¿Qué pasa si contestas «sí» en un cuestionario de seguridad a algo que no tienes?
Si el cuestionario forma parte del contrato, ese «sí» es una obligación que incumples desde el primer día: el cliente puede exigir que cumplas o resolver el contrato, y reclamar daños en ambos casos. En el cuestionario de un ciberseguro, la ley permite rebajar la indemnización o, con dolo o culpa grave, no pagarla.
| Cuestionario | Qué dice la norma | Qué puede pasar |
|---|---|---|
| Anexo a un contrato con un cliente | Código Civil, arts. 1091, 1101 y 1124: el contrato obliga y quien lo incumple responde de los daños | El cliente exige que cumplas o resuelve el contrato, y en los dos casos puede reclamar daños |
| Previo a contratar un ciberseguro | Ley 50/1980, art. 10: deber de declarar lo que pregunta el cuestionario del asegurador | Si el siniestro llega antes de que el asegurador rescinda, la indemnización se reduce según la prima que habría cobrado de conocer el riesgo real; con dolo o culpa grave, no paga |
| De un cliente sujeto a la NIS2 | NIS2, art. 21.3: el cliente valora las prácticas de seguridad de cada proveedor directo | Lo que declaras entra en su evaluación de riesgos y te lo puede pedir probar en cualquier revisión |
Los textos están en el Código Civil y en el artículo 10 de la Ley de Contrato de Seguro. En los dos casos el problema no es el «no»: es la distancia entre lo declarado y lo que hay. Qué controles suele pedir una aseguradora, en requisitos del ciberseguro.
¿Qué respuestas caben en un cuestionario de seguridad además de «sí» y «no»?
Cinco: «sí», cuando puedes probarlo hoy; «sí, con matiz», cuando la medida cubre una parte; «en curso», con fecha y responsable; «no aplica», justificado por tu actividad; y «no, con control compensatorio», cuando otra medida reduce el mismo riesgo. El «no» a secas queda para lo que ni tienes ni vas a poner.
| Situación | Cuándo usarla | Cómo se redacta | Qué adjuntas |
|---|---|---|---|
| Sí | La medida está puesta y la puedes probar hoy | Sí, más el dato: cuántos equipos, desde cuándo | La evidencia con fecha |
| Sí, con matiz | La medida cubre una parte | Sí en lo que cubre, y qué queda fuera | La evidencia de lo cubierto |
| En curso | Has decidido ponerla y tiene fecha | Estado de hoy, medida, fecha y responsable | El plan de acción |
| No aplica | La pregunta no corresponde a tu actividad | Por qué no aplica, en una frase | Nada, o la descripción del servicio |
| No, con compensatorio | Otra medida reduce el mismo riesgo | Qué falta, qué lo compensa y por qué basta | La evidencia del compensatorio |
¿Cómo se escribe un «todavía no» que el cliente acepte?
Con cinco datos en este orden: qué tienes hoy, qué medida vas a poner, la fecha en que estará, quién se encarga y qué prueba enviarás al terminar. Sin fecha ni responsable es una intención; con los cinco datos es un compromiso que el cliente puede anotar y revisar en esa fecha.
- Hoy: lo que ya cubre esa necesidad, aunque sea en parte.
- Medida: qué vas a poner, en palabras que entienda quien no es técnico.
- Fecha: un día concreto, no «en el próximo trimestre».
- Responsable: una persona con cargo, no «el departamento».
- Prueba: qué documento enviarás para cerrarlo.
¿Qué es un control compensatorio en un cuestionario de seguridad y cuándo se acepta?
Es una medida distinta de la que pide el cuestionario que reduce el mismo riesgo. El Esquema Nacional de Seguridad lo admite si se justifica por escrito que protege «igual o mejor». Ejemplo: una aplicación antigua sin doble factor a la que solo se entra por una conexión remota que sí lo pide.
El artículo 28.3 del Real Decreto 311/2022 da la definición más clara de una norma española: las medidas pueden «ser reemplazadas por otras compensatorias, siempre y cuando se justifique documentalmente que protegen, igual o mejor, del riesgo». Rige para la Administración y sus proveedores; fuera de ese ámbito, es un buen criterio para redactar el tuyo.
| Lo que falta | Lo que lo compensa | La prueba |
|---|---|---|
| Doble factor (un código además de la contraseña) en una aplicación antigua que no lo admite | Solo se entra a ella por una conexión remota que pide doble factor | Configuración de acceso y lista de usuarios |
| Antivirus gestionado en una máquina de taller que no lo admite | Red separada, sin acceso a internet ni al correo | Esquema de red y regla del cortafuegos |
| Gestor de contraseñas para toda la plantilla | Doble factor obligatorio en todas las cuentas de la empresa | Política de acceso de la consola |
¿Qué preguntas del cuestionario de seguridad no conviene dejar en «no»?
Las que la directiva europea NIS2 nombra expresamente, porque un cliente sujeto a ella tiene que vigilarlas: la gestión de incidentes, las copias y la recuperación, la cadena de suministro y la autenticación multifactorial (art. 21.2, letras b, c, d y j). Si tratas datos personales suyos, añade la capacidad de restaurarlos (RGPD, art. 32).
| Pregunta | De dónde viene | Si hoy es «no» |
|---|---|---|
| ¿Tienen procedimiento de incidentes? | NIS2, art. 21.2.b | Escríbelo antes de responder: una página con responsable, teléfonos y a quién se avisa |
| ¿Hacen copias y prueban la restauración? | NIS2, art. 21.2.c · RGPD, art. 32.1.c | «En curso», con la fecha de la primera restauración de prueba |
| ¿Controlan a sus proveedores? | NIS2, art. 21.2.d | La lista de proveedores con acceso a datos, aunque la revisión esté por hacer |
| ¿Usan doble factor? | NIS2, art. 21.2.j | Actívalo primero en el correo y contesta con lo cubierto y la fecha del resto |
La capacidad de restaurar está en el artículo 32 del RGPD. Y tu cliente tiene deberes con sus propios fallos: el artículo 21.4 de la NIS2 le pide corregir «sin demora indebida» lo que no cumple. Si el fallo está en su cadena de suministro, tu plan fechado es parte de esa corrección.
¿Qué hace tu cliente con los «no» de tu cuestionario de seguridad?
Los pesa contra el riesgo que supones para él. Si está sujeto a la NIS2, debe aplicar medidas proporcionadas y valorar las vulnerabilidades de cada proveedor directo (art. 21.1 y 21.3), así que un mismo «no» pesa más en quien toca sus sistemas que en quien no ve datos. Luego acepta, pide plan o descarta.
¿El control afecta a datos o sistemas del cliente?
- Sí
- Pasa a la siguiente pregunta
- No
- Lo anota y sigue: el riesgo es bajo
¿Hay plan con fecha o un control compensatorio?
- Sí
- Lo acepta y revisa en la fecha indicada
- No
- Pide un plan o condiciona el contrato
¿El plan termina antes de que accedas a sus datos?
- Sí
- Contrato normal, con revisión
- No
- Puede retrasar el inicio o limitar el acceso
Por eso conviene saber, antes de contestar, a qué datos y sistemas vas a acceder. Un cuestionario genérico se manda igual a quien limpia la oficina que a quien administra el servidor; tu respuesta puede decir en cuál de los dos casos estás.
¿Cómo se negocia un plazo o una excepción de seguridad con el cliente?
Por escrito y con un plan de acción: cada control pendiente con su estado, la medida, la fecha, el responsable y la prueba que enviarás. Si pides una excepción, es decir, no poner un control, acota a qué afecta, qué la compensa y cuándo se revisa. Una excepción sin fecha de revisión se olvida.
| Control | Hoy | Medida | Fecha | Responsable | Prueba que enviarás |
|---|---|---|---|---|---|
| Doble factor en el programa de gestión | Solo en el correo | Activarlo para todos los usuarios | 15 de diciembre | Dirección técnica | Captura de la configuración |
| Restauración de prueba | Última documentada en marzo | Una prueba al mes, registrada | 1 de diciembre | Gerencia | Registro de la primera prueba |
| Formación | Ninguna en el último año | Sesión para toda la plantilla y simulacro de correos trampa | 31 de enero | RR. HH. | Asistencia y resultado del simulacro |
Qué cláusulas de seguridad trae el contrato y cuáles se pueden negociar está en las cláusulas de ciberseguridad de un contrato.
¿Cómo se convierte el plan de acción en pruebas mes a mes?
Cerrando cada punto con una evidencia fechada y enviándola en la fecha prometida, sin esperar a que el cliente la pida. Cada mes se actualiza el plan: lo cerrado pasa a «sí» con su prueba y lo que se retrasa se avisa antes de que venza. Un dossier mensual reúne esas pruebas en un sitio.
Día 0
Envías el cuestionario con el plan
Cada «en curso» con su fecha y su responsable.
Primera fecha
Cierras el primer punto
Mandas la evidencia ese día, sin esperar a que la pidan.
Cada mes
Actualizas el plan
Lo que se retrasa se avisa antes de que venza.
Revisión anual
Respondes con la versión al día
Lo que estaba en curso ya es «sí», con su prueba.
Con Talvit, ese dossier se prepara cada mes y respondemos contigo el cuestionario con sus pruebas: se presupuesta aparte de la cuota de 29 € por puesto y mes, IVA no incluido. Cómo se monta por tu cuenta, en el dossier de evidencias; para las casillas que sí tienes, la plantilla de respuestas. Más guías, en Clientes.
Lo que esta guía no cubre
- Cómo negociar la responsabilidad económica o las penalizaciones del contrato, que es trabajo de tu asesoría.
- Las evaluaciones con respuestas cerradas por catálogo, como TISAX, donde no cabe redactar.
- Cómo poner cada control: aquí se trata de cómo responder mientras tanto.
Preguntas frecuentes
¿Es mejor dejar una pregunta en blanco que contestar «no»?
No. Una casilla en blanco obliga al cliente a preguntar y parece un olvido. Un «no» explicado o un «en curso» con fecha cierran la pregunta.
¿Puedo contestar «no aplica» a lo que no entiendo?
No. Pregunta al cliente qué busca o pide ayuda a tu informático. «No aplica» solo vale cuando la medida no corresponde a tu actividad, y se justifica.
¿Me pueden descartar por contestar «no»?
Sí, si el control es imprescindible para lo que vas a hacer y no ofreces plan. Con fecha, responsable y prueba prevista, el cliente puede aceptar y revisar en esa fecha.
¿Y si lo que no tengo es la ISO 27001?
Es un caso particular de «no»: lee qué piden exactamente, porque a veces basta con demostrar los controles. Lo contamos en la guía sobre qué hacer si te piden la ISO 27001.
Fuentes
- Código Civil, arts. 1091, 1101 y 1124, consultado el
- Ley 50/1980, de Contrato de Seguro, art. 10, consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 21, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, art. 28.3, consultado el
- Reglamento (UE) 2016/679 (RGPD), art. 32, consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
