El eslabón más débil de tu ciberseguridad no está dentro de tu organización. Está en tu cadena de proveedores.
Cada vez más incidentes graves no entran por la puerta principal, sino por un tercero: el proveedor de software, el integrador de TI, el partner logístico, la consultora que gestiona tus nóminas. Y no es solo una cuestión de ciberseguridad: cuando ese tercero falla, también falla tu continuidad de negocio y tu capacidad de responder ante clientes y reguladores.
No es una impresión nuestra. El Verizon DBIR 2026 cifra en el 48 % las brechas en las que aparece implicado un tercero. En la edición anterior era el 30 %, y el año previo rondaba el 15 %. Se ha triplicado en tres años.
Qué te obliga a gestionarlo (y qué no, todavía)
Aquí conviene ser preciso, porque se dicen muchas cosas a la ligera. Cada norma te alcanza por una vía distinta:
- NIS2 (art. 21.2.d y 21.3). Obliga a las entidades esenciales e importantes a gestionar la seguridad de su cadena de suministro, valorando las vulnerabilidades específicas de cada proveedor directo y la calidad de sus prácticas de ciberseguridad y de desarrollo seguro.
- ISO 27001:2022. Incorpora controles específicos de relación con proveedores (A.5.19 a A.5.22) y añade el A.5.23 para el uso de servicios en la nube, que en una pyme suele ser justo donde está el grueso del riesgo de terceros.
- ENS (Real Decreto 311/2022). Regula los servicios externos en los controles op.ext.1 a op.ext.4 del Anexo II, entre ellos op.ext.3 «Protección de la cadena de suministro». Y su art. 2.3 extiende la exigencia de conformidad a las empresas privadas que prestan servicios al sector público y, cuando el análisis de riesgos lo justifique, a la cadena de suministro de esos contratistas. Si trabajas para una Administración, el ENS ya te alcanza por pliego.
- RGPD (art. 28). Si el proveedor trata datos personales por tu cuenta es encargado del tratamiento: necesitas contrato con el contenido mínimo del 28.3, garantías suficientes sobre sus medidas de seguridad y autorización para subencargados. Esto ya es exigible hoy y a todo el mundo, sin esperar a nada.
- DORA. Si estás en el sector financiero, aplica desde enero de 2025 y es bastante más concreto (arts. 28 a 30), incluidas las estrategias de salida.
Hay un matiz sobre NIS2 que casi nadie cuenta y que conviene tener claro: en España la transposición sigue pendiente. La Ley de Coordinación y Gobernanza de la Ciberseguridad no se ha publicado en el BOE y en julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por ese retraso. Eso no significa que no te afecte. Te va a llegar igual, pero por contrato: en cuanto tu cliente esté sujeto a NIS2, te trasladará sus requisitos como proveedor. Y ahí ya no hay plazo de transposición que valga.
Tampoco conviene exagerar el alcance. NIS2 no aplica a toda pyme, sino a entidades esenciales e importantes de sectores concretos; a la mayoría les llega en cascada, no por aplicación directa. Y habla de proveedores directos, no de auditar la cadena entera a cinco niveles, que es desproporcionado y además no es lo que exige la norma.
Lo que nos encontramos en la práctica
En la mayoría de las organizaciones que auditamos, la gestión de terceros se reduce a un documento firmado en la contratación (que te tienes que creer) y a un cuestionario anual, con suerte. Y poco más.
El fallo típico no es no tener cuestionario. Es tener uno de doscientas preguntas que el proveedor rellena en veinte minutos, que nadie contrasta y que se archiva hasta el año siguiente. Un cuestionario sin evidencia adjunta y sin nadie que lo revise no reduce el riesgo: solo lo documenta. Preferimos veinte preguntas que exijan prueba —certificado vigente, informe de pentest, política firmada, resultado del último simulacro de recuperación— que doscientas de autoevaluación. Y decidir de antemano qué respuesta es motivo de no contratar.
Si estás al otro lado y eres tú quien recibe el cuestionario de un cliente, aquí explicamos cómo responder un cuestionario de seguridad sin perder el contrato.
El otro clásico son los terceros invisibles. En casi todas las pymes aparecen servicios contratados con tarjeta por un departamento, sin pasar por IT ni por compras: una herramienta de firma, un CRM, un conector de facturación con acceso al ERP. Tienen acceso a datos reales y no están en ningún inventario. Por eso el primer entregable de un programa de TPRM nunca es una política: es la lista completa de terceros, quién responde internamente de cada uno y a qué accede.
Cómo montamos un programa de TPRM proporcionado
Desde CiberPYME ayudamos a las organizaciones a construir un programa de TPRM (Third Party Risk Management, gestión del riesgo de terceros) real y proporcionado a su tamaño:
- Evaluación y clasificación de proveedores según criticidad e impacto
- Due diligence de ciberseguridad antes de la contratación
- Cláusulas contractuales que realmente protegen (SLA, notificación de incidentes, derecho de auditoría)
- Monitorización continua, no solo evaluación puntual
- Planes de continuidad de negocio que contemplan fallos de terceros críticos
- Gobernanza: quién decide, quién revisa, quién responde cuando algo falla
Clasificar sin montar una burocracia
No todos los proveedores merecen el mismo esfuerzo. Para una pyme, tres niveles bastan. Clasifica cada tercero por dos ejes: qué acceso tiene (datos personales, acceso remoto a tus sistemas, credenciales privilegiadas) y qué pasa si cae (¿paras la producción en horas, en días, o no pasa nada?). Los críticos —los que te paran el negocio o tocan datos sensibles— llevan due diligence completa, cláusulas reforzadas y plan de continuidad. Los relevantes, revisión ligera y contrato con mínimos. El resto, registro y poco más. En una empresa de cincuenta personas, los proveedores críticos rara vez pasan de cinco o seis. El problema no es tener pocos controles: es no saber cuáles son esos seis.
Cláusulas con números, no con adjetivos
Una cláusula sin plazo no es una cláusula. Concreta al menos cuatro cosas: notificación de cualquier incidente que te afecte en un plazo cerrado y corto (24 horas desde la detección es lo razonable, y te deja margen para tus propias obligaciones de notificación); obligación de informar y pedir autorización para subcontratar, con derecho de oposición; derecho de auditoría o, como alternativa proporcionada, entrega de certificación vigente e informe de un tercero; y salida ordenada, con devolución de los datos en formato reutilizable, plazo de borrado certificado y asistencia durante la transición. La de salida es la que casi nadie firma y la que más caro se acaba pagando.
Preguntas frecuentes sobre el riesgo de proveedores
¿Qué es exactamente el TPRM?
Es la gestión del riesgo de terceros: el conjunto de procesos con los que identificas, evalúas, contratas y vigilas a los proveedores que pueden afectar a tu seguridad o a tu continuidad. No es un documento, es un ciclo: inventario, clasificación, due diligence, contrato, seguimiento y salida.
¿Me afecta NIS2 si soy una pyme pequeña?
Directamente, lo más probable es que no: NIS2 se dirige a entidades esenciales e importantes de sectores concretos y, además, en España todavía no está transpuesta. Indirectamente, sí: si prestas servicio a una empresa que sí está sujeta, te trasladará sus requisitos por contrato. Lo desarrollamos en nuestro artículo sobre NIS2 en España.
¿Basta con que mi proveedor tenga la ISO 27001?
Ayuda mucho, pero no es un cheque en blanco. Lo primero que hay que mirar es el alcance del certificado: es habitual que cubra solo un centro o un servicio, y no precisamente el que tú has contratado. Pide el certificado junto con su declaración de aplicabilidad y comprueba que el servicio que te presta está dentro. Si te interesa el detalle, lo explicamos en la guía de ISO 27001 para pymes.
¿Cada cuánto hay que revisar a un proveedor crítico?
Como mínimo una vez al año, y siempre que pase algo: un cambio de propiedad, una subcontratación nueva, un incidente público o un cambio relevante en el servicio. Para los críticos, además, conviene una vigilancia ligera pero continua —avisos de brechas, caducidad de certificados, salud financiera— en lugar de esperar a la fecha del calendario.
¿Y si mi proveedor sufre un incidente?
Ahí se ve si el trabajo estaba hecho. Necesitas saber de antemano qué datos y qué procesos tuyos dependen de él, a quién llamar, en cuánto tiempo debe notificarte y cómo sigues operando mientras esté caído. Si eso no está escrito antes, se improvisa el peor día posible. Es el mismo razonamiento que aplicamos a las primeras 24 horas de un ransomware.
La pregunta no es si alguno de tus proveedores sufrirá un incidente. Es si tú sabrás qué hacer cuando ocurra.
En CiberPYME trabajamos la gestión de terceros dentro de nuestro servicio de consultoría GRC, junto con la auditoría y el pentesting y la monitorización 24/7. ¿Hablamos de cómo está tu organización en este punto? Cuéntanos tu caso y te damos una valoración honesta, sin compromiso.
