--- id: KB-NO-014 url: https://app.codecontract.io/ayuda/normativa/cuestionarios-de-seguridad-de-clientes idioma: es categoria: normativa subcategoria: cadena audiencia: usuario nivel: intermedio actualizado: 2026-08-13 tambienEn: [en] relacionados: [KB-NO-004, KB-IC-010, KB-NO-021, KB-NO-027] citadoPor: [KB-AD-016] --- # Cuestionarios de seguridad de clientes _Un cliente grande manda cien preguntas sobre cómo tratáis su información. Cómo se responde sin morir en el intento._ **Responde a:** cuestionario de seguridad de un cliente · nos piden la iso 27001 · responder a un cuestionario de proveedor sobre datos · evaluación de riesgo de proveedores tecnología Llega un cuestionario de un cliente grande con decenas o cientos de preguntas sobre cómo guardáis su información, quién accede a ella y qué pasaría si algo fallara. Marcos como ISO 27001, NIS2 o el RGPD aparecen por su nombre, y la reacción típica —contestar deprisa para no frenar el contrato— es la que después se paga. ## Los cuatro bloques que se repiten | Bloque | Qué preguntan | Con qué se responde | | --- | --- | --- | | Quién accede | Cómo se dan y se quitan los accesos | Vuestra política y el registro de actividad | | Dónde están los datos | Ubicación, proveedores, subcontratistas | La lista de a quién usáis y para qué | | Qué pasa si falla algo | Copias, recuperación, aviso de incidentes | Vuestro plan, aunque sea corto | | Y qué certificaciones tenéis | Certificados vigentes y su alcance | El certificado, con su alcance y su fecha | > [!IMPORTANT] > La segunda parte de la última fila es la que hunde a mucha empresa: no basta con tener un certificado, hay que decir **qué alcance tiene**. Un certificado que cubre una sede o un servicio concreto y se presenta como si cubriera toda la empresa se detecta en la primera revisión y cuesta credibilidad para todo lo demás. ## Cómo se responde sin repetir el trabajo cada vez 1. **Guardad las respuestas dadas, no solo el cuestionario** — El 80 % de las preguntas se repiten entre clientes; responder de cero cada vez es el error caro. 2. **Con la fecha de cada respuesta** — Lo que era cierto hace dos años puede no serlo; una respuesta sin fecha se copia y envejece sola. 3. **Con quién la validó** — Las respuestas técnicas las valida quien sabe, no quien rellena el formulario. 4. **Y sin prometer lo que no hacéis** — Marcar «sí» en algo que no tenéis montado se convierte en un incumplimiento contractual el día que lo comprueben. > [!WARNING] > El punto cuarto es el que más problemas genera y el que más se hace sin darse cuenta. Un «sí» de más en un cuestionario no es una exageración comercial: pasa a formar parte de lo que habéis declarado a ese cliente, y si un día hay un incidente, se compara vuestra respuesta con la realidad. ## Lo que sí depende de vosotros aunque no tengáis certificaciones **En corto** - Poder decir quién accede a qué y demostrarlo con un registro. - Saber a qué proveedores dais datos y para qué. - Tener escrito qué haríais ante un incidente, aunque sea en una página. - Y poder enseñar que la documentación de terceros la comprobáis de verdad. Esas cuatro cosas se responden con lo que ya hacéis si lo tenéis registrado, y son las que más pesan en la evaluación de una empresa pequeña, por encima de tener o no un sello. > [!NOTE] > Los marcos concretos, sus plazos y a quién obligan cambian por país, por sector y por tamaño, y se mueven. Lo que aquí se describe es cómo organizar la respuesta; **qué os aplica a vosotros y desde cuándo es una consulta para vuestro asesor**, no algo que convenga deducir de un cuestionario. **¿Hace falta certificarse para vender a una empresa grande?** No siempre; muchas aceptan respuestas y evidencias sin certificado. Preguntadlo antes de invertir. **¿Puedo reutilizar las respuestas de otro cliente?** Sí, y es lo razonable; lo que no vale es reutilizarlas sin revisar la fecha. **¿Y si una respuesta es «no lo tenemos»?** Es una respuesta válida, sobre todo si decís qué haríais en su lugar. Mentir no lo es. ## Ejemplos **Una pyme recibe un cuestionario de seguridad de un cliente grande y lo rellena en una tarde.** - Guarda las respuestas con fecha y quién las validó - Corrige dos «sí» que no correspondían a nada montado → El siguiente cuestionario se responde en dos horas y sin declarar nada que no puedan sostener. **Cien preguntas y dos semanas de plazo.** - Parte de las respuestas del cuestionario anterior → Se empieza desde algo y no desde cero. **Se contesta que sí a algo que no se puede respaldar.** - Enlaza cada respuesta con su documento → Se contesta lo que se puede demostrar. **Los documentos que se adjuntan siempre están dispersos.** - Reúne el expediente de empresa en un sitio → Adjuntar deja de ser la mitad del trabajo. **Se detectan huecos y se olvidan al entregar.** - Anota lo que faltaba como agenda del año → El siguiente cuestionario encuentra menos huecos. **Cada cliente pregunta lo mismo con otro formulario.** - Reutiliza el mismo fondo documental → El tercer cuestionario cuesta una tarde.