¿Qué es una plantilla para responder un cuestionario de seguridad de un cliente?
Es una biblioteca de respuestas que prepara el proveedor: cada pregunta tipo del cuestionario lleva una respuesta redactada, la evidencia que la demuestra, su fecha y la persona que la firma. No es la plantilla para evaluar proveedores, que es la herramienta de quien manda el cuestionario, no de quien lo contesta.
El proceso —leerlo entero, contestar con lo que tienes hoy, poner un contacto— está en cómo responder el cuestionario de seguridad de un cliente. Esta guía es el contenido: qué escribir en cada casilla y qué adjuntar.
¿Cómo se contestan las preguntas tipo del cuestionario de seguridad?
Con una respuesta corta que empieza por sí o por no, el dato que la concreta y la evidencia que la demuestra, con fecha. Las tablas recorren los ocho bloques que repiten casi todos los cuestionarios: política, accesos, equipos, copias, correo, incidentes, proveedores y datos personales. Cambia la N por tu número.
| Pregunta tipo | Respuesta modelo | Evidencia que adjuntas | Firma |
|---|---|---|---|
| ¿Tiene una política de seguridad aprobada por la dirección? | Sí. Aprobada y fechada por la dirección; se revisa cada año. | La política firmada, con su fecha | Dirección |
| ¿Hay una persona responsable de la seguridad? | Sí. Tiene nombre y cargo, y es el contacto de este cuestionario. | El apartado de la política que la nombra | Dirección |
| ¿Forman al personal en seguridad? | Sí. Formación anual para toda la plantilla y simulacros de correos trampa. | Registro de la última formación y del último simulacro | Responsable de seguridad |
| ¿Usan doble factor en el correo y en los accesos remotos? | Sí. Es obligatorio en el correo y en todo acceso desde fuera, sin cuentas exentas. | Captura de la política de acceso, con fecha y cuentas cubiertas | Responsable de TI |
| ¿Cómo dan y retiran los accesos? | Cada persona tiene su usuario. Los accesos se retiran el mismo día de la baja. | Procedimiento de bajas y registro de la última | RR. HH. y TI |
| ¿Tienen antivirus o EDR en todos los equipos? | Sí. Los N equipos tienen antivirus gestionado con consola central; ninguno sin proteger. | Informe de la consola: equipos totales, protegidos y al día | Responsable de TI |
| ¿Instalan las actualizaciones de seguridad? | Sí. Son automáticas, y cada mes comprobamos que ningún equipo se ha quedado atrás. | Registro de actualizaciones del mes | Responsable de TI |
| ¿Hacen copias de seguridad y dónde se guardan? | Sí. Diarias, con al menos una copia fuera de la red principal. | Informe de copias: frecuencia, destino y última correcta | Responsable de TI |
| ¿Prueban que las copias se pueden restaurar? | Sí. Una restauración de prueba al mes: qué se recuperó, cuánto tardó y quién lo comprobó. | Registro firmado de la última prueba | Responsable de seguridad |
| Pregunta tipo | Respuesta modelo | Evidencia que adjuntas | Firma |
|---|---|---|---|
| ¿Tienen filtro contra correos trampa? | Sí. Todo el correo pasa por un filtro que retiene suplantaciones y adjuntos peligrosos. | Informe del filtro del último mes | Responsable de TI |
| ¿Tienen SPF, DKIM y DMARC en su dominio? | Sí. Los tres están publicados y DMARC está en cuarentena o en rechazo. | Consulta DNS de los tres registros, con fecha | Responsable de TI |
| ¿Tienen un procedimiento de respuesta a incidentes? | Sí. Por escrito, con responsable, teléfonos y orden de actuación, revisado este año. | El procedimiento, con su fecha de revisión | Responsable de seguridad |
| ¿En cuánto tiempo nos avisarían de un incidente que nos afecte? | En el plazo del contrato, al contacto designado. Si tratamos datos personales por cuenta del cliente, sin dilación indebida. | Procedimiento de incidentes y registro del periodo, aunque esté vacío | Responsable de seguridad |
| ¿Evalúan la seguridad de sus propios proveedores? | Sí. Revisamos cada año a los que acceden a datos o sistemas. | Lista de proveedores con su nivel y fecha de revisión | Responsable de seguridad |
| ¿Qué subcontratistas tratarán nuestros datos? | Los de la lista adjunta. Ninguno se incorpora sin autorización previa por escrito. | Lista de subencargados y sus contratos | Dirección |
| ¿Están cifrados los portátiles y las comunicaciones? | Sí. Discos de los portátiles cifrados y conexiones cifradas a los servicios. | Informe de cifrado de la consola de equipos | Responsable de TI |
| ¿Firmarán un contrato de encargado del tratamiento? | Sí, el del artículo 28 del RGPD. Si el cliente no tiene modelo, aportamos el nuestro. | Modelo de contrato de encargo | Dirección |
Las diecisiete preguntas con su respuesta, la evidencia y quién firma, en columnas: se pegan tal cual en una hoja de cálculo.
¿Qué evidencia se adjunta a cada respuesta del cuestionario de seguridad?
La que demuestra la respuesta y se puede volver a generar: un informe de la consola, un registro firmado, una captura con fecha. Cada evidencia necesita tres datos a la vista: cuándo se generó, de qué sistema sale y quién la revisó. Una prueba de hace un año no dice cómo estás hoy.
Para la autoevaluación de categoría básica, el Esquema Nacional de Seguridad exige que el resultado indique «si cada medida de seguridad está implantada y sujeta a revisión regular, así como las evidencias que sustentan la valoración» (anexo III, punto 2.1.a). Es el formato de una buena respuesta de cuestionario.
Que se pueda creer
- Es del último mes, salvo los documentos anuales, como la política
- Dice de qué sistema sale
- Lleva el nombre de quien la revisó
Que no exponga nada
- Sin contraseñas, claves ni direcciones internas de la red
- Sin datos personales que no hagan falta
- Solo lo que pregunta el cliente, no el informe entero
Que se encuentre
- Nombre de archivo con el número de pregunta y la fecha
- Una carpeta por cuestionario
Si esas pruebas se reúnen cada mes en un dossier de evidencias, el siguiente cuestionario se contesta adjuntando, no buscando.
¿Qué preguntas del cuestionario de seguridad vienen de la NIS2?
Si tu cliente está sujeto a la NIS2, sus preguntas salen del artículo 21.2 de la Directiva (UE) 2022/2555, que enumera diez medidas mínimas, de la política de seguridad al doble factor. El artículo 21.3 le obliga además a valorar las prácticas de seguridad de cada proveedor directo: por eso te pregunta a ti.
| Lo que te preguntan | Medida del artículo 21.2 | Letra |
|---|---|---|
| Política y análisis de riesgos | Políticas de seguridad y análisis de riesgos | a |
| Procedimiento de incidentes | Gestión de incidentes | b |
| Copias y recuperación | Continuidad, copias de seguridad y recuperación | c |
| Tus propios proveedores | Seguridad de la cadena de suministro | d |
| Actualizaciones | Mantenimiento y gestión de vulnerabilidades | e |
| Revisiones internas | Evaluación de la eficacia de las medidas | f |
| Formación | Ciberhigiene básica y formación | g |
| Cifrado | Criptografía y cifrado | h |
| Altas, bajas, permisos e inventario | Recursos humanos, control de acceso y activos | i |
| Doble factor | Autenticación multifactorial | j |
Cómo va su transposición en España, en el estado de la NIS2 en España.
¿Qué preguntas del cuestionario de seguridad vienen del RGPD?
Las que te hacen porque vas a tratar datos personales por cuenta del cliente. El artículo 28.3 del RGPD exige que el contrato de encargo recoja medidas de seguridad, confidencialidad del personal, condiciones para subcontratar, devolución o borrado al terminar y la información necesaria para auditarte. El cuestionario comprueba esas cláusulas antes de firmar.
- Medidas de seguridad (art. 28.3.c, que remite al art. 32): cifrado, capacidad de restaurar y revisión periódica.
- Confidencialidad (art. 28.3.b): quien trata los datos se ha comprometido a respetarla.
- Subencargados (arts. 28.2 y 28.3.d): ninguno sin autorización previa por escrito.
- Fin del servicio (art. 28.3.g): devolución o supresión de los datos.
- Auditorías (art. 28.3.h): información para demostrar que cumples y permitir auditorías, incluidas inspecciones.
- Brechas (art. 33.2): aviso al cliente sin dilación indebida.
El texto de cada letra está en el Reglamento (UE) 2016/679. Aquí, una evidencia válida es un contrato de encargo firmado con otro cliente, sin sus datos.
¿Qué se contesta en el cuestionario cuando la respuesta honesta es «todavía no»?
Una frase con cinco datos: qué tienes hoy, qué medida vas a poner, en qué fecha, quién se encarga y qué prueba enviarás. Por ejemplo: «Hoy el doble factor cubre el correo; lo extenderemos al programa de gestión antes del 15 de diciembre. Responsable: dirección técnica. Enviaremos la captura de la configuración».
Caben más respuestas que «sí» y «todavía no»: con matiz, no aplica o con un control que compensa lo que falta. Están en qué responder si no cumples un control del cuestionario, con una plantilla de plan de acción.
¿Qué pasa si te piden firmar una declaración de cumplimiento con el cuestionario?
Que lo firmado puede pasar a ser una obligación. Si el cuestionario o la declaración se incorporan al contrato, cada «sí» es un compromiso, y el Código Civil da a las obligaciones de un contrato fuerza de ley entre las partes. Firma solo lo que puedas demostrar hoy, con su fecha y su alcance.
El artículo 1091 del Código Civil lo dice en una línea: «Las obligaciones que nacen de los contratos tienen fuerza de ley entre las partes contratantes». Antes de firmar, comprueba:
- Que diga «a fecha de» y no prometa que todo seguirá igual sin límite.
- Que remita a tus respuestas, no a una norma entera que no tienes, como «cumplimos la ISO 27001».
- Que las medidas en curso figuren como tales, con su fecha.
- Que quede claro a quién avisas si algo cambia.
Si te piden declarar una certificación que no tienes, lee qué hacer si te piden la ISO 27001 y no la tienes.
¿Cómo se reutilizan las respuestas del cuestionario para el siguiente cliente?
Guardándolas como un documento vivo: cada respuesta con su versión, la fecha de la última revisión, el responsable y la evidencia vigente. Antes de enviarlas a otro cliente, cambias las pruebas por las del mes y revisas lo que haya cambiado. Así el siguiente cuestionario se contesta adaptando, no redactando desde cero.
Primer cuestionario
Redactas y reúnes las pruebas
Es la versión 1: guárdala con la fecha de envío.
Cada mes
Renuevas las evidencias
Equipos, copias, filtro de correo y restauración de prueba.
Cuando algo cambia
Sacas una versión nueva
Un proveedor, una herramienta o la baja de quien firmaba.
Cada año
Revisas la política
Con fecha y firma de la dirección.
Con Talvit preparamos el dossier cada mes y respondemos contigo el cuestionario con sus pruebas. Lo que contiene está en el índice del dossier. Si la pregunta de los simulacros de correos trampa es la que no puedes contestar, está la simulación de phishing. Más guías sobre lo que piden los clientes, en Clientes.
Lo que esta guía no cubre
- Los cuestionarios con catálogo propio de un sector, como TISAX en automoción, que tienen su formato y su evaluación.
- La redacción jurídica de contratos y declaraciones, que conviene que revise tu asesoría.
Preguntas frecuentes
¿Puedo usar las respuestas de otro proveedor o de una plantilla de internet?
Como estructura, sí; como contenido, no. Cada respuesta describe tu empresa y la firma tu dirección: cambia cada dato por el tuyo y quita lo que no puedas probar.
¿Tengo que enviar todas las evidencias aunque no las pidan?
No. Envía las que piden y ten preparadas las demás. Mandar el informe entero de una consola expone datos que el cliente no necesita.
¿Quién debe firmar el cuestionario de seguridad?
Quien pueda comprometer a la empresa, normalmente la dirección, con la persona responsable de seguridad como contacto. Si lo rellena tu informático externo, que lo revise y lo firme la dirección.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), art. 21, consultado el
- Reglamento (UE) 2016/679 (RGPD), arts. 28, 32 y 33, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, anexo III, consultado el
- Código Civil, art. 1091, consultado el
- INCIBE, Políticas de seguridad para la pyme, consultado el
Registro de cambios
- : Publicación.
- : Una nota sobre la evidencia de SPF, DKIM y DMARC, que se puede sacar desde fuera, y el enlace a los simulacros.
