Un día el departamento de compras de tu mejor cliente te envía un Excel con decenas de preguntas sobre ciberseguridad. «¿Tiene una política de seguridad aprobada por la dirección?». «¿Usa autenticación multifactor en los accesos remotos?». «¿Cuándo probó por última vez a restaurar sus copias?». Y un plazo de dos semanas.
No es un capricho de tu cliente y cada vez será más habitual. La parte buena es que casi todos los cuestionarios preguntan lo mismo, y que se pueden responder bien sin inventar nada.
Por qué te llega ahora
Suele haber detrás una de estas razones, a veces todas juntas.
La primera es NIS2. La Directiva obliga a las entidades esenciales e importantes a gestionar la seguridad de su cadena de suministro (art. 21.2 d) y a tener en cuenta «las vulnerabilidades específicas de cada proveedor» (art. 21.3). En España la ley que la transpone sigue pendiente, pero eso no impide que tu cliente te lo exija ya por contrato. Si quieres saber si te afecta directamente, tienes nuestro test «¿Me aplica NIS2?».
La segunda, el ENS. Si vendes a la Administración, el Real Decreto 311/2022 hace que los pliegos pidan «Declaraciones o Certificaciones de Conformidad con el ENS», y esa exigencia puede bajar a la cadena de suministro del contratista (art. 2.3).
La tercera, el RGPD. Si tratas datos personales por cuenta de tu cliente, la ley le obliga a elegir «únicamente un encargado que ofrezca garantías suficientes» (art. 28.1). El cuestionario es su forma de comprobarlo.
Y luego está el problema de fondo: casi nadie tiene esos papeles. Según Eurostat, en 2024 solo el 30,7 % de las empresas españolas de 10 o más empleados tenía documentadas sus medidas de seguridad informática (la media europea era el 35,5 %). En las pequeñas, de 10 a 49 personas, bajaba al 26,5 %, y solo una de cada cuatro empresas hacía evaluaciones de riesgos. Por eso el cuestionario asusta tanto: pregunta por cosas que la mayoría no tiene escritas.
Si te interesa el otro lado de la mesa, cómo decide tu cliente qué proveedores son críticos, lo contamos en nuestro artículo sobre el riesgo de proveedores.
Qué preguntan de verdad
El formato cambia de un cliente a otro. El fondo, mucho menos. Casi cualquier cuestionario recorre, con otras palabras, las medidas que enumera el artículo 21.2 de NIS2:
| Bloque | Lo que quieren saber | NIS2, art. 21.2 |
|---|---|---|
| Políticas y riesgos | Si hay una política aprobada por la dirección y si analizas tus riesgos | a) |
| Incidentes | Cómo detectas y gestionas un incidente y en qué plazo avisarías al cliente | b) |
| Copias y continuidad | Si haces copias, si has probado a restaurarlas y qué pasa si te caes | c) |
| Tus proveedores | Quién más accede a sus datos a través de ti | d) |
| Parches y vulnerabilidades | Cómo mantienes al día tus sistemas y si haces pruebas de seguridad | e) |
| Revisión | Cómo compruebas que tus medidas funcionan (auditorías, pentests) | f) |
| Formación | Si tu plantilla recibe formación en ciberseguridad | g) |
| Cifrado | Si cifras portátiles, copias y comunicaciones | h) |
| Accesos | Quién accede a qué y si das de baja a quien se va | i) |
| Autenticación multifactor | Si la usas, y dónde | j) |
Si dominas esta lista, tienes resuelta la mayor parte de cualquier cuestionario. Y del siguiente, que llegará.
Ningún «sí» sin evidencia
El error más caro no es contestar «no». Es contestar «sí» a algo que no puedes demostrar. Muchos cuestionarios piden adjuntar la prueba, y algunos contratos incluyen el derecho a auditarte. Un «sí» que luego no se sostiene hace bastante más daño que un «todavía no, lo tendremos en marzo».
Esto es lo que cuenta como evidencia, de más a menos peso:
- Un certificado vigente (ISO 27001, conformidad con el ENS) cuyo alcance cubra el servicio que prestas. Ojo con el alcance: es lo primero que mira un comprador con experiencia.
- Un informe de un tercero, como un pentest o una auditoría.
- Un documento aprobado y con fecha: política, procedimiento, plan de continuidad.
- Un registro: la lista de asistencia a una formación, el informe de una prueba de restauración, una revisión de accesos.
- Una captura de la configuración, por ejemplo el multifactor activado en el correo.
La autodeclaración sin nada detrás es lo que menos vale. También es lo que más tienta cuando hay prisa.
Qué contestar cuando todavía no lo tienes
Una respuesta honesta con plan y fecha suele pasar mejor que un «sí» frágil. Estos son ejemplos del tipo de respuesta que proponemos (solo valen si son verdad, claro):
| Pregunta | Si aún no lo tienes, algo así |
|---|---|
| ¿Tiene una política de seguridad aprobada por la dirección? | «Está en redacción y la dirección la aprobará antes del [fecha]. Adjuntamos el índice.» |
| ¿Usa autenticación multifactor en todos los accesos remotos? | «Sí en correo y VPN. En el ERP la activaremos en [mes]; mientras tanto, solo acceden [n] usuarios desde IP autorizadas.» |
| ¿Prueba la restauración de sus copias? | «Hacemos copia diaria. La primera prueba de restauración documentada está prevista para el [fecha] y les enviaremos el informe.» |
| ¿Está certificado en ISO 27001? | «No. Podemos aportar [política, informe de pentest, registro de formación] y tenemos previsto iniciar la certificación en [plazo].» |
Lo que no funciona es dejar casillas en blanco o pegar respuestas de una plantilla de internet. Quien lee muchos cuestionarios lo nota a la primera.
Qué certificación acorta el cuestionario
Cuando el cliente ve un certificado vigente con el alcance correcto, muchas preguntas desaparecen o se contestan con una línea. Así que, si recibes cuestionarios a menudo, la pregunta deja de ser cómo responderlos y pasa a ser qué te conviene acreditar.
Si vendes a la Administración, el ENS. En categoría BÁSICA basta una autoevaluación y una declaración de conformidad; en MEDIA y ALTA hace falta una auditoría de certificación (art. 38 del RD 311/2022). Lo explicamos en nuestra página de conformidad con el ENS.
Si tus clientes son empresas privadas, la ISO 27001 es el estándar internacional de referencia y la que suelen pedir. Tienes los detalles en certificación ISO 27001. Y si te piden las dos, no son lo mismo, pero comparten buena parte del trabajo: lo contamos en ISO 27001 y ENS.
Hazlo una vez y reutilízalo
El segundo cuestionario es mucho más rápido si el primero lo hiciste bien. Guarda en una carpeta compartida las respuestas aprobadas, con su fecha, y al lado la evidencia de cada una. Revísala cuando cambie algo importante (un proveedor nuevo, un sistema nuevo) y, como mínimo, una vez al año. Según Eurostat, solo el 21,5 % de las empresas españolas había revisado sus documentos de seguridad en los últimos doce meses, así que tenerla al día ya te pone por delante de la mayoría.
Y decide quién se encarga. Si en tu empresa nadie tiene tiempo ni conocimientos para hacerlo, es una de las tareas que asume un CISO externo que responda los cuestionarios por ti: en nuestro servicio va incluido desde el plan más básico.
Preguntas frecuentes sobre cuestionarios de seguridad
¿Puedo negarme a rellenarlo?
Puedes, pero lo normal es que tu cliente lo lea como una señal de riesgo. Si alguna pregunta pide detalles sensibles de tu infraestructura, propón responderla en una reunión o con un acuerdo de confidencialidad en lugar de por escrito.
¿Me sirve que mi empresa tenga la ISO 9001?
Para el cuestionario, poco: la ISO 9001 certifica la gestión de la calidad, no la seguridad de la información. Pero si ya tienes un sistema de gestión certificado, la ISO 27001 te resultará familiar, porque se organiza igual: política, objetivos, auditoría interna, revisión por la dirección y mejora continua.
¿Cada cliente me enviará un cuestionario distinto?
En formato, casi seguro. En contenido, se parecen mucho. Por eso compensa tener una biblioteca de respuestas y evidencias que puedas adaptar en lugar de empezar de cero cada vez.
¿Y si las respuestas dependen de mi proveedor de informática?
Es lo más habitual: según Eurostat, en 2022 el 66 % de las pequeñas empresas españolas confiaba tareas de seguridad informática a proveedores externos. Pídele las evidencias por escrito (copias, multifactor, parches) y revisa que tu contrato con él te permita obtenerlas. Ante tu cliente, quien responde eres tú.
¿Cuánto se tarda en responder uno?
Depende de lo que ya tengas documentado. Con políticas y registros al día, es cuestión de días. Si partes de cero, lo sensato es contestar con honestidad lo que hay y comprometer un plan con fechas para el resto.
Detrás de cada cuestionario hay una pregunta muy simple: ¿eres un riesgo para mí? Si te ha llegado uno y no sabes por dónde empezar, mándanoslo y te decimos qué puedes responder hoy y qué te falta.
Fuentes oficiales (consultadas en octubre de 2026):
- Directiva (UE) 2022/2555 (NIS2), artículos 21.2 y 21.3.
- Real Decreto 311/2022, Esquema Nacional de Seguridad, artículos 2.3 y 38.
- Reglamento (UE) 2016/679 (RGPD), artículo 28.1.
- Eurostat, ICT security in enterprises (encuestas de 2022 y 2024).
- Comisión Europea: remisión de España al TJUE por no transponer NIS2 (8 de julio de 2026).
