NIS2 2026 – certificado de ciberseguridad del proveedor, desviación y reevaluación | Word/PDF/Excel

Su importante proveedor de sistemas afirma que la seguridad es buena, pero no puede mostrar una prueba actualizada de las cuentas de administrador, las actualizaciones de seguridad o la recuperación. ¿Cómo documentan la desviación, establecen requisitos razonables, obtienen una nueva prueba y reportan el riesgo a la dirección responsable? Este paquete especializado de NIS2 incluye plantillas para el control cibernético de proveedores basado en riesgos: desde una autodeclaración basada en hechos hasta una carta de medidas correctivas, una nueva prueba y una decisión.

Actualidad jurídica: La Ley de ciberseguridad sueca (2025:1506) entró en vigor el 15 de enero de 2026. En el cap. 2, § 4, la seguridad en la cadena de suministro se indica como uno de los ámbitos de las medidas de seguridad adecuadas y proporcionadas para los operadores de servicios afectados por la ley. Según el artículo 21.2 d y 21.3 de la Directiva NIS2, se deben evaluar los riesgos en relación con los proveedores directos y prestadores de servicios, entre otros, sus vulnerabilidades específicas y sus prácticas de ciberseguridad. MCFFS 2026:11 entra en vigor el 1 de octubre de 2026 y precisa las medidas de seguridad para los operadores afectados. Ver la Ley de ciberseguridad y la norma vigente de la NCSC.

Delimitación importante: No todas las empresas suecas ni sus proveedores están automáticamente sujetos a la Ley de ciberseguridad. El operador afectado debe evaluar primero su propio alcance jurídico y los riesgos concretos de los proveedores. No existe un «certificado de proveedor NIS2» general y obligatorio emitido por una autoridad, ni plazos universales de 14 o 30 días para cartas de medidas correctivas privadas. Un formulario completado no certifica la ciberseguridad ni sustituye a una prueba técnica.

ZIP digital completo por 79 kr: cinco plantillas de trabajo suecas, además de una guía de usuario en sueco y otra en inglés; todas en Word editable (DOCX) y en PDF A4 buscable e imprimible. Además, un libro de trabajo de Excel (XLSX) con nueve pestañas, 612 fórmulas administrativas y 36 pruebas de escenarios aprobadas. En total, 7 DOCX + 7 PDF + 1 XLSX = 15 archivos para el cliente. Cinco documentos de trabajo suecos, dos guías, siete documentos independientes; las copias PDF no son formularios interactivos.

¿Para quién es adecuado el control de proveedores de NIS2?

Para empresas que han comprobado que están sujetas a la Ley de ciberseguridad —por ejemplo, algunos operadores de energía, transporte, alimentos, infraestructura digital y otros sectores esenciales relevantes— y que contratan servicios de operación de TI, SaaS, nube, desarrollo de sistemas, servicios de seguridad u otros proveedores que puedan afectar a los sistemas de red y de información. Los grupos objetivo son especialmente el CISO, los responsables de seguridad de TI, compras, cumplimiento, propietarios de riesgos y de la empresa, auditoría interna y responsables de contratación.

También puede ser utilizado por un proveedor que necesite preparar una base concreta para un cliente regulado por NIS2, pero el proveedor no debe afirmar que el cliente o el proveedor han sido automáticamente certificados. El propio contrato y las posibles normas sectoriales específicas deben verificarse.

Listado exacto de archivos – 15 archivos para el cliente

Excel – nueve pestañas y 36 pruebas de funcionamiento verificadas

El libro de trabajo contiene Léame, Resumen, Proveedores, Certificado, Controles, Desviaciones, Nueva prueba, Decisión y Fuentes. Cada asunto está vinculado con un ID interno único y referencias a pruebas reales. El registro se entrega restablecido y no contiene datos de clientes ni asuntos de demostración.

Las 612 fórmulas pueden generar alertas administrativas como «COMPROBAR CADENA DE PROVEEDORES», «COMPROBAR APLICABILIDAD», «VERIFICAR PRUEBAS DE ORIGEN», «FALTA DE PRUEBA», «DEFICIENCIA DE SEGURIDAD», «ACLARAR CONTRATO», «FIJAR PLAZO MANUALMENTE», «DOCUMENTAR ENVÍO», «ERROR PERSISTENTE» y «ESCALAR ALTO RIESGO». Con entradas completas, en su lugar se muestra una base para la evaluación manual, nunca «aprobado por NIS2».

36 de 36 pruebas de escenarios técnicos superadas tras corregir errores en la gestión de cantidades del resumen. Una prueba verifica especialmente que un riesgo alto no pueda marcarse como automáticamente resuelto incluso cuando todos los campos de decisión y certificación están completados y el usuario desea cerrar el asunto. Los 12 valores de resumen del cliente son 0 antes de que se registre el primer proveedor real.

Flujo de trabajo práctico para un proveedor con deficiencia de seguridad

1. Evaluar el alcance. ¿Está su empresa sujeta a la Ley de ciberseguridad como esencial o importante? Documente la decisión, el sector y la fuente en el formulario 01.
2. Delimitar el servicio relevante. Identifique la contraparte contractual directa, a qué sistemas accede el proveedor, los datos afectados y las consecuencias de una interrupción cibernética.
3. Solicitar pruebas de seguridad proporcionadas. Pregunte por la versión real y pruebas de MFA, acceso privilegiado, rutinas de vulnerabilidades, copias de seguridad o ruta de incidentes, según el riesgo identificado.
4. Valorar un posible certificado. Una respuesta afirmativa firmada, una declaración de cumplimiento de ISO o una política de proveedor no equivalen a una prueba verificada del sistema en cuestión.
5. Enviar requisitos de medidas correctivas concretos. Indique en qué contrato y en qué resultado objetivo de control se basa el requisito. Establezca un plazo realista según el contrato; no invente un plazo de respuesta legal universal.
6. Realizar una nueva prueba y conservar la cadena de pruebas. Verifique las configuraciones reales, la medida ejecutada, la fecha y los riesgos persistentes. No comparta claves secretas ni contraseñas en hojas de cálculo abiertas.
7. Decidir por separado. El propietario del riesgo autorizado toma una decisión sobre la continuidad de la operación, las protecciones compensatorias, la escalada, la modificación del contrato o la salida, sin una decisión automáticamente positiva de Excel.

Base jurídica – lo que realmente implican las normas

Ley de ciberseguridad (2025:1506), cap. 2, § 3: las medidas de seguridad técnicas, organizativas y operativas deben ser adecuadas, proporcionadas y basadas en riesgos. El punto 4 trata sobre la seguridad en la cadena de suministro y el punto 6 sobre la evaluación de la eficacia de las medidas de seguridad. Lea el texto completo en el Parlamento.

Artículo 21.2 d y 21.3 de la Directiva NIS2: deben tenerse en cuenta las vulnerabilidades específicas de los proveedores y la calidad del trabajo de seguridad de los proveedores directos, incluida el desarrollo seguro. Es una base para un control basado en riesgos, no un formulario universal legal para todos los proveedores. Directiva oficial de la UE.

MCFFS 2026:11: las normas y consejos generales sobre medidas de seguridad y formación de la dirección para operadores de servicios esenciales e importantes entran en vigor el 1 de octubre de 2026. Verifique también la normativa especial relevante para su propio sector. Fuente oficial de la NCSC.

Límite de responsabilidad: que un proveedor certifique ciertos controles no exime al cliente de evaluar por sí mismo si su propia seguridad es suficiente. Además de NIS2, el RGPD, las normas sectoriales, los contratos o las normas específicas de la UE pueden implicar otras obligaciones. Este paquete no es una notificación de incidentes, un formulario de la autoridad, un servicio de pruebas de penetración ni una decisión de sanción.

Diferencia con otros productos de Mallbutiken

Paquete de plantillas NIS2 – Ley de ciberseguridad 2026 es un material más amplio para la gobernanza de ciberseguridad de la propia organización. Auditoría de proveedores y auditoría de proveedores es un control general de proveedores/calidad. Contrato de proveedores de TI DORA tiene una aplicación financiera de DORA. Este nuevo producto se centra específicamente en las pruebas de ciberseguridad relevantes para NIS2, los requisitos escritos de medidas correctivas y la nueva prueba verificada en un proveedor específico.

Preguntas frecuentes sobre el certificado cibernético de proveedor de NIS2

¿Todos los proveedores deben firmar un certificado NIS2?

No. No existe un certificado de proveedor oficial universal que todos los proveedores deban completar. La empresa selecciona las medidas de control adecuadas y proporcionadas en función del riesgo real y los contratos aplicables.

¿Un pequeño proveedor de SaaS está automáticamente sujeto a NIS2 si el cliente está afectado?

No. Las propias obligaciones del proveedor deben evaluarse por separado. Un cliente regulado por NIS2 aún puede necesitar establecer requisitos de seguridad basados en contratos y en riesgos.

¿Se puede utilizar la plantilla como certificado ISO 27001?

No. La autodeclaración de un proveedor, o un formulario de preguntas completado, no es una certificación ISO 27001, una auditoría independiente ni una evaluación formal de la autoridad.

¿Qué ocurre cuando el proveedor dice que una desviación ha sido corregida?

Documente la declaración del proveedor y verifique la prueba real y la nueva prueba frente al sistema/versión correcta. Los errores persistentes se marcan y requieren una decisión independiente.

¿El proveedor debe responder al requisito de medidas correctivas en 30 días?

No. Los requisitos generales de proveedores de la Ley de ciberseguridad no establecen un plazo universal para cartas de medidas correctivas privadas. Parta de los contratos, la situación de seguridad real y un cronograma razonable.

¿Puede Excel aprobar automáticamente la seguridad del proveedor?

No. Las fórmulas identifican la necesidad de control administrativo y nunca pueden mostrar «aprobado jurídicamente» o «certificado». Se requiere una evaluación técnica y jurídica real.

¿Incluye el reporte de incidentes a la autoridad?

No. Si ha ocurrido un incidente cibernético significativo, las normas de incidentes de la ley y las disposiciones deben evaluarse por separado. Este paquete se refiere al control de proveedores, no al reporte oficial de incidentes.

¿Todas las plantillas están en inglés?

No. Cinco plantillas de trabajo, la guía sueca y Excel están en sueco. Se incluye una Guía de usuario en inglés para su uso, pero no es una traducción completa de las cinco plantillas principales.

¿Los archivos PDF son rellenables digitalmente?

No. Los archivos PDF son versiones A4 buscables e imprimibles. Edite los archivos Word al completar sus propios datos.

Fuentes jurídicas oficiales y transparencia

Fuentes: Ley de ciberseguridad 2025:1506; Reglamento de ciberseguridad 2025:1507; Directiva NIS2 2022/2555; MCFFS 2026:11; Guía de la NCSC sobre medidas de seguridad.

Versión 1.0. Control de fuentes jurídicas asistido por IA y control de calidad técnico de archivos el 9 de noviembre de 2026. Ningún abogado externo, autoridad, certificador ni auditor técnico ha aprobado el material. El texto del PDF y las 14 páginas A4 están verificados, Excel contiene 612 fórmulas y 36/36 pruebas de escenarios están aprobadas, y el ZIP ha sido verificado en cuanto a integridad. Utilice las plantillas como base para decisiones reales e independientes sobre aplicabilidad, seguridad, contratos y riesgos.