NIS2 y cadena de suministro: obligaciones de los proveedores de servicios TI de empresas afectadas

La cadena de suministro NIS2 describe los requisitos de seguridad que una empresa regulada por NIS2 traslada por contrato a sus proveedores de servicios TI y de IA. La base jurídica es el artículo 21 de la Directiva NIS2 (UE) 2022/2555: las entidades afectadas deben evaluar los riesgos de su cadena de suministro y protegerse frente a ellos. Precisamente por eso quedan obligados también proveedores que ni siquiera entran en el ámbito de aplicación, pero que prestan servicios a empresas afectadas.

• ¿A quién se refiere? No tanto a la agencia en sí, sino a su cliente afectado. Este debe garantizar la seguridad de sus proveedores y traslada los requisitos por contrato.
• ¿En qué se basa? En el artículo 21 (medidas de gestión de riesgos, incluida la seguridad de la cadena de suministro), así como en el artículo 20 y el considerando 137 (responsabilidad de los órganos de dirección).
• ¿Qué consecuencia tiene? Los proveedores de servicios TI y de IA deben aportar medidas técnicas y organizativas demostrables, aunque no sean destinatarios formales de la ley.

Por qué los proveedores no regulados también se ven afectados

NIS2 regula entidades de sectores definidos a partir de determinados umbrales de tamaño. Una agencia especializada en IA o en desarrollo web, por regla general, no entra por sí misma en el ámbito de aplicación. La palanca está un nivel más arriba: el artículo 21 de la Directiva obliga expresamente a las entidades esenciales e importantes a incluir en su gestión de riesgos la seguridad de su cadena de suministro y de las relaciones con sus proveedores y prestadores de servicios directos.

En concreto, la empresa regulada debe evaluar las prácticas de seguridad de sus proveedores, definir requisitos y garantizar su cumplimiento. Como solo puede cumplir esta obligación si los proveedores colaboran, traslada los requisitos por contrato. Así, un proveedor no regulado queda vinculado de facto a los mismos estándares que se aplican a su cliente. Por tanto, la obligación no nace directamente de la ley, sino del contrato con la empresa afectada.

La lógica de responsabilidad de la Directiva agrava la situación desde el punto de vista estratégico. El artículo 20 exige que el órgano de dirección apruebe las medidas de gestión de riesgos y supervise su aplicación. El considerando 137 lo justifica con el alto nivel de responsabilidad que la Directiva pretende garantizar en las entidades. Según el artículo 20, apartado 1, los órganos de dirección también pueden ser considerados responsables de las infracciones del artículo 21 cometidas por su entidad. Para ello no es necesario que se haya producido un ataque con éxito. La responsabilidad se vincula así al incumplimiento de la obligación, no al daño producido. En la práctica, esto significa que la dirección de las empresas afectadas tiene un interés propio muy directo en revisar a fondo a sus proveedores y vincularlos por contrato, porque cualquier omisión recae sobre ella.

El marco jurídico en la región DACH: mismo objetivo, distinta transposición

NIS2 es una directiva y debe transponerse a cada derecho nacional. Por eso, las cadenas de suministro de la región DACH (Alemania, Austria y Suiza) se rigen por marcos de referencia distintos que un proveedor debería conocer.

• Alemania: La ley de transposición NIS2UmsuCG fue aprobada por el Bundestag el 13 de noviembre de 2025, promulgada el 5 de diciembre de 2025 y entró en vigor el 6 de diciembre de 2025 sin periodo transitorio. El ámbito de aplicación se amplía de unas 4.500 a aproximadamente 29.500 empresas afectadas. El portal de registro del BSI abrió el 6 de enero de 2026 y el plazo para el registro inicial venció el 6 de marzo de 2026. En la versión nacional, las obligaciones relativas a la cadena de suministro están recogidas en la ley BSIG.
• Austria: La NISG 2026 fue aprobada por el Consejo Nacional el 12 de diciembre de 2025, publicada el 23 de diciembre de 2025 y entró en vigor nueve meses después, el 1 de octubre de 2026. Su ámbito de aplicación abarca unas 4.000 empresas de 18 sectores. Lo característico es el cambio de sistema hacia la autoclasificación y la autodeclaración en lugar de una resolución administrativa, así como la creación de una Oficina Federal de Ciberseguridad en el Ministerio del Interior (BMI). Las entidades esenciales deben anclar la ciberseguridad en el nivel del órgano de dirección.
• Suiza: Suiza no está vinculada por NIS2, pero mantiene un régimen paralelo con su Ley de Seguridad de la Información revisada. Desde el 1 de abril de 2025, los operadores de infraestructuras críticas deben notificar los ciberataques significativos en un plazo de 24 horas a la Oficina Federal de Ciberseguridad (BACS). Las filiales suizas entran a menudo de facto en el contexto de la cadena de suministro NIS2 a través de sus matrices en la UE o de sus relaciones con clientes de la UE.

En el sector financiero regulado existe, con DORA (Reglamento (UE) 2022/2554), un modelo afín y más estricto para el riesgo de terceros: los artículos 28 a 30 regulan el riesgo de terceros proveedores de servicios TIC con requisitos contractuales vinculantes, como derechos de auditoría, cláusulas de salida y controles sobre subcontratistas. El 18 de noviembre de 2025, las autoridades europeas de supervisión designaron por primera vez a 19 proveedores terceros críticos de servicios TIC, entre ellos AWS, Microsoft Azure y Google Cloud. Quien presta servicios a entidades financieras debe saber que allí los requisitos contractuales de la cadena de suministro son todavía bastante más estrictos.

Qué debe aportar en concreto una agencia de IA o un proveedor de servicios TI

El traslado contractual de obligaciones no es una construcción abstracta: se traduce en pruebas verificables. La siguiente tabla asigna requisitos típicos del catálogo de gestión de riesgos del artículo 21 al responsable correspondiente y a la medida concreta.

En el caso de los proveedores de IA se añade una particularidad: su propia cadena de suministro suele incluir proveedores de modelos y de nube como subcontratistas. Quien integra un LLM a través de una API introduce así un subprocesador más en la cadena del cliente. Estos subprocesadores deben revelarse y evaluarse dentro del propio concepto de seguridad, porque el cliente afectado es responsable de toda la cadena. En la región DACH, el AIC4 (AI Cloud Service Compliance Criteria Catalogue) del BSI es el punto de referencia relevante cuando los servicios de IA se prestan a través de un servicio en la nube; amplía el BSI C5 con controles específicos de IA.

Ejemplo práctico: cómo se refleja la obligación en una licitación

Un escenario concreto y tipificado del sector industrial ilustra el mecanismo. Una empresa industrial de Alemania o Austria con unos 1.200 empleados se considera entidad importante según NIS2. Encarga a una agencia externa el desarrollo de un portal de clientes con IA.

Pseudocódigo de la cadena de obligaciones:

```
Cliente (entidad importante)
-> cumple art. 21: gestión de riesgos incl. cadena de suministro
-> condición: todo proveedor debe acreditar una línea base de seguridad
IF Agencia.certificada(ISO_27001) == false:
Agencia rellena el cuestionario de seguridad
Agencia acepta cláusulas contractuales (medidas técnicas y organizativas, MFA, IR, lista de subprocesadores)
Agencia.revelar(subprocesadores = [proveedor cloud, proveedor LLM])
-> Cliente verifica, documenta, supervisa (art. 20)
```

En la práctica, la agencia recibe un pliego de condiciones de diseño y funcionalidad y, además, un anexo de seguridad. Debe presentar su sistema de gestión de seguridad de la información, nombrar a sus subcontratistas, garantizar un procedimiento de respuesta a incidentes y conceder un derecho de auditoría. Una agencia que puede presentar estas pruebas de inmediato supera la preselección; una agencia sin la estructura adecuada a menudo queda fuera antes incluso del pitch técnico. Lo que era una carga de cumplimiento normativo para el cliente se convierte así en un criterio de selección de proveedores.

Evaluación de riesgos de proveedores: la perspectiva del cliente

Desde el punto de vista de la empresa afectada, la evaluación de proveedores no es un acto puntual, sino un proceso continuo. Sus componentes típicos son la clasificación de la criticidad de un proveedor (¿a qué sistemas y datos tiene acceso?), la revisión de las pruebas de seguridad, el anclaje contractual de los requisitos y la supervisión periódica. Cuanto más integrado está un proveedor en procesos críticos, más estricta es la revisión. Un proveedor de IA que accede en producción a datos de clientes o automatiza flujos de trabajo se evalúa con más rigor que un proveedor sin acceso a datos.

Para los proveedores, la consecuencia es clara: quien aporta transparencia sobre su propia arquitectura de seguridad y su cadena de subprocesadores reduce la carga de revisión del cliente y resulta más atractivo como socio. En el sector financiero y asegurador de la región DACH, los proveedores sin pruebas reconocidas como ISO/IEC 27001, SOC 2, BSI C5 o AIC4 no suelen llegar a la ronda final de selección.

Para agencias y responsables de decisión B2B

Para las agencias y los proveedores de servicios TI en Europa, NIS2 cambia la lógica competitiva: la seguridad de la información demostrable ya no es un factor higiénico, sino un requisito para acceder a encargos de empresas afectadas. Quien implanta un SGSI, documenta su cadena de subprocesadores y cumple estándares como ISO/IEC 27001 o el AIC4 obtiene una ventaja sólida en las licitaciones. A la inversa, para los responsables de decisión B2B del lado del cliente, la revisión de proveedores forma parte del cumplimiento de sus propias obligaciones y debería integrarse pronto en los procesos de compra. Como agencia de IA y digital en Viena, Blck Alpaca ayuda a plantear los proyectos de IA de forma que encajen en la gestión de riesgos de la cadena de suministro de las empresas afectadas, desde la documentación transparente de los subprocesadores hasta una interfaz limpia para las obligaciones de notificación.

Aviso: este artículo sirve de orientación especializada y no constituye asesoramiento jurídico. La sujeción concreta a la normativa, la interpretación exacta del artículo 21, las cláusulas contractuales, los plazos y las posibles sanciones deben aclararse con asesores cualificados de la jurisdicción correspondiente.