¿Qué cláusulas de ciberseguridad trae el contrato de un cliente grande?
Se agrupan en diez tipos: medidas de seguridad, confidencialidad, aviso de incidentes, auditoría, subcontratación, devolución de datos, evidencias periódicas, ciberseguro, responsabilidad y continuidad del servicio. La lista pública más detallada está en el Reglamento de Ejecución (UE) 2024/2690, que enumera ocho elementos que un contrato con proveedores debe especificar.
Tu cliente no se las inventa. La Directiva (UE) 2022/2555, conocida como NIS2, obliga a las empresas que regula a gestionar «la seguridad de la cadena de suministro» (artículo 21.2.d). En España aún no se ha transpuesto —la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026—, pero un cliente con actividad en otros países de la UE puede estar ya obligado allí, y el RGPD se aplica igual. El detalle, en la guía del estado de la NIS2 en España.
El Reglamento de Ejecución (UE) 2024/2690, que desarrolla la NIS2 para nube, centros de datos y servicios gestionados, entre otros, pide que el contrato con un proveedor especifique, según se requiera:
- Los requisitos de ciberseguridad del proveedor.
- Formación y certificados de su personal.
- Controles de antecedentes de sus empleados.
- El aviso «sin demora indebida» de incidentes que pongan en riesgo al cliente.
- El derecho de auditoría o a recibir informes de auditoría.
- La corrección de las vulnerabilidades que supongan un riesgo.
- Las condiciones para subcontratar.
- La recuperación y eliminación de la información al terminar.
INCIBE recomienda lo mismo a quien contrata. Los diez tipos de esta guía agrupan esa lista y suman la parte comercial: seguro y responsabilidad.
¿Qué cláusulas de seguridad no se pueden quitar porque las exige el RGPD?
Si tratas datos personales por cuenta del cliente, eres su encargado del tratamiento y el artículo 28.3 del RGPD obliga a que el contrato diga que aplicarás las medidas del artículo 32, que tu personal guarda confidencialidad, que no subcontratarás sin autorización, que devolverás o borrarás los datos y que permitirás auditorías.
| Artículo 28.3 | Qué tiene que decir el contrato | Qué supone para ti |
|---|---|---|
| Letra a | Que tratarás los datos solo siguiendo instrucciones documentadas del cliente | No usar sus datos para nada más |
| Letra b | Que tu personal se ha comprometido a la confidencialidad | Un compromiso firmado por cada persona con acceso |
| Letra c | Que tomarás las medidas del artículo 32 | Medidas adecuadas al riesgo: cifrado, copias, revisión periódica |
| Letra d | Que respetarás las condiciones para subcontratar | Pedir permiso antes de usar otro proveedor con sus datos |
| Letras e y f | Que ayudarás al cliente con los derechos de los interesados y su seguridad | Colaborar si hay una brecha |
| Letra g | Que devolverás o suprimirás los datos al terminar | Borrar también las copias, salvo obligación legal |
| Letra h | Que demostrarás el cumplimiento y permitirás auditorías, incluidas inspecciones | Que el cliente, o su auditor, lo compruebe |
Obligatorio es el qué, no la redacción: hay que permitir auditorías, no permitirlas sin preaviso ni límite. Hay dos modelos gratuitos, las cláusulas contractuales tipo de la Comisión Europea y las directrices de la AEPD. El primero habla de auditorías «a intervalos razonables o si existen indicios de incumplimiento» y «con un preaviso razonable». Proponerlo tiene una ventaja: no es tu redacción.
¿En cuántas horas puede obligarte un cliente a avisar de un incidente?
El RGPD solo dice que el encargado avisará al cliente «sin dilación indebida» (artículo 33.2), y la AEPD recomienda fijar un plazo inferior a 72 horas. Un cliente sujeto a la NIS2 tiene 24 horas para su propia alerta temprana (artículo 23.4), y por eso puede pedirte un plazo más corto que el suyo.
Sin dilación indebida
Tú avisas a tu cliente
Lo único que fija el RGPD para el encargado (artículo 33.2).
Menos de 72 h
El plazo máximo que recomienda la AEPD
Su modelo de contrato deja el plazo en blanco y pide que sea inferior a 72 horas.
24 h
Tu cliente avisa al equipo nacional de respuesta a incidentes (CSIRT)
Alerta temprana de un incidente significativo (NIS2, artículo 23.4.a).
72 h
Tu cliente notifica el incidente o la brecha
NIS2, artículo 23.4.b; con datos personales, a la AEPD (RGPD, artículo 33.1).
1 mes
Tu cliente entrega el informe final
NIS2, artículo 23.4.d.
Fuente: Directiva (UE) 2022/2555 (NIS2), arts. 21 y 23, consultado el .
Tres detalles deciden si el plazo se puede cumplir:
- Desde cuándo cuenta. «Desde que tengas constancia», como el RGPD y la NIS2. «Desde que ocurra» no se cumple si lo descubres más tarde.
- Qué se avisa. Lo que afecte a los datos o servicios del cliente: incidentes «que presenten un riesgo» para sus sistemas, dice el Reglamento 2024/2690.
- Con qué información. El RGPD permite darla por fases (artículo 33.4).
¿Qué supone aceptar el derecho de auditoría de un cliente?
Supone dejar que el cliente, o un auditor que él elija, compruebe que cumples lo firmado, con inspecciones incluidas si eres encargado del tratamiento (artículo 28.3.h del RGPD). Lo que se negocia es el cómo: preaviso, frecuencia, alcance, quién paga y si un certificado o tu dossier de evidencias sustituye a la visita.
| Situación | Redacción amplia | Contrapropuesta razonable |
|---|---|---|
| Frecuencia | En cualquier momento | Una vez al año, o antes si hay indicios de incumplimiento |
| Preaviso | Sin preaviso | Por escrito, con plazo fijado en días |
| Alcance | Todos tus sistemas e instalaciones | Lo que presta el servicio contratado |
| Quién audita | El cliente o cualquier tercero | El cliente o un auditor independiente, con confidencialidad y que no sea competidor |
| Coste | A tu cargo | Cada parte asume el suyo; el tuyo, solo si se encuentra un incumplimiento grave |
| Forma | Visita presencial | Primero informes, certificados o tu dossier; la visita, si no bastan |
La última fila tiene apoyo oficial: el modelo de la Comisión deja «tener en cuenta las certificaciones pertinentes» antes de auditar, y el Reglamento 2024/2690 habla del «derecho a recibir informes de auditoría».
¿Qué responsabilidad asumes si hay una brecha de seguridad?
Sin cláusula, respondes de los daños que causes al incumplir lo pactado (artículo 1101 del Código Civil) y, ante los afectados, de lo que incumplas como encargado (artículo 82.2 del RGPD). El contrato puede ampliarlo con una indemnidad sin tope o acotarlo con un límite pactado. Ese límite nunca cubre el dolo (artículo 1102).
Tres expresiones cambian mucho lo que firmas:
- «Mantener indemne». Pagas lo que reclamen al cliente por tu causa, también terceros. Sin tope, no hay techo.
- «Daños indirectos» o «lucro cesante». Lo que el cliente deja de ganar. Puedes pedir que queden fuera o con su propio límite.
- «Límite de responsabilidad». El techo de lo que pagarías. Puedes proponer atarlo a lo facturado por ese contrato en doce meses.
El Código Civil deja pactar lo que no sea contrario a la ley (artículo 1255), con dos límites: la responsabilidad por dolo, el incumplimiento intencionado, no se puede excluir (artículo 1102), y la que nace de negligencia la pueden moderar los tribunales (artículo 1103).
¿Puede un cliente exigirte un ciberseguro con un capital mínimo?
Sí. Es una condición comercial y cabe en la libertad de pactos del artículo 1255 del Código Civil. Comprueba tres cosas: que tu póliza cubre la responsabilidad civil frente a terceros y no solo tus propios daños, que el capital llega al mínimo pedido y que lo que declaraste a la aseguradora sigue siendo cierto.
| Qué mirar | Por qué | Dónde está |
|---|---|---|
| Responsabilidad civil frente a terceros | Paga lo que debas a tu cliente o a otros por un incidente tuyo | Ley de Contrato de Seguro, artículo 73 |
| Capital y sublímites | El total puede llegar al mínimo y la parte ciber tener un sublímite menor | Condiciones particulares de tu póliza |
| Declaración del riesgo | Con inexactitudes en el cuestionario, la indemnización puede reducirse; con dolo o culpa grave, perderse | Ley de Contrato de Seguro, artículo 10 |
| Cómo lo acreditas | Un certificado con capital y vigencia, no la póliza entera | Petición razonable al negociar |
Qué controles pide la aseguradora está en la guía de requisitos del ciberseguro.
¿Qué cláusulas de ciberseguridad se pueden negociar y cómo se pide?
Se negocia casi todo lo que no sea el contenido mínimo del artículo 28.3 del RGPD: plazos, alcance, frecuencia, topes y forma de demostrar. Se pide por escrito, cláusula a cláusula, con una contrapropuesta concreta y una razón: proporción con el servicio, capacidad real de cumplir o una evidencia que ya tienes.
| Cláusula | Qué te obliga | ¿La impone la ley? | Qué es razonable pedir |
|---|---|---|---|
| Medidas de seguridad | Mantener las medidas del contrato o su anexo | Sí, si eres encargado (RGPD, 28.3.c y 32) | Que estén descritas en concreto y sean las del servicio |
| Confidencialidad | Secreto sobre la información del cliente | Sí, si eres encargado (28.3.b) | Excepciones para información pública u obligación legal |
| Aviso de incidentes | Avisar en un plazo | «Sin dilación indebida» (33.2); las horas se pactan | Contar desde que tienes constancia; informar por fases |
| Auditoría | Dejar comprobar que cumples | Sí, si eres encargado (28.3.h) | Preaviso, frecuencia, alcance del servicio e informes antes que visitas |
| Subcontratación | No usar terceros sin permiso y trasladarles tus obligaciones | Sí, si eres encargado (28.2 y 28.4) | Autorización general con lista y aviso de cambios |
| Fin del contrato | Devolver o borrar los datos y retirar accesos | Sí, si eres encargado (28.3.g) | Un plazo y un certificado de borrado |
| Evidencias periódicas | Enviar informes o certificados cada cierto tiempo | No | Calendario anual y un formato que ya produzcas |
| Ciberseguro | Tener una póliza con un capital mínimo | No | Capital proporcional y certificado de la aseguradora |
| Responsabilidad e indemnidad | Pagar daños, a veces sin tope | La base sí (Código Civil, 1101; RGPD, 82) | Tope ligado al contrato y fuera los daños indirectos |
| Continuidad del servicio | Recuperar el servicio en un tiempo | No | Tiempos que tus copias permitan cumplir |
- Lee el apartado de seguridad y sus anexos enteros.
- Marca cada cláusula: la cumplo, la cumplo con cambios, no puedo.
- Para cada «no puedo», escribe una contrapropuesta concreta.
- Envía los cambios en un documento de comentarios, con su razón.
- Apunta lo acordado: plazos, evidencias y renovaciones.
Un anexo técnico de veinte requisitos se responde con una matriz: la guía del anexo de seguridad del contrato. Si eres tú quien pone las cláusulas, la guía de seguridad de proveedores.
¿Qué pruebas tendrás que dar mientras dure el contrato?
Las que permitan comprobar lo firmado: informes periódicos, cuestionarios de renovación, certificados vigentes y, si hay auditoría, acceso a registros. Si eres encargado, el artículo 28.3.h del RGPD te obliga a poner a disposición del cliente toda la información necesaria para demostrar que cumples. Conviene tenerlas listas antes de que te las pidan.
Documentos
- Política de seguridad aprobada por la dirección
- Lista de proveedores que tocan datos del cliente
- Procedimiento de aviso de incidentes, con responsable
- Compromisos de confidencialidad firmados
Pruebas con fecha
- Informe de protección de los equipos (antivirus gestionado)
- Registro de la última restauración de copias
- Configuración del doble factor
- Registro de la última formación
Seguro y certificados
- Certificado de la aseguradora con capital y vigencia
- Certificados que tengas, con su alcance y su renovación
Un dossier de evidencias las mantiene al día, con fecha y responsable: es lo que preparamos cada mes en Talvit. Con él contestas a una cláusula con una prueba, no con una promesa, y las mismas pruebas sirven para responder el cuestionario de seguridad de un cliente.
Lo que esta guía no cubre
- No es asesoramiento jurídico: los límites de responsabilidad y las indemnidades los revisa tu abogado.
- No cubre los contratos con la Administración pública, que pueden exigir el Esquema Nacional de Seguridad.
- No cubre las cláusulas que tu empresa pone a sus proveedores.
Preguntas frecuentes
¿Puedo firmar ahora y negociar la cláusula después?
Puedes, pero pierdes margen: firmado el contrato, cambiar una cláusula exige que el cliente acepte una modificación. Es más fácil pedir un cambio antes que una excepción después.
¿Necesito la ISO 27001 para firmar estas cláusulas?
No. Las cláusulas piden medidas y pruebas, no una certificación, salvo que el contrato la nombre. Si la nombra y no la tienes, hay opciones antes de certificarte.
¿Un contrato de encargado del tratamiento es lo mismo que una cláusula de ciberseguridad?
No del todo. El contrato de encargado regula los datos personales (artículo 28 del RGPD); la cláusula de ciberseguridad cubre también sistemas y continuidad aunque no haya datos personales.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), arts. 28, 32, 33, 82 y 83, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 21 y 23, consultado el
- Reglamento de Ejecución (UE) 2024/2690, anexo, punto 5.1.4, consultado el
- Decisión de Ejecución (UE) 2021/915, cláusulas contractuales tipo entre responsables y encargados, consultado el
- AEPD, Directrices para la elaboración de contratos entre responsables y encargados del tratamiento, consultado el
- Código Civil, arts. 1101, 1102, 1103 y 1255, consultado el
- Ley 50/1980, de Contrato de Seguro, arts. 10 y 73, consultado el
- Comisión Europea, 8 de julio de 2026: España, ante el TJUE por no transponer la NIS2, consultado el
- INCIBE, «Acuerdo pactado, contrato firmado. Protege tu empresa» (15-12-2020), consultado el
Registro de cambios
- : Publicación.
