NIS2 y cadena de suministro: el art. 21.2.d en la práctica

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué te pueden exigir tus clientes por NIS2 y qué debes exigir tú a tus proveedores?

NIS2 no regula a tus proveedores: te regula a ti frente a ellos. El art. 21.2.d de la Directiva (UE) 2022/2555 te obliga a asegurar tu cadena de suministro directa, y el 21.3, a evaluar de cada proveedor sus vulnerabilidades, sus productos y sus prácticas de ciberseguridad. Eso viaja por contrato: cuestionarios, cláusulas y auditorías.

Ese mecanismo funciona en los dos sentidos, y por eso este tema confunde. Si vendes a una entidad obligada, eres el proveedor arrastrado que recibe exigencias. Si tú estás obligado, eres el comprador que las emite. La buena noticia: lo exigible no hay que adivinarlo. Existe un catálogo oficial de ocho cláusulas, y el propio texto legal marca dónde acaba el compromiso razonable y dónde empieza el regalo.

De dónde salen las cláusulas «por NIS2»: el catálogo oficial de la cadena de suministro

La seguridad de la cadena de suministro es una de las diez medidas del artículo 21 —tienes todas las medidas del art. 21 desglosadas aparte—, y es la única que se cumple sobre terceros. Por qué te alcanza aunque tú no figures en los anexos lo cuenta la vía contractual explicada: tu cliente obligado responde ante la autoridad y necesita trasladarte parte de sus deberes.

¿Y qué puede trasladarte exactamente? El Reglamento de Ejecución (UE) 2024/2690 lo detalla. Ojo con un matiz: ese reglamento obliga directamente solo a las entidades del sector digital (nube, centros de datos, servicios gestionados y de seguridad gestionados, DNS, mercados en línea…). Pero su considerando 14 pide a esas entidades incluir en los contratos «cláusulas de seguridad adecuadas» conformes al art. 21.2, y su punto 5.1.4 es la lista más concreta que existe. Por eso funciona como la plantilla previsible de cualquier contrato «por NIS2», también fuera del sector digital.

Estas son las ocho cláusulas que puede especificar tu contrato (Reglamento 2024/2690, anexo, punto 5.1.4):

• (a) requisitos de ciberseguridad, incluidos los de adquisición del punto 6.1;
• (b) sensibilización, formación y, cuando proceda, certificados del personal del proveedor;
• (c) verificación de antecedentes de ese personal;
• (d) informar «sin demora indebida» de los incidentes que supongan un riesgo para los sistemas del cliente;
• (e) derecho de auditoría o derecho a recibir informes de auditoría;
• (f) hacerse cargo de las vulnerabilidades que expongan al cliente;
• (g) requisitos de subcontratación y, si se permite, requisitos espejo para los subcontratistas;
• (h) obligaciones al terminar el contrato, como la recuperación y eliminación de la información.

Un aviso antes de firmar nada: esto describe qué contenidos son legítimos, no es un modelo listo para firmar. Cada cláusula tiene un margen de negociación que conviene conocer.

Hasta dónde comprometerte: las cuatro cláusulas que se negocian

Aquí está lo que casi ningún resumen cuenta. El propio texto legal te da salidas para no regalar un compromiso imposible. Si quieres el guion completo para gestionarlas, mira cómo responder cuestionarios de clientes; aquí van las cuatro trampas frecuentes.

Derecho de auditoría (5.1.4.e). La norma dice «derecho de auditoría o derecho a recibir informes de auditoría»: la alternativa está en el precepto. Puedes ofrecer un certificado ISO 27001 o SOC 2 con sus informes en lugar de una auditoría in situ ilimitada, y la guía técnica de ENISA (2025) avala expresamente las certificaciones estándar como mecanismo de confianza. La excepción sin margen: si tu cliente es una entidad financiera bajo DORA y el servicio sustenta una función esencial, cambia el marco. No es NIS2, es el art. 30.3 del Reglamento (UE) 2022/2554 (DORA), que impone «derechos ilimitados de acceso, inspección y auditoría». Ahí la auditoría no se negocia: se organiza.

Notificación en cascada (5.1.4.d). Lo exigible es avisar «sin demora indebida» de los incidentes que supongan un riesgo para el cliente. El motivo real es que él tiene sus plazos ante la autoridad (art. 23.4 de la Directiva): una alerta temprana en 24 horas y una notificación en 72 horas desde que tiene constancia, y un informe final un mes después de esa notificación. Lo sensato es comprometer una alerta inicial rápida con la información disponible, no una «notificación completa con análisis de causa raíz en X horas» que no podrás cumplir en plena crisis.

SLA de parcheo (5.1.4.f). El SLA —acuerdo de nivel de servicio— es el compromiso de plazos que te piden para corregir fallos. La obligación literal es «hacerse cargo de las vulnerabilidades que presenten un riesgo» y garantizar actualizaciones durante la vida útil del producto (punto 6.1.2.b), sin plazos fijos. Un dato para calibrar: solo el 46 % de las propias entidades esenciales e importantes de la UE parchea sus vulnerabilidades críticas en menos de un mes, según ENISA (2023). Comprometer «todo parche en 48 horas» es prometer más de lo que cumple el mercado que te lo pide. Lo defendible son plazos escalonados por severidad.

Subcontratación y alcance (5.1.4.g). Trasladar los requisitos en espejo a tus subcontratistas es legítimo. Pero la Directiva se refiere a proveedores directos (art. 21.2.d), y el considerando 85 solo sugiere tomar en consideración los riesgos de los otros niveles de la cadena, sin convertirlos en obligación. Aceptar responsabilidad por «toda la cadena de suministro» excede el estándar legal: acótalo a lo que controlas.

En cambio, hay cláusulas baratas de conceder que generan confianza sin coste real: la devolución o el borrado de datos al terminar (5.1.4.h), un punto de contacto estable y la descripción de los componentes del producto (6.1.2.c). Concédelas sin discutir; ahorran fricción para lo que sí importa.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

El otro lado: evaluar a tus proveedores por NIS2

Si el obligado eres tú, el mismo catálogo se lee al revés y se convierte en tu programa de trabajo. El reglamento te pide:

• Una política de seguridad de la cadena de suministro que rija la relación con tus proveedores directos y comunique a cada uno su papel (punto 5.1.1).
• Unos criterios de selección: prácticas de ciberseguridad, desarrollo seguro, resiliencia del producto y no depender de un único proveedor (punto 5.1.2).
• Un directorio actualizado de proveedores con sus puntos de contacto (punto 5.2).
• Una vigilancia continua: seguimiento de los SLA y revisiones ante cambios o incidentes (puntos 5.1.6 y 5.1.7).

No partes de cero para saber qué pedir. Así evalúan hoy a sus proveedores las entidades esenciales e importantes de la UE, según ENISA (2023): el 61 % exige una certificación de seguridad, el 43 % usa servicios de rating (puntuaciones de ciberseguridad que calcula un tercero), el 37 % hace due diligence —una investigación previa del proveedor— y solo el 9 % no evalúa.

Y el riesgo es concreto: en el 62 % de los ataques a la cadena de suministro analizados por ENISA (2021), el atacante explotó la confianza del cliente en su proveedor.

Dos matices que ahorran errores. El primero, la paradoja del considerando 86: la diligencia reforzada se dirige justo a los proveedores de seguridad gestionada —quien te hace el pentesting, la respuesta a incidentes o las auditorías— por su integración en tus operaciones. El sector que vende ciberseguridad es al que más hay que vigilar. El segundo, un alivio práctico: las comunidades de software libre no cuentan como «proveedores directos» cuando no hay más relación que la licencia estándar (guía ENISA, 2025), así que no tienes que mandar un cuestionario a un proyecto de código abierto.

Y un recordatorio incómodo: externalizar no externaliza la responsabilidad. La misma guía técnica de ENISA —orientativa, no una obligación nueva— recuerda que sigues siendo plenamente responsable de la seguridad de los servicios que te prestan tus proveedores. El contrato reparte tareas; la respuesta ante la autoridad se queda contigo.

Qué hacer esta semana

• Si te llegan cláusulas: contrástalas con las ocho del catálogo (punto 5.1.4). Lo que se salga —parcheo universal en 48 horas, responsabilidad por toda la cadena— se negocia, no se firma en automático.
• Prepara tu carpeta de evidencias: un certificado ISO 27001 o SOC 2 con sus informes te ahorra auditorías in situ (5.1.4.e). Es la inversión que más cuestionarios cierra.
• Si el comprador eres tú: empieza por el directorio de proveedores (punto 5.2) y una política de selección (puntos 5.1.1 y 5.1.2), con diligencia reforzada para los de seguridad gestionada.
• Distingue el régimen: si tu cliente es una entidad financiera, su marco es el art. 30 de DORA, no NIS2. No mezcles exigencias de los dos mundos en un mismo contrato.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.