Riesgo de terceros y NIS2: el nuevo desafío de la ciberseguridad empresarial
- La Directiva NIS2 convierte la seguridad de la cadena de suministro en una obligación jurídica, no solo tecnológica.
- El 77% de las brechas de datos recientes se originaron a través de un tercero, evidenciando la fragilidad del perímetro digital.
- Se impone un modelo de responsabilidad compartida entre empresas y proveedores cloud, manteniendo la responsabilidad final en la gerencia del cliente.
- El Third Party Risk Management (TPRM) se vuelve crítico ante el aumento del número de proveedores y la complejidad de los ecosistemas SaaS.
La arquitectura de seguridad de las empresas modernas ha sufrido una transformación radical. Durante años, la estrategia predominante se centró en fortalecer el perímetro interno, construyendo muros digitales para proteger los activos críticos. Sin embargo, la realidad operativa actual demuestra que el riesgo ya no entra principalmente por la puerta frontal, sino por las vías laterales: los proveedores de servicios, los partners tecnológicos y los ecosistemas de nube.
Este fenómeno ha dado lugar a una crisis de gobernanza. Según datos del TPRM Impact Report 2025 de Whistic, una organización promedio gestiona actualmente 286 proveedores, lo que representa un incremento del 21% respecto al año anterior. Esta expansión de la superficie de ataque ha provocado que el 70% de las organizaciones hayan sufrido una brecha de datos en los últimos tres años, y en el 77% de esos casos, el origen fue una tercera parte. El impacto financiero es severo, con un coste medio de brecha de datos que alcanza los 4,88 millones de dólares, según el informe de IBM de 2024.
La Directiva NIS2 y el fin de la seguridad como opción
El marco regulatorio europeo está respondiendo a esta vulnerabilidad mediante la Directiva NIS2, que redefine profundamente el papel de los proveedores de servicios en la cadena de suministro. Ya no se trata simplemente de incluir una cláusula de confidencialidad en un contrato, sino de integrar la seguridad como un requisito jurídico vinculante. La normativa introduce la obligación de realizar evaluaciones de riesgo exhaustivas de los proveedores, extendiendo la responsabilidad de la mitigación a los propios partners.
En este contexto, los proveedores de servicios cloud emergen como piezas críticas. Al albergar la mayoría de las cargas de trabajo esenciales, su capacidad para garantizar la disponibilidad, integridad y confidencialidad de los datos es el pilar que sostiene la continuidad operativa de sus clientes. La NIS2 transforma la relación contractual, exigiendo que las medidas de seguridad sean requisitos obligatorios tanto para la entidad regulada como para su socio tecnológico.
El modelo de responsabilidad compartida en la nube
Uno de los conceptos más complejos de implementar es la denominada shared responsibility. Este modelo delimita claramente quién es responsable de qué capa de seguridad, pero establece una distinción fundamental: mientras que el proveedor cloud gestiona la seguridad de la nube (infraestructura, centros de datos, hardware), el cliente mantiene la responsabilidad en la nube (configuración, gestión de identidades, protección de los datos almacenados).
Es crucial entender que, aunque el proveedor implemente las medidas técnicas exigidas por la NIS2, la accountability final recae siempre en la dirección de la empresa cliente. Esto significa que el management no puede delegar la responsabilidad legal del cumplimiento normativo en el proveedor; debe supervisar activamente que dicho proveedor cumpla con los estándares acordados.
Gestión de riesgos de terceros o TPRM
Para navegar este entorno, las organizaciones están adoptando el Third Party Risk Management (TPRM). Este proceso no es una auditoría puntual, sino un ciclo continuo de gestión que abarca desde la identificación de dependencias hasta el monitoreo constante. El TPRM busca identificar qué proveedores son realmente críticos y aplicar controles proporcionales al riesgo que representan.
El perímetro de riesgo del TPRM es amplio y abarca diversos actores:
- Proveedores de software y modelos SaaS.
- Proveedores de infraestructura cloud y hosting.
- Integradores de sistemas y empresas de outsourcing.
- Consultores externos, bufetes de abogados o agencias de RRHH con acceso a datos personales (PII).
- Proveedores de servicios de tecnología operativa (OT) e IoT.
La paradoja de la inversión en ciberseguridad
Existe una contradicción alarmante en la gestión actual del riesgo. Las empresas están invirtiendo más recursos que nunca en personal especializado para gestionar a sus proveedores. Según Whistic, las organizaciones añadieron una media de tres empleados a tiempo completo para la función de TPRM en 2024, con un coste medio de 109.000 dólares por persona. A pesar de esto, el 94% de las empresas admite que no logra evaluar a todos los proveedores que desearía.
El tiempo dedicado a las evaluaciones ha aumentado hasta las 37,4 horas semanales, pero este incremento de esfuerzo no se traduce en una mayor cobertura del riesgo. La complejidad de las dependencias crece más rápido que la capacidad humana de gobernarlas, lo que sugiere que el modelo operativo basado en cuestionarios manuales y auditorías esporádicas ha alcanzado su límite estructural.
Vulnerabilidades indirectas y daño reputacional
El riesgo de terceros no siempre se manifiesta como un robo de datos directo. A menudo, se presenta como una vulnerabilidad indirecta, como el uso de software con CVE no parcheados en el entorno del proveedor. Un caso real ilustra este peligro: un proveedor de IT con un sistema de tickets desprotegido permitió la exposición de logs de acceso de 12 clientes. Aunque no hubo una brecha directa en los sistemas de los clientes, el impacto reputacional fue inmediato y se activaron las obligaciones de notificación del Artículo 23 de la NIS2 para todas las empresas afectadas.
Este escenario demuestra que la seguridad de una empresa es, en realidad, la seguridad del eslabón más débil de su cadena de suministro. La interconexión a través de VPN compartidas o accesos privilegiados de administradores externos crea puentes que los atacantes utilizan para saltar la seguridad perimetral de la organización objetivo.
El perimetro de seguridad ya no existe como una línea física o digital cerrada; es ahora una red difusa de confianza delegada en terceros que debe ser gestionada con rigor matemático y jurídico.
Implicaciones estratégicas para la empresa en España
Para el tejido empresarial español, caracterizado por una alta densidad de PYMES que actúan como proveedoras de grandes corporaciones, la implementación de la NIS2 y el enfoque en el TPRM representan un desafío existencial. Las empresas españolas no solo deben preocuparse por su propia seguridad, sino que se enfrentarán a una presión sin precedentes de sus clientes para demostrar niveles de cumplimiento estrictos.
En el marco de la Agenda Digital Española y la transposición de las normativas europeas, las empresas locales deben anticipar que la seguridad dejará de ser un valor añadido para convertirse en un requisito de entrada al mercado. Aquellas organizaciones que no puedan certificar la gestión de sus propios riesgos de terceros podrían quedar excluidas de licitaciones públicas o de contratos con grandes grupos industriales.
Además, la convergencia entre el AI Act y la NIS2 añade una capa de complejidad. Los proveedores de inferencia de IA, que a menudo operan sobre infraestructuras cloud, se convierten en critical third parties
. Para el emprendedor español, esto implica que la adopción de IA no puede separarse de una estrategia de Third Party Risk Management robusta, asegurando que la delegación de procesos inteligentes no abra brechas incontrolables en la gobernanza de los datos corporativos.Preguntas frecuentes
¿Qué es exactamente la responsabilidad compartida en el cloud?
Es un modelo donde el proveedor asegura la infraestructura física y el software de virtualización, mientras que el cliente es responsable de configurar la seguridad de sus datos, aplicaciones y accesos dentro de esa infraestructura.
¿Por qué el TPRM es más crítico ahora que hace unos años?
Debido al aumento masivo de dependencias de servicios SaaS y cloud. Actualmente, el 77% de las brechas de datos se originan en terceros, lo que hace que el perímetro interno sea insuficiente para proteger la empresa.
¿Cómo afecta la Directiva NIS2 a los proveedores que no son entidades críticas?
Aunque no sean el sujeto principal de la norma, los proveedores cloud y tecnológicos se convierten en socios obligados a cumplir medidas de seguridad estrictas para que sus clientes puedan cumplir con la ley.
¿Cuál es el coste medio de una brecha de datos según los informes recientes?
Según el informe de IBM de 2024, el coste medio ha alcanzado los 4,88 millones de dólares, cifra que aumenta si se suman las sanciones regulatorias y el daño a la reputación.
Fuentes: News, Sicurezza-informatica, Ictsecuritymagazine ·
glacom · Configurador 3D industrial: variantes y presupuestos sin errores →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
