mi cliente envía una lista de preguntas NIS2 extensa cuando antes no era así qué debo hacer

Su cliente le traslada su obligación de cadena

Esto suele significar que su cliente está bajo la Ley de Ciberseguridad, y que como entidad esencial o importante está obligado a evaluar la seguridad de sus propios proveedores. Esta obligación proviene de las diez medidas del artículo 21, apartado 2, de la Directiva NIS2, y una de ellas se refiere específicamente a la seguridad de la cadena: la organización debe saber qué tan seguro es su proveedores, y debe poder demostrarlo. Su cliente no formula esta pregunta simplemente así — él mismo está obligado a hacerlo, y usted es en ese momento parte de su "cadena". Por eso la lista llega ahora, incluso si ha suministrado durante años sin que esto se solicitara nunca: la obligación es nueva para él, no para su relación.

Lo que puede esperar es una combinación de preguntas que anteriormente correspondían a la política de acceso y la gestión de activos preguntas sobre el procedimiento en caso de incidentes de seguridad y preguntas sobre la capacidad de recuperación ante una interrupción. Si no tiene un certificado ISO 27001, en sí mismo esto generalmente no es un problema — la directiva no requiere que cada proveedor esté certificado, requiere que el cliente sepa cómo está usted posicionado. Una descripción de sus propias medidas, con documentación de apoyo donde la tenga, es entonces una respuesta válida. Donde no tiene nada, contesta que no hay nada; una lista con solo "sí" sin documentación de apoyo genera más riesgo en una auditoría posterior de su cliente que un honesto "no, todavía no".

Por qué esto llega a usted ahora: artículo 21, apartado 2

La obligación de evaluar proveedores se encuentra en el artículo 21, apartado 2, de la Directiva (UE) 2022/2555, y se desarrolla para las entidades holandesas en la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026. Puede comprobar si su cliente está bajo esa ley y, por lo tanto, está obligado a hacer estas preguntas, generalmente a través del tamaño y sector de su empresa — algo que también es relevante para saber si usted como entidad está bajo la directiva.