Qué obliga NIS2 sobre tus proveedores (y qué te exigirán a ti si eres el proveedor)
NIS2 no obliga a tus proveedores: te obliga a ti a gestionar el riesgo que te llega a través de ellos. La letra d) del artículo 21.2 de la Directiva (UE) 2022/2555 incluye entre las medidas mínimas de toda entidad esencial o importante «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos». De ahí sale el efecto que menos se anticipó: la exigencia baja por el contrato hasta empresas que no aparecen en ningún anexo de la directiva. Si vendes software, mantenimiento, alojamiento o cualquier servicio conectado a una entidad obligada, la pregunta ya no es si NIS2 te aplica, sino qué te pedirá tu cliente y con qué se lo demuestras.
Qué dice NIS2 exactamente: el artículo 21.2 d) y el apartado 3
El artículo 21 se lee de arriba abajo o no se entiende. Su apartado 1 pide medidas «adecuadas y proporcionadas», y mide esa proporción por el grado de exposición de la entidad a los riesgos, su tamaño y la probabilidad y gravedad de los incidentes. El apartado 2 fija el suelo: las medidas «incluirán al menos» diez elementos, y el cuarto, la letra d), es la seguridad de la cadena de suministro con la coletilla que decide el alcance: «proveedores o prestadores de servicios directos».
El apartado 3 es el que casi nunca se cita y el que convierte la letra d) en trabajo concreto. Al valorar si esas medidas son idóneas, la entidad debe tener en cuenta dos cosas. Primero, las vulnerabilidades específicas de cada proveedor directo y «la calidad general de los productos y las prácticas en materia de ciberseguridad de sus proveedores y prestadores de servicios, incluidos sus procedimientos de desarrollo seguro». Y segundo, los resultados de las evaluaciones coordinadas de riesgos de las cadenas de suministro críticas del artículo 22.
El considerando 85 explica el mecanismo sin rodeos: debe fomentarse que las entidades esenciales e importantes «incorporen medidas para la gestión de riesgos de ciberseguridad en los acuerdos contractuales con sus proveedores y prestadores de servicios directos». La directiva no ordena al proveedor; empuja a que el cliente se lo pida por contrato. El considerando 86 añade un aviso sobre un tipo concreto: los proveedores de servicios de seguridad gestionados —respuesta a incidentes, pruebas de penetración, auditorías, consultoría— plantean un riesgo especial por su integración estrecha en las operaciones, así que al seleccionarlos hay que «redoblar la diligencia».
El apartado 4 cierra el círculo: cuando la entidad constate que no cumple alguna medida, debe adoptar «sin demora indebida» las correcciones necesarias. Detectar que un proveedor crítico no da la talla y aparcarlo hasta la próxima renovación es, por sí solo, un incumplimiento.
Por qué la exigencia llega a empresas que NIS2 no obliga
Una directiva se dirige a los Estados miembros, no a las empresas. Mientras un Estado no la transponga, puede invocarse frente a ese Estado y sus organismos, pero no crea por sí sola obligaciones exigibles entre empresas privadas. De ahí sale la asimetría que conviene entender antes de sentarse a negociar: a un proveedor pequeño no lo sanciona nadie invocando NIS2, y aun así la exigencia le llega íntegra, porque su cliente sí tiene que cumplir y la única palanca que tiene sobre él es la relación comercial.
El legislador europeo lo anticipó. El considerando 56 de la directiva constata que las pequeñas y medianas empresas «cada vez sufren más ataques contra las cadenas de suministro debido al menor rigor de sus medidas para la gestión de riesgos de ciberseguridad». Y añade que esos ataques «pueden tener un efecto en cascada en el marco de ataques más importantes contra las entidades a las que han suministrado». Esa cascada es la que ahora recorre los contratos en sentido inverso.
La palanca contractual se activa por tres caminos, y el orden importa porque los tres se pueden anticipar:
| Vía | Cuándo aparece | Qué te llega |
|---|---|---|
| Homologación previa | Antes de adjudicar, en la selección de proveedor | Un cuestionario de seguridad y la petición de evidencias documentales |
| Contrato o renovación | Al firmar o al renovar el acuerdo marco | Cláusulas de seguridad, aviso de incidentes y derecho de auditoría |
| Revisión periódica | A intervalos planificados, tras cambios o tras un incidente | Reevaluación, plan de corrección y, en el peor caso, sustitución |
La tercera vía sorprende a quien creía haber pasado el trámite al firmar. El reglamento europeo que desarrolla la letra d) —cuyo alcance se detalla en el apartado siguiente— obliga a revisar la política de cadena de suministro y a reevaluar a los proveedores en tres supuestos. Cuando cambian sus prácticas de ciberseguridad. Cuando hay cambios significativos en las operaciones o en los riesgos. Y cuando ocurre un incidente significativo que afecte a sus servicios o productos. Ser proveedor homologado no es un sello vitalicio.
Hay un cuarto camino, más silencioso, que nace del artículo 23.1: la entidad que sufre un incidente significativo debe comunicarlo, cuando proceda, a los destinatarios de sus servicios. Quien tiene ese deber hacia sus propios usuarios necesita enterarse antes que ellos de lo que pasa en tu sistema, y por eso el aviso rápido es la cláusula que menos se negocia y más se incumple.
Si aún no sabes de qué lado de la línea estás, el test para saber si eres entidad esencial o importante resuelve la clasificación en unos minutos, y la guía de NIS2 para pymes en España sitúa sectores, umbrales y obligaciones.
Los ocho elementos que tu cliente puede llevar al contrato
Aquí hay una fuente que ahorra discusiones. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, desarrolla los requisitos técnicos del artículo 21.2 para un grupo concreto de prestadores digitales. Su artículo 1 los enumera: servicios de DNS, registros de dominios de primer nivel, nube, centros de datos, redes de distribución de contenidos, servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y servicios de confianza. Al ser reglamento y no directiva, se aplica directamente sin pasar por el BOE.
Si tu empresa no está en esa lista, el reglamento no te obliga. Lo que sí ocurre es que es el único desarrollo oficial de la letra d), y por eso se ha convertido en el guion que muchas organizaciones grandes copian en sus cuestionarios de homologación, les aplique o no. Su anexo, punto 5.1.4, enumera lo que los contratos deben especificar, «cuando proceda mediante acuerdos de nivel de servicio»:
| Elemento del punto 5.1.4 | Qué significa en la mesa de negociación | Evidencia que suele pedirse |
|---|---|---|
| a) Requisitos de ciberseguridad del proveedor | Las medidas concretas que te comprometes a mantener | Política de seguridad y descripción de controles |
| b) Sensibilización, capacidades, formación y certificados del personal | Que quien opera el servicio esté formado y acreditado | Plan de formación con asistentes y fechas |
| c) Controles de antecedentes del personal | Verificación de las personas con acceso al servicio | Procedimiento de contratación y su registro |
| d) Aviso de incidentes sin demora indebida | El teléfono que suena a las tres de la madrugada | Procedimiento de escalado con contactos reales |
| e) Derecho de auditoría o a recibir informes de auditoría | O te auditan o entregas informes de tercero | Informe de auditoría vigente y con alcance |
| f) Hacerse cargo de las vulnerabilidades | Parchear lo que ponga en riesgo al cliente | Política de gestión y ventanas de parcheo |
| g) Requisitos de subcontratación | Si subcontratas, con qué condiciones | Lista de subcontratistas y sus compromisos |
| h) Obligaciones al finalizar el contrato | Devolución y eliminación de la información | Procedimiento de salida y certificado de borrado |
La letra e) es la que más fricción genera con proveedores pequeños, y tiene salida negociada: el texto ofrece la alternativa de entregar informes de auditoría en lugar de abrir la puerta a auditorías directas de cada cliente. La letra g) es la que más se olvida, y es la que decide si tu cadena tiene dos eslabones o cinco. Para la redacción concreta de cada una, con el texto que resiste una revisión jurídica, están las cláusulas de ciberseguridad para contratos con proveedores.
Cinco pasos para evaluar a tus propios proveedores
Si la obligada eres tú, la letra d) se resuelve con un proceso corto y documentado. Este es el orden que evita rehacer el trabajo:
- Inventaría a los proveedores directos con acceso o dependencia. No la lista de compras completa: quién toca tus sistemas, quién guarda tus datos y de quién depende que el servicio siga en pie. El proveedor de material de oficina no entra; el de tu centralita, sí.
- Clasifica por impacto, no por facturación. Qué pasa si ese proveedor cae dos días o si alguien entra por él. Suele haber tres o cuatro críticos y una cola larga de irrelevantes.
- Escribe tus criterios de selección. El reglamento de ejecución fija cuatro: las prácticas de ciberseguridad del proveedor, incluidos sus procedimientos de desarrollo seguro; su capacidad de cumplir las especificaciones que tú fijes; la calidad y resiliencia de sus productos y servicios; y tu propia capacidad de diversificar y limitar la dependencia de un único proveedor, cuando proceda. Ese último no es técnico y suele ser el que más duele.
- Traslada al contrato lo que aplique de los ocho elementos. Con proporcionalidad: exigir controles de antecedentes al proveedor de una herramienta de facturación sin acceso a producción es ruido que nadie firmará.
- Fija la revisión antes de necesitarla. A intervalos planificados, cuando cambien las operaciones o los riesgos, y siempre tras un incidente significativo del proveedor. Deja escrito quién la hace y con qué evidencia se cierra.
Qué NO exige NIS2 sobre la cadena de suministro
Buena parte de los cuestionarios que circulan piden cosas que la norma no pide. Estas cuatro precisiones se defienden con el texto delante.
No exige certificación
El artículo 24 permite a los Estados miembros exigir productos, servicios y procesos de TIC certificados en un esquema europeo de certificación de la ciberseguridad, y faculta a la Comisión para especificar por acto delegado qué categorías de entidades quedan obligadas. Es una facultad, no un mandato general: mientras no se ejerza, ninguna certificación es obligatoria por NIS2. Otra cosa es que tu cliente la pida por su cuenta, y entonces es una exigencia contractual suya, no legal.
No obliga a auditar la cadena entera
La letra d) habla de proveedores directos. El considerando 85 dice que las entidades «podrían» tomar en consideración los riesgos de otros niveles: es una posibilidad, no un deber. Lo que sí se traslada hacia abajo es el requisito de subcontratación de la letra g), que es la forma correcta de alcanzar el segundo nivel sin auditar a media Europa.
No fija el plazo en que el proveedor debe avisarte
Los plazos de 24 horas para la alerta temprana y 72 horas para la notificación del artículo 23.4 son tuyos frente al CSIRT o la autoridad competente, y empiezan a contar desde que tienes constancia del incidente. Lo que el proveedor te debe es un aviso «sin demora indebida». Si el contrato no concreta ese plazo en horas, tu reloj de 24 arranca tarde por definición. Cuánto margen deja realmente ese reloj de 24 horas, y qué cuenta como excepción, lo explicamos en el reloj de NIS2: 24 h, 72 h y un mes — fija en el contrato un plazo concreto en horas, no la fórmula genérica de la directiva.
No existe un listado oficial de proveedores homologados
No hay registro público al que apuntarse ni sello administrativo que resuelva la homologación. Quien lo venda así, está vendiendo otra cosa.
Si el proveedor eres tú: qué preparar antes de que te lo pidan
La posición del proveedor no obligado tiene una ventaja que casi nadie explota: el cuestionario llega igual a todos los candidatos, y quien responde en dos días con documentos reales adelanta al que tarda tres semanas en improvisarlos. La carpeta que resuelve casi todas las peticiones es corta.
| Lo que te piden | Lo mínimo que sirve | Lo que no cuela |
|---|---|---|
| Política de seguridad | Documento breve, aprobado y fechado por la dirección | Una plantilla descargada sin firma ni fecha |
| Gestión de incidentes | Procedimiento con roles, criterios y contactos operativos | «Nos avisan por correo y lo miramos» |
| Aviso al cliente | Compromiso de plazo en horas, con canal y suplente | «Sin demora indebida», sin número |
| Copias y recuperación | Política de copias y acta de la última restauración probada | Copias configuradas que nadie ha restaurado nunca |
| Gestión de accesos | Inventario de accesos, altas y bajas, y segundo factor | Cuentas compartidas y contraseñas heredadas |
| Vulnerabilidades y parches | Procedimiento con ventanas y responsable | Actualizar cuando algo falla |
| Subcontratación | Lista de subcontratistas con lo que hace cada uno | No saber quién tiene acceso a través de terceros |
| Fin de contrato | Procedimiento de devolución y borrado con evidencia | Promesa verbal de borrar los datos |
Un matiz sobre las certificaciones: si tienes ISO 27001 o conformidad con el ENS, el cuestionario se acorta mucho, pero lo que convence no es el logotipo sino el alcance. Un certificado cuyo alcance cubre la oficina central y no el servicio que vas a prestar no responde a la pregunta. Y si vendes al sector público, la vía que te alcanza primero no es NIS2 sino el pliego, con el Esquema Nacional de Seguridad para proveedores de la Administración detrás.
Hay además una puerta que casi nadie usa. El artículo 30.1 b) permite que cualquier entidad, esté o no comprendida en el ámbito de la directiva, notifique voluntariamente al CSIRT los incidentes, ciberamenazas o cuasiincidentes significativos que sufra, y el propio artículo aclara que hacerlo no genera obligaciones adicionales a las que ya tuviera. Para un proveedor pequeño golpeado por un incidente que afecta a clientes obligados, esa vía aporta apoyo técnico y un rastro de diligencia que después se puede enseñar.
Qué cambia en España cuando la ley llegue al BOE
La Ley de Coordinación y Gobernanza de la Ciberseguridad, con la que España transpone NIS2, no constaba publicada en el BOE al cerrar este artículo. Lo que el Consejo de Ministros aprobó el 14 de enero de 2025 fue un anteproyecto, que es un acto de gobierno y no una ley.
El retraso ya tuvo consecuencias. En el paquete de infracciones de julio de 2026, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por no notificar las medidas de transposición, dentro del expediente INFR(2024)0270. Y pidió una cantidad a tanto alzado más multas diarias hasta que la transposición se notifique.
El seguimiento de esa tramitación, con el estado y el protocolo de comprobación, está en la guía sobre la ley de ciberseguridad que transpone NIS2 y su estado en el BOE.
Compruébalo tú mismo en un minuto en lugar de fiarte de la fecha de este texto: busca «ciberseguridad» por título en el buscador de legislación del BOE. Si aparece una ley con ese nombre y su identificador BOE-A, ya está transpuesta; si no aparece, no existe. Desconfía de los titulares que anuncian «aprobada la ley de ciberseguridad», porque casi siempre se refieren a la aprobación del anteproyecto.
Cuando llegue cambiarán la autoridad competente, el registro de entidades, el canal de notificación, la supervisión y el régimen sancionador. No cambiará la letra d) del artículo 21.2, que está en la directiva desde 2022, ni lo que tu cliente ya te exige por contrato. Por eso esperar a la ley es mala estrategia comercial aunque sea buena estrategia jurídica: la exigencia contractual no espera al boletín. El resto del marco está reunido en la guía de cumplimiento en ciberseguridad.
Preguntas frecuentes
¿NIS2 me obliga si soy proveedor de una entidad esencial pero no estoy en los sectores del anexo?
Por la directiva, no: las obligaciones del artículo 21 recaen sobre las entidades esenciales e importantes, y quedar fuera de los anexos y de los umbrales de tamaño te deja fuera del ámbito. Lo que sí te alcanza es el contrato. Tu cliente necesita cubrir la letra d) del artículo 21.2 respecto a sus proveedores directos, y lo hace trasladándote requisitos, cuestionarios y cláusulas. La obligación es suya; el trabajo, en buena parte, acaba siendo tuyo.
¿Tengo que exigir la ISO 27001 a mis proveedores?
NIS2 no lo exige. El artículo 24 permite a los Estados miembros exigir productos, servicios y procesos certificados en esquemas europeos de certificación, y deja a la Comisión especificar por acto delegado qué categorías de entidades quedan obligadas; mientras eso no ocurra, ninguna certificación es obligatoria por la directiva. Puedes pedirla como criterio de selección propio, y es razonable en proveedores críticos, pero entonces verifica el alcance del certificado: tiene que cubrir el servicio que te prestan, no otra parte de su organización.
¿Hasta qué nivel de la cadena tengo que mirar?
La letra d) se refiere a proveedores y prestadores de servicios directos, y ahí termina la obligación. El considerando 85 dice que las entidades «podrían» considerar los riesgos de otros niveles, en potencial. La forma practicable de llegar más abajo es la cláusula de subcontratación del punto 5.1.4 g) del anexo del Reglamento 2024/2690: tu proveedor directo se compromete a que sus subcontratistas cumplan los mismos requisitos de seguridad, y tú controlas un contrato en lugar de veinte.
¿Qué plazo de aviso de incidentes debo poner en el contrato?
La norma solo dice «sin demora indebida», así que el número lo pones tú. El criterio que funciona es contar hacia atrás desde tus propios plazos: si tienes 24 horas para la alerta temprana desde que tienes constancia del incidente, un aviso del proveedor a las 12 o 24 horas te deja sin margen. Lo habitual en contratos serios es exigir el aviso en un plazo de pocas horas para incidentes que afecten al servicio, con un canal que no dependa de una sola persona y un contacto suplente.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), DOUE L 333 de 27 de diciembre de 2022: artículo 21 (apartados 1 a 4, con la letra d) del apartado 2), artículo 22 (evaluaciones coordinadas de los riesgos de seguridad de las cadenas de suministro críticas), artículo 23 (apartados 1 y 4), artículo 24 (esquemas europeos de certificación) y artículo 30 (notificación voluntaria).
- Considerandos 56, 85, 86 y 90 de la misma directiva, sobre el efecto en cascada de los ataques a las cadenas de suministro de las pymes, los riesgos de la cadena de suministro, los proveedores de servicios de seguridad gestionados y las evaluaciones coordinadas.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024 (DO L de 18 de octubre de 2024), artículo 1 y anexo, punto 5.1 (política de seguridad de las cadenas de suministro, criterios de selección y elementos contractuales).
- Comisión Europea, paquete de procedimientos de infracción de julio de 2026, decisiones relativas a España: remisión al Tribunal de Justicia de la UE por la no notificación de la transposición de NIS2, expediente INFR(2024)0270.
- Buscador de legislación del BOE, para comprobar la publicación de la ley de transposición.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.