BLOG · 2026-06-25
NIS2 y la cadena de suministro: tu seguridad es la de tus proveedores
NIS2 obliga a gestionar el riesgo cíber de tus proveedores, con verificación real. Estado en España, a quién aplica y multas.
Resumen rápido
- La Directiva (UE) 2022/2555 (NIS2) está en vigor a nivel europeo desde enero de 2023; el plazo de transposición venció el 17 de octubre de 2024.
- España no ha completado la transposición. Se ha transpuesto parcialmente vía Real Decreto-ley 7/2025 y sigue en trámite la Ley de Coordinación y Gobernanza de la Ciberseguridad. La Comisión Europea mantiene procedimiento de infracción.
- Aplica, en general, a entidades de 18 sectores críticos con 50+ empleados o más de 10 M€ de facturación, con excepciones para pymes en sectores muy críticos.
- Una de sus exigencias centrales es la gestión del riesgo de la cadena de suministro: hay que verificar a los proveedores, no solo recoger una declaración firmada.
- Las multas alcanzan 10 M€ o el 2% de la facturación mundial, con responsabilidad personal de los directivos e incluso posible inhabilitación.
¿Por qué tu seguridad depende de tus proveedores?
Porque tu nivel real de ciberseguridad es, en la práctica, la media ponderada de las empresas de las que dependes. Un proveedor comprometido puede exponer tus datos, romper tu servicio y activar tus obligaciones de notificación, todo a la vez.
NIS2 lo reconoce y por eso eleva la gestión de la cadena de suministro a obligación: ya no basta con proteger tus propios sistemas; tienes que responder de a quién te conectas.
¿Está NIS2 en vigor en España?
A nivel europeo, sí, desde 2023. En España, la transposición no está completa: avanza por el Real Decreto-ley 7/2025 y por la Ley de Coordinación y Gobernanza de la Ciberseguridad, todavía en tramitación parlamentaria, mientras la Comisión Europea presiona por el retraso.
El matiz importante: el retraso no exonera. Las obligaciones materiales ya marcan la dirección, los reguladores y —sobre todo— los clientes europeos aplican criterios coherentes con la directiva sin esperar a la transposición plena, y aparecen ya en pliegos y contratos.
¿Qué falla en la forma habitual de evaluar proveedores?
El cuestionario que mandas por correo, que el proveedor rellena marcando todo en verde y que archivas sin verificar. Es papel mojado, y NIS2 exige justo lo contrario: verificación, no solo declaración.
Lo que mueve la aguja es combinar dos cosas:
- La declaración del proveedor: cuestionario, certificación, ISO 27001 o SOC 2 si los tiene.
- Una mirada externa y técnica: qué se ve de ese proveedor desde fuera —estado de certificados, exposición de sistemas, configuraciones débiles, credenciales filtradas—. La foto que vería un atacante.
Esa segunda parte es la que casi nadie hace, porque requiere capacidad de escaneo técnico real, no un formulario. Y es la diferencia entre "tengo un papel firmado" y "puedo demostrar que verifiqué".
Sigue leyendo
¿Te ha sido útil este artículo? Hablemos.