Cómo contestar el cuestionario de seguridad de un cliente: triaje, respuestas que aguantan la revisión, qué no enviar y un ejemplo trabajado.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
El cuestionario de seguridad de un cliente se contesta bien cuando cada respuesta es verdad hoy, se puede enseñar con un documento y no promete en el contrato más de lo que puedes cumplir. Te lo mandan porque a tu cliente le piden controlar a sus proveedores: la ISO 27001, NIS2, DORA o el RGPD, según quién sea. Aquí va el método, del correo de compras al envío, con un ejemplo trabajado.
La regla de las tres respuestas y el expediente único de evidencias ya están en la guía de NIS2 para pymes. Aquí va el resto: qué preguntar antes, cómo clasificar cada pregunta, cómo redactar la respuesta y qué no mandar.
Un cuestionario de seguridad no es un examen que se aprueba. Es una declaración que tu cliente archiva y que algún día te pedirá demostrar.
Saber qué obliga a tu cliente te dice qué preguntas pesan más:
| Si tu cliente es | Lo que le obliga | Lo que mirará con lupa |
|---|---|---|
| Una empresa con ISO 27001 | Controles 5.19 a 5.22 del Anexo A, sobre la seguridad en la relación con los proveedores | Que tus respuestas cuadren con lo que firmasteis |
| Una entidad esencial o importante de NIS2 | Artículos 21.2 d) y 21.3 de la Directiva (UE) 2022/2555: cadena de suministro y prácticas de cada proveedor directo | Vulnerabilidades, desarrollo seguro y aviso de incidentes |
| Una entidad financiera | DORA, el Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025: diligencia debida (art. 28) y cláusulas mínimas del contrato (art. 30) | Si sostienes una función crítica o importante, derechos de acceso, inspección y auditoría (art. 30.3 e) |
| Quien te confía datos personales | Artículo 28 del RGPD: solo puede recurrir a encargados con garantías suficientes | Subencargados, ubicación de los datos y su destino al terminar |
| Una Administración pública | Artículo 2.3 del Real Decreto 311/2022: el ENS alcanza a los sistemas con los que le prestas el servicio | La conformidad con el ENS que pida el pliego |
En España, la ley que transpone NIS2 sigue sin publicarse en el BOE (comprobado el 6 de octubre de 2026), pero el cuestionario llega igual: por la matriz europea del cliente, por su ISO 27001 o porque se prepara. Y si tu cliente da servicios de nube, de centro de datos o gestionados, entre otros servicios digitales, el apartado 5 del anexo del Reglamento de Ejecución (UE) 2024/2690 le concreta su política de proveedores: cómo elegirlos, qué exigir en el contrato, cómo seguirlos y cómo terminar la relación.
El primer día no se contesta nada. Se aclara esto, por escrito:
Cada tipo de pregunta se demuestra de una forma distinta:
| Tipo | Ejemplo | Qué la sostiene | El riesgo |
|---|---|---|---|
| De hecho | ¿Cifráis los portátiles? | El listado de la consola de gestión con el estado de cada equipo | Contestar por lo que debería ser |
| De documento | ¿Tenéis una política de control de acceso? | La política aprobada, con versión y fecha | Que exista, pero sin aprobar |
| De proceso | ¿Aplicáis los parches críticos en un plazo definido? | La regla con el plazo y los registros de que se cumple | Declarar una frecuencia que no se cumple |
| De compromiso | ¿Nos avisaréis de cualquier incidente en 24 horas? | Tu procedimiento de incidentes, con ese plazo | Prometer lo que tu proceso no da |
Las de compromiso son las peligrosas. No describen lo que haces: prometen lo que harás, y si van al contrato, se exigen. Contéstalas con lo que tu procedimiento da hoy; lo demás se negocia en el contrato, no en una casilla.
El caso típico es el aviso de incidentes. Si tu cliente está en NIS2, su alerta temprana vence a las 24 horas de conocer un incidente significativo (artículo 23.4 a), y por eso te pide que le avises antes. Lo que puedes prometer es un primer aviso en cuanto confirmas que el incidente le afecta, con un plazo que tu equipo cumpla también un sábado por la noche, y el detalle después.
Una respuesta defendible tiene cinco piezas. No tiene que ser larga: tiene que poder comprobarse.
Si tienes la ISO 27001, tu declaración de aplicabilidad es la mejor chuleta: cada control, con su estado y su evidencia. Si el cuestionario dice algo que la declaración no dice, uno de los dos está mal.
Empresa ficticia: 30 personas, da en la nube el servicio de nóminas de un fabricante de maquinaria certificado en ISO 27001. El cuestionario trae 120 preguntas; estas son ocho:
| Pregunta | Tipo | Respuesta que se sostiene | Evidencia |
|---|---|---|---|
| ¿Cifráis los datos en reposo? | Hecho | Sí. Base de datos y copias, con el cifrado del proveedor de nube; portátiles, con cifrado de disco. Alcance: todo el servicio de nóminas | Configuración del cifrado y listado de equipos, de este mes |
| ¿Aplicáis los parches críticos en un plazo definido? | Proceso | Parcial. Servidores, en 14 días desde que se publica el parche. Portátiles, sin plazo escrito: la regla se aprueba en noviembre | Informes de parcheo de los tres últimos meses y borrador de la regla |
| ¿Tenéis subcontratistas con acceso a nuestros datos? | Hecho | Sí, dos: el proveedor de nube y una gestoría que apoya en los cierres de año, con contratos que les imponen las mismas obligaciones (art. 28.4 del RGPD) | Lista de subencargados, con fecha, y los dos contratos |
| ¿Dónde están nuestros datos? | Hecho | En dos regiones del proveedor de nube, las dos en la UE, sin transferencias fuera del Espacio Económico Europeo | Configuración de regiones y cláusula del contrato |
| ¿Nos avisaréis de cualquier incidente en 24 horas? | Compromiso | Sí, con este alcance: primer aviso en 24 horas desde que confirmamos que afecta a sus datos o al servicio, y el detalle en 72 horas | Procedimiento de incidentes, versión 3 |
| ¿Formáis a la plantilla en seguridad? | Proceso | Sí: al incorporarse y cada año. La última sesión fue en junio, y quien faltó la hizo en julio | Registro de asistencia |
| ¿Qué hacéis con nuestros datos al terminar? | Compromiso | Devolución en formato estándar en 30 días y borrado, con certificado. Las copias de seguridad se borran al vencer su retención, que el contrato fija en 35 días | Procedimiento de fin de contrato |
| ¿Estáis certificados en ISO 27001? | Documento | No. Sistema en implantación, con la auditoría interna prevista para enero. Ofrecemos una sesión para revisar evidencias | Plan de implantación con fechas |
Ningún «Sí» va solo: todos llevan alcance y evidencia. Un «Sí, ciframos todo» no se podría comprobar, y bastaría un equipo sin cifrar para que fuera falso. El «Parcial» de los parches dice la verdad y pone fecha, que es lo que permite aceptarlo. La de incidentes acota el compromiso a lo que el procedimiento cumple, porque «cualquier incidente» incluiría un portátil perdido sin datos de nadie. La de fin de contrato no es una cortesía: el artículo 28.3 g) del RGPD pide que el contrato de encargo prevea la devolución o el borrado. Y el «No» de la certificación no hace perder el contrato. Lo que lo pone en riesgo es que, en la primera revisión, un «Sí» resulte no serlo.
Hay documentos que dan más información a un atacante que garantías al cliente:
Y lleva un registro de lo enviado: qué, en qué versión, a quién y con qué acuerdo. Cuando cambie una política, sabrás a quién le debes la nueva.
Y avisa al cliente cuando cierres un «Parcial»: es la mejor prueba de que tus respuestas iban en serio.
Si quieres llevar esa base en una herramienta, en Salvik cada control guarda su evidencia, con su caducidad si la tiene, y la referencia de los requisitos de ISO 27001, ENS y NIS2 que cubre; seguir varias normas a la vez es del plan Pro, y se puede ver en su demo pública.
Si nadie puede hacerse cargo de los cuestionarios de forma continua, es una de las tareas de un CISO externo. Y para la primera foto de lo que puedes demostrar hoy está la Checklist NIS2: 16 dominios y 149 controles, con criterio de auditor.
Hay clientes que comprueban el cuestionario con una auditoría de segunda parte, y a veces la norma la pone en el contrato: el artículo 28.3 h) del RGPD, para los encargados del tratamiento, y el artículo 30 de DORA, para las funciones críticas o importantes. Prepárala con las evidencias que citaste, ordenadas por pregunta: el auditor elegirá unas cuantas respuestas y te pedirá enseñarlas. Si lo que piden es la conformidad con el ENS, esa auditoría está en la guía de la auditoría del ENS; si es la certificación ISO 27001, en la guía de certificación. La auditoría interna previa y el acompañamiento en NIS2 y ENS están en los servicios.
Ninguna ley te obliga a rellenar un formulario concreto, pero en la práctica es una condición para contratar o renovar. Y si tratas datos personales por cuenta del cliente, el contrato de encargo tiene que obligarte a darle la información necesaria para demostrar que cumples y a permitir sus auditorías, por el artículo 28.3 h) del RGPD.
Que has hecho una declaración que no puedes sostener. Si el contrato incorpora las respuestas, puede ser un incumplimiento; si no, la primera revisión del cliente lo convierte en un problema de confianza. Ante la duda, «Parcial», con lo que falta y una fecha.
A veces. Hay clientes que lo aceptan para dar por contestadas las preguntas que cubre, pero solo vale si su alcance incluye el servicio que les prestas. Las preguntas sobre el contrato, como los plazos de aviso, la ubicación de los datos o el fin del servicio, se contestan igual.
No lo aceptes en una casilla. Contesta con lo que tu procedimiento da y llévalo a la negociación del contrato: un primer aviso rápido cuando confirmas que el incidente afecta al cliente y el detalle después.
Una persona que responda del conjunto, normalmente quien lleva la seguridad. Reparte las preguntas entre quienes saben cada respuesta y lee el resultado entero antes de enviarlo, porque si cada área contesta lo suyo, las respuestas se contradicen. Si van al contrato, que las revise también quien lo firma.