley. Sin embargo, ciertos temas aparecen casi siempre. Preguntas sobre quién dentro de su organización es responsable de la seguridad de la información, si tiene una política para tratar incidentes, cómo regula el acceso a los sistemas, si los empleados reciben capacitación, y si usted mismo también establece requisitos para sus propios proveedores. Algunos cuestionarios también preguntarán sobre certificaciones, sobre incidentes anteriores, o sobre cómo trata las actualizaciones y planes de remediación. El pensamiento subyacente es siempre el mismo: el cliente intenta obtener una imagen de los riesgos que podrían llegar a él a través de su suministro. Esto no es desconfianza hacia su empresa en particular, sino una obligación que el cliente debe cumplir. Si desea entender qué diez medidas sirven como base para esto, encontrará esa explicación en [[LINK:/onderwerpen|la descripción general de temas según situación]]. ## Lo que requiere una respuesta útil Una buena respuesta a un cuestionario de seguridad no es necesariamente aquella en la que marca 'sí' en todas partes. Los supervisores y clientes generalmente buscan coherencia: ¿están sus respuestas alineadas con lo que realmente hace, y puede fundamentarlo? Una respuesta vaga u demasiado optimista genera más preguntas a largo plazo que una respuesta honesta que señala un área de mejora con un calendario asociado. Ayuda tener tres cosas claras para cada pregunta: cuál es la situación actual, quién dentro de su organización puede confirmarlo, y qué documento de prueba corresponde — una política, una captura de pantalla de una configuración, un registro de capacitación. Las empresas que no necesitan buscar estos tres puntos nuevamente para cada pregunta, sino que ya los tienen registrados en un registro continuo, generalmente pueden completar un cuestionario en aproximadamente una hora en lugar de días. Ese es precisamente el propósito de un dossier con estado, documento de prueba y propietario por medida. ## Lo que no necesita hacer Es bueno saber que completar y enviar este cuestionario sigue siendo su responsabilidad — un servicio puede ayudarlo a preparar y estructurar respuestas, pero nunca debe presentar en su nombre a un cliente o supervisor. Una auditoría, una prueba de penetración o una certificación es algo diferente a completar un cuestionario; eso sigue siendo trabajo para partes especializadas, si un cliente lo solicita específicamente. Si duda de que las preguntas que recibe sean razonables en relación con su tamaño y rol, es una conversación que es mejor mantener directamente con el cliente, posiblemente con un abogado si los requisitos se establecen contractualmente. Secria describe lo que dice la directiva y la legislación nacional, pero no juzga contratos individuales. ## Ir más allá Si primero desea saber de dónde viene esta información y cómo se mantiene, lea eso en [[LINK:/hoe-het-werkt|la página sobre la metodología de la plataforma]]. Si aún no tiene una idea clara de su propia posición en la cadena, comience con la verificación gratuita — proporciona una indicación dentro de un par de preguntas y un siguiente paso lógico, sin necesidad de una cuenta para hacerlo.