¿Qué es el anexo de seguridad de un contrato de proveedor y en qué se diferencia de las cláusulas?
Es la parte técnica del contrato: la lista de medidas concretas que el proveedor se compromete a mantener mientras preste el servicio. Las cláusulas fijan obligaciones y consecuencias —aviso, auditoría, responsabilidad—; el anexo dice qué medidas exactas se van a comprobar. En el modelo europeo de contrato de encargado es el anexo III.
| Qué cambia | Cláusulas del contrato | Anexo de seguridad |
|---|---|---|
| Qué fija | Obligaciones y consecuencias | Medidas concretas, una por línea |
| Lenguaje | Jurídico | Técnico |
| Quién lo revisa | Tu asesoría jurídica | Quien lleva tu informática, con la dirección |
| Cómo se cumple | Respetando plazos y avisos | Con una evidencia por requisito |
El modelo de la Comisión Europea para contratos de encargado, las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915, reserva su anexo III a estas medidas y avisa: «deben describirse de manera concreta y no de manera genérica». Es la mejor regla para leer el anexo que te mandan, y para pedir que se concrete si solo dice «medidas adecuadas». Las cláusulas del cuerpo del contrato tienen su propia guía: qué estás firmando en las cláusulas de ciberseguridad.
¿Por qué tu cliente te manda ahora un anexo de seguridad?
Porque las normas que le aplican le obligan a vigilar a sus proveedores. La NIS2 incluye la seguridad de la cadena de suministro entre las medidas mínimas (artículo 21.2.d) y el RGPD exige que el contrato con un encargado recoja las medidas del artículo 32 (artículo 28.3.c). El anexo es cómo lo deja por escrito.
8
elementos que debe especificar el contrato con un proveedor según el Reglamento de Ejecución (UE) 2024/2690. El primero son «los requisitos de ciberseguridad correspondientes a los proveedores y prestadores de servicios»: lo que va en el anexo.
La NIS2 pide además a tu cliente que tenga en cuenta «las vulnerabilidades específicas de cada proveedor» y la calidad de sus prácticas de ciberseguridad (artículo 21.3). En España la directiva aún no se ha transpuesto —la Comisión Europea llevó a España ante el TJUE el 8 de julio de 2026—, pero una empresa con actividad en otros países de la UE puede estar ya obligada allí, y el RGPD obliga en todas partes.
¿Qué requisitos trae un anexo de seguridad?
Agrupados, son unos quince: política y responsable, inventario, accesos, doble factor, protección de equipos, actualizaciones, copias, cifrado, incidentes, formación, subcontratistas, continuidad, fin del contrato y evidencias. Salen de modelos públicos: el anexo III de las cláusulas tipo europeas, el artículo 32 del RGPD y el Reglamento de Ejecución 2024/2690.
| Requisito | Qué pide | Con 10-50 personas | Con 50-250 personas |
|---|---|---|---|
| Política de seguridad | Documento aprobado por la dirección | Dos a cuatro páginas firmadas por la gerencia | Política y normas por área, revisadas cada año |
| Responsable de seguridad | Una persona designada y localizable | Alguien de la empresa o un servicio externo con nombre | Responsable con tiempo asignado y suplente |
| Inventario | Saber qué equipos y datos tocan el servicio | Lista de equipos y de dónde están los datos | Inventario mantenido con una herramienta |
| Control de accesos | Acceso solo para quien lo necesita | Usuarios con nombre, sin cuentas compartidas | Revisión periódica de permisos |
| Doble factor | En correo, accesos remotos y paneles | Correo y accesos remotos | Todo acceso a datos del cliente |
| Protección de equipos | Antivirus gestionado en todos los equipos | Antivirus gestionado con alertas revisadas | Lo mismo, con vigilancia 24 horas |
| Actualizaciones | Parches aplicados en un plazo | Automáticas y revisión mensual | Plazos según la gravedad |
| Copias de seguridad | Copias con restauración probada | Copia diaria fuera de la red y una prueba documentada | Pruebas periódicas por sistema |
| Cifrado | Datos cifrados en tránsito y almacenados | Portátiles cifrados y conexiones seguras | También copias y soportes |
| Incidentes | Registrar y avisar en plazo | Procedimiento de una página con responsable | Registro y simulacro anual |
| Formación | Personal formado | Una sesión al año | Plan con registro y simulacros |
| Subcontratistas | Autorización y mismas obligaciones | Lista de proveedores que tratan sus datos (subencargados): nube, correo, copias | Revisión anual de los críticos |
| Continuidad | Recuperar el servicio en un tiempo | El tiempo que tus copias permiten | Plan de continuidad probado |
| Fin del contrato | Devolver o borrar y certificarlo | Borrado con certificado firmado | Procedimiento con plazos |
| Evidencias | Demostrar el cumplimiento | Dossier de evidencias con fecha | Informe anual o certificación, si se exige |
¿Cómo se convierte un anexo de seguridad en una matriz de cumplimiento?
Copia cada requisito del anexo en una fila y añade cuatro columnas: estado (cumple, cumple en parte, no cumple), evidencia que lo prueba, responsable y siguiente paso. Lo que quede en «no cumple» lleva una acción con fecha o una propuesta de excepción. Esa tabla es lo que defiendes ante el cliente, línea a línea.
| Requisito del anexo | Estado | Evidencia | Responsable | Siguiente paso |
|---|---|---|---|---|
| 4.2 Doble factor en accesos remotos | Cumple | Captura de la política de acceso, sep. 2026 | Gerencia | Revisar en marzo |
| 4.5 Copias diarias con restauración probada | Cumple | Registro de la última restauración, sep. 2026 | Informática | Prueba cada trimestre |
| 4.7 Cifrado de portátiles | Cumple en parte | Informe de cifrado: 18 de 22 equipos | Informática | Cifrar los 4 restantes antes del 30-11-2026 |
| 4.9 Prueba de intrusión (pentest) anual | No cumple | Ninguna | Gerencia | Proponer excepción: análisis de vulnerabilidades trimestral |
| 4.12 Aviso de incidentes en 24 horas | Cumple | Procedimiento firmado con responsable | Gerencia | Simulacro en enero |
- Numera los requisitos como el anexo, para que el cliente los encuentre.
- Una fila por requisito. Si uno pide dos cosas, dos filas.
- Estado honesto: un «cumple en parte» con fecha vale más que un «cumple» sin prueba.
- Evidencia con fecha y origen: de qué sistema sale y cuándo se generó.
- Envía la matriz antes de firmar o con el anexo, no después de la primera auditoría.
Si además llega un cuestionario, la lógica es la misma: la plantilla para responder un cuestionario de seguridad y qué responder cuando no cumples un control.
¿Qué requisitos del anexo son desproporcionados para una pyme y cómo se pide una excepción?
Son desproporcionados los que exigen más de lo que el riesgo del servicio justifica: vigilancia 24 horas para un servicio sin acceso a datos, o una certificación en semanas. El argumento está en la norma: la NIS2 (artículo 21.1) y el RGPD (artículo 32.1) piden medidas adecuadas al riesgo, y la NIS2 cuenta el tamaño.
¿El requisito afecta a datos o sistemas del cliente?
- Sí
- Sigue al paso siguiente
- No
- Pide que se excluya: no aplica a tu servicio
¿Puedes cumplirlo en un plazo razonable?
- Sí
- Acéptalo con la fecha de cumplimiento escrita en el anexo
- No
- Busca una medida que cubra el mismo riesgo
Propón esa medida compensatoria y explica qué riesgo cubre
Adjunta la evidencia de lo que ya tienes
Deja la excepción firmada en una adenda: si no está escrita, no existe
¿Qué pasa si incumples el anexo de seguridad después de firmarlo?
Incumplir el anexo es incumplir el contrato: el cliente puede exigir que lo corrijas, reclamar los daños que le cause (artículo 1101 del Código Civil) y aplicar las penalizaciones o la resolución que prevea el contrato. Si tratas datos personales, incumplir las medidas del artículo 32 del RGPD es además una infracción sancionable (artículo 83.4).
Un incumplimiento no siempre se decide: a veces pasa. Estos cuatro rompen un anexo sin que nadie lo note:
- Cambiar de proveedor de nube o de copias sin avisar: el RGPD exige autorización del cliente y, si es general, informarle de cada cambio (artículo 28.2).
- Una baja de empleado que no retira sus accesos.
- Una copia que deja de funcionar y nadie prueba.
- Un portátil nuevo que entra sin cifrar.
Si detectas un incumplimiento, avísalo tú, por escrito y con un plan. Es lo que la NIS2 pide a tu cliente consigo mismo: si constata que no cumple, corregir «sin demora indebida» (artículo 21.4). Un cliente que se entera por ti tiene un plan; uno que se entera en una auditoría tiene un incumplimiento.
¿Cómo se demuestra cada año que cumples el anexo de seguridad?
Con la matriz al día y una evidencia reciente por requisito: un informe, un registro o una captura con fecha y origen. El RGPD obliga al encargado a poner esa información a disposición del cliente (artículo 28.3.h), y el Reglamento de Ejecución 2024/2690 prevé el derecho de auditoría o a recibir informes de auditoría.
Antes de la renovación
- Releer el anexo vigente y sus adendas
- Actualizar la matriz, fila a fila
- Renovar las evidencias de más de un año
Cambios del año
- Subencargados nuevos, y cuándo se comunicaron
- Incidentes, y cuándo se avisó al cliente
- Altas y bajas de personas con acceso
Para enviar
- Matriz firmada por la dirección
- Dossier de evidencias o informe del año
- Certificados y seguro vigentes, si el contrato los pide
Si la evidencia se genera cada mes, la revisión anual no empieza de cero. Es lo que hace un dossier de evidencias, y lo que preparamos cada mes en Talvit, con fecha y responsable. El índice del dossier muestra qué controles incluye.
Lo que esta guía no cubre
- No es asesoramiento jurídico: si el anexo trae penalizaciones o causas de resolución, que lo revise tu abogado.
- No es un modelo de anexo para imponer a tus proveedores: ese lado tiene su propia guía.
- No cubre regímenes sectoriales con requisitos propios, como el Esquema Nacional de Seguridad en contratos públicos o TISAX en automoción.
Preguntas frecuentes
¿Puedo pedir el anexo antes de presupuestar?
Sí, y conviene: requisitos como la vigilancia 24 horas, una auditoría externa anual o un seguro concreto tienen coste. Verlos antes de cerrar el precio evita descubrirlos con el contrato firmado.
¿Quién firma la matriz de cumplimiento?
Quien pueda comprometer a la empresa: la gerencia o un apoderado. Quien lleva la informática la prepara; la firma la dirección, igual que la política de seguridad.
¿Y si el anexo está en inglés?
Se cumple igual. Traduce cada requisito en la matriz y responde en el idioma que pida el cliente. Si un requisito es ambiguo, pregunta por escrito qué significa antes de marcarlo como cumplido.
¿El anexo puede cambiar durante el contrato?
Solo si el contrato lo prevé o si las dos partes firman una adenda. Si llega una versión nueva, revísala como la primera: con la matriz delante.
Fuentes
- Decisión de Ejecución (UE) 2021/915, cláusulas contractuales tipo, anexo III, consultado el
- Reglamento (UE) 2016/679 (RGPD), arts. 28, 32 y 83, consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 21, consultado el
- Reglamento de Ejecución (UE) 2024/2690, anexo, puntos 5.1.4 y 5.1.7, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, art. 28.3, consultado el
- Código Civil, art. 1101, consultado el
- Comisión Europea, 8 de julio de 2026: España, ante el TJUE por no transponer la NIS2, consultado el
Registro de cambios
- : Publicación.
