Cuestionario de proveedores NIS2 (SAQ): qué preguntar, cómo puntuarlo y una plantilla gratuita

Qué preguntar — los seis ámbitos que importan

Un buen cuestionario es corto y orientado a la decisión. Cubre estos seis ámbitos; resiste la tentación de añadir cincuenta casillas más que nadie puntuará.

Cómo puntuar las respuestas — no te limites a recopilarlas

Un cuestionario solo aporta valor si las respuestas cambian una decisión. Puntúalas, no las archives sin más:

• Pondera por criticidad — un 'no' a la MFA de un proveedor que maneja tus datos de cliente pesa más que un documento de política ausente de un proveedor menor. Pondera las preguntas antes de enviarlas.
• Trata 'en curso' como 'no' — hasta que un control esté implantado y evidenciado, puntúalo como una brecha con fecha de remediación, no como aprobado.
• Señala las no respuestas — las respuestas vagas o evasivas son en sí una señal. Exige concreción o evidencias en lugar de una casilla marcada.
• Revisa la línea base según un calendario — las respuestas caducan. Un cuestionario anual refleja un solo día, no el año que le sigue.

Qué hacer cuando un proveedor no cumple

Una brecha no es automáticamente motivo para descartar a un proveedor, pero debe llevar a algún sitio. Acuerda un plan de remediación con responsables y fechas, regístralo y haz contractuales las brechas relevantes: derecho a evidencia, una fecha de corrección y una vía de escalado si se incumple.

Para proveedores críticos, vincula la remediación a la relación: reevaluación antes de la renovación, cláusulas de seguridad en el contrato y derecho a solicitar evidencia, no solo afirmaciones. Documenta la decisión en cualquier caso. Aceptar un riesgo residual es una opción legítima, pero solo cuando es una decisión registrada y asumida, no un descuido.

El punto ciego del cuestionario: la autodeclaración

Cada respuesta de un cuestionario es una afirmación que el proveedor hace sobre sí mismo. Algunas son honestas, otras optimistas, otras simplemente caducas cuando las lees. Un cuestionario te dice lo que un proveedor cree —o quiere que creas— sobre su seguridad, no lo que está realmente expuesto en internet.

Por eso los programas más sólidos combinan el SAQ con evidencia técnica externa. Si un proveedor responde 'sí, todo el tráfico está cifrado' pero un escaneo encuentra un certificado caducado o un formulario de inicio de sesión en texto plano, tienes una contradicción que merece una conversación. El cuestionario capta el proceso y la intención; la monitorización externa continua lo corrobora —o lo cuestiona—. Usa ambos.

Una plantilla de cuestionario gratuita para adaptar

Copia estas secciones en tu proceso. Mantén las respuestas en sí / no / en curso más un campo de evidencia, para que cada afirmación pueda respaldarse después.

Cómo ayuda norppa.io

norppa.io envía los cuestionarios de autoevaluación (SAQ) a tus proveedores directamente desde la plataforma — sin hojas de cálculo, sin perseguir hilos de correo. Las respuestas se rastrean, versionan y puntúan según la ponderación de riesgo anterior.

Lo decisivo: cada respuesta del SAQ se contrasta con el perfil técnico de riesgo en vivo del proveedor (más de 100 comprobaciones, a diario). Cuando una afirmación positiva contradice lo que observamos, norppa.io la marca como respaldada por evidencia — así ves no solo lo que dicen los proveedores, sino si se sostiene. El punto ciego del cuestionario, cerrado.