Cadena de suministro NIS 2: los fundamentos
El artículo 21(2)(d) NIS 2 exige a las empresas reguladas que adopten medidas de seguridad de la cadena de suministro, incluidos los aspectos de seguridad de sus relaciones con sus proveedores y prestadores de servicios directos. Esta página cubre los fundamentos: qué dice la norma, a quién alcanza, qué le pedirán sus clientes y cómo los proveedores demuestran su ciberseguridad sin convertirse ellos mismos en una entidad regulada.
Por qué los pequeños proveedores se ven afectados por NIS2
NIS2 (Art. 21(2)(d) NIS-2, transpuesto en el § 30 Abs. 2 Nr. 4 BSIG) exige a toda entidad esencial e importante (unas 29.500 en Alemania, según el BSI) que adopte medidas de seguridad de la cadena de suministro, incluidos los aspectos de seguridad de sus relaciones con sus proveedores y prestadores de servicios directos. Al elegir esas medidas debe tener en cuenta las vulnerabilidades específicas de cada proveedor directo y la calidad global de los productos y de las prácticas de seguridad de sus proveedores (Art. 21(3)). Los contratos son la vía habitual: la exposición de motivos alemana menciona los acuerdos contractuales con proveedores como ejemplo.
Si su empresa tiene menos de 50 empleados y su volumen de negocios anual y su balance total no superan ambos los 10 millones EUR, normalmente no está directamente regulada por NIS2. Algunos tipos de entidad están regulados sea cual sea su tamaño, como los prestadores de servicios de confianza, los proveedores de DNS, los registros de TLD, los pequeños proveedores de telecomunicaciones públicas y los operadores de instalaciones críticas (§ 28 BSIG). Si presta servicios de TI, software, componentes, logística o cualquier otro servicio a una empresa regulada, los requisitos de NIS2 pueden alcanzarle a través de sus contratos.
§30(2) núm. 4 BSIG: Seguridad de la cadena de suministro
Las entidades reguladas deben adoptar medidas para la "seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad de las relaciones con proveedores o prestadores de servicios directos" (§ 30 Abs. 2 Nr. 4 BSIG, que transpone el Art. 21(2)(d) NIS 2). La obligación sigue en manos de la entidad regulada; un proveedor asume obligaciones solo a través de lo que acuerde con ese cliente.
Requisitos contractuales
Muchas empresas reguladas por NIS2 usan los contratos con proveedores para cumplir su deber en la cadena de suministro; la exposición de motivos alemana menciona como ejemplos los acuerdos sobre medidas de gestión de riesgos, gestión de incidentes y gestión de parches. Espere cláusulas de este tipo en el próximo contrato o en la próxima renovación.
Auditorías y cuestionarios a proveedores
Sus clientes pueden enviarle cuestionarios de seguridad y realizar auditorías. Las respuestas que ya tiene por escrito se dan rápido.
Obligaciones de notificación de incidentes
Si un incidente de seguridad en su empresa provoca un incidente significativo en un cliente regulado por NIS2, ese cliente debe notificarlo al BSI: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final un mes después (§ 32 BSIG). Para cumplir esos plazos necesita saber de usted con rapidez.
Ventaja competitiva
Cuando una empresa regulada elige entre dos proveedores y uno puede demostrar seguridad alineada con NIS2 mientras el otro no: la elección es obvia. El cumplimiento se convierte en un diferenciador de ventas.
Evaluación de riesgos
Identifique y documente los riesgos para los sistemas que usa para el trabajo del cliente. No tiene que ser complejo: una lista estructurada con planes de tratamiento es suficiente.
Control de acceso
¿Quién puede acceder a los datos y sistemas del cliente? Acceso basado en roles, MFA para el acceso remoto y gestión de usuarios documentada.
Gestión de incidentes
Un proceso documentado para detectar, responder y notificar incidentes de seguridad. Ninguna ley fija un plazo para un proveedor; lo fija lo que usted acuerde con su cliente, y el plazo propio del cliente empieza en 24 horas.
Continuidad de la actividad
¿Qué pasa si sus sistemas se caen? Estrategia de copias de seguridad, procedimientos de recuperación y planes probados para seguir entregando a sus clientes.
Políticas y pruebas
Políticas de seguridad escritas, registros de formación y un registro de auditoría que demuestre que cumple sus propias reglas. Esto es lo que los auditores realmente comprueban.
Compruebe su exposición
Use nuestra comprobación de aplicabilidad gratuita para confirmar su estatus NIS2. Aunque no esté directamente en el ámbito, identifique cuáles de sus clientes están regulados por NIS2: esos contratos vendrán con nuevos requisitos.
Realice una evaluación de brechas
Compare sus prácticas de seguridad actuales con las 10 medidas del §30 BSIG. La mayoría de las pequeñas empresas ya hacen algo de esto de manera informal: la brecha suele ser la documentación, no la práctica.
Implemente lo básico
Empiece por los elementos de mayor impacto: control de acceso, estrategia de copias de seguridad, proceso de respuesta a incidentes. La plataforma nisd2.eu le guía por cada requisito con plantillas predefinidas.
Construya su paquete de pruebas
Cuando su cliente le envíe un cuestionario de seguridad, necesita las respuestas preparadas. Políticas, registros de formación, evaluaciones de riesgos y medidas técnicas: todo documentado y exportable.
Revise anualmente
El cumplimiento de NIS2 no es un proyecto puntual. Programe una revisión anual de sus riesgos, actualice sus políticas y renueve la formación de los empleados.
Preguntas frecuentes
¿Estoy legalmente obligado a cumplir NIS2 como pequeño proveedor?▾
No directamente: NIS2 se aplica a las empresas por encima del umbral de mediana empresa de la UE (50 empleados o más, O (más de 10 millones EUR de volumen de negocios Y más de 10 millones EUR de balance total), según la Recomendación 2003/361/CE de la Comisión) en un sector regulado. Algunos tipos de entidad están cubiertos sea cual sea su tamaño (§ 28 BSIG). Sin embargo, sus clientes regulados por NIS2 están legalmente obligados a adoptar medidas de seguridad de la cadena de suministro (§ 30 Abs. 2 Nr. 4 BSIG, que transpone el Art. 21(2)(d) NIS-2). Su cliente puede trasladarle requisitos en el contrato. El BSI no le sancionará, pero puede perder contratos.
¿Qué pasa si no cumplo?▾
Sus clientes regulados por NIS2 se enfrentan a multas de hasta 10 millones EUR / 2 % del volumen de negocios anual mundial (entidades esenciales) o 7 millones EUR / 1,4 % (entidades importantes) si incumplen sus deberes de seguridad de la cadena de suministro (§65 BSIG). O bien le exigirán que cumpla, o bien le sustituirán por un proveedor que pueda. La consecuencia práctica es la pérdida de negocio, no una multa del BSI.
¿Cuánto cuesta el cumplimiento de un proveedor?▾
Para una pequeña empresa, el coste principal es el tiempo. Cuánto depende de lo que ya exista: la ley exige medidas proporcionadas a la exposición al riesgo y al tamaño de la empresa (§ 30 Abs. 1 BSIG), y un proveedor no regulado solo debe lo que acuerde con sus clientes.
¿Puedo usar el cumplimiento de NIS2 como argumento de venta?▾
Sí. Cuando puede demostrar prácticas de seguridad alineadas con NIS2 con pruebas documentadas, facilita a su cliente el cumplimiento de su deber en la cadena de suministro.
¿Y si mi cliente todavía no lo ha pedido?▾
Puede ocurrir. El plazo de registro ante el BSI venció el 6 de marzo de 2026 y la seguridad de la cadena de suministro es una de las 10 medidas del § 30 Abs. 2 BSIG (Nr. 4). Adelantarse a la solicitud hace que la respuesta sea fácil cuando llegue.
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
