En un contrato tecnológico debes exigir cinco bloques: certificación o declaración de conformidad vigente y con alcance que cubra el servicio (ENS, ISO 27001), notificación de incidentes con plazos concretos, derecho de auditoría, evidencias documentales verificables y control de la subcontratación con estrategia de salida. ENS, NIS2, DORA y el AI Act añaden matices propios que detallo norma por norma.
Reviso contratos tecnológicos desde los dos lados de la mesa: el de quien compra y el del proveedor que quiere entrar en un pliego. El patrón se repite: páginas sobre precios y niveles de servicio, y un párrafo genérico sobre seguridad que no compromete a nada. Ese párrafo decide quién paga los platos rotos cuando hay un incidente. Aquí tienes qué criterio exigir, qué evidencia lo demuestra y qué cláusula lo recoge.
Qué cláusulas de ciberseguridad exigir en un contrato (respuesta rápida)
Si solo puedes negociar cinco cosas, negocia estas:
- Conformidad demostrable. Certificación o declaración de conformidad vigente (ENS, ISO 27001) cuyo alcance cubra el servicio contratado, mantenida durante toda la vigencia.
- Notificación de incidentes con plazos en horas. No «notificación diligente»: horas desde la detección, canal concreto y contenido mínimo del aviso.
- Derecho de auditoría. Auditar al proveedor, directamente o mediante tercero, y acceder a los informes existentes.
- Evidencias documentales. Políticas de seguridad, gestión de incidentes, pruebas de continuidad y resultados de auditorías, actualizados periódicamente.
- Subcontratación controlada y salida ordenada. Aprobación previa de subcontratistas relevantes, devolución y borrado certificado de los datos, y un plan de salida que evite quedarte cautivo.
El resto son matices de estos cinco bloques según la norma que te aplique.
Por qué eres responsable de lo que firma tu proveedor
Externalizar un servicio no externaliza el riesgo. Esa idea atraviesa toda la normativa de ciberseguridad en España, y cada marco la formula a su manera:
- RGPD. El artículo 28 exige encargados de tratamiento con garantías suficientes y un contrato de encargo con contenidos mínimos; el artículo 32, medidas apropiadas al riesgo. Si tu encargado falla, la responsable ante la AEPD sigue siendo tu empresa.
- NIS2. La directiva NIS2 exige a entidades esenciales e importantes gestionar la seguridad de la cadena de suministro: debes evaluar el riesgo que introducen tus proveedores directos.
- DORA. El reglamento DORA hace del riesgo de terceros TIC una obligación central de las entidades financieras, que deben registrar sus acuerdos con proveedores tecnológicos e incluir en ellos contenidos concretos.
- ENS. El Real Decreto 311/2022 alcanza también a las empresas privadas que prestan servicios al sector público, con medidas específicas sobre contratación de servicios externos y protección de la cadena de suministro.
La consecuencia es la misma: «fue culpa de mi proveedor» no es una defensa ante el regulador. El contrato convierte tu responsabilidad legal en obligaciones exigibles al proveedor.
Criterios, evidencias y cláusulas por norma: la tabla maestra
La tabla resume lo que pido al revisar un contrato: criterio, evidencia que lo demuestra y cláusula que lo recoge. Las redacciones completas van después.
| Criterio | Evidencia que lo demuestra | Norma que lo respalda | Cláusula tipo (resumen) |
|---|---|---|---|
| Conformidad certificada | Certificado ENS o ISO 27001 vigente y con alcance que cubra el servicio | ENS · pliegos públicos | Mantener la certificación vigente y comunicar cambios de alcance |
| Notificación de incidentes | Procedimiento de gestión de incidentes | RGPD · NIS2 · DORA | Aviso en horas desde la detección, con canal y contenido mínimo pactados |
| Derecho de auditoría | Informes de auditoría de tercera parte | RGPD · NIS2 · DORA | Auditoría anual o por causa justificada, directa o mediante tercero |
| Subcontratación controlada | Listado de subcontratistas y flujo de autorización | RGPD · DORA | Autorización previa y traslado de las obligaciones al subcontratista |
| Continuidad y resiliencia | Plan de continuidad y resultados de las últimas pruebas | DORA · ENS | Objetivos de recuperación (RTO/RPO) medibles y pruebas periódicas |
| Localización y devolución de datos | Ubicación declarada del tratamiento | RGPD · DORA | Localización pactada, devolución en formato reutilizable y borrado certificado |
| Estrategia de salida | Plan de salida documentado y plazos de preaviso | DORA | Transición asistida, reversibilidad y continuidad durante la salida |
| Uso de IA documentado | Documentación técnica e instrucciones de uso | AI Act | Declarar los sistemas de IA empleados y entregar su documentación |
Cláusulas ENS: conformidad, categoría y alcance de la declaración
El ENS entra en juego cuando el contrato da soporte a servicios de una Administración pública: software, hosting, sedes electrónicas, mantenimiento de sistemas. Los pliegos exigen cada vez más la conformidad con el ENS como condición para contratar, y la obligación se traslada en cascada al adjudicatario y a sus subcontratistas. Si estás en el lado del proveedor, lo desarrollo en mi guía sobre el ENS para proveedores de la Administración.
Lo que debe recoger la cláusula:
- Conformidad en la categoría correcta. No basta «disponer de ENS»: la certificación o declaración debe corresponder a la categoría (BÁSICA, MEDIA o ALTA) del sistema al que da soporte el servicio.
- Alcance que cubra el servicio. El error más común: certificados reales cuyo alcance no incluye la plataforma o el centro de datos desde el que se presta el servicio.
- Mantenimiento durante la vigencia. Renovar la conformidad y comunicar de inmediato su pérdida, suspensión o cambio de alcance.
Redacción orientativa: «El proveedor acredita su conformidad con el Esquema Nacional de Seguridad (Real Decreto 311/2022) en categoría [BÁSICA/MEDIA/ALTA] mediante certificación cuyo alcance cubre los servicios objeto de este contrato, y se obliga a mantenerla vigente durante toda su duración, comunicando en [X] días hábiles cualquier pérdida, suspensión o modificación de su alcance».
Cláusulas NIS2: cadena de suministro y notificación de incidentes
Si tu empresa es entidad esencial o importante bajo NIS2, tus proveedores directos forman parte de tu análisis de riesgos: la directiva incluye la seguridad de la cadena de suministro entre sus medidas obligatorias. Además, tienes plazos estrictos para notificar incidentes significativos —alerta temprana en las primeras 24 horas y notificación en 72—, así que el proveedor debe avisarte mucho antes.
Lo que debe recoger la cláusula:
- Medidas proporcionadas al riesgo. Compromiso de aplicar medidas coherentes con las que la norma te exige a ti, no una «seguridad razonable» indefinida.
- Notificación en horas, no en días. Un plazo desde la detección que deje margen para tu alerta temprana, con contenido mínimo: qué ha pasado, qué afecta y qué se ha hecho.
- Cooperación en la investigación. Colaborar en el análisis del incidente, conservar evidencias y facilitar la información que pida la autoridad competente.
Redacción orientativa: «El proveedor notificará al cliente todo incidente de seguridad que afecte o pueda afectar al servicio en un plazo máximo de [X] horas desde su detección, por el canal designado, incluyendo descripción, sistemas afectados y medidas adoptadas, y cooperará en su investigación y en las comunicaciones obligatorias a las autoridades».
Cláusulas DORA: proveedores TIC esenciales y estrategia de salida
DORA es la norma más contractual de las cuatro: obliga a las entidades financieras a mantener un registro de información de sus acuerdos con proveedores TIC y fija contenidos que esos contratos deben incluir. Si vendes tecnología a bancos, aseguradoras o entidades de pago, estos requisitos aparecerán en la negociación; con funciones esenciales o importantes, la exigencia sube.
Lo que debe recoger la cláusula:
- Descripción completa del servicio. Funciones cubiertas, ubicaciones desde las que se presta y localización de los datos tratados.
- Niveles de servicio y asistencia en incidentes. Indicadores medibles y obligación de asistencia cuando el incidente afecte al servicio.
- Derechos de acceso, inspección y auditoría. Para la entidad y, cuando proceda, para sus supervisores.
- Estrategia de salida. Plazos de preaviso, transición asistida y reversibilidad de los datos, sin interrumpir la función que el servicio sustenta.
Redacción orientativa: «A la terminación del contrato por cualquier causa, el proveedor prestará la asistencia necesaria para la transición ordenada del servicio durante [X] meses, incluyendo la devolución de los datos en un formato estructurado y de uso corriente, la eliminación certificada de las copias y el mantenimiento de los niveles de servicio durante la transición».
Cláusulas AI Act: documentación técnica y uso de sistemas de IA
El Reglamento (UE) 2024/1689, el AI Act, se aplica de forma escalonada; el grueso de obligaciones para sistemas de alto riesgo llega en agosto de 2026, como resumo en mi guía sobre las obligaciones del AI Act. Para quien contrata, el problema es doble: tu proveedor puede usar IA sin que lo sepas, y tú, como quien despliega el sistema, asumes obligaciones propias de supervisión y uso correcto.
Lo que debe recoger la cláusula:
- Declaración de uso de IA. El proveedor declara si el servicio incorpora sistemas de inteligencia artificial, cuáles y con qué finalidad, y comunica los cambios relevantes.
- Documentación e instrucciones de uso. Para sistemas de alto riesgo, la documentación técnica y las instrucciones que la norma exige, para que puedas cumplir tus obligaciones al desplegarlos.
- Soporte a la supervisión humana. Registros de actividad, posibilidad de intervención y trazabilidad de las decisiones.
Redacción orientativa: «El proveedor declara los sistemas de inteligencia artificial incorporados al servicio en el anexo [X], se obliga a mantener actualizada esa relación y, respecto de los sistemas clasificados de alto riesgo conforme al Reglamento (UE) 2024/1689, a entregar la documentación técnica y las instrucciones de uso necesarias para que el cliente cumpla las obligaciones que le correspondan».
Qué cláusula exige cada marco: tabla comparativa
Las cuatro secciones anteriores van norma a norma. Esta tabla lo cruza: qué marco convierte cada cláusula en obligación y cuál la deja en recomendable («obligatoria»: la norma exige ese contenido o lo necesitas para cumplir una obligación propia; «recomendable»: nada la impone, pero prescindir de ella te deja descubierto).
| Cláusula | RGPD | NIS2 (Dir. 2022/2555) | DORA (Regl. 2022/2554) | ENS (RD 311/2022) | AI Act (Regl. 2024/1689) |
|---|---|---|---|---|---|
| Certificación con alcance verificado | «Garantías suficientes» — art. 28.1 | Recomendable — evidencia del art. 21.2 d) | Recomendable | Obligatoria — conformidad ENS | Marcado CE en alto riesgo — arts. 47 y 48 |
| Notificación de incidentes con plazo | Obligatoria — art. 33.2 (sin plazo numérico: fíjalo tú) | Imprescindible — tu plazo del art. 23.4 la exige | Obligatoria — arts. 30.2 f) y 30.3 b) | Exigida en pliegos | Obligatoria en alto riesgo — art. 73 |
| Derecho de auditoría | Obligatoria — art. 28.3 h) | Recomendable | Obligatoria — art. 30.3 (funciones esenciales) | Habitual en pliegos | Recomendable |
| Control de subcontratación | Obligatoria — art. 28.2 y 28.4 | Recomendable — proveedores directos | Obligatoria — art. 30.2 a) | Obligatoria en cascada | Recomendable |
| Continuidad y pruebas | Medidas del art. 32 | Obligatoria — art. 21.2 c) | Obligatoria — art. 30.3 | Obligatoria — anexo II | Recomendable |
| Estrategia de salida y reversibilidad | Devolución o supresión — art. 28.3 g) | Recomendable | Obligatoria — art. 28.8 | Recomendable | Recomendable |
| Declaración de uso de IA y documentación | Recomendable | Recomendable | Recomendable | Recomendable | Obligatoria en alto riesgo — arts. 13 y 16 |
Dos matices para leerla bien. En el ENS la obligación no nace de un artículo dirigido a ti, sino del pliego que traslada el Real Decreto 311/2022 al adjudicatario y a sus subcontratistas; si vendes al sector público, lo desarrollo en la guía del ENS para proveedores de la Administración. Y en NIS2 la letra clave es literal: entre las medidas mínimas del artículo 21.2 está «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos». Tu proveedor es parte de tu cumplimiento, lo firme o no. Y si antes de negociar necesitas situar cada marco —quién obliga a quién y desde cuándo—, tienes el mapa completo en la guía de la normativa de ciberseguridad en España: RGPD, ENS, NIS2 y DORA y el resto de guías del vertical reunidas en cumplimiento de ciberseguridad.
Plazos de notificación de incidentes: lo que fija cada norma
La cláusula de notificación se negocia con los plazos regulatorios delante. Cada marco fija cuándo debes notificar tú a la autoridad; el contrato fija cuándo te avisa el proveedor. Estos son los plazos vigentes:
| Marco | Quién notifica | A quién | Plazos |
|---|---|---|---|
| RGPD | Responsable | AEPD | 72 horas desde la constancia (art. 33.1) |
| RGPD | Encargado (tu proveedor) | Responsable (tú) | «Sin dilación indebida», sin número (art. 33.2): el plazo lo pone tu contrato |
| NIS2 | Entidad esencial o importante | CSIRT de referencia o autoridad | Alerta temprana en 24 h · notificación en 72 h · informe final en 1 mes (art. 23.4) |
| DORA | Entidad financiera | Autoridad competente | Notificación inicial en 4 h desde la clasificación y máximo 24 h desde el conocimiento · informe intermedio en 72 h · informe final en 1 mes (Regl. Delegado (UE) 2025/301, art. 5) |
| AI Act | Proveedor de sistema de alto riesgo | Autoridad de vigilancia del mercado | 15 días como regla general (art. 73.2) · 2 días si hay infracción generalizada o afecta a infraestructuras críticas (art. 73.3) · 10 días si hay fallecimiento (art. 73.4) |
| ENS | Organismo o proveedor del sector público | CCN-CERT | Sin plazo único en el RD 311/2022: lo fijan la instrucción técnica de notificación y el pliego |
Ojo con la fila del AI Act: sus plazos no siguen la lógica que parece —el fallecimiento tiene diez días y la infracción generalizada, dos—; los desgrano en la guía de incidentes graves de IA y los plazos del artículo 73. Acompañan además al régimen de alto riesgo, cuyo calendario movió el Reglamento (UE) 2026/1744 (anexo III desde el 2 de diciembre de 2027; anexo I desde el 2 de agosto de 2028). En cuanto a DORA, sus plazos obligan a la entidad financiera, no a su proveedor; si es tu caso, tienes el detalle en la guía sobre DORA.
La regla práctica es una resta. Si tu plazo más corto son las 24 horas de la alerta temprana de NIS2 —o las 4 horas de DORA—, el aviso del proveedor no puede consumirlo entero: necesitas margen para analizar, clasificar y redactar. Redacción orientativa:
«El proveedor notificará al cliente todo incidente que afecte o pueda afectar al servicio en un plazo máximo de [4/8] horas desde su detección, en todo caso inferior al menor plazo de notificación regulatoria que resulte aplicable al cliente, y le facilitará la información necesaria para cumplir sus obligaciones de notificación ante las autoridades dentro de plazo».
Cómo verificar las evidencias que te entregue el proveedor
Una cláusula bien redactada no vale nada si aceptas las evidencias sin comprobarlas. Cuatro verificaciones rápidas:
- Certificado ENS: contrástalo. La conformidad con el ENS es pública y verificable; te explico cómo consultar el listado de empresas certificadas en el ENS paso a paso. Comprueba entidad, categoría, alcance y vigencia.
- Certificadora acreditada. Verifica que la entidad que emitió el certificado está acreditada por ENAC para esa actividad. Un «certificado» de una entidad no acreditada es papel mojado.
- ISO 27001 con su alcance y su SoA. Pide el certificado y su declaración de aplicabilidad (SoA): ahí ves qué controles aplica realmente. Un certificado que ampara otra unidad de negocio u otro centro de datos no te protege.
- Evidencias operativas recientes. Informe de la última auditoría, pruebas de continuidad recientes y procedimiento de incidentes con fecha de revisión. Los documentos sin fecha dicen más de lo que callan.
Diez preguntas al proveedor antes de firmar
Las respuestas a estas diez preguntas te dicen más que cualquier folleto comercial. Pídelas por escrito: lo que el proveedor no quiera poner por escrito tampoco lo cumplirá.
- ¿Qué certificación tienes y qué alcance cubre? La buena respuesta trae el certificado, su alcance literal y la fecha de caducidad; la mala dice «estamos alineados con ISO 27001».
- ¿Tu conformidad ENS es de la categoría que exige mi sistema? Básica, media o alta: la categoría inferior no vale, aunque el sello sea real.
- ¿En cuántas horas me notificas un incidente y por qué canal? Un número de horas y un canal concreto. «Lo antes posible» no es un plazo.
- ¿Cuándo probaste el plan de continuidad por última vez y con qué resultado? Fecha, RTO y RPO medidos. Un plan sin pruebas es un documento, no una garantía.
- ¿Quiénes son tus subcontratistas y desde dónde prestan el servicio? Listado nominal, países de tratamiento y compromiso de pedirte autorización antes de cambiarlo.
- ¿Aceptas un derecho de auditoría? Directa o mediante tercero, con acceso a los informes de auditoría existentes.
- ¿Usas sistemas de IA para prestar el servicio? Cuáles, con qué finalidad y con qué documentación. Las garantías específicas las detallo en la guía de cláusulas para contratos con proveedores de IA.
- ¿Qué pasa con mis datos al terminar el contrato? Formato de devolución, plazo y borrado certificado de todas las copias.
- ¿Has tenido incidentes notificables en los últimos 24 meses? Que haya habido alguno no descalifica; que digan «nunca» sin procedimiento de detección, sí.
- ¿Qué cubre tu póliza de ciberriesgo? Cuantía, si incluye daños a terceros y si responde por incidentes originados en sus subcontratistas.
Checklist de cláusulas por norma
Úsalo como revisión final antes de firmar, marcando solo las normas que te afecten.
ENS (el contrato da soporte a servicios del sector público):
- Conformidad ENS en la categoría exigida por el pliego o el sistema.
- Alcance de la certificación que cubre el servicio contratado.
- Mantenimiento de la conformidad y aviso de pérdida o cambio.
- Traslado de las obligaciones ENS a los subcontratistas.
NIS2 (eres entidad esencial o importante):
- Medidas de seguridad coherentes con tus propias obligaciones.
- Notificación de incidentes en horas, con canal y contenido pactados.
- Cooperación en la investigación y conservación de evidencias.
- Proveedor integrado en tu análisis de riesgos de cadena de suministro.
DORA (eres entidad financiera o le vendes a una):
- Descripción del servicio, funciones cubiertas y localización de los datos.
- Niveles de servicio medibles y asistencia ante incidentes.
- Derechos de acceso, inspección y auditoría.
- Estrategia de salida con transición asistida y reversibilidad.
- Datos del contrato listos para tu registro de terceros TIC.
AI Act (el servicio incorpora o puede incorporar IA):
- Declaración de los sistemas de IA empleados y su finalidad.
- Documentación técnica e instrucciones de uso para alto riesgo.
- Capacidades de supervisión humana, registro y trazabilidad.
Transversal (RGPD y sentido común):
- Encargo de tratamiento si trata datos personales por tu cuenta.
- Subcontratación sujeta a autorización y con traslado de obligaciones.
- Devolución y borrado certificado de los datos al finalizar.
- Consecuencias pactadas: penalizaciones, resolución y repetición de sanciones.
Errores al redactar cláusulas de ciberseguridad (y cómo evitarlos)
Los contratos que fallan suelen hacerlo por los mismos motivos:
- Compromisos genéricos sin métrica. «El proveedor aplicará medidas de seguridad razonables» no obliga a nada verificable. Sustitúyelo por plazos en horas, objetivos de recuperación y periodicidad de auditorías: lo que no se puede medir no se puede reclamar.
- Aceptar certificados sin mirar el alcance. El certificado existe, es válido y no cubre el servicio que contratas. Pide siempre el documento de alcance y, en ISO 27001, la declaración de aplicabilidad.
- Copiar cláusulas de otro sector sin adaptar. Exigir la estrategia de salida de DORA a un proveedor de cartelería digital encarece la oferta y desgasta la negociación. Cada cláusula debe responder a una obligación real tuya.
- No pactar las consecuencias. Sin penalización, derecho de resolución ni vía para repetir las sanciones causadas por el proveedor, la cláusula es decorativa.
- Olvidar la subcontratación en cascada. Tu proveedor cumple, pero su subcontratista no. Las obligaciones deben trasladarse por escrito a toda la cadena.
- Exigir más de lo que el mercado puede dar. Pedir categoría ALTA del ENS donde basta BÁSICA deja el pliego desierto o lo encarece sin ganar seguridad. La exigencia se calibra con el riesgo real.
Preguntas frecuentes
¿Qué criterios debo exigir para el cumplimiento de NIS2, DORA, ENS y AI Act en contratos?
Cuatro bloques: certificación o declaración de conformidad vigente (ENS, ISO 27001), compromisos de notificación de incidentes con plazos concretos, derecho de auditoría sobre el proveedor y evidencias documentales (SoA, informes de auditoría, políticas). Cada norma añade matices propios: el ENS exige la categoría correcta, NIS2 la gestión de la cadena de suministro, DORA la estrategia de salida y el AI Act la documentación técnica de los sistemas de IA.
¿Qué evidencias de cumplimiento puedo pedir a un proveedor?
Certificado de conformidad ENS (verificable en el listado que publica el CCN), certificado ISO 27001 con su declaración de aplicabilidad, informes de auditoría de tercera parte, políticas de seguridad y de gestión de incidentes, y pruebas de continuidad de negocio. Pide siempre el alcance: un certificado que no cubre el servicio contratado no vale.
¿Puedo exigir el ENS a un proveedor privado?
Sí, cuando el contrato da soporte a servicios de una Administración pública: el Real Decreto 311/2022 extiende sus requisitos a los proveedores privados que tratan información o sistemas del sector público, y los pliegos de licitación lo recogen de forma explícita cada vez más a menudo.
¿Qué pasa si el proveedor incumple las cláusulas de ciberseguridad?
Depende de lo pactado: penalizaciones, resolución del contrato y repetición de las sanciones que te impongan por su causa. Por eso conviene pactar métricas verificables (plazos de notificación en horas, RTO/RPO, periodicidad de auditorías) y no compromisos genéricos de «seguridad razonable», que no obligan a nada reclamable.
¿Sirve un certificado ISO 27001 como sustituto de la conformidad ENS?
No. Son marcos complementarios pero no equivalentes: si el pliego exige el ENS, hace falta la certificación o declaración de conformidad ENS en la categoría que corresponda. ISO 27001 puede acelerar la adecuación porque muchos controles coinciden, pero no la reemplaza.
¿Qué plazo de notificación de incidentes debo pactar con un proveedor?
El que te permita cumplir tus propias obligaciones: el RGPD da 72 horas para notificar a la AEPD y NIS2 exige una alerta temprana en las primeras 24 horas, así que el proveedor debe avisarte mucho antes. Pacta un plazo en horas desde la detección, con canal designado y contenido mínimo del aviso, no una «notificación diligente» sin métrica.
¿Aplican ya los plazos del artículo 73 del AI Act?
Los plazos de notificación de incidentes graves (15, 2 y 10 días) acompañan al régimen de alto riesgo, y su calendario lo movió el Reglamento (UE) 2026/1744: las obligaciones de los sistemas del anexo III se aplican desde el 2 de diciembre de 2027 y las del anexo I desde el 2 de agosto de 2028. Pactar hoy esas cláusulas te deja el contrato preparado antes de que sean exigibles.
¿Qué diferencia hay entre las 72 horas del RGPD y las 24 horas de NIS2?
Son obligaciones distintas. Las 72 horas del RGPD (art. 33.1) son tuyas como responsable ante la AEPD y solo si hay datos personales en juego. Las 24 horas de NIS2 (art. 23.4) son la alerta temprana al CSIRT si eres entidad esencial o importante, haya o no datos personales. Un mismo incidente puede activar los dos relojes a la vez, y ninguno de los dos espera a tu proveedor.
¿Debo exigir las mismas cláusulas a los subcontratistas de mi proveedor?
Sí, por traslado. El RGPD obliga a imponer al subencargado las mismas obligaciones del contrato principal (art. 28.4), DORA exige controlar la subcontratación de funciones esenciales y el ENS se aplica en cascada al subcontratista del adjudicatario. La cláusula útil obliga al proveedor a trasladar tus condiciones y a responder ante ti por sus subcontratistas.
¿Cómo sé si mi empresa es entidad esencial o importante bajo NIS2?
Depende del sector (anexos I y II de la directiva) y del tamaño: como regla general, medianas y grandes de los sectores cubiertos, con inclusiones especiales independientes del tamaño. Puedes comprobarlo en dos minutos con la herramienta ¿Soy entidad esencial o importante bajo NIS2?. Si sales dentro, la seguridad de tu cadena de suministro (art. 21.2 d) pasa a ser obligación tuya.
Conclusión: la cláusula vale lo que vale su evidencia
Un contrato tecnológico sin cláusulas de ciberseguridad verificables es una transferencia de riesgo hacia ti: tú respondes ante el regulador y el proveedor no responde ante nadie. No hace falta reinventar nada: los cinco bloques de este artículo —conformidad con alcance, notificación con plazos, auditoría, evidencias y salida ordenada— cubren la inmensa mayoría de los casos.
Si estás preparando un pliego, negociando con un proveedor o te acaban de pedir estas cláusulas y no sabes por dónde empezar, cuéntame tu caso y lo vemos juntos, sin compromiso.
¿Tu empresa necesita certificarse para cumplir lo que exigen estos contratos? Conoce mi servicio de consultoría ENS para empresas que quieren licitar o ser proveedoras de la Administración.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.