¿Qué es la homologación de proveedores y qué parte es de ciberseguridad?
La homologación de proveedores es el filtro con el que una empresa grande te aprueba antes de comprarte: subes tus documentos a su plataforma, alguien los valida y quedas disponible para otras compras. La parte de ciberseguridad pregunta por tu política de seguridad, tus incidentes, tu continuidad, la formación y quién es el responsable.
Nalanda lo describe en cuatro pasos: subes la documentación una sola vez, sus expertos la validan, la contratación queda sujeta a que esté en regla y quedas disponible para futuras compras del cliente (folleto de homologación de Nalanda). Mientras sigas de alta, la plataforma te reclama lo que caduca.
La ciberseguridad tiene base legal: la Directiva (UE) 2022/2555, conocida como NIS2, pide a las empresas que regula cuidar «la seguridad de la cadena de suministro» (art. 21.2.d) y tener en cuenta «las prácticas en materia de ciberseguridad de sus proveedores» (art. 21.3). Si tu cliente está en un sector de la NIS2, revisarte es parte de su cumplimiento.
¿En qué se diferencia la homologación de la CAE y del cuestionario de seguridad?
La coordinación de actividades empresariales (CAE) es prevención de riesgos laborales: la documentación para que tu personal trabaje en el centro del cliente. La homologación aprueba a tu empresa como proveedora mientras sigas de alta. El cuestionario de seguridad revisa, en un momento dado, cómo proteges los datos del cliente.
La CAE sale del Real Decreto 171/2004, que desarrolla el artículo 24 de la Ley de Prevención de Riesgos Laborales: «plataforma CAE» es un término de prevención, no de ciberseguridad. Se confunden porque Nalanda, Dokify, Quioo y Twind hacen CAE, y las tres primeras, también homologación.
| CAE | Homologación | Cuestionario de seguridad | |
|---|---|---|---|
| Para qué | Que tu personal trabaje seguro en el centro del cliente | Que el cliente pueda comprarte | Que el cliente sepa si trabajar contigo pone en riesgo sus datos |
| Base | Ley 31/1995, art. 24, y Real Decreto 171/2004 | La política de compras del cliente | La política del cliente y, si le aplican, la NIS2 o el ENS |
| Qué entregas | Documentación de prevención de riesgos laborales | Datos de empresa, finanzas, certificaciones, cumplimiento y, en algunas, ciberseguridad | Respuestas, cada una con su prueba |
| Dónde | Una plataforma CAE | Una plataforma de homologación, a veces la misma | Un documento del cliente o un bloque de la plataforma |
Para un cuestionario suelto, sin plataforma, la guía es cómo responder el cuestionario de seguridad de un cliente.
¿Qué plataformas de homologación de proveedores se usan en España?
Cinco grupos de plataformas homologan proveedores para empresas grandes en España: Achilles, Nalanda (antes Obralia), Twind (de CTAIMA, unida a e-coordina), Dokify y Quioo, de Quirónprevención. Solo Achilles publica qué pregunta de ciberseguridad. Hay además dos homologaciones de hecho: TISAX en automoción y el Esquema Nacional de Seguridad (ENS) en contratos públicos.
| Plataforma | Quién está detrás | Para qué la usan | ¿Publica qué pregunta de ciberseguridad? |
|---|---|---|---|
| Achilles: RePro, Achilles Network y GoSupply | Achilles | RePro cita a CaixaBank, Naturgy, Iryo o Roche; Iberdrola y Redeia usan GoSupply | Sí: la ciberseguridad es un área del cuestionario de RePro |
| Nalanda (antes Obralia) | Nalanda; Obralia pasó a ser Nalanda en 2017 | Homologación «especializada en Compliance» y CAE | No: valida diez bloques, entre ellos protección de datos, y el comprador añade sus requisitos |
| Twind | CTAIMA, unida a e-coordina en 2024 | CAE: más de 3.500 clientes y 500.000 contratistas y proveedores | No. Su ISO 27001 y su ENS son de la plataforma, no un requisito para ti |
| Dokify | Dokify | CAE y homologación: más de 50.000 empresas registradas | No: los requisitos los configura cada comprador |
| Quioo | Quirónprevención | CAE y homologación | Solo una mención general a la «seguridad de la información» |
| TISAX | ENX Association | Automoción: evaluación que compartes con tus clientes en el portal de ENX | Todo es seguridad; no es una certificación y vale tres años |
| ENS | Real Decreto 311/2022 | Contratos públicos y, según el riesgo, su cadena de suministro | Declaración de conformidad (básica) o certificación (media y alta) |
Datos de Twind, Dokify, Achilles RePro, Nalanda y su historia con Obralia, la unión de CTAIMA y e-coordina y Quioo. Achilles tiene guía propia: qué pregunta Achilles sobre ciberseguridad.
TISAX funciona como la homologación de seguridad del proveedor de automoción: un auditor te evalúa con el catálogo del sector y compartes el resultado en el portal de ENX (ENX); lo explica qué es TISAX. En los contratos públicos, el Real Decreto 311/2022 manda que los pliegos pidan la conformidad con el ENS, también a la cadena de suministro del contratista si el análisis de riesgos lo pide (art. 2.3): la guía del ENS.
¿Qué documentos de ciberseguridad te piden para homologarte?
Se repiten ocho piezas: política de seguridad firmada por la dirección, procedimiento de incidentes, plan de continuidad, análisis de riesgos, nombramiento del responsable, registro de formación, informe de auditoría y certificado si lo tienes. Si tratas datos del cliente, también contrato de encargado del tratamiento y, en clientes como Redeia, un anexo de ciberseguridad.
La lista sale de las diez preguntas de Achilles RePro en 2020, los indicadores de la Puntuación de Achilles y la documentación contractual de Redeia. El antivirus gestionado es la protección de los equipos que detecta y frena el ataque, no solo el virus conocido (EDR).
Documentos firmados
- Política de seguridad aprobada por la dirección
- Procedimiento de incidentes: quién avisa a quién y en qué plazo
- Plan de continuidad y de recuperación ante desastres
- Análisis de riesgos de los últimos doce meses
- Nombramiento del responsable de seguridad por la dirección
Pruebas con fecha
- Registro de la última formación del personal
- Informe del antivirus gestionado de todos los equipos
- Registro de la última restauración de copias
- Informe de auditoría con su plan de acción, si lo hay
Certificados y contratos
- ISO 27001, TISAX o ENS vigentes, si los tienes
- Contrato de encargado del tratamiento, si tratas datos personales del cliente
- Anexo de ciberseguridad firmado, si el cliente lo pide
Para la política, la plantilla de política de seguridad; para el anexo, qué lleva un anexo de seguridad.
¿Cómo se prepara la documentación de ciberseguridad una sola vez para todas las plataformas?
Se prepara en una carpeta única con los documentos y las pruebas fechadas, y desde ella se sube a cada plataforma y se responde cada cuestionario. Las plataformas ayudan a medias: en GoSupply, las preguntas compartidas entre clientes salen ya rellenas, pero cada cliente añade las suyas.
Pregunta a tu cliente qué plataforma usa y qué nivel o cuestionario te asigna
Reúne el paquete en una carpeta, cada documento con fecha y responsable
¿La plataforma trae un cuestionario de seguridad propio?
- Sí
- Respóndelo con lo que tienes hoy y la prueba de cada «sí»
- No
- Sube los documentos en certificaciones o cumplimiento
Ajusta el formato: Redeia solo admite PDF de 4 MB como máximo
Apunta cuándo caduca cada documento y renuévalo antes
Lo de GoSupply lo dice la FAQ de Redeia para proveedores: «cada cliente define preguntas específicas para sus cuestionarios». Esa carpeta es un dossier de evidencias, y para un cuestionario en blanco tienes la plantilla de respuestas. Con Talvit, el sistema de seguridad documentado y el dossier se presupuestan aparte de la cuota de 29 € por puesto y mes (IVA no incluido), y respondemos contigo cada cuestionario: la página para proveedores.
¿Necesitas la ISO 27001 para homologarte como proveedor?
Por regla general, no. Ninguna de las cinco plataformas publica la ISO 27001 como requisito para entrar, y en RePro España, en 2020, solo el 10 % de los proveedores tenía un certificado de ciberseguridad. Te la exigirán si el cliente o el pliego la piden expresamente; en automoción, el equivalente es TISAX.
10 %
de los proveedores de RePro España estaba certificado en una norma de ciberseguridad como la ISO 27001 en 2020, y el 31 % había hecho una auditoría con medidas correctoras en los dos años anteriores.
La ISO 27001 es la norma internacional que certifica cómo gestionas la seguridad de la información, y la emite una entidad certificadora externa. Si te la piden y no la tienes: me piden la ISO 27001 y no la tengo; si dudas de si te compensa, la ISO 27001 para pymes. En automoción te pedirán TISAX (el nivel 2, explicado), y en un contrato público, la declaración de conformidad con el ENS.
¿Qué pasa si caduca un documento en la plataforma de homologación?
En Achilles, baja tu puntuación: el método resta puntos cuando la información ha expirado y cuando un dato no trae evidencia. La plataforma GoSupply envía recordatorios si hay vencimientos, y en Redeia un resultado de riesgo alto abre revisión y planes de acción que, sin mejora, pueden afectar a tu calificación.
| Situación | Qué dice la fuente | Qué haces tú |
|---|---|---|
| Un documento caduca | Achilles resta puntos por la información expirada; GoSupply envía recordatorios de vencimiento | Renuévalo antes: apunta la fecha al subirlo |
| Respondes «sí» sin adjuntar prueba | Achilles también resta si no hay evidencia que respalde el dato | Adjunta la prueba o explica lo que tienes |
| El cuestionario de seguridad sale en riesgo alto | Redeia puede abrir revisión, planes de acción y medidas correctivas; sin mejora, puede afectar a tu calificación | Acuerda un plan con fechas y cúmplelo |
Fuentes: el folleto de la Puntuación de Achilles y la FAQ de Redeia. Si la respuesta honesta es «no», cómo responder que no sin perder al cliente.
Lo que esta guía no cubre
- La documentación de prevención de riesgos laborales (CAE), financiera o fiscal que también piden estas plataformas.
- Los requisitos propios de cada comprador, que cambian dentro de una misma plataforma.
- Los portales de proveedores propios de un solo cliente.
- La asesoría legal sobre el contrato o el anexo que firmes.
Preguntas frecuentes
¿Cuánto cuesta homologarse como proveedor?
Depende de quién pague la plataforma. En Iberdrola y Redeia, con Achilles GoSupply, es gratis para el proveedor. RePro cobra según tu perfil y tu facturación, Achilles Network tiene un nivel Member gratuito y en Nalanda el comprador decide si te traslada el coste documental.
¿Homologarme para un cliente me sirve para los demás?
En parte. En GoSupply, aunque ya estés registrado para otro cliente, completas el cuestionario del que te lo pide: las preguntas compartidas salen rellenas, pero cada cliente define las suyas. Tus documentos sí te valen para todos.
¿La homologación es una certificación?
No. La plataforma valida lo que subes, pero no te certifica en ninguna norma. Una certificación como la ISO 27001 la emite una entidad certificadora, y TISAX tampoco lo es: es una evaluación cuyo resultado compartes con tus clientes.
Fuentes
- Nalanda, folleto «Homologación de proveedores», consultado el
- Nalanda, «De Obralia a Nalanda, historia de una evolución» (17-12-2020), consultado el
- Nalanda, homologación de proveedores (coste documental), consultado el
- Twind, parte de CTAIMA, consultado el
- Linklaters, inversión de Hg en CTAIMA y e-coordina (14-08-2024), consultado el
- Dokify, homologación de compras, consultado el
- Quioo (Quirónprevención), homologación de proveedores, consultado el
- Achilles, comunidad RePro, consultado el
- Achilles, «Repro Spain - Cyber Security Questions» (junio de 2020, copia archivada), consultado el
- Achilles, «La Puntuación de Achilles» (junio de 2024), consultado el
- Achilles Network, niveles de suscripción, consultado el
- Iberdrola, clasificación de proveedores (copia archivada el 10-04-2026), consultado el
- Redeia, preguntas frecuentes de proveedores sobre GoSupply, consultado el
- Redeia, «Seguridad en la cadena de suministro. Gestión de ciberincidentes con proveedores» (diciembre de 2025), consultado el
- ENX Association, TISAX, consultado el
- Real Decreto 311/2022, del Esquema Nacional de Seguridad, arts. 2.3 y 38, consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 21, consultado el
- Real Decreto 171/2004, de coordinación de actividades empresariales, consultado el
- Comisión Europea, recurso ante el TJUE por no transponer la NIS2 (08-07-2026), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
