El cumplimiento por delegación no escala

La Cyberbeveiligingswet entró en vigor el 15 de agosto de 2026 y formaliza nuevas obligaciones para unas 8.000 organizaciones en los Países Bajos (Rijksoverheid, 2026). Al mercado de consultoría le llevó meses prepararse para esta fecha, y casi toda esa preparación fue a parar a un mismo grupo: las entidades esenciales e importantes ahora obligadas de forma directa por la nueva ley. Los consultores han tenido la agenda a rebosar ayudando a esas organizaciones a mapear sus medidas de deber de cuidado, registrarse ante el NCSC y poner en orden su gobernanza.

Supongamos, de forma conservadora, que cada una de esas 8.000 organizaciones depende al menos de veinte proveedores; el número de empresas que ahora se enfrentan a una cuestión de cumplimiento por culpa de esta ley, sin estar reguladas ellas mismas de forma directa, supera ya holgadamente los 100.000.

NFIR se dio cuenta de otra cosa mientras hacía precisamente ese trabajo de consultoría. Dentro de esas conversaciones, una y otra vez, aparecía la misma laguna: la organización obligada solía estar en un estado razonable, a menudo ya certificada en ISO 27001 o bien encaminada, pero sus proveedores no. Esos proveedores no tenían ningún certificado que enseñar, ninguna forma compartida de demostrar su postura de seguridad y ni idea de cómo responder a la cuestión de cumplimiento que estaba a punto de aterrizar en su bandeja de entrada de varios clientes a la vez.

Bizway vio el mismo problema desde el otro lado. Como proveedor que es, Bizway ya había empezado a notar un aumento de justo este tipo de peticiones: clientes que preguntaban, a veces de manera formal y a veces como algo secundario en una revisión de cuenta, cómo podía Bizway demostrar que cumplía las expectativas relacionadas con NIS2. Dos organizaciones, dos puntos de vista, la misma observación: la presión de esta ley nunca iba a quedarse contenida dentro de las 8.000 empresas reguladas de forma directa. Siempre iba a aterrizar una capa más abajo, sobre quienes las abastecen.

¿Por qué tu cliente te pide de repente una declaración de cumplimiento?

Esto no es una coincidencia, y no es una gestión de cuentas exageradamente celosa. El artículo 21 de la Directiva NIS2 exige a las entidades esenciales e importantes que gestionen la seguridad de su cadena de suministro, incluidos los aspectos relacionados con la seguridad de sus relaciones con los proveedores directos (ENISA, 2023). En la práctica, esa obligación no puede quedarse dentro de la organización regulada. Tiene que trasladarse hacia abajo, a los contratos, a las listas de comprobación de incorporación y, de la forma más visible, a una cuestión de cumplimiento dirigida a cada proveedor del que depende la organización.

El propio análisis de ENISA sobre la ciberseguridad de la cadena de suministro, publicado en 2023 y todavía la referencia de la UE más citada sobre este mecanismo, concluyó que los ataques a la cadena de suministro habían pasado de menos del 1 por ciento de las intrusiones en 2020 al 17 por ciento en 2021. En el 66 por ciento de los incidentes que examinó, el proveedor afectado no sabía cómo había sido comprometido, o no podía explicárselo de forma transparente al cliente que dependía de él. Esa es precisamente la laguna que la Cyberbeveiligingswet está diseñada para cerrar, y precisamente por eso una organización regulada tiene ahora todos los incentivos para pedir a sus proveedores que demuestren su trabajo en lugar de aceptarlo por buena fe.

¿No es un certificado la respuesta obvia?

La respuesta limpia sería que cada proveedor se certificara en ISO 27001 y zanjara el asunto. Para un puñado de proveedores grandes, esa es una vía sensata, y algunos ya lo están haciendo. Para la mayoría, no es realista, y podría decirse que tampoco es necesario. Un certificado es caro, tarda meses en obtenerse y está pensado para organizaciones de cierto tamaño y madurez. Muchos proveedores que no representan ningún riesgo significativo para el cumplimiento de NIS2 de sus clientes están siendo empujados, de forma implícita, a comportarse como si lo representaran.

Lo que esos proveedores necesitan de verdad no es un certificado. Es una forma creíble y con pruebas de responder a la pregunta que se les está haciendo, respaldada por algo más sólido que un correo tranquilizador.

¿Qué pasa cuando a un proveedor le hacen la misma pregunta cincuenta veces?

Aquí el problema se agrava. Un proveedor rara vez tiene un solo cliente haciéndole esta pregunta; tiene varios, cada uno con un formulario algo distinto, un plazo distinto y un conjunto distinto de respuestas esperadas. El análisis del sector de ISACA de mayo de 2026 describe esto directamente como un giro desde la fatiga de los cuestionarios hacia la necesidad de una garantía contextual y respaldada por pruebas, señalando que el viejo modelo de cuestionarios puntuales y ad hoc sencillamente no escala una vez que cada cliente empieza a preguntar de forma independiente (ISACA, 2026). Multiplica eso por el número de clientes a los que sirve un proveedor de tamaño mediano, y el proveedor acaba dedicando más tiempo a rellenar formularios que a mejorar de verdad su seguridad.

Eso no es un fallo de la diligencia de ningún proveedor concreto. Es un fallo estructural de un modelo construido para preguntas ocasionales, al que ahora todo el mundo recurre de forma continua y simultánea a la vez.

¿No sería más exhaustivo un cuestionario a medida de cada cliente?

Hay un argumento real a favor del enfoque actual. Un cliente que redacta su propio cuestionario puede adaptarlo con precisión al riesgo que ese proveedor representa para él: a un proveedor que maneja datos sensibles se le hacen preguntas distintas que a uno que suministra mobiliario de oficina con un lector de tarjetas conectado a internet. Los cuestionarios a medida también mantienen la propiedad y la responsabilidad exactamente donde las coloca NIS2, en la propia organización regulada, y no en una plantilla compartida que nadie ha revisado.

El problema es que esta exhaustividad solo funciona a pequeña escala. Una vez que una organización tiene que evaluar a decenas o cientos de proveedores, y una vez que cada uno de esos proveedores está atendiendo la misma petición de varios clientes en paralelo, un proceso manual y a medida no se vuelve más preciso con el volumen. Se vuelve más lento, más inconsistente y más propenso a responderse de forma superficial solo para quitárselo de encima. La precisión comprada a costa de no completar la tarea no le sirve de mucho a nadie.

¿Cómo es de verdad «demostrar tu trabajo»?

Este es el problema al que apunta la nueva funcionalidad de cuestionarios de cumplimiento de Lighthouse, desarrollada junto con NFIR y Bizway. Ofrece a una organización cuestionarios estándar de NIS2/Cbw, en variantes escaladas según si su cliente es una entidad esencial o una entidad importante, de modo que un proveedor pueda completar algo proporcional a la obligación real en lugar de un peor caso maximalista. Las respuestas no se reducen a un sí o un no; cada una lleva pruebas, una explicación o una fecha prevista cuando algo todavía está en curso, y cada respuesta queda marcada con una fecha y un registro de auditoría.

El cambio más útil es lo que ocurre tras la primera respuesta. Un proveedor puede responder una vez, adjuntar las pruebas y reutilizar esa prueba certificada la próxima vez que un cliente distinto le haga la misma pregunta, en lugar de partir de un formulario en blanco cada vez. Mejor aún, un proveedor no tiene por qué esperar siquiera a la petición: el mismo cuestionario completado se puede compartir de forma proactiva con todos los clientes a la vez, anticipándose a la pregunta antes de que llegue.

Del lado del cliente, una organización puede registrar a los proveedores de los que depende, enviar a cada uno el cuestionario adecuado en su propio nombre y ver una vista en vivo de en qué punto está toda la cadena, con la reevaluación a un solo clic de distancia en el siguiente ciclo. Los cuestionarios se incluyen sin coste adicional para los partners de Guardian360 y sus clientes, así que el presupuesto no es motivo para dejar esto para el próximo trimestre. Guardian360 es claro en que se trata de una herramienta de preparación, no de una certificación: no sustituye a una auditoría formal ni a una evaluación de conformidad, y no pretende hacerlo. Lo que sustituye son las cincuenta hojas de cálculo separadas que nadie tuvo tiempo de comparar.

El objetivo nunca fueron las 8.000

Merece la pena volver al punto de partida. NIS2, y la Cyberbeveiligingswet que la transpone, nunca trataron realmente de blindar a 8.000 organizaciones de forma aislada. Toda la lógica del requisito de cadena de suministro del artículo 21 es que la seguridad de una organización regulada es solo tan buena como la de los proveedores que tiene por debajo. Trata la ley como un ejercicio de cumplimiento para las empresas nombradas en su ámbito de aplicación, y la ambición real, elevar el suelo de seguridad de toda una cadena de suministro de bastante más de 100.000 empresas, fracasa en silencio en el primer eslabón fuera de ese ámbito.

NFIR lo detectó desde la silla de la consultoría, viendo cómo organización tras organización ponía su casa en orden mientras sus proveedores no tenían adónde acudir. Bizway lo detectó desde el lado que recibe, respondiendo la misma pregunta cada vez con más frecuencia y menos paciencia. Las dos observaciones apuntan a la misma conclusión: el cumplimiento por delegación, un cliente, un cuestionario y un proveedor cada vez, no escala al tamaño del problema que NIS2 se escribió para resolver. Construir para la capa que hay debajo de las 8.000 no es un proyecto secundario. Está más cerca del verdadero objetivo de la ley de lo que ha estado la carrera por la certificación.

Fuentes

• Rijksoverheid (7 de julio de 2026). Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht.
• NCSC. Cyberbeveiligingswet (NIS2).
• ENISA (junio de 2023). Good Practices for Supply Chain Cybersecurity.
• ISACA (4 de mayo de 2026). Enhancing Third Party Risk Management: Moving From Questionnaire Fatigue to Contextual Assurance.