Un martes de septiembre, en un taller de mecanizado de la provincia de Alicante con 34 empleados, la responsable de administración abrió un correo del departamento de compras de su mejor cliente: un fabricante grande que le supone el 40 % de la facturación. El asunto era «Homologación de proveedores 2026 — cuestionario de seguridad de la información». Dentro, un archivo con 96 preguntas y un plazo de diez días naturales para devolverlo cumplimentado.
La primera reacción fue pensar que era un trámite. La segunda, al abrir el archivo, fue distinta: preguntaban por la política de seguridad de la información, por el procedimiento de gestión de incidentes, por el porcentaje de usuarios con doble factor, por la fecha de la última restauración de copias probada y por si existía un inventario de proveedores propios. Nadie en la empresa tenía eso escrito en ningún sitio. Existía, casi todo, pero vivía en la cabeza del informático externo y en correos sueltos.
Tardaron tres días largos, dos de ellos con el gerente metido en la faena, en devolver el cuestionario. Y cuatro meses después llegó otro, casi idéntico, de un segundo cliente. Y volvieron a empezar de cero.
Esta escena se repite cada vez más en las pymes proveedoras de Alicante, y tiene una solución sorprendentemente aburrida: montar una sola vez un dossier de ciberseguridad reutilizable y mantenerlo vivo. La diferencia entre tres días de trabajo y media hora de copiar y pegar no está en tener más seguridad, sino en tenerla documentada.
Por qué a tu pyme de Alicante le llega un cuestionario de seguridad que nunca pidió
Si has recibido uno de estos formularios y te has preguntado a qué viene, la respuesta corta es que no te lo manda tu cliente por gusto: se lo están exigiendo a él. Lo explicamos en detalle en la guía sobre qué te exigirán tus clientes grandes con la NIS2 aunque la ley todavía no te obligue, y conviene tener claro el marco antes de ponerse a rellenar nada.
En resumen: la Directiva (UE) 2022/2555, la conocida NIS2, obliga a las entidades esenciales e importantes a gestionar la seguridad de su cadena de suministro. España tenía de plazo hasta el 17 de octubre de 2024 para transponerla y no lo hizo. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y, a fecha de hoy, sigue sin publicarse en el BOE. La Comisión Europea ya ha remitido un segundo requerimiento formal a España pidiendo que transponga con urgencia.
Eso significa dos cosas aparentemente contradictorias. La primera, que a una pyme de 34 empleados la ley española todavía no le impone nada de forma directa. La segunda, que da un poco igual: la obligación llega por contrato, no por boletín oficial. Tu cliente grande sí está obligado a controlar a sus proveedores, y la herramienta con la que lo hace es el cuestionario que acabas de recibir.
Los datos de 2026 explican por qué las grandes se han puesto serias con esto. Según los informes de tendencias publicados este año sobre seguridad en la cadena de suministro, en torno al 22 % de las brechas registradas en 2025 involucró a un tercero o proveedor, aproximadamente el doble que el año anterior, y las organizaciones tardan una media cercana a los 250 días en detectar y contener una brecha que entra por esa vía. Para una empresa grande, el eslabón más barato de atacar ya no es su propio perímetro: es el proveedor pequeño que tiene acceso a su red, a su portal o a sus datos.
Traducido a tu día a día: el cuestionario no es una molestia pasajera. Va a volver, va a llegar de más clientes y va a ser cada vez más detallado.
El error que convierte media hora de trabajo en tres días
Casi todas las pymes que atienden estos cuestionarios cometen el mismo error: los tratan como un examen sorpresa. Cada vez que llega uno, alguien lo abre, va pregunta por pregunta, llama al informático externo, busca capturas de pantalla a la desesperada y redacta respuestas nuevas. Cuando llega el siguiente cuestionario, con otro formato y otro orden, se repite el proceso entero.
El cambio de enfoque es sencillo. Los cuestionarios cambian de aspecto, pero preguntan casi siempre por lo mismo: identidad y accesos, copias de seguridad, actualizaciones, formación de la plantilla, gestión de incidentes, control de tus propios proveedores y continuidad del negocio. Si tienes preparado un dossier maestro con esos bloques documentados y con evidencias fechadas, responder deja de ser redactar y pasa a ser localizar y pegar.
La experiencia del sector va en la misma dirección: las empresas que sistematizan la respuesta a cuestionarios de seguridad reducen los plazos de semanas a días, sencillamente porque la mayoría de las preguntas se repiten de un formulario a otro. En una pyme de 10 a 80 empleados, con un dossier decente, media hora es un objetivo realista para un cuestionario estándar.
Qué lleva dentro un dossier de ciberseguridad para una pyme proveedora
No hace falta una certificación ISO 27001 ni un departamento de cumplimiento. Hace falta que exista, esté escrito, tenga fecha y tenga un responsable con nombre y apellidos. Estos son los seis bloques que resuelven la mayor parte de las preguntas.
1. La política de seguridad de la información, en cuatro folios
Es el documento que más se pide y el que casi nadie tiene. No tiene que ser un tratado: cuatro folios bastan si dicen quién es el responsable de seguridad en la empresa, qué se considera información sensible, las reglas de uso de equipos y correo, la norma sobre contraseñas y doble factor, qué pasa cuando alguien entra o sale de la empresa, cómo se clasifica y se destruye la información, y cada cuánto se revisa el documento.
Dos detalles que marcan la diferencia ante un cliente: que esté firmada por la dirección y que lleve fecha de revisión reciente. Una política de 2019 sin revisar transmite exactamente lo contrario de lo que quieres transmitir. Si además la vas a usar para regular el uso de equipos y correo por parte de la plantilla, conviene redactarla con los límites que explicamos en el artículo sobre qué puede revisar tu empresa del ordenador y el correo de un trabajador, porque una política mal planteada crea un problema laboral mientras resuelve uno comercial.
2. Inventario de activos y de tus propios proveedores
Dos listas en una hoja de cálculo. La primera, los equipos y servicios que sostienen el negocio: servidores, equipos de puesto, el equipo perimetral, el ERP, el correo, la nube donde están los archivos, quién es responsable de cada cosa y cuál es su criticidad. La segunda, los proveedores tecnológicos que tienen acceso a tus datos o a tus sistemas: el mantenimiento informático, quien te lleva el ERP, la gestoría, la plataforma de correo, la de facturación.
Esta segunda lista sorprende a mucha gente, pero tiene toda la lógica: si tu cliente te controla a ti porque eres su cadena de suministro, tú eres la cadena de suministro de otro. Un cuestionario serio pregunta por ella.
3. Procedimiento de gestión de incidentes, con plazos y nombres
Un folio. Qué se considera incidente, a quién se avisa primero, en cuánto tiempo, quién decide desconectar un equipo o cortar un acceso, quién habla con el cliente afectado y en qué plazo, y quién se encarga de las obligaciones legales (notificación a la Agencia Española de Protección de Datos en 72 horas cuando hay datos personales comprometidos, comunicación a INCIBE-CERT).
Aquí hay una pregunta que aparece cada vez más en los cuestionarios de 2026: «¿en cuánto tiempo se compromete a notificarnos un incidente que pueda afectarnos?». Es una obligación contractual, no una cortesía. Si te comprometes a 24 horas, que esté escrito en el procedimiento y que la persona que lo tiene que cumplir lo sepa.
4. Registro de formación y de simulacros
Una hoja con fechas, contenido y asistentes. Formación antiphishing, campañas de correo simulado, sesiones de recordatorio cuando entra gente nueva. No hace falta un plan de formación corporativo: hace falta poder demostrar que la plantilla ha recibido algo y cuándo.
Si además has hecho alguna vez un simulacro de ransomware para ensayar el plan de recuperación, el informe de ese simulacro vale oro en una homologación: es la evidencia de que el plan de incidentes no es papel mojado.
5. Las evidencias técnicas que sí convencen
Esta es la parte que separa un dossier creíble de una declaración de intenciones. Los cuestionarios de 2026 ya no se conforman con un «sí» en una casilla: piden evidencia. Cuatro documentos resuelven casi todo:
- Cobertura de doble factor. Una captura del panel de administración con el porcentaje de usuarios con MFA activo, no una afirmación genérica. Si aún no lo tienes desplegado en todo, aquí tienes por dónde empezar: MFA y doble factor para pymes.
- Informe de la última restauración probada. Con fecha, qué se restauró y cuánto se tardó de verdad. Que existan copias no demuestra nada; que se hayan restaurado, sí. Nuestra guía sobre copias de seguridad y por qué la regla 3-2-1 ya no basta explica qué probar y cada cuánto.
- Informe de cumplimiento de parches. El listado que saca cualquier herramienta de gestión remota, con el porcentaje de equipos al día y el tiempo medio de aplicación. Incluye el equipo perimetral: es por donde más está entrando la gente en 2026, como contamos en los 9 ajustes del firewall que deberías revisar.
- Política de altas y bajas de usuarios. Media hoja que diga qué se abre cuando alguien entra y qué se cierra el mismo día que alguien se va, con la lista de sistemas afectados y quién ejecuta.
6. Continuidad y seguro
Los cuestionarios de clientes industriales suelen preguntar cuánto tardarías en volver a servir si se te para todo, y muchos preguntan ya si tienes póliza de ciberriesgo. Ten a mano el tiempo de recuperación que manejas como objetivo y, si tienes seguro, los datos básicos de la cobertura. Ojo con este punto: como explicamos en el artículo sobre qué cubre de verdad una póliza de ciberriesgo, lo que declaras en el cuestionario de tu aseguradora tiene que coincidir con lo que declaras al cliente. Y con la realidad.
Qué no debes enviar nunca a un cliente
Un dossier de ciberseguridad tiene que demostrar madurez, no regalar un mapa de ataque. Hay información que ningún departamento de compras necesita y que, enviada por correo y reenviada internamente sin control, acaba en sitios imprevisibles:
- Topología detallada de tu red, con direccionamiento interno y nombres de servidores.
- Direcciones IP públicas, puertos publicados o detalles de tus accesos remotos.
- Marcas, modelos y versiones exactas de firmware de cortafuegos, servidores o cabinas de disco.
- Listados de usuarios, correos de la plantilla o estructura de permisos.
- Informes de auditoría o de test de intrusión completos, con las vulnerabilidades aún sin resolver.
- Cualquier credencial, evidentemente, incluidas las que aparecen «de fondo» en una captura de pantalla.
La regla práctica: se envía qué haces y cómo lo gobiernas, no la configuración con la que lo haces. Si un cliente insiste en el detalle técnico fino, lo razonable es ofrecer una reunión o una revisión bajo acuerdo de confidencialidad, no un PDF por correo. Y antes de mandar cualquier captura, míralas con calma: es asombroso lo que se cuela en una esquina de la pantalla.
Cómo responder a un requisito que todavía no cumples
Es la pregunta que más angustia genera, y la respuesta va justo al contrario de lo que dicta el instinto comercial: no marques «sí» si es «todavía no».
Un «sí» falso tiene dos finales, y los dos son malos. El primero, que el cliente pida la evidencia y no la haya, con lo que pierdes credibilidad en todo el resto del dossier. El segundo, mucho peor: que haya un incidente, se revise lo que declaraste y aparezca una declaración inexacta firmada. Eso deja de ser un problema técnico y pasa a ser causa de rescisión de contrato y, según el caso, de reclamación de daños. Es el mismo mecanismo por el que una aseguradora deniega un siniestro.
La fórmula que funciona es el compromiso con fecha. En lugar de «sí», escribe algo como: «Parcialmente. El doble factor está activo en correo y VPN para el 100 % de los usuarios y en el ERP para los perfiles administrativos. El despliegue en el resto de perfiles del ERP está planificado para el cuarto trimestre de 2026, con responsable asignado.»
Esa respuesta, en la práctica, puntúa mejor que un «sí» sin evidencias. Le dice al cliente tres cosas: que conoces tu propia situación, que tienes un plan y que no le vas a mentir cuando venga mal dada. Los departamentos de compras están acostumbrados a proveedores que marcan todas las casillas y luego no saben ni dónde está la política. Uno que dice «esto sí, esto a medias y esto lo tengo para diciembre» destaca, y no para mal.
Un plan realista de dos semanas para montarlo
Nadie tiene dos meses para esto. Con un par de semanas de dedicación parcial y ayuda de quien te lleve la informática, una pyme normal tiene el dossier montado.
Semana 1. Reúne lo que ya existe, que siempre es más de lo que parece: contratos de mantenimiento, informes de copias, el panel del correo, la configuración de accesos. Redacta la política de seguridad en cuatro folios y el procedimiento de incidentes en uno. Monta las dos listas del inventario en una hoja de cálculo.
Semana 2. Genera las evidencias con fecha: captura de cobertura de doble factor, prueba real de restauración de una copia, informe de parches. Escribe el registro de formación con lo que se haya hecho hasta hoy. Repasa el conjunto quitando todo lo que no debe salir de la empresa y guarda dos versiones del dossier: la interna, con el detalle técnico, y la versión para clientes, que es la que se envía.
A partir de ahí, lo único que hay que sostener es la revisión: una vuelta trimestral a las evidencias (las capturas caducan) y una revisión anual de la política. Poner una fecha en el calendario compartido cuesta un minuto y es lo que evita volver a la casilla de salida dentro de un año.
El dossier no es papeleo: es un argumento de venta
Merece la pena mirar esto con ojos comerciales y no solo técnicos. Cuando un cliente grande homologa proveedores, el que contesta en 48 horas con documentación ordenada y fechada entra en la lista corta; el que tarda tres semanas y contesta a medias genera dudas que ya no se quitan, por bueno que sea su producto.
En sectores donde la competencia es feroz y el precio está muy ajustado —industria auxiliar, logística, servicios técnicos, buena parte del tejido de la provincia—, la capacidad de superar una homologación rápido se ha convertido en un diferenciador real. No porque el cliente valore tu ciberseguridad por sí misma, sino porque le quitas trabajo, riesgo y plazo a su departamento de compras.
Y hay un efecto secundario que casi nadie anticipa: montar el dossier obliga a mirar de frente lo que no estaba bien. La mayoría de las pymes que hacen este ejercicio descubren dos o tres agujeros que llevaban años ahí, invisibles porque nadie los había puesto por escrito. Ese es, probablemente, el mayor retorno de todo el proceso.
Preguntas frecuentes
¿Necesito la ISO 27001 para responder al cuestionario de seguridad de un cliente?
No. Para la inmensa mayoría de pymes proveedoras basta con documentación propia bien hecha: política de seguridad, procedimiento de incidentes, inventario de activos y de proveedores, registro de formación y evidencias técnicas fechadas. La ISO 27001 acelera las homologaciones porque el cliente da por buenos muchos apartados, pero es un proyecto caro y largo que solo compensa si trabajas de forma habitual con grandes cuentas o con administraciones que la exigen por contrato.
¿Está obligada mi pyme a cumplir la NIS2 en 2026?
Con carácter general, no de forma directa si tienes menos de 50 empleados, no superas los 10 millones de euros y no operas en un sector especialmente crítico. Además, la ley española que transpone la NIS2 sigue sin publicarse en el BOE. Pero la exigencia te llega igualmente por vía contractual: tus clientes que sí están sujetos deben controlar la seguridad de su cadena de suministro, y lo hacen trasladándote requisitos en el contrato y en el cuestionario de homologación.
¿Cuánto se tarda en preparar un dossier de ciberseguridad desde cero?
En una pyme de 10 a 80 empleados, entre una y dos semanas de dedicación parcial si se cuenta con el apoyo del proveedor de mantenimiento informático, que es quien saca la mitad de las evidencias en unos minutos. Lo que más tiempo consume no es escribir los documentos, sino localizar información dispersa: contratos, accesos de terceros y quién es responsable de cada sistema.
¿Qué pasa si en el cuestionario digo que sí a algo que no cumplo?
Es el peor escenario posible. Una declaración inexacta en un cuestionario de homologación puede ser causa de rescisión del contrato si más adelante hay un incidente y se revisa lo que declaraste, y tumba la credibilidad de todo el dossier si el cliente pide la evidencia y no existe. La alternativa que funciona es responder «parcialmente» y acompañarlo de un plan de acción con fecha comprometida y responsable asignado.
¿Cada cuánto hay que actualizar el dossier de ciberseguridad?
Las evidencias técnicas —cobertura de doble factor, informe de parches, última restauración probada— conviene renovarlas cada trimestre, porque una captura de hace ocho meses resta credibilidad. Los documentos de fondo, como la política de seguridad y el procedimiento de incidentes, admiten una revisión anual, salvo que cambie algo relevante: un sistema nuevo, un proveedor nuevo o un incidente del que se hayan sacado conclusiones.
Un último apunte práctico
Si ahora mismo en tu empresa nadie sabría decir dónde está la política de seguridad ni cuándo se probó por última vez una restauración, el siguiente cuestionario que llegue te va a costar tres días. Y va a llegar.
En Softnet ayudamos a pymes de Alicante a montar el dossier de una vez y a mantenerlo vivo, generando las evidencias desde las herramientas que ya usamos en el mantenimiento informático del día a día y ordenando la parte documental. Si quieres que le echemos un vistazo a lo que ya tienes, escríbenos desde la página de contacto o mira nuestros servicios de seguridad informática para empresas en Alicante. Preparar el dossier con calma cuesta dos semanas; improvisarlo con el reloj en contra puede costar un cliente.
Este artículo tiene finalidad divulgativa. El alcance concreto de las obligaciones contractuales y regulatorias de cada empresa debe valorarse caso por caso.
🗓️ Última actualización: Septiembre 2026 — Softnet Sistemas, S.L. (Alicante).