¿Qué es Achilles y qué clientes te lo van a pedir?
Achilles homologa y evalúa proveedores con tres productos que te pueden llegar: RePro, la red de compradores como CaixaBank, Naturgy o Iryo; Achilles Network, por niveles de suscripción; y GoSupply, con el que Iberdrola y Redeia evalúan el riesgo de sus proveedores. RePro y GoSupply preguntan por ciberseguridad.
| Producto | Quién lo usa | ¿Pregunta por ciberseguridad? | Coste para ti |
|---|---|---|---|
| RePro | Banco Sabadell, CaixaBank, Moeve, Iryo, Veolia, ENGIE, Urbaser, Comsa, Roche, Naturgy y otros | Sí: es una de las áreas del cuestionario | Según tu perfil, tu facturación, tus categorías y lo que pida el comprador |
| Achilles Network | 229 compradores y 61.319 proveedores, según su contador | Su página no lo detalla | Member es gratuito; Silver, Silver+ y Gold no publican precio |
| GoSupply en Iberdrola | Proveedores de Iberdrola | Sí, junto a finanzas, prevención, sostenibilidad y cumplimiento | Gratis |
| GoSupply en Redeia | Proveedores de Redeia | Sí: con un cuestionario específico de seguridad | Gratis |
GoSupply forma parte de Achilles: «GoSupply and Achilles have joined forces», dice su web. Los compradores son los que cita la comunidad RePro, donde «Achilles revisa y valida esta información». En Achilles Network, el nivel Gold añade una auditoría a lo que incluye Silver+. Para comparar Achilles con Nalanda, Twind, Dokify y Quioo, la guía de homologación de proveedores.
¿Qué preguntas de ciberseguridad hace Achilles en RePro?
En junio de 2020, Achilles publicó las diez preguntas de ciberseguridad del cuestionario de RePro España y qué parte de los proveedores respondía «sí» a cada una. Van de la política de seguridad a las brechas de datos del último año. No hemos encontrado una versión más reciente: el cuestionario actual puede haber cambiado.
La última barra se lee al revés: ahí el «sí» es malo. El gráfico original está en inglés y la traducción es nuestra (Achilles, «Repro Spain - Cyber Security Questions», copia archivada). En la tabla, el antivirus gestionado es la protección de los equipos que detecta y frena el ataque, no solo el virus conocido (EDR).
| Pregunta | Qué lo demuestra |
|---|---|
| Políticas de ciberseguridad | Política firmada y fechada por la dirección |
| Identificación y gestión de incidentes | Procedimiento con responsable y plazos de aviso |
| Recuperación ante desastres y continuidad | Plan de continuidad y última restauración probada |
| Mapa de riesgos del último año | Análisis de riesgos fechado en los últimos doce meses |
| Protección técnica del acceso | Informe del antivirus gestionado de todos los equipos |
| Responsable nombrado por la dirección | Acta o escrito de nombramiento |
| Personal formado y concienciado | Registro de formación o del último simulacro |
| Auditoría en dos años | Informe de auditoría y plan de acción con fechas |
| Certificado en una norma | Certificado vigente, con su alcance |
| Fallo con datos personales | Se responde; si lo hubo, el registro del incidente |
Para las tres primeras filas tienes la plantilla de política de seguridad y el plan de respuesta a incidentes; para la formación, cómo formar al equipo, y para la auditoría, qué es una auditoría de ciberseguridad.
¿Cómo puntúa Achilles la ciberseguridad de un proveedor?
La Puntuación de Achilles califica cuatro pilares —medio ambiente, social, gobernanza y finanzas— de 0 (riesgo alto) a 100 (riesgo bajo), y la nota global es la media. La seguridad entra en gobernanza, con indicadores como políticas de seguridad de la información, violaciones de datos personales en cinco años y formación del personal.
| Puntos | Resultado |
|---|---|
| 0-20 | Recomendamos investigación |
| 21-45 | Satisfactoria |
| 46-60 | Buena |
| 61-80 | Muy buena |
| 81-100 | Excelente |
Del método, dos reglas cambian cómo responder. Solo reciben puntuación las empresas con suscripción Silver, Silver+ o Gold en al menos una comunidad. Y «cuando la información proporcionada por una empresa ha expirado, habrá una deducción»; lo mismo «si no se proporciona ninguna evidencia que respalde los datos» (Achilles, «La Puntuación de Achilles», junio de 2024). Un «sí» sin documento resta.
22 %
de los más de 10.000 proveedores de la base de datos de Achilles tenía un riesgo de ciberseguridad alto o muy alto, en una escala de cuatro niveles. El artículo no lleva fecha y enlaza los datos de RePro de 2020.
¿Qué nivel de Achilles te pide Iberdrola como proveedor?
Iberdrola evalúa a sus proveedores con Achilles Enterprise-GoSupply. Si no te ha clasificado antes y ofertas en una licitación de 700.000 euros o más, te invita al Nivel 360º, con perfil de riesgo completo; por debajo, al Nivel Basic. Evalúa ciberseguridad, finanzas, prevención de riesgos laborales, sostenibilidad y cumplimiento. El registro es gratis.
¿Iberdrola ya te ha evaluado y clasificado?
- Sí
- Sigues en Basic o en 360º, según te requiera Iberdrola; el paso a GoSupply llega por invitación
- No
- Pasa a la siguiente pregunta
¿Ofertas en una licitación con valor estimado de 700.000 euros o más?
- Sí
- Nivel 360º: perfil de riesgo completo y puntuación de sostenibilidad (ESG)
- No
- Nivel Basic, igual que si se considera que no hay riesgo potencial
En los dos niveles, el registro no tiene ningún coste para ti
Datos de la página de clasificación de proveedores de Iberdrola, en su copia archivada el 10 de abril de 2026 (la original no responde a herramientas automáticas). La evaluación combina «información aportada por los propios proveedores y de terceras partes»: no solo lo que tú declares.
¿Qué pide Redeia en ciberseguridad a sus proveedores?
Redeia pide a sus proveedores un cuestionario específico de seguridad en su plataforma Achilles-GoSupply: ciberseguridad, seguridad de la información y seguridad física. Los documentos solo se aceptan en PDF de 4 MB como máximo, el proceso es gratis y, si sales en riesgo alto, pueden abrirse revisión y planes de acción.
Según su FAQ para proveedores, lo implanta por fases: gestión del riesgo con Achilles-GoSupply desde junio de 2025, el cuestionario de seguridad entre septiembre y noviembre de 2025 y una herramienta de calificación nueva desde el 21 de enero de 2026. Si el riesgo es alto y no mejora, «podría haber afección en su calificación para los suministros de Redeia».
Su foro de proveedores de diciembre de 2025 enumera la documentación contractual: condiciones generales de contratación de tecnología, un anexo de ciberseguridad, una especificación técnica de notificación de ciberincidentes y el contrato de encargado del tratamiento. Qué suele llevar un anexo así: el anexo de seguridad de un contrato.
Al detectarlo
Lo analizas y lo clasificas
Si no cumple los criterios de notificación, termina aquí
De inmediato
Avisas al centro de operaciones de seguridad (SOC) de Redeia
Con la mejor información disponible; tu responsable de seguridad informa al de Redeia
Máximo 48 horas
Notificación intermedia al SOC de Redeia
Máximo 20 días
Notificación final al SOC de Redeia
Fuente: Redeia, «Seguridad en la cadena de suministro. Gestión de ciberincidentes con proveedores» (diciembre de 2025), consultado el .
¿Qué pasa si respondes «no» a una pregunta de seguridad de Achilles?
Ninguna fuente de Achilles, Iberdrola o Redeia dice que un «no» te excluya. En la Puntuación resta, y un «sí» sin evidencia también; en Redeia, un riesgo alto abre planes de acción antes de afectar a tu calificación. Y en 2020, el 69 % de los proveedores de RePro no tenía una auditoría reciente.
Lo que te quita puntos no es solo no tener algo: es no poder demostrarlo, porque el método de Achilles resta cuando falta la evidencia que respalda un dato. Un «no» con lo que tienes hoy y una fecha para lo que falta aguanta una petición de pruebas; un «sí» sin documento, no.
Cómo redactar ese «no» sin perder la venta: responder «no» en un cuestionario de seguridad. Y si la pregunta es el certificado: me piden la ISO 27001 y no la tengo.
¿Cómo se prepara la parte de ciberseguridad del cuestionario de Achilles?
Se prepara antes de abrir el cuestionario: pregunta a tu cliente qué producto y nivel te pide, reúne con fecha los documentos de las diez preguntas de RePro, pásalos a PDF y anota cuándo caducan. Lo que falte se responde con lo que tienes hoy y una fecha.
Antes de empezar
- Qué producto y qué nivel te pide tu cliente
- Quién responde por la empresa y quién firma
Documentos
- Política de seguridad aprobada por la dirección
- Procedimiento de gestión de incidentes, con plazos de aviso
- Plan de continuidad y de recuperación
- Análisis de riesgos de los últimos doce meses
- Nombramiento del responsable de seguridad
Pruebas con fecha
- Registro de la última formación del personal
- Informe del antivirus gestionado de todos los equipos
- Registro de la última restauración de copias
- Informe de auditoría y plan de acción, si lo tienes
Al subirlo
- Cada documento en PDF y, si es Redeia, de 4 MB como máximo
- La fecha de caducidad de cada documento, apuntada
- Las respuestas guardadas para el siguiente cliente
Si tienes un dossier de evidencias, cada pregunta de RePro tiene ya su prueba; si partes de cero, empieza por la plantilla de respuestas. Con Talvit, el sistema de seguridad documentado y el dossier se presupuestan aparte de la cuota de 29 € por puesto y mes (IVA no incluido), y respondemos contigo el cuestionario con cada evidencia adjunta; la formación y los simulacros de correos trampa, también aparte.
Lo que esta guía no cubre
- El resto del cuestionario de Achilles: finanzas, prevención de riesgos laborales, sostenibilidad y cumplimiento.
- Las preguntas propias que añade cada comprador, que Achilles no publica.
- Si el cuestionario de RePro ha cambiado desde 2020: no hemos encontrado una versión posterior publicada.
- La certificación de dispositivos industriales que comparte el nombre Achilles.
Preguntas frecuentes
¿Hace falta la ISO 27001 para pasar Achilles?
No consta como requisito en lo que Achilles publica. El cuestionario de RePro pregunta si estás certificado, y en 2020 solo lo estaba el 10 % de los proveedores. Si un comprador concreto la exige, lo dirá su pliego o su cuestionario.
¿Es lo mismo que la «certificación Achilles» de equipos industriales?
No. Con ese nombre existe un programa de Wurldtech que certifica la seguridad y la resistencia en red de dispositivos de infraestructuras industriales (Reliabilityweb, 2010). Certifica equipos, no proveedores, y no es el cuestionario que te pide tu cliente.
¿Vale un responsable de seguridad externo?
La pregunta de RePro pide un responsable de ciberseguridad nombrado formalmente por la dirección; no dice que tenga que ser de plantilla. Lo que se adjunta es el nombramiento, con nombre, fecha y firma de la dirección. Un CISO externo es un responsable de seguridad de fuera, por horas.
Fuentes
- Achilles, comunidad RePro, consultado el
- Achilles, «Repro Spain - Cyber Security Questions» (junio de 2020, copia archivada), consultado el
- Achilles Network, niveles de suscripción, consultado el
- Achilles, GoSupply, consultado el
- Achilles, «La Puntuación de Achilles» (junio de 2024), consultado el
- Achilles, «El papel de la ciberseguridad en la continuidad de tu negocio», consultado el
- Iberdrola, clasificación de proveedores (copia archivada el 10-04-2026), consultado el
- Redeia, preguntas frecuentes de proveedores sobre GoSupply, consultado el
- Redeia, «Seguridad en la cadena de suministro. Gestión de ciberincidentes con proveedores» (diciembre de 2025), consultado el
- Reliabilityweb, la certificación Achilles de Wurldtech para dispositivos industriales (06-12-2010), consultado el
Registro de cambios
- : Publicación.
- : En la pregunta del responsable externo, qué es un CISO externo.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
