Este trabajo lo impulsa el Foro Nacional de Ciberseguridad —presidido por el DSN, con vicepresidencias de INCIBE y CCN— dentro de la Estrategia Nacional de Ciberseguridad y de su compromiso para que sector público y privado gestionen el riesgo en la cadena de suministro. La edición es de septiembre de 2025 y forma parte del catálogo oficial.
Para navegarlo rápido, el documento incluye análisis de situación, evaluación de alternativas (certificación, calificación, auditoría, supervisión pública y declaraciones de conformidad) y conclusiones y propuestas: principios, gobernanza, ámbito de aplicación, esquema combinado de medidas mínimas + transparencia y medidas mínimas exigibles. Cierra con un decálogo operativo y un anexo sobre inversión extranjera.
La seguridad (física y lógica) de la cadena de suministro es hoy uno de los mayores retos corporativos por el uso de proveedores como vector de entrada, el crecimiento regulatorio y la transversalidad del problema. Obstáculos: imposibilidad de supervisar a todos los proveedores, falta de mínimos obligatorios, marco regulatorio disperso, escasez de mecanismos de evaluación y dificultad para llegar a subcontratas lejanas. La conclusión clave es que no hay una única herramienta; hay que combinar mecanismos bajo criterios de responsabilidad compartida, transparencia, armonización, proporcionalidad y eficiencia.
El informe referencia el ENS (RD 311/2022) —incluida su extensión a privados que prestan al sector público y el POC de seguridad—; el RDL 7/2022 de 5G —centrado en cadena de suministro 5G—; la Directiva de Entidades Críticas (REC), DORA para financiero y el Cyber Resilience Act (CRA) para productos digitales. También cita ISO 27001/27110/27701/28000 y trabajos de ENISA.
Alternativas de control: cuándo usar cada una
El criterio general es la proporcionalidad: más exigencia a mayor impacto y alineación con niveles de garantía básico / sustancial / alto del Cybersecurity Act.
- Certificación (UNE/ISO/Esquemas UE): conformidad objetiva y reutilización de evidencias.
- Calificación (p. ej., Pinakes): nivel alcanzado frente a un catálogo; el comprador fija el umbral.
- Auditoría (p. ej., SOC 2): examina diseño y eficacia de controles con evidencias.
- Supervisión pública directa o delegada: la Administración inspecciona o delegar en terceros acreditados cuando es inviable cubrir todo.
- Declaraciones de conformidad: agilidad con baja garantía; requiere régimen sancionador.
Propuestas del informe
Se propone una gobernanza clara con reparto de responsabilidades: la Administración define roles y sanciona, proveedores implementan medidas y transparencia, y usuarios hacen due diligence y alinean componentes con su riesgo. Además, ámbito objetivo para todos los actores expuestos, contemplando la realidad de pymes y startups. El esquema combinado suma certificación de mínimos, calificación/auditoría, supervisión y sanción alineada con NIS2.
El documento baja a práctica a lo largo del ciclo de vida del proveedor: prevención y selección, contratación e implantación, respuesta a incidentes, continuidad, resiliencia, rescisión y post-finalización; con acciones de comunicación, notificación, métricas, pruebas conjuntas y coordinación con CSIRTs.
Valoración profesional
El enfoque de proporcionalidad + transparencia es correcto y realista. Combinar instrumentos minimiza carga y maximiza trazabilidad. El reto será equilibrar exigencias para pymes sin rebajar mínimos y evitar solapamientos (por ejemplo, notificaciones duplicadas a autoridades).
Por dónde empezar
Para empezar mañana con resultados medibles:
- Mapa de proveedores por impacto con tres niveles y mecanismo asociado (certificación para alto, calificación/auditoría para medio, declaración guiada con controles mínimos verificados para básico).
- Catálogo corporativo de “medidas mínimas” reusable (equivalentes a ENS/NIS2) y checklist de transparencia: SBOM, POC de seguridad, notificación y formatos de evidencia.
- Flujo único de incidentes con plantillas por autoridad y umbrales, mensajes predefinidos y ejercicios conjuntos de respuesta y continuidad.
Puedes acceder al documento completo en: ANÁLISIS Y PROPUESTAS RELATIVAS A LA CADENA DE SUMINISTRO
Si te ha gustado la entrada puedes valorarla en: [Ratings]
Descubre más desde El Sentido de la Seguridad
Suscríbete y recibe las últimas entradas en tu correo electrónico.