Cuestionario de proveedores NIS2 (SAQ): qué preguntar, cómo puntuarlo y una plantilla gratuita

Qué preguntar: los seis dominios que importan

Un cuestionario se gana su sitio siendo corto y certero. Cubra bien estos seis dominios y pare ahí; las cincuenta casillas extra que nadie puntúa aportan longitud, no garantía.

Cómo puntuar las respuestas: no solo recogerlas

Un cuestionario archivado y olvidado le ha costado tiempo y no le ha dado nada. El valor está en puntuarlo:

• Pondere por criticidad: un «no» en la AMF de un proveedor que guarda sus datos de clientes pesa mucho más que un documento de política ausente de un proveedor de bajo nivel. Fije las ponderaciones antes de enviarlo, no después de que lleguen las respuestas.
• Lea «en curso» como «no»: hasta que un control esté implantado y evidenciado, es una brecha con fecha de remediación, no un aprobado. Las buenas intenciones no sobreviven a una auditoría.
• Atienda a las no respuestas: las respuestas vagas o evasivas son en sí mismas una respuesta. Exija concreción o evidencia en lugar de aceptar una casilla marcada al pie de la letra.
• Reestablezca la base con un calendario: las respuestas caducan. Un cuestionario rellenado una vez al año describe un día, no los once meses que siguen.

Qué hacer cuando un proveedor se queda corto

Una brecha no es automáticamente motivo para soltar a un proveedor, pero tiene que llevar a alguna parte. Acuerde un plan de remediación con responsables y fechas nombrados, regístrelo, y haga contractuales las brechas materiales: un derecho a la evidencia, una fecha de corrección y una vía de escalado para cuando se retrase.

Para proveedores críticos, ligue la remediación a la relación: reevaluación antes de la renovación, cláusulas de seguridad en el contrato, y el derecho a pedir evidencia en lugar de aceptar garantías de palabra. En cualquier caso, registre la decisión. Aceptar un riesgo residual es una elección perfectamente legítima, pero solo cuando es una decisión escrita y asumida, y no algo que se coló por las rendijas.

El punto ciego del cuestionario: la autodeclaración

Cada respuesta es una afirmación que el proveedor hace sobre sí mismo. Algunas son honestas, otras optimistas, otras sencillamente caducas para cuando usted las lee. Un cuestionario le dice qué cree un proveedor (o qué quiere hacerle creer) sobre su seguridad; no le dice qué está realmente expuesto en internet esta mañana.

Por eso los programas más sólidos colocan el cuestionario junto a evidencia técnica externa. Cuando un proveedor escribe «sí, todo el tráfico está cifrado» y un análisis encuentra un certificado caducado o un formulario de inicio de sesión en texto plano, tiene una contradicción que merece una conversación. El cuestionario capta el proceso y la intención; el monitoreo externo continuo lo corrobora, o desmonta su farol. La idea no es elegir uno. Es usar ambos.

Una plantilla de cuestionario gratuita para adaptar

Lleve estas secciones a su propio proceso. Mantenga las respuestas en sí / no / en curso más un campo de evidencia, para que cada afirmación pueda respaldarse (o desmontarse) más adelante.

Cómo ayuda norppa.io

norppa.io envía el cuestionario de autoevaluación a sus proveedores directamente desde la plataforma: sin hojas de cálculo, sin perseguir hilos de correo. Las respuestas vuelven rastreadas, versionadas y puntuadas según la ponderación que usted fije.

La parte que importa: cada respuesta se coloca junto al perfil de riesgo técnico en vivo del proveedor: más de cien comprobaciones, actualizadas a diario. Donde un «sí» seguro choca con lo que el análisis ve realmente, norppa.io lo señala, de modo que usted lee no solo lo que un proveedor dice, sino si se sostiene. Exactamente el punto ciego de la sección anterior, cerrado.