Cuestionarios de seguridad de los clientes: cómo responder una sola vez con ISO 27001

Un cuestionario de seguridad puede bloquear un contrato durante semanas. Casi siempre llega en el mismo momento: la negociación está cerrada, el departamento de compras del cliente tiene que homologar al proveedor y te envía un archivo con decenas o cientos de preguntas sobre contraseñas, copias de seguridad, incidentes, proveedores y datos personales. Tú se lo pasas al responsable de IT, que lo rellena por la noche respondiendo de memoria. Al mes siguiente llega otro cliente, con otro archivo, y vuelta a empezar.

Responder a los cuestionarios de seguridad de los clientes no tiene por qué ser un trabajo artesanal que repites cada vez. Con una biblioteca de respuestas basada en los controles de ISO 27001 lo haces una vez y la reutilizas con cada cliente. En esta guía vemos qué preguntan realmente estos cuestionarios, por qué llegan cada vez con más frecuencia, cómo usar la estructura del Anexo A de ISO/IEC 27001 para organizar las respuestas, qué evidencias adjuntar, cómo gestionar las preguntas incómodas y qué errores evitar. También encontrarás una tabla de correspondencia entre preguntas y controles para empezar.

¿Qué es un cuestionario de seguridad y por qué te lo envían los clientes?

Un cuestionario de seguridad es la herramienta con la que un cliente evalúa el riesgo que representas como proveedor. Antes de confiarte datos, accesos a sus sistemas o un servicio crítico, quiere saber cómo proteges la información. El formato cambia (hoja de cálculo, portal online, formulario anexo al contrato), pero la lógica es siempre la de la evaluación del riesgo de proveedor: entender si, al trabajar contigo, el cliente hereda una vulnerabilidad.

Qué suele contener un cuestionario

Casi todos los cuestionarios giran en torno a las mismas áreas, aunque las preguntas estén redactadas de otra forma. Hay preguntas de gobierno (¿existe una política de seguridad?, ¿quién es el responsable?), sobre las personas (formación, acuerdos de confidencialidad, bajas de empleados), sobre los accesos (autenticación multifactor, cuentas de administrador), sobre la continuidad (copias de seguridad, recuperación, planes de emergencia), sobre los incidentes (cómo los detectas, en cuánto tiempo avisas al cliente) y sobre tus proveedores, es decir, la cadena que está detrás de ti.

Una empresa de software con 40 empleados puede recibir en el mismo trimestre el cuestionario de un banco, el de una compañía de suministros y el de un centro sanitario. Las preguntas se solapan en gran parte: cambian el orden, el vocabulario y el nivel de detalle exigido. Es precisamente este solapamiento lo que hace posible un enfoque distinto al de "rellenar y olvidar".

Por qué los cuestionarios llegan cada vez más a menudo

Los clientes no envían cuestionarios por curiosidad: a menudo están obligados a hacerlo. La Directiva NIS2 exige a las entidades esenciales e importantes medidas de gestión de riesgos que incluyen la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones con sus proveedores directos (art. 21, apdo. 2, letra d). Al evaluar esas medidas, deben tener en cuenta las vulnerabilidades específicas de cada proveedor y la calidad de sus prácticas de ciberseguridad (art. 21, apdo. 3). La relación entre la directiva y el sistema de gestión se explica en nuestra página sobre NIS2.

El RGPD empuja en la misma dirección. El responsable solo puede recurrir a encargados que ofrezcan garantías suficientes sobre las medidas técnicas y organizativas (art. 28, apdo. 1), y el contrato debe prever que el encargado ponga a disposición la información necesaria y permita auditorías, incluidas inspecciones (art. 28, apdo. 3, letra h). El cuestionario es la forma más sencilla de recopilar esa información.

ENISA, la Agencia de la Unión Europea para la Ciberseguridad, retrató esta tendencia en el informe Good Practices for Supply Chain Cybersecurity (2023), basado en una encuesta de ENISA de 2022: el 61 % de las organizaciones encuestadas exige a sus proveedores una certificación de seguridad y solo el 9 % declara no evaluar de ningún modo a sus proveedores. Para un proveedor, en la práctica, el cuestionario ya no es una excepción, sino una etapa normal de la venta.

¿Por qué es un error rellenar cada cuestionario desde cero?

Responder desde cero parece el camino más rápido, pero tiene costes que aparecen después. El primero es el tiempo: cada cuestionario resta horas a quien gestiona IT o calidad, casi siempre las mismas dos o tres personas. El segundo, más peligroso, es la incoherencia entre las respuestas: si a un cliente le escribes que las copias de seguridad se prueban cada mes y a otro que "periódicamente", has creado dos versiones de la verdad.

Las respuestas se convierten en compromisos contractuales

Muchos clientes adjuntan el cuestionario cumplimentado al contrato o lo mencionan en las cláusulas de seguridad. Lo que escribes se convierte así en un compromiso verificable, que el cliente puede comprobar con una auditoría o reclamar tras un incidente. Una respuesta optimista dada para cerrar rápido el trámite ("sí, ciframos todos los datos") puede convertirse en un problema serio si después resulta que un archivo no estaba cifrado.

El conocimiento se queda en la cabeza de una persona

Cuando las respuestas viven en los correos de quien las escribió, la empresa depende de esa persona. Si cambia de trabajo o está de vacaciones en el peor momento, el siguiente cuestionario vuelve a empezar de cero. La descripción de tus medidas de seguridad es un activo de la empresa: debería estar en un único lugar, actualizada y accesible para quien la necesite, no repartida entre archivos con nombres como "cuestionario_def_v3".

¿Cómo te ayuda ISO 27001 a responder a los cuestionarios de seguridad?

ISO/IEC 27001 te da la estructura que le falta a un conjunto de respuestas improvisadas. La norma establece los requisitos de un sistema de gestión de la seguridad de la información: reglas, roles y controles elegidos en función de los riesgos y mantenidos bajo control en el tiempo. La propia norma recuerda que puede ser utilizada por partes internas y externas para evaluar la capacidad de la organización de cumplir sus propios requisitos de seguridad: exactamente lo que hace un cliente con un cuestionario. Si quieres la visión completa, empieza por nuestra guía completa de ISO 27001.

El Anexo A como índice de las respuestas

El Anexo A de ISO/IEC 27001:2022 es una lista de referencia de controles de seguridad de la información. Según ISO, la revisión de 2022 describe 93 controles agrupados en cuatro temas: organizativos, de personas, físicos y tecnológicos. La numeración es la misma que en ISO/IEC 27002:2022, la norma que ofrece orientación para aplicarlos: por ejemplo, el 5.15 es el control de acceso, los controles del 5.19 al 5.23 tratan de proveedores y servicios en la nube, el 6.3 de la concienciación y la formación, y el 8.8 de la gestión de vulnerabilidades técnicas.

Esta estructura funciona como un índice. Casi cualquier pregunta de un cuestionario, esté como esté formulada, encuentra un control de referencia. En lugar de archivar "la respuesta al cuestionario del cliente X", archivas la respuesta al control, y a partir de ahí la reutilizas con todos.

Declaración de Aplicabilidad y alcance del certificado

No todos los controles se aplican a todas las empresas. En un sistema ISO 27001 la empresa documenta qué controles aplica y por qué, y justifica los que excluye: es la Declaración de Aplicabilidad (Statement of Applicability). Para los cuestionarios es un documento muy valioso, porque te obliga a tener ya una posición clara sobre cada área. Si no tienes sala de servidores porque solo usas servicios en la nube, la respuesta a las preguntas sobre la seguridad física del centro de datos ya está escrita, con su justificación.

Lo mismo ocurre con el alcance de la certificación. El certificado cubre un alcance concreto (sedes, procesos, servicios): cuando respondas a un cliente, comprueba que el servicio que le ofreces entra en ese alcance. Declarar "estamos certificados en ISO 27001" para un servicio fuera del alcance es un error que un cliente atento detecta enseguida.

Cómo crear una biblioteca de respuestas basada en los controles de ISO 27001

Una biblioteca de respuestas es un repositorio en el que cada control tiene una respuesta aprobada, un responsable y las evidencias asociadas. Se crea una vez, a partir de los cuestionarios que ya has recibido, y se actualiza cuando algo cambia. El método funciona en cuatro pasos.

Paso 1: reúne los cuestionarios y normaliza las preguntas

Recupera los últimos cuestionarios cumplimentados y reúnelos en una única hoja. Descubrirás que muchas preguntas son la misma pregunta escrita de formas distintas: "¿usáis MFA?", "¿está activada la autenticación de doble factor para los accesos remotos?", "¿cómo protegéis las cuentas de administrador?". Agrúpalas por tema y reescríbelas de forma neutra. De unos cientos de filas llegarás a una lista mucho más corta de preguntas únicas, que se convierte en la base de la biblioteca.

Paso 2: vincula cada pregunta a un control

Asocia cada pregunta única al control del Anexo A más cercano. La tabla muestra algunas correspondencias típicas; los títulos de los controles se resumen, con la numeración de ISO/IEC 27002:2022.

Paso 3: escribe cada respuesta en tres niveles

Una buena respuesta de biblioteca tiene tres capas. La primera es la respuesta breve: sí, no o parcialmente, porque muchos portales solo piden eso. La segunda es una descripción de dos o tres frases que sirva para cualquier cliente: qué haces, con qué frecuencia, quién es el responsable. La tercera es la referencia a la evidencia, es decir, el documento o el registro que demuestra lo que has escrito.

Un ejemplo para la autenticación multifactor: "Sí. La autenticación multifactor es obligatoria para el correo electrónico, los accesos remotos y las cuentas de administrador, según el procedimiento de control de acceso. Las excepciones las autoriza el responsable de seguridad y se revisan cada seis meses. Evidencia: procedimiento de accesos, extracto de la configuración." Es precisa, verificable y no promete más de lo real.

Paso 4: asigna un responsable y una fecha de revisión

Cada respuesta debe tener un propietario (IT, RR. HH., calidad, legal) y una fecha de última verificación. Cuando cambia un proveedor, un procedimiento o una herramienta, el responsable actualiza la respuesta vinculada. Incluir la revisión de la biblioteca en la revisión por la dirección evita que se convierta en un archivo obsoleto: ya es el momento en el que analizas riesgos, objetivos y cambios, como explicamos en la guía sobre la revisión por la dirección ISO.

Con Complaion este trabajo se apoya en la plataforma: los documentos y las evidencias del sistema de gestión se reúnen en un único lugar y el calendario de vencimientos recuerda revisiones y renovaciones. Tu Lead Auditor dedicado te ayuda a vincular cada requisito con los controles adecuados, de modo que, cuando llega un cuestionario, las respuestas y las pruebas ya están donde hacen falta.

¿Qué evidencias adjuntar a un cuestionario de seguridad?

Las evidencias son lo que convierte una declaración en una prueba. Un cliente experto no se conforma con un "sí": pide la política, el certificado, un extracto de procedimiento y, a veces, un informe de pruebas. Prepararlas con antelación, en una versión pensada para el exterior, te ahorra la parte más larga de cada cuestionario.

Qué puedes compartir sin riesgos

Algunos documentos puedes tenerlos siempre listos en una carpeta para clientes: el certificado ISO 27001 con su alcance, la política de seguridad de la información, un resumen de las medidas técnicas y organizativas, la lista de categorías de subproveedores, una nota sobre la gestión de incidentes y los plazos de notificación. Si has realizado una prueba de seguridad independiente, como un test de penetración de aplicaciones web, puedes compartir una carta de resumen que acredite que se hizo y cómo se gestionaron los hallazgos, sin entregar el informe completo.

Si todavía no has hecho la prueba, Complaion también realiza el WAPT, el test de penetración de aplicaciones web: el informe te da la base para un resumen que compartir con los clientes.

Qué no enviar nunca

Hay información que no debe adjuntarse a un cuestionario, aunque el cliente la pida: esquemas de red detallados, configuraciones de cortafuegos, listas de direcciones IP, versiones exactas del software instalado, informes de vulnerabilidades sin resolver. Es exactamente la información útil para un atacante, y el cuestionario pasa por buzones de correo y portales que no controlas. Si el cliente tiene una necesidad real, propón una revisión por videollamada o presencial, o un intercambio protegido por un acuerdo de confidencialidad.

¿Cómo responder cuando la respuesta es "no"?

Ninguna empresa tiene todos los controles implantados, y el cliente lo sabe. Un "no" bien gestionado es más creíble que un "sí" frágil. La regla es sencilla: nunca mentir, y nunca dejar la respuesta sin explicación.

Tienes tres caminos. Si el control no es aplicable, explica por qué, de forma coherente con la Declaración de Aplicabilidad: "No gestionamos centros de datos propios; los servicios se prestan sobre la infraestructura de un proveedor en la nube certificado en ISO/IEC 27001". Si el control falta pero existe una medida alternativa, describe el control compensatorio: por ejemplo, un archivo sin cifrar pero accesible solo para dos administradores, con autenticación robusta y accesos registrados. Si el control falta y hace falta, indica el plan: qué harás, para cuándo y quién es el responsable.

Una pyme de consultoría informática, por ejemplo, recibe una pregunta sobre un plan de continuidad de negocio formalizado que todavía no tiene. En lugar de responder "sí" o dejar el campo vacío, escribe que las copias de seguridad y la recuperación están probadas y documentadas, que el plan está en preparación e indica el trimestre en que estará terminado. El cliente ve un proveedor consciente de sus carencias, que es exactamente lo que una evaluación de riesgos quiere encontrar. Si el tema te afecta, lee la guía sobre el plan de continuidad de negocio para pymes.

Cada "no" recurrente es también información para ti. Si tres clientes de cada cinco piden lo mismo, esa carencia debe entrar en el plan de tratamiento de riesgos. Así los cuestionarios dejan de ser solo un coste y se convierten en una señal del mercado sobre dónde invertir.

¿El certificado ISO 27001 sustituye a los cuestionarios?

No, pero reduce mucho su peso. El certificado demuestra que un organismo de certificación acreditado e independiente ha auditado tu sistema de gestión frente a la norma, dentro de un alcance definido. Ante un certificado válido, muchos clientes acortan el cuestionario o se limitan a las preguntas específicas de su caso.

Lo que el certificado no dice

El certificado acredita que el sistema de gestión es conforme con la norma, pero no describe en detalle cómo has aplicado cada control. El cliente puede tener necesidades propias: plazos de notificación de incidentes más cortos, conservación de los datos en un país concreto, requisitos de su sector. Por eso seguirás recibiendo preguntas. La diferencia es que las respuestas ya existen, porque el sistema de gestión te ha llevado a definirlas, documentarlas y verificarlas.

Cómo presentar la certificación en el cuestionario

Adjunta el certificado e indica el alcance exacto, la fecha de caducidad y el organismo que lo emitió, para que el cliente pueda comprobar su validez. Explica en una línea qué servicios entran en el alcance y, si el servicio que contrata el cliente está cubierto, dilo de forma explícita. Recuerda también que el certificado se mantiene gracias a las auditorías de seguimiento: si hay una próxima, puedes mencionarla como garantía adicional, sin anticipar su resultado.

¿Cuáles son los errores más comunes en los cuestionarios de seguridad?

Los errores más frecuentes no son técnicos: nacen de las prisas y de la falta de método. Estos son los seis que vemos más a menudo en las empresas a las que acompañamos.

• Responder "sí" por defecto, contando con que nadie lo comprobará: las respuestas pueden acabar en el contrato y el cliente puede pedir una auditoría.

• Hacer que una sola persona lo rellene todo, sin implicar a RR. HH., al área legal o a quien gestiona los proveedores: muchas preguntas no son técnicas.

• Usar fórmulas vagas como "adoptamos las mejores prácticas del sector", que un evaluador interpreta como una respuesta que falta.

• Copiar respuestas de un cuestionario antiguo sin verificarlas, cuando herramientas y proveedores han cambiado.

• Declarar la certificación para servicios que están fuera del alcance del certificado.

• Adjuntar documentos internos no pensados para el exterior, con datos técnicos sensibles.

Si todavía no tienes un sistema de gestión, el primer paso es poner en orden lo básico. Las medidas mínimas de ciberseguridad para pymes cubren buena parte de las preguntas que encontrarás en cualquier cuestionario y son el punto de partida natural para tu futura biblioteca de respuestas.

Cómo te ayuda Complaion a responder a los cuestionarios de seguridad

Con Complaion construyes el sistema de gestión ISO 27001 que hay detrás de una buena biblioteca de respuestas. Un Lead Auditor dedicado acompaña a tu empresa, te ayuda a definir el alcance, evaluar los riesgos y elegir los controles del Anexo A, y te propone el itinerario más adecuado a tus necesidades, también cuando hacen falta otras normas o el cumplimiento de NIS2 y el RGPD. La plataforma recopila las evidencias, gestiona los documentos, mantiene el calendario de vencimientos y prepara la auditoría: todo lo que necesitas para responder a un cliente ya está organizado y actualizado. Para las preguntas sobre datos personales, también puedes contar con nuestro servicio de DPO externalizado.

Más de 1.000 clientes ya han elegido Complaion para certificarse y mantener la certificación en el tiempo. Si recibes cuestionarios cada vez más a menudo y quieres dejar de empezar desde cero, descubre el itinerario para la certificación ISO 27001 o contáctanos para pedir un presupuesto: te ayudamos a entender por dónde empezar según tus clientes y tu organización.

Preguntas frecuentes sobre los cuestionarios de seguridad de los clientes

¿Estoy obligado a responder al cuestionario de seguridad de un cliente?

No existe una obligación legal general para el proveedor, pero a menudo es una condición para firmar o renovar el contrato. Muchos clientes, sobre todo los sujetos a NIS2 o los que te confían datos personales como responsables del tratamiento, deben evaluar la seguridad de sus proveedores. Negarte suele significar quedarte fuera de la selección. Sin embargo, puedes negociar el formato, proponiendo tu certificado y un resumen de las medidas en lugar de un cuestionario completo.

¿Cuánto tiempo se tarda en crear una biblioteca de respuestas?

Depende de cuántos cuestionarios hayas rellenado ya y de lo documentado que esté tu sistema de seguridad. Si ya tienes un sistema de gestión ISO 27001, gran parte del trabajo consiste en reordenar respuestas y evidencias existentes. Si partes de cero, la biblioteca crece junto con el sistema de gestión. En cualquier caso, conviene empezar por los cuestionarios más recientes, que reflejan las peticiones reales de tus clientes.

¿Hace falta estar certificado en ISO 27001 para usar este método?

No. Puedes usar la estructura del Anexo A como índice incluso sin certificación, porque es una referencia internacional que los evaluadores conocen. La certificación, sin embargo, añade una verificación independiente, que muchos clientes piden expresamente. Organizar las respuestas en torno a los controles de ISO 27001 desde el principio también facilita certificarte más adelante.

¿Qué hago si el cliente pide documentos confidenciales?

Valora si la petición es proporcionada al servicio que ofreces. Para documentos sensibles, propón un intercambio protegido por un acuerdo de confidencialidad, una revisión por videollamada o una verificación presencial. No envíes nunca por correo configuraciones técnicas, esquemas de red ni informes de vulnerabilidades abiertas. Un resumen pensado para el exterior casi siempre cubre la necesidad del cliente.

¿Cada cuánto hay que actualizar la biblioteca de respuestas?

Cada vez que cambia algo relevante: un proveedor crítico, una herramienta, un procedimiento, el alcance del certificado. Además, conviene revisarla periódicamente junto con el sistema de gestión, por ejemplo durante la revisión por la dirección. Una fecha de última verificación en cada respuesta te indica enseguida qué comprobar antes de enviar un cuestionario.

¿El cuestionario de seguridad es el mismo para NIS2 y el RGPD?

A menudo los clientes combinan ambas necesidades en un único cuestionario, pero el objetivo es distinto. Las preguntas ligadas a NIS2 se refieren a la seguridad de la cadena de suministro y a la continuidad del servicio. Las ligadas al RGPD verifican las garantías del encargado del tratamiento sobre los datos personales. Una biblioteca basada en ISO 27001 cubre buena parte de ambas, y el control 5.34 sobre privacidad y protección de datos personales ayuda a responder a las preguntas específicas.

¿Quién debe rellenar el cuestionario en la empresa?

Hace falta un coordinador, normalmente el responsable de seguridad o de calidad, que recopila las respuestas y garantiza su coherencia. Sin embargo, cada respuesta debe validarla quien gestiona de verdad esa área: IT para los accesos, RR. HH. para la formación, compras para los proveedores, legal para los contratos. Con una biblioteca compartida, el coordinador compone el cuestionario y solo implica a los demás en las preguntas nuevas.