Has recibido un correo de un cliente grande con un cuestionario de seguridad, o una cláusula nueva en la renovación del contrato, y aparece la palabra NIS2. La primera reacción es pensar que tienes que contratar una consultora cara. Casi nunca es así. Lo que te piden es un conjunto de prácticas bastante concretas y comprobables, y este artículo te dice cuáles son, qué documentos necesitas de verdad y cómo responder sin que te vendan certificaciones que no te hacen falta.
Aclaración de partida: NIS2 probablemente no te obliga a ti directamente. Es una normativa europea que obliga a empresas de cierto tamaño y sectores concretos. Pero te llega de rebote, y ahora vas a entender por qué.
Por qué NIS2 llega a empresas que no están en su ámbito
NIS2 (la directiva europea de ciberseguridad que sustituye a la anterior NIS) obliga a las entidades que cubre a algo muy concreto: gestionar el riesgo de su cadena de suministro. Es decir, la empresa obligada no solo tiene que protegerse a sí misma, sino asegurarse de que sus proveedores no son la puerta por la que entre un ataque.
¿Y quiénes son sus proveedores? Tú, si le llevas la web, el mantenimiento informático, el software a medida, el hosting, la centralita o cualquier servicio que toque sus sistemas o sus datos. Por eso el cliente obligado te traslada requisitos a ti: porque a él le exigen que controle a quién tiene detrás. No es que NIS2 te aplique; es que tu cliente te la aplica por contrato para poder cumplir él.
Esto tiene una consecuencia práctica importante: la exigencia real no la marca el texto de la ley, la marca tu cliente. Distintos clientes te pedirán cosas de distinto nivel. Para saber quién está realmente obligado y por qué, tenemos un artículo dedicado a a quién obliga NIS2 en España.
El cuestionario de proveedores: las preguntas que siempre se repiten
Los cuestionarios cambian de formato, pero el fondo es sorprendentemente parecido de un cliente a otro. Estas son las preguntas que vas a ver casi siempre, agrupadas:
- Accesos: ¿tienes doble factor en los accesos a sistemas críticos? ¿cómo gestionas las contraseñas? ¿qué pasa cuando se va un empleado?
- Datos: ¿dónde se alojan los datos del cliente? ¿están cifrados? ¿quién tiene acceso?
- Copias de seguridad: ¿haces copias? ¿con qué frecuencia? ¿has probado alguna vez a restaurarlas?
- Actualizaciones: ¿cómo y cada cuánto aplicas parches al software?
- Incidentes: ¿tienes un procedimiento si hay una brecha? ¿en cuánto tiempo avisarías al cliente?
- Subcontratación: ¿trabajas con terceros? ¿les exiges lo mismo que tú declaras cumplir?
Fíjate en que ninguna de estas preguntas requiere una consultora para contestarla. Requieren que tengas eso montado y que lo sepas explicar. Si no lo tienes, la respuesta honesta no es inventarte un sí; es montarlo, que suele ser más barato y rápido de lo que crees.
Qué documentos te van a pedir y cuáles puedes preparar tú
Además de responder el formulario, es habitual que te pidan enseñar papeles. No te asustes por la lista: la mayoría los puedes redactar tú mismo en un par de tardes, en lenguaje claro, sin plantillas de 40 páginas. Los que más se piden:
- Una política de seguridad: un documento corto que diga cómo protegéis los sistemas y los datos. No tiene que ser una novela; dos o tres páginas honestas valen más que un tocho copiado de internet.
- Un procedimiento de gestión de incidentes: qué hacéis, paso a paso, si detectáis un ataque, y a quién avisáis.
- La política de copias de seguridad: qué se copia, cada cuánto, dónde se guarda y cuándo se probó por última vez.
- El registro de accesos: quién tiene acceso a qué, revisado de vez en cuando.
- El contrato de encargado de tratamiento, si manejas datos personales del cliente (esto viene del RGPD, no de NIS2, pero te lo van a pedir en el mismo lote).
La trampa a evitar: comprar un pack de «documentación NIS2» genérico y firmarlo sin leerlo. Si declaras que haces cosas que no haces, el papel no te protege; al contrario, te deja por escrito un incumplimiento el día que pase algo. Documenta lo que de verdad haces, y mejora lo que falte.
Doble factor, copias, parcheo y registro de accesos: el mínimo que se comprueba
De todo lo anterior, hay cuatro medidas que aparecen en todos los cuestionarios y que además son las que un cliente puede verificar de verdad. Si vas a priorizar tu tiempo, empieza por estas:
Doble factor de autenticación (2FA)
En todos los accesos que importan: el panel de administración de las webs que gestionas, el correo, el hosting, el gestor de contraseñas. Es la medida que más ataques para con menos esfuerzo. Cómo montarlo en un equipo pequeño sin volverte loco lo explicamos en la guía de proteger el acceso a WordPress.
Copias de seguridad probadas
La palabra clave es probadas. Una copia que nunca has restaurado no es una copia, es una esperanza. Al menos una vez, restaura una copia en un entorno de prueba y comprueba que funciona. Qué debe incluir una copia que de verdad sirve lo detallamos en qué incluir en las copias de seguridad.
Parcheo con criterio
No hace falta actualizar todo el mismo día, hace falta un orden: primero lo crítico y lo expuesto a internet, con un plazo razonable. Tener escrito «revisamos actualizaciones cada semana y aplicamos las críticas en X días» ya es más de lo que tienen muchos.
Registro de accesos
Saber quién entra a los sistemas y cuándo. Muchas plataformas lo registran solo con activarlo. Sirve para responder al cliente y, sobre todo, para investigar si algún día pasa algo.
Estas cuatro medidas conectan directamente con las que exige el propio RGPD por su cuenta; están alineadas con las medidas de seguridad del artículo 32, así que montarlas te sirve para las dos cosas a la vez.
Cláusulas de notificación de incidentes en tu contrato
Aquí está el detalle que más se pasa por alto y que más te puede doler. Los clientes sujetos a NIS2 tienen plazos muy cortos para notificar incidentes a las autoridades. Como dependen de ti para enterarse de lo que pasa en los sistemas que les gestionas, te van a meter en el contrato una cláusula que dice, en esencia: si detectas un incidente, avísame en X horas.
Léela con atención antes de firmar, porque:
- Si el plazo es de pocas horas, tienes que tener montado un mínimo de vigilancia para poder cumplirlo. No puedes avisar en 24 horas de algo de lo que te enteras a la semana.
- Fíjate en si te cargan a ti responsabilidades desproporcionadas o penalizaciones automáticas. Es negociable.
- Asegúrate de que tú, a tu vez, exiges lo mismo a tus propios proveedores. Si tu hosting tarda tres días en decirte que ha habido un problema, no vas a poder cumplir con tu cliente.
Este tipo de cláusulas y cómo redactarlas de forma equilibrada las tratamos en el artículo sobre las cláusulas de seguridad en el contrato de mantenimiento web.
Convertir el cumplimiento en argumento comercial
Cambia el marco mental. El cuestionario no es solo un fastidio: es una señal de que tu cliente se preocupa por la seguridad, y eso significa que valora (y a menudo paga mejor) a los proveedores que se lo ponen fácil.
La pyme que responde el cuestionario en dos días, con documentación clara y medidas de verdad, gana ventaja frente a la competencia que tarda tres semanas y contesta con evasivas. Puedes darle la vuelta:
- Prepara una vez tu paquete de respuestas y documentos, y reutilízalo con cada cliente que lo pida.
- Ofrece de forma proactiva un pequeño informe de cómo proteges sus sistemas. Eso genera confianza y justifica tu tarifa.
- Usa la vigilancia continua como argumento: poder decir «monitorizo tus webs y te aviso el mismo día si algo cambia» es exactamente lo que NIS2 empuja a tus clientes a exigir.
Lo que no hace falta: certificaciones que te intentarán vender
En cuanto se habla de NIS2, aparecen ofertas de certificaciones y sellos por precios de cuatro cifras. Seamos claros y honestos: para responder al cuestionario de un cliente, una pyme proveedora normalmente no necesita ninguna certificación formal. Necesita tener las medidas puestas y poder demostrarlo.
Una certificación reconocida (del tipo ISO 27001 o el Esquema Nacional de Seguridad) tiene sentido si trabajas de forma recurrente con administraciones públicas o con grandes cuentas que la exigen por escrito como condición para contratarte. En ese caso, es una inversión que se recupera con los contratos. Pero contratarla «por si acaso», sin que nadie te la pida, es gastar dinero para tranquilizarte, no para cumplir.
El criterio sano: implanta las medidas, documéntalas con honestidad, responde a los cuestionarios y saca la certificación solo cuando un cliente concreto la ponga como requisito real. Todo esto encaja en el marco más amplio de la normativa de protección de datos y ciberseguridad para pymes, que conviene tener claro de conjunto.
Responde con evidencias, no con promesas
La diferencia entre un cuestionario que convence y uno que genera dudas es la evidencia. Decir «vigilamos los sistemas» es una promesa; enseñar un registro de cambios con fechas es una prueba. Con Pulse tienes vigilancia continua de las webs que gestionas y un registro de evidencias listo para responder a las auditorías de tus clientes, que es justo lo que NIS2 empuja a las empresas grandes a pedirte. Montarlo hoy te ahorra improvisar el día que llegue el cuestionario.
Seguir leyendo en esta sección
- Seguro de ciberriesgo para pymes: qué cubre y qué te van a exigir para pagarte
- NIS2 en España: a quién obliga de verdad y desde cuándo
- Kit Digital y ayudas a la ciberseguridad: qué cubre de verdad para una pyme
- Contrato con la empresa de mantenimiento web: las cláusulas de seguridad que casi nunca están