Tus datos en manos de tu proveedor. Y tú sin saberlo.
Endesa. Inditex. El Ministerio de Hacienda. El Puerto de Vigo. Basic-Fit. Todos ellos protagonizaron brechas de seguridad en los primeros meses de 2026, según el rastreo de incidentes publicado por DataIbérica. Y en varios de esos casos, el origen del problema no estuvo dentro de la organización afectada.
Estuvo en un proveedor tecnológico externo.
Ese detalle importa más de lo que parece. Porque cuando una empresa sufre un incidente de seguridad a través de un tercero, la primera reacción suele ser la misma: «el fallo ha sido de ellos, no nuestro». Pero los datos comprometidos eran suyos. Los clientes afectados eran suyos. Y la obligación de notificarlo a la AEPD en un plazo máximo de 72 horas también era suya.
La responsabilidad no viaja con los datos cuando los cedemos a un proveedor. Se queda.
La cadena de suministro digital tiene los mismos riesgos que la física
Durante años, las empresas han aprendido a gestionar los riesgos de su cadena de suministro material. Se auditan proveedores, se establecen requisitos de calidad, se controlan plazos y condiciones. Nadie firmaría un contrato con un transportista sin evaluar mínimamente cómo gestiona la mercancía que le confías.
Sin embargo, esa misma lógica rara vez se aplica con la misma consistencia a los proveedores tecnológicos. Se delega el CRM, el ERP, la gestión de nóminas, el almacenamiento en la nube, los sistemas de facturación. Se firman contratos, se validan funcionalidades. Pero pocas organizaciones preguntan con el mismo rigor: ¿cómo gestionas la seguridad de los datos que te confío? ¿Qué ocurre si sufres un incidente? ¿Quién responde y en qué plazo?
La respuesta a esas preguntas define el perímetro real de seguridad de una organización. Y ese perímetro, hoy, va mucho más allá de sus propios servidores.
El proveedor cambia. La responsabilidad no.
El RGPD lleva años estableciendo que el responsable del tratamiento de datos es quien determina los fines y los medios. Eso no cambia porque los datos estén alojados en la infraestructura de un tercero. Lo que cambia es el modo en que el riesgo se materializa: a veces sin que la empresa siquiera sea consciente de que algo ha fallado.
Cuando Inditex comunicó su incidente, aclaró que sus sistemas internos no habían resultado afectados. El origen estaba en un antiguo proveedor tecnológico. Correcto. Pero los datos eran de sus clientes, y la comunicación pública fue suya. La reputación también.
Este patrón se repite con suficiente frecuencia como para que deje de sorprender. Las organizaciones que trabajan con múltiples proveedores tecnológicos —que hoy son casi todas— tienen un riesgo distribuido que muy pocas gestionan de forma estructurada. No porque no quieran, sino porque no tienen un sistema que lo exija.
Gestionar el riesgo de proveedor no es hacer un cuestionario
Aquí es donde aparece la diferencia entre cumplir formalmente y gestionar de verdad.
Muchas organizaciones tienen cláusulas de seguridad en sus contratos con proveedores tecnológicos. Algunas incluso envían cuestionarios de autoevaluación. Pero ni las cláusulas contractuales ni las respuestas de un formulario equivalen a saber si el proveedor realmente está gestionando la seguridad de manera efectiva.
Gestionar el riesgo de proveedor implica cosas más concretas: identificar qué proveedores acceden a datos críticos o sensibles, evaluar su nivel real de madurez en seguridad, establecer requisitos verificables —no solo declarados—, revisar esa evaluación cuando cambia el alcance del servicio o cuando se producen incidentes en el sector, y tener un protocolo claro de actuación si algo falla. El INCIBE recoge en sus guías de ciberseguridad empresarial exactamente este tipo de controles como base de cualquier modelo de gestión eficaz.
Eso no se improvisa. Requiere un sistema.
Lo que aportan ISO 27001 e ISO 28001 en este contexto
ISO 27001 es el estándar internacional para la gestión de la seguridad de la información. Entre sus requisitos más concretos está precisamente la gestión de proveedores: identificar cuáles tienen acceso a información sensible, establecer acuerdos formales que incluyan requisitos de seguridad, y mantener un seguimiento activo de su desempeño. No como trámite, sino como parte del sistema de gestión.
ISO 28001, orientada a la seguridad de la cadena de suministro, extiende ese enfoque a la integridad operativa de los proveedores: cómo identifican y controlan los riesgos que podrían afectar a la continuidad del servicio o a la seguridad de los datos que manejan en tu nombre.
Lo que ambas normas comparten es la misma lógica: el riesgo no desaparece porque lo subcontrates. Lo que cambia es quién lo gestiona y con qué herramientas. Un sistema certificado convierte esa gestión en algo auditable, verificable y, sobre todo, continuo. La ISO establece en su Anexo A de ISO 27001 controles específicos para la relación con proveedores que van desde la selección hasta la gestión de incidentes en terceros. No depende de que alguien se acuerde de preguntar. Está integrado en el proceso.
La pregunta que pocas empresas se hacen
Cuando se produce un incidente de seguridad a través de un proveedor, la investigación posterior casi siempre revela que las señales existían. Una auditoría de seguridad que no se había realizado, un contrato que no incluía requisitos claros, un cambio de proveedor que no se gestionó correctamente, un sistema que se seguía usando aunque el proveedor original ya no operaba.
La pregunta que pocas organizaciones se hacen antes del incidente es simple: si uno de mis proveedores tecnológicos sufriera una brecha ahora mismo, ¿sabría en menos de una hora qué datos míos están expuestos, qué controles tengo establecidos y qué tengo que notificar?
Si la respuesta es dudosa, el problema no es el proveedor. Es la ausencia de sistema.
URS Spain certifica conforme a ISO 27001 e ISO 28001. Si quieres saber cómo estructurar la gestión de proveedores en tu organización, puedes contactar con nosotros aquí.
