Riesgo de proveedores y cadena de suministro: quién exige qué
Las brechas de seguridad a través de proveedores siguen aumentando en las estadísticas de incidentes, y los marcos normativos les han seguido. La mayoría ya exige seguridad para los proveedores, pero entienden cosas distintas por ello.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
Los proveedores se han convertido en una de las vías de entrada más comunes a las organizaciones, desde actualizaciones de software comprometidas hasta proveedores de servicios gestionados vulnerados. Los marcos han respondido, unos más que otros. ControlMapping sigue esto en dos temas: gestión del riesgo de proveedores (evaluación y gestión de proveedores individuales) y riesgo de la cadena de suministro (el programa que los rodea).
Gestión del riesgo de proveedores
| Marco | Gestión de riesgos de proveedores | Vínculo |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Definición del tema |
| ISO 27001 | A.5.19A.5.20A.5.22 | Correspondencia |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Correspondencia |
| SOC 2 | CC9.2 | Editorial |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | Correspondencia |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | Correspondencia |
| HIPAA | §164.308(b)(1)§164.314(a) | Correspondencia |
| GDPR | Art.28(1)Art.28(3) | Editorial |
| NIS2 | 5.15.26.1 | Correspondencia |
| Essential Eight | — | Sin correspondencia en nuestros datos |
Detalle completo y motivo de cada vínculo: Gestión de riesgos de proveedores en todos los marcos →
Riesgo de la cadena de suministro como programa
| Marco | Riesgo de la cadena de suministro | Vínculo |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | Definición del tema |
| ISO 27001 | A.5.19A.5.21 | Correspondencia |
| CIS v8.1 | CIS 15.2 | Correspondencia |
| SOC 2 | CC9.2 | Editorial |
| PCI DSS | 6.3.212.8.1 | Correspondencia |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | Correspondencia |
| HIPAA | — | |
| GDPR | Art.28(1) | Editorial |
| NIS2 | 5.16.1 | Correspondencia |
| Essential Eight | — | Sin correspondencia en nuestros datos |
Detalle completo y motivo de cada vínculo: Riesgo de la cadena de suministro en todos los marcos →
Dónde coinciden
La mayoría de los marcos exigen el mismo ciclo de vida: conocer quiénes son sus proveedores, evaluarlos antes de contratarlos, incluir requisitos de seguridad en los contratos, supervisarlos y finalizar la relación de forma segura. ISO 27001 lo cubre en A.5.19 a A.5.22; PCI DSS exige una lista de proveedores de servicios, acuerdos por escrito, diligencia debida, supervisión anual y una distribución documentada de responsabilidades (12.8.1 a 12.8.5); SOC 2 espera que el riesgo de proveedores sea evaluado y gestionado (CC9.2); los CIS Controls requieren un inventario, clasificación, requisitos contractuales, evaluación, supervisión y desmantelamiento seguro (Control 15). Diseñe ese ciclo de vida una vez, y el mismo proceso servirá para la mayoría de estos marcos.
Dónde difieren
- GDPR se centra en los encargados del tratamiento: contratos por escrito con las condiciones del artículo 28, y uso únicamente de encargados que ofrezcan garantías suficientes. Trata sobre datos personales, no sobre proveedores en general.
- HIPAA exige contratos de socio comercial (§164.308(b)(1), §164.314(a)) con cualquiera que maneje ePHI en su nombre.
- NIS2 trata la seguridad de la cadena de suministro como una medida en sí misma (artículo 21, apartado 2, letra d), y el Reglamento de Ejecución pide una política de seguridad de la cadena de suministro, criterios de selección de proveedores y requisitos contractuales de seguridad (puntos 5.1 y 5.2), considerando las propias prácticas de seguridad y vulnerabilidades de los proveedores.
- NIST CSF 2.0 es el que llega más lejos, con diez subcategorías de la función Gobernar sobre gestión del riesgo de la cadena de suministro de ciberseguridad, desde establecer un programa hasta gestionar a los proveedores durante todo el ciclo de vida.
- CMMC Level 2 no tiene una práctica sobre proveedores; la transmisión de requisitos a subcontratistas procede de cláusulas contractuales. El Essential Eight no aborda a los proveedores.
Cómo es un buen programa
- Un único inventario de proveedores, con lo que cada proveedor puede acceder y su nivel de criticidad.
- Diligencia debida por niveles: más para proveedores con acceso a datos o sistemas sensibles, menos para el resto. Acepte su informe SOC 2 o certificado ISO cuando cubra el servicio, y revise el alcance.
- Requisitos contractuales: obligaciones de seguridad, notificación de brechas, derechos de auditoría y devolución o eliminación de datos al finalizar (condiciones del artículo 28 del GDPR cuando intervengan datos personales).
- Supervisión proporcional al nivel: revisiones anuales para proveedores críticos, como exige PCI DSS a los proveedores de servicios.
- Baja del proveedor: revocar el acceso, recuperar o eliminar los datos y confirmarlo.
Las páginas de temas Riesgo de proveedores y Riesgo de la cadena de suministro enumeran cada requisito con su fuente. Nuestro artículo sobre por qué un informe SOC 2 no responde por sí solo a la cuestión de los proveedores trata la lectura de las garantías de proveedores.
Preguntas
¿Qué exige NIS2 en materia de seguridad de la cadena de suministro?
El artículo 21, apartado 2, letra d), exige la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones con proveedores directos y prestadores de servicios. El Reglamento de Ejecución establece una política de seguridad de la cadena de suministro, criterios de selección de proveedores y requisitos contractuales (puntos 5.1 y 5.2).
¿Exige CMMC Level 2 la gestión del riesgo de proveedores?
No como programa. CMMC Level 2 hereda SP 800-171 Rev 2, que se centra en proteger la CUI en sus propios sistemas; la transmisión de requisitos a subcontratistas procede en su lugar de las cláusulas contractuales.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.