Evaluación de seguridad de proveedores: cuestionario y registro
Clasifica a cada proveedor por su acceso, datos y dependencia. Pide evidencias proporcionales y registra tu decisión.
Gratis y sin registro. Responde por bloques, o envía el cuestionario al proveedor, y obtén su nivel de riesgo y qué evidencias te falta pedir.
Del registro a la revisión
Anota el servicio y los contactos, contesta siete preguntas para clasificar al proveedor y revisa su cuestionario bloque a bloque. Puedes enviárselo en blanco, en Excel o Word, o rellenarlo tú. El nivel y la decisión sugerida son criterios de Minery: no sustituyen una auditoría ni la decisión de quien contrata.
Lo que declara el proveedor y lo que tú compruebas con evidencias no pesan igual. Un «No aplica» en un control crítico queda pendiente hasta que aceptas su motivo. Las preguntas informativas no puntúan y, si no queda ninguna aplicable, el resultado es «Sin evaluación».
Tus datos se quedan en tu navegador
La herramienta funciona sin rastreadores de terceros. Lo que escribes se queda en la página y se pierde al recargar: guarda tu evaluación en un archivo para seguirla otro día. También puedes descargar el registro en Excel, enviar un cuestionario en blanco e imprimir el informe. Al abrir un archivo guardado tendrás que volver a confirmar las evidencias revisadas y los «No aplica» críticos.
Si tú o tu cliente sois una entidad financiera, la herramienta añade las preguntas de DORA y campos de diligencia previa, concentración y conflictos de intereses. La descarga no es el registro de información de DORA. Las referencias a normas indican temas relacionados, no que las cumplas.
Qué hacer con una respuesta pendiente
Empieza por los controles críticos. Si falta una respuesta, el proveedor dice No o queda un No aplica crítico sin aceptar, el resultado pide medidas antes de aceptar. Pide una aclaración concreta y la evidencia indicada en cada control. Escribir una referencia de documento no equivale a haberlo revisado: el cambio a evidencia revisada corresponde al evaluador.
Después revisa los controles parciales y las declaraciones sin evidencia. La descarga de lo pendiente reúne lo que queda por resolver junto con la evidencia que conviene pedir. Puedes registrar un plan de mejora, pero solo constará como acordado cuando indiques que existe, su fecha y su responsable. Mantén separada la decisión sugerida por el cálculo de la decisión que tomas sobre la contratación.
Un directorio que permita actuar
El registro incluye productos, servicios y procesos TIC, además de contactos funcionales de seguridad e incidentes. Añade una alternativa identificada y anota los incidentes revisados, las revisiones extraordinarias y los cambios con sus medidas. Esta estructura toma como referencia el directorio y el seguimiento de la cadena de suministro del Reglamento de Ejecución (UE) 2024/2690. Su uso no determina que ese reglamento te sea aplicable ni demuestra por sí mismo que lo cumplas.
Preguntas frecuentes sobre la evaluación de proveedores
En seguridad, esta herramienta clasifica a cada proveedor con siete criterios: acceso a tus sistemas, datos que trata, efecto de una interrupción, posibilidad de sustituirlo, integración de su producto en tus entregas, subcontratación y funciones protegidas. Manda la situación de mayor impacto. Criterios como la calidad, el precio o el plazo de entrega quedan fuera de esta herramienta.
Anota el servicio y los contactos, contesta siete preguntas para clasificar al proveedor y revisa su cuestionario bloque a bloque: puedes enviárselo en blanco, en Excel o Word, o rellenarlo tú. Después pide la evidencia de lo pendiente, registra tu decisión y fija la próxima revisión.
Para su seguridad, más que un indicador único, sigue los controles críticos pendientes, las declaraciones sin evidencia revisada, los incidentes del proveedor y si las revisiones se hacen en su fecha. La herramienta te muestra lo pendiente y la fecha de la próxima revisión.
El diseño del banco relaciona los controles con la seguridad de la cadena de suministro de NIS2. Eso no determina si tu entidad está dentro de su ámbito ni qué régimen nacional le corresponde. Confirma el estado de la transposición española y tu ámbito antes de tomar una decisión jurídica. La herramienta sirve para organizar una evaluación, no para emitir un dictamen de aplicabilidad.
El nivel depende de siete respuestas sobre acceso a sistemas, datos tratados, efecto de una interrupción, posibilidad de sustitución, integración del producto en tus entregas, subcontratación y funciones protegidas. La situación de mayor impacto manda. Puedes ajustar un nivel con un motivo escrito, pero bajar el nivel no elimina los controles críticos que corresponden a las respuestas registradas. Es una clasificación de Minery, no una categoría legal.
No sustituyas la revisión del servicio por el nombre de una certificación. Pide su alcance y comprueba qué entidad, servicios y actividades cubre. El banco distingue la certificación de un informe y permite registrar la referencia de la evidencia que has examinado. Sus mapeos indican relaciones temáticas con controles: no son una declaración de conformidad ni una reproducción del texto de ISO.
Parte del servicio concreto, los datos y los accesos que tendrá el proveedor. Usa los controles pendientes para preparar cuestiones sobre incidentes, subcontratación, continuidad y salida. Una respuesta afirmativa no demuestra que esos compromisos estén en el contrato. La redacción contractual necesita revisión para tu caso; esta página no ofrece una cláusula universal ni sustituye esa revisión.
La herramienta añade preguntas específicas cuando tú o tu cliente sois una entidad financiera. También permite registrar si el servicio sostiene una función esencial o importante, la diligencia previa, la valoración de concentración y los conflictos de intereses. Esos campos son de quien evalúa y no se completan por importar un cuestionario. El Excel resultante no es el registro de información de DORA ni reemplaza sus plantillas oficiales.
Las referencias ENS del banco ayudan a localizar temas que revisar en el servicio y sus evidencias. No convierten una respuesta ni una puntuación en una certificación ENS. El alcance del sistema y las exigencias aplicables requieren una comprobación propia.
En la memoria de la página de la herramienta, mientras la mantengas abierta. Puedes guardarlos en un archivo en tu equipo. No se guardan automáticamente al salir: guarda una copia antes de recargar. Al cargarla de nuevo, las evidencias dejan de constar como revisadas y las aceptaciones de No aplica críticos se eliminan para que vuelvas a comprobarlas. Protege las copias según la sensibilidad de su contenido.
Como criterio de seguimiento, la herramienta propone doce meses para el nivel tres, veinticuatro para el nivel dos y la renovación para el nivel uno. Son orientaciones de Minery, no plazos legales universales. Revisa también tras un incidente del proveedor, un cambio importante del servicio o una revisión no programada. Anota el motivo, las medidas y la próxima fecha para que la evaluación tenga continuidad.