Plantillas gratuitas
Cuestionario de seguridad para proveedores
Envía estas preguntas a tus proveedores importantes, ya que el artículo 21.2.d de NIS2 pide seguridad en la cadena de suministro. Cada pregunta explica qué significa un sí.
Cómo usarla
- 1Descarga el archivo para Excel o imprímelo.
- 2Rellena las columnas vacías con tu equipo o tus proveedores.
- 3Acordad responsables y fechas, y revisad de nuevo en unos meses.
Qué contiene: 31 elementos
1.¿Dispone su organización de una política de seguridad de la información por escrito aprobada por la dirección?
Sí significa que existe una política de seguridad vigente, aprobada por la dirección, revisada periódicamente y conocida por su personal.
NIS2 21(2)(a) · ISO 27001 A.5.1
2.¿Ha designado su organización a una persona responsable de la seguridad de la información?
Sí significa que una persona concreta, interna o externa, es responsable de la seguridad, cuenta con el respaldo de la dirección y es contactable por los clientes.
NIS2 21(2)(a) · ISO 27001 A.5.2, A.5.4
3.¿Identifican y evalúan ustedes los riesgos de seguridad de la información al menos una vez al año y hacen seguimiento de su tratamiento?
Sí significa que siguen un método de riesgos definido, mantienen un registro de riesgos con responsables y tratamiento, y lo actualizan al menos cada año y tras cambios importantes.
NIS2 21(2)(a) · ISO 27001 A.5.1, A.5.7
4.¿Dispone su organización de un plan de respuesta a incidentes por escrito con funciones, pasos y contactos?
Sí significa que un plan vigente describe quién hace qué ante un incidente de seguridad, incluidos la escalada, la contención, la recuperación y los datos de contacto.
NIS2 21(2)(b) · ISO 27001 A.5.24, A.5.26
5.¿Nos notificarán ustedes en un plazo de 24 horas desde que tengan conocimiento de un incidente de seguridad que afecte a nuestros datos o a los servicios que nos prestan?
Sí significa que disponen de un contacto designado y de un proceso para avisarnos en 24 horas y mantenernos informados hasta el cierre del incidente.
NIS2 21(2)(b) · ISO 27001 A.5.24, A.5.26
6.¿Registran ustedes los eventos relevantes para la seguridad y los supervisan para detectar actividad sospechosa?
Sí significa que se registran inicios de sesión, acciones de administración y alertas de seguridad, los registros se protegen y conservan durante un plazo fijado, y alguien revisa las alertas con prontitud.
NIS2 21(2)(b) · ISO 27001 A.8.15, A.8.16
7.¿Registran ustedes cada incidente de seguridad y aplican las lecciones aprendidas para mejorar su seguridad?
Sí significa que cada incidente se documenta con su causa, impacto y medidas adoptadas, y que las mejoras derivadas se siguen hasta completarse.
NIS2 21(2)(b) · ISO 27001 A.5.25, A.5.27
8.¿Realizan ustedes copias de seguridad periódicas de los datos y sistemas importantes, con al menos una copia fuera de línea o protegida de otro modo frente al ransomware?
Sí significa que las copias siguen un plan escrito, incluyen también los datos en la nube y al menos una copia no puede modificarse ni borrarse desde su red habitual.
NIS2 21(2)(c) · ISO 27001 A.8.13
9.¿Prueban ustedes la restauración de datos y sistemas a partir de las copias de seguridad al menos una vez al año?
Sí significa que al menos una vez al año se realizan y cronometran restauraciones reales, y se registran los resultados y los problemas detectados.
NIS2 21(2)(c) · ISO 27001 A.8.13
10.¿Disponen ustedes de un plan probado para mantener o restablecer los servicios que nos prestan tras una interrupción grave o una crisis?
Sí significa que un plan de continuidad y de crisis fija tiempos de recuperación y responsables para estos servicios y se ha probado, por ejemplo con un ejercicio, en el último año.
NIS2 21(2)(c) · ISO 27001 A.5.29, A.5.30
11.¿Establecen ustedes requisitos de seguridad para sus propios proveedores y los incluyen en los contratos con ellos?
Sí significa que los contratos con proveedores que tratan datos o servicios relevantes para nosotros incluyen obligaciones de seguridad, confidencialidad y notificación de incidentes.
NIS2 21(2)(d) · ISO 27001 A.5.19, A.5.20
12.¿Nos indicarán ustedes qué subcontratistas intervienen en los servicios que nos prestan y nos informarán antes de cambiarlos?
Sí significa que pueden facilitarnos una lista actualizada de los subcontratistas que intervienen en nuestros servicios o datos, incluida su ubicación, y anunciar los cambios con antelación.
NIS2 21(2)(d) · ISO 27001 A.5.21, A.5.19
13.¿Evalúan ustedes la seguridad de sus proveedores críticos antes de contratarlos y periódicamente después?
Sí significa que los proveedores críticos se revisan, por ejemplo mediante cuestionario, certificado o auditoría, antes de contratarlos y al menos cada uno o dos años.
NIS2 21(2)(d) · ISO 27001 A.5.22
14.¿Instalan ustedes las actualizaciones de seguridad en plazos fijados, aplicando las críticas en cuestión de días?
Sí significa que sistemas operativos, aplicaciones y dispositivos se actualizan según un calendario definido, las correcciones críticas se priorizan y el software sin soporte se sustituye.
NIS2 21(2)(e) · ISO 27001 A.8.8, A.8.19
15.¿Analizan ustedes periódicamente sus sistemas en busca de vulnerabilidades y corrigen los hallazgos en plazos fijados según su gravedad?
Sí significa que los sistemas, sobre todo los expuestos a internet, se analizan con regularidad y los hallazgos se corrigen en plazos que dependen de su gravedad.
NIS2 21(2)(e) · ISO 27001 A.8.8
16.Si desarrollan o mantienen software para nosotros, ¿aplican ustedes prácticas de desarrollo seguro, incluida la revisión de código y pruebas de seguridad antes de cada publicación?
Sí significa que se aplican normas de programación segura, otra persona revisa los cambios y se hacen pruebas de seguridad antes de publicar. Elijan No aplica si no desarrollan software para nosotros.
NIS2 21(2)(e) · ISO 27001 A.8.25, A.8.28, A.8.29
17.¿Disponen ustedes de un proceso para recibir avisos de vulnerabilidades e informar a los clientes de las vulnerabilidades que les afecten?
Sí significa que cualquiera puede notificar una vulnerabilidad a un contacto publicado, los avisos se gestionan con un proceso definido y se informa a los clientes afectados de los riesgos y las correcciones.
NIS2 21(2)(e) · ISO 27001 A.8.8, A.5.24
18.¿Comprueban ustedes periódicamente si sus medidas de seguridad funcionan, por ejemplo mediante auditorías internas o indicadores de seguridad?
Sí significa que revisan sus medidas según un plan, informan de los resultados a la dirección y siguen las acciones correctivas hasta completarlas.
NIS2 21(2)(f) · ISO 27001 A.5.35, A.5.36
19.¿Ha sido revisada su seguridad de forma independiente en los últimos tres años, por ejemplo mediante una auditoría externa, una certificación o una prueba de penetración?
Sí significa que una parte independiente ha revisado su seguridad o los sistemas usados para nuestros servicios, y pueden facilitarnos un resumen, certificado o informe si lo solicitamos.
NIS2 21(2)(f) · ISO 27001 A.5.35, A.8.8
20.¿Reciben todos sus empleados formación de concienciación en seguridad al incorporarse y al menos una vez al año?
Sí significa que todas las personas, incluida la dirección, reciben formación básica en seguridad al incorporarse y cada año, y que se registra quién la ha completado.
NIS2 21(2)(g) · ISO 27001 A.6.3
21.¿Está su personal formado para reconocer el phishing y se filtran los correos en busca de phishing y adjuntos maliciosos?
Sí significa que el personal aprende a detectar el phishing, por ejemplo con correos de phishing simulados, y que el correo entrante se filtra frente a spam, phishing y malware.
NIS2 21(2)(g) · ISO 27001 A.6.3, A.8.7
22.¿Están todos sus portátiles, equipos de sobremesa y servidores gestionados de forma centralizada, configurados de forma segura y protegidos con antimalware actualizado?
Sí significa que los dispositivos siguen una configuración base segura, los ajustes y las actualizaciones se imponen de forma centralizada y la protección antimalware está activa y actualizada en todos ellos.
NIS2 21(2)(g) · ISO 27001 A.8.1, A.8.7, A.8.9
23.¿Se cifran nuestros datos siempre que se transmiten por redes públicas, por ejemplo con versiones actuales de TLS?
Sí significa que todas las conexiones que transportan nuestros datos, incluidos web, API, transferencia de ficheros y transporte de correo, usan cifrado actual y los protocolos obsoletos están desactivados.
NIS2 21(2)(h) · ISO 27001 A.8.24, A.5.14
24.¿Se cifran nuestros datos allí donde se almacenan, incluidos portátiles, dispositivos móviles y copias de seguridad, con las claves protegidas?
Sí significa que el almacenamiento que contiene nuestros datos se cifra con métodos actuales y que las claves de cifrado se gestionan y se guardan separadas de los datos que protegen.
NIS2 21(2)(h) · ISO 27001 A.8.24
25.¿Obtienen las personas solo los accesos que necesitan, con los derechos de administración limitados y los accesos revisados al menos una vez al año?
Sí significa que los accesos se aprueban según la necesidad de conocer, cada persona tiene una cuenta personal, los derechos de administración son pocos y separados, y los accesos se revisan cada año.
NIS2 21(2)(i) · ISO 27001 A.5.15, A.5.18, A.8.2
26.¿Retiran ustedes todos los accesos de las personas que dejan la organización en su último día de trabajo y recogen sus dispositivos?
Sí significa que las cuentas y los accesos remotos y en la nube de quienes se van o cambian de puesto se retiran a tiempo, y se devuelven portátiles, teléfonos y tarjetas de acceso.
NIS2 21(2)(i) · ISO 27001 A.5.18, A.6.5, A.5.11
27.¿Se verifica adecuadamente a los empleados y colaboradores con acceso a nuestros datos y están sujetos a obligaciones de confidencialidad?
Sí significa que las verificaciones de antecedentes se ajustan al puesto y a la ley aplicable, y que contratos o acuerdos firmados obligan al personal y a los colaboradores a guardar confidencialidad.
NIS2 21(2)(i) · ISO 27001 A.6.1, A.6.2, A.6.6
28.¿Mantienen ustedes un inventario actualizado del hardware, el software, los servicios en la nube y los datos utilizados para los servicios que nos prestan?
Sí significa que un inventario al día recoge estos activos con su responsable y su criticidad, y se actualiza cuando hay cambios.
NIS2 21(2)(i) · ISO 27001 A.5.9, A.5.12
29.¿Es obligatoria la autenticación multifactor para el correo electrónico, el acceso remoto y los servicios en la nube?
Sí significa que todas las personas usuarias deben emplear un segundo factor, como una aplicación o una llave de seguridad, en estos servicios, sin excepciones para cuentas habituales.
NIS2 21(2)(j) · ISO 27001 A.8.5
30.¿Utilizan autenticación multifactor todas las cuentas de administrador y todos los accesos a los sistemas que contienen nuestros datos?
Sí significa que las cuentas de administrador y cualquier acceso a sistemas que tratan nuestros datos, también por parte de sus propios proveedores, exigen siempre un segundo factor.
NIS2 21(2)(j) · ISO 27001 A.8.5, A.8.2
31.¿Utilizan ustedes comunicaciones de voz, vídeo y texto seguras, y un canal seguro para emergencias cuando fallan los sistemas habituales?
Sí significa que la comunicación empresarial usa herramientas cifradas aprobadas por ustedes y que existe una vía alternativa segura para contactar con el personal y los clientes en emergencias.
NIS2 21(2)(j) · ISO 27001 A.5.14, A.8.20
| N.º | Pregunta | Qué significa un sí | NIS2 | ISO 27001 | Respuesta (Sí / En parte / No / No aplica) | Evidencias o comentario |
|---|---|---|---|---|---|---|
| 1 | ¿Dispone su organización de una política de seguridad de la información por escrito aprobada por la dirección? | Sí significa que existe una política de seguridad vigente, aprobada por la dirección, revisada periódicamente y conocida por su personal. | 21(2)(a) | A.5.1 | ||
| 2 | ¿Ha designado su organización a una persona responsable de la seguridad de la información? | Sí significa que una persona concreta, interna o externa, es responsable de la seguridad, cuenta con el respaldo de la dirección y es contactable por los clientes. | 21(2)(a) | A.5.2, A.5.4 | ||
| 3 | ¿Identifican y evalúan ustedes los riesgos de seguridad de la información al menos una vez al año y hacen seguimiento de su tratamiento? | Sí significa que siguen un método de riesgos definido, mantienen un registro de riesgos con responsables y tratamiento, y lo actualizan al menos cada año y tras cambios importantes. | 21(2)(a) | A.5.1, A.5.7 | ||
| 4 | ¿Dispone su organización de un plan de respuesta a incidentes por escrito con funciones, pasos y contactos? | Sí significa que un plan vigente describe quién hace qué ante un incidente de seguridad, incluidos la escalada, la contención, la recuperación y los datos de contacto. | 21(2)(b) | A.5.24, A.5.26 | ||
| 5 | ¿Nos notificarán ustedes en un plazo de 24 horas desde que tengan conocimiento de un incidente de seguridad que afecte a nuestros datos o a los servicios que nos prestan? | Sí significa que disponen de un contacto designado y de un proceso para avisarnos en 24 horas y mantenernos informados hasta el cierre del incidente. | 21(2)(b) | A.5.24, A.5.26 | ||
| 6 | ¿Registran ustedes los eventos relevantes para la seguridad y los supervisan para detectar actividad sospechosa? | Sí significa que se registran inicios de sesión, acciones de administración y alertas de seguridad, los registros se protegen y conservan durante un plazo fijado, y alguien revisa las alertas con prontitud. | 21(2)(b) | A.8.15, A.8.16 | ||
| 7 | ¿Registran ustedes cada incidente de seguridad y aplican las lecciones aprendidas para mejorar su seguridad? | Sí significa que cada incidente se documenta con su causa, impacto y medidas adoptadas, y que las mejoras derivadas se siguen hasta completarse. | 21(2)(b) | A.5.25, A.5.27 | ||
| 8 | ¿Realizan ustedes copias de seguridad periódicas de los datos y sistemas importantes, con al menos una copia fuera de línea o protegida de otro modo frente al ransomware? | Sí significa que las copias siguen un plan escrito, incluyen también los datos en la nube y al menos una copia no puede modificarse ni borrarse desde su red habitual. | 21(2)(c) | A.8.13 | ||
| 9 | ¿Prueban ustedes la restauración de datos y sistemas a partir de las copias de seguridad al menos una vez al año? | Sí significa que al menos una vez al año se realizan y cronometran restauraciones reales, y se registran los resultados y los problemas detectados. | 21(2)(c) | A.8.13 | ||
| 10 | ¿Disponen ustedes de un plan probado para mantener o restablecer los servicios que nos prestan tras una interrupción grave o una crisis? | Sí significa que un plan de continuidad y de crisis fija tiempos de recuperación y responsables para estos servicios y se ha probado, por ejemplo con un ejercicio, en el último año. | 21(2)(c) | A.5.29, A.5.30 | ||
| 11 | ¿Establecen ustedes requisitos de seguridad para sus propios proveedores y los incluyen en los contratos con ellos? | Sí significa que los contratos con proveedores que tratan datos o servicios relevantes para nosotros incluyen obligaciones de seguridad, confidencialidad y notificación de incidentes. | 21(2)(d) | A.5.19, A.5.20 | ||
| 12 | ¿Nos indicarán ustedes qué subcontratistas intervienen en los servicios que nos prestan y nos informarán antes de cambiarlos? | Sí significa que pueden facilitarnos una lista actualizada de los subcontratistas que intervienen en nuestros servicios o datos, incluida su ubicación, y anunciar los cambios con antelación. | 21(2)(d) | A.5.21, A.5.19 | ||
| 13 | ¿Evalúan ustedes la seguridad de sus proveedores críticos antes de contratarlos y periódicamente después? | Sí significa que los proveedores críticos se revisan, por ejemplo mediante cuestionario, certificado o auditoría, antes de contratarlos y al menos cada uno o dos años. | 21(2)(d) | A.5.22 | ||
| 14 | ¿Instalan ustedes las actualizaciones de seguridad en plazos fijados, aplicando las críticas en cuestión de días? | Sí significa que sistemas operativos, aplicaciones y dispositivos se actualizan según un calendario definido, las correcciones críticas se priorizan y el software sin soporte se sustituye. | 21(2)(e) | A.8.8, A.8.19 | ||
| 15 | ¿Analizan ustedes periódicamente sus sistemas en busca de vulnerabilidades y corrigen los hallazgos en plazos fijados según su gravedad? | Sí significa que los sistemas, sobre todo los expuestos a internet, se analizan con regularidad y los hallazgos se corrigen en plazos que dependen de su gravedad. | 21(2)(e) | A.8.8 | ||
| 16 | Si desarrollan o mantienen software para nosotros, ¿aplican ustedes prácticas de desarrollo seguro, incluida la revisión de código y pruebas de seguridad antes de cada publicación? | Sí significa que se aplican normas de programación segura, otra persona revisa los cambios y se hacen pruebas de seguridad antes de publicar. Elijan No aplica si no desarrollan software para nosotros. | 21(2)(e) | A.8.25, A.8.28, A.8.29 | ||
| 17 | ¿Disponen ustedes de un proceso para recibir avisos de vulnerabilidades e informar a los clientes de las vulnerabilidades que les afecten? | Sí significa que cualquiera puede notificar una vulnerabilidad a un contacto publicado, los avisos se gestionan con un proceso definido y se informa a los clientes afectados de los riesgos y las correcciones. | 21(2)(e) | A.8.8, A.5.24 | ||
| 18 | ¿Comprueban ustedes periódicamente si sus medidas de seguridad funcionan, por ejemplo mediante auditorías internas o indicadores de seguridad? | Sí significa que revisan sus medidas según un plan, informan de los resultados a la dirección y siguen las acciones correctivas hasta completarlas. | 21(2)(f) | A.5.35, A.5.36 | ||
| 19 | ¿Ha sido revisada su seguridad de forma independiente en los últimos tres años, por ejemplo mediante una auditoría externa, una certificación o una prueba de penetración? | Sí significa que una parte independiente ha revisado su seguridad o los sistemas usados para nuestros servicios, y pueden facilitarnos un resumen, certificado o informe si lo solicitamos. | 21(2)(f) | A.5.35, A.8.8 | ||
| 20 | ¿Reciben todos sus empleados formación de concienciación en seguridad al incorporarse y al menos una vez al año? | Sí significa que todas las personas, incluida la dirección, reciben formación básica en seguridad al incorporarse y cada año, y que se registra quién la ha completado. | 21(2)(g) | A.6.3 | ||
| 21 | ¿Está su personal formado para reconocer el phishing y se filtran los correos en busca de phishing y adjuntos maliciosos? | Sí significa que el personal aprende a detectar el phishing, por ejemplo con correos de phishing simulados, y que el correo entrante se filtra frente a spam, phishing y malware. | 21(2)(g) | A.6.3, A.8.7 | ||
| 22 | ¿Están todos sus portátiles, equipos de sobremesa y servidores gestionados de forma centralizada, configurados de forma segura y protegidos con antimalware actualizado? | Sí significa que los dispositivos siguen una configuración base segura, los ajustes y las actualizaciones se imponen de forma centralizada y la protección antimalware está activa y actualizada en todos ellos. | 21(2)(g) | A.8.1, A.8.7, A.8.9 | ||
| 23 | ¿Se cifran nuestros datos siempre que se transmiten por redes públicas, por ejemplo con versiones actuales de TLS? | Sí significa que todas las conexiones que transportan nuestros datos, incluidos web, API, transferencia de ficheros y transporte de correo, usan cifrado actual y los protocolos obsoletos están desactivados. | 21(2)(h) | A.8.24, A.5.14 | ||
| 24 | ¿Se cifran nuestros datos allí donde se almacenan, incluidos portátiles, dispositivos móviles y copias de seguridad, con las claves protegidas? | Sí significa que el almacenamiento que contiene nuestros datos se cifra con métodos actuales y que las claves de cifrado se gestionan y se guardan separadas de los datos que protegen. | 21(2)(h) | A.8.24 | ||
| 25 | ¿Obtienen las personas solo los accesos que necesitan, con los derechos de administración limitados y los accesos revisados al menos una vez al año? | Sí significa que los accesos se aprueban según la necesidad de conocer, cada persona tiene una cuenta personal, los derechos de administración son pocos y separados, y los accesos se revisan cada año. | 21(2)(i) | A.5.15, A.5.18, A.8.2 | ||
| 26 | ¿Retiran ustedes todos los accesos de las personas que dejan la organización en su último día de trabajo y recogen sus dispositivos? | Sí significa que las cuentas y los accesos remotos y en la nube de quienes se van o cambian de puesto se retiran a tiempo, y se devuelven portátiles, teléfonos y tarjetas de acceso. | 21(2)(i) | A.5.18, A.6.5, A.5.11 | ||
| 27 | ¿Se verifica adecuadamente a los empleados y colaboradores con acceso a nuestros datos y están sujetos a obligaciones de confidencialidad? | Sí significa que las verificaciones de antecedentes se ajustan al puesto y a la ley aplicable, y que contratos o acuerdos firmados obligan al personal y a los colaboradores a guardar confidencialidad. | 21(2)(i) | A.6.1, A.6.2, A.6.6 | ||
| 28 | ¿Mantienen ustedes un inventario actualizado del hardware, el software, los servicios en la nube y los datos utilizados para los servicios que nos prestan? | Sí significa que un inventario al día recoge estos activos con su responsable y su criticidad, y se actualiza cuando hay cambios. | 21(2)(i) | A.5.9, A.5.12 | ||
| 29 | ¿Es obligatoria la autenticación multifactor para el correo electrónico, el acceso remoto y los servicios en la nube? | Sí significa que todas las personas usuarias deben emplear un segundo factor, como una aplicación o una llave de seguridad, en estos servicios, sin excepciones para cuentas habituales. | 21(2)(j) | A.8.5 | ||
| 30 | ¿Utilizan autenticación multifactor todas las cuentas de administrador y todos los accesos a los sistemas que contienen nuestros datos? | Sí significa que las cuentas de administrador y cualquier acceso a sistemas que tratan nuestros datos, también por parte de sus propios proveedores, exigen siempre un segundo factor. | 21(2)(j) | A.8.5, A.8.2 | ||
| 31 | ¿Utilizan ustedes comunicaciones de voz, vídeo y texto seguras, y un canal seguro para emergencias cuando fallan los sistemas habituales? | Sí significa que la comunicación empresarial usa herramientas cifradas aprobadas por ustedes y que existe una vía alternativa segura para contactar con el personal y los clientes en emergencias. | 21(2)(j) | A.5.14, A.8.20 |
ISO 27001 se nombra solo por los códigos de control. Las preguntas son las mismas que las evaluaciones de proveedores incluidas en CloudSignLab.
Hazlo en CloudSignLab
Envía las preguntas en línea: los proveedores responden sin cuenta y tú ves su puntuación frente a tu mínimo.
Recibe nuevas plantillas y noticias sobre NIS2
Opcional: te escribimos cuando publicamos una nueva plantilla o guía. Primero confirmas por correo y puedes darte de baja cuando quieras.