Evaluar la ciberseguridad de un proveedor: certificación, evaluación puntuada, cuestionario, qué demuestra cada una

En resumen: cuando confía identidades, justificantes y datos bancarios a un proveedor, hereda su nivel de seguridad. Circulan tres tipos de prueba para establecerlo, y no dicen en absoluto lo mismo. Una certificación como ISO 27001 acredita que un sistema de gestión ha sido auditado, pero no aporta ninguna medida de nivel y depende por completo de su alcance. Una evaluación puntuada como CyberVadis produce una puntuación sobre 1000 y un detalle por ámbito, pero no es una auditoría de certificación. Un cuestionario declarativo, por su parte, no demuestra nada por sí solo. El reflejo útil no es coleccionar logotipos, es formular seis preguntas precisas.

‍

Por qué la seguridad de su proveedor es problema suyo

‍

El razonamiento se ha vuelto trivial, pero sigue siendo exacto: un proveedor mal protegido se convierte en su punto débil. Si su proveedor de verificación de identidad sufre una filtración, son los documentos de identidad de sus clientes los que circulan, no los suyos.

‍

Tres marcos convierten esa constatación en obligación.

‍

El RGPD / GDPR, que convierte al encargado del tratamiento en un eslabón del que el responsable del tratamiento debe asegurarse de que ofrece garantías suficientes. El contrato no basta: hay que poder mostrar en qué se basa esa garantía.

‍

DORA, para el sector financiero y sus proveedores, que obliga a regular contractualmente y a supervisar a los proveedores de servicios informáticos, en particular a los que dan soporte a funciones críticas. Nuestro artículo sobre la resiliencia operativa digital detalla qué abarca.

‍

El deber de diligencia y, de forma más amplia, el conocimiento de sus proveedores, que responde a la misma lógica que el Know Your Supplier: verificar antes de confiar y, después, seguir verificando.

‍

En los tres casos, el comprador debe aportar una prueba. Queda por saber cuál y cuánto vale.

‍

Las 3 familias de prueba, y qué establecen

‍

La certificación

‍

Una certificación como ISO 27001 acredita que un organismo independiente ha auditado un sistema de gestión de la seguridad de la información y lo ha considerado conforme con la norma. Es una prueba sólida, porque es externa y se vuelve a verificar periódicamente.

‍

Tiene dos límites que a menudo se olvidan.

‍

Es binaria. Una empresa está certificada o no lo está. La certificación no dice si es excelente o si apenas cumple, ni dónde están sus puntos débiles.

‍

Depende de su alcance. El certificado incluye una declaración de alcance, y ese alcance puede ser estrecho: un solo centro, una sola filial, un solo servicio. Un proveedor puede presentar un certificado perfectamente auténtico que no cubra el producto que usted compra. Es la verificación más rentable de hacer, y la que menos se hace.

‍

La evaluación puntuada

‍

Una evaluación puntuada, como la que realiza CyberVadis, produce una puntuación numérica y un desglose por ámbito. El método se organiza en torno a cuatro funciones: Identify, Protect, Detect, React. Identificar los riesgos y los activos, protegerlos, detectar los incidentes y ser capaz de reaccionar ante ellos. Cada función se puntúa por separado y después se pondera en una puntuación global sobre 1000, acompañada de un nivel de madurez que va de insuficiente a maduro.

‍

Su interés es exactamente el inverso del de la certificación: es granular y comparable. Le dice no solo que un proveedor es serio, sino en qué lo es menos. Puede comparar dos proveedores en la misma escala, algo que una certificación no permite.

‍

Desde el 1 de enero de 2026, el baremo de las medallas CyberVadis es el siguiente:

‍

• Platinum: de 950 a 1000
• Gold: de 900 a 949
• Silver: de 800 a 899
• Bronze: de 700 a 799

‍

Por debajo de 700 no hay medalla, solo una constancia de participación. Un proveedor que exhibe un simple distintivo de participación no comunica, por lo tanto, un resultado: comunica el hecho de haber respondido.

‍

Su límite es simétrico: no es una auditoría de certificación en el sentido de ISO. Una evaluación puntuada mide una madurez declarada y después verificada documentalmente, y la calidad del resultado depende de las pruebas aportadas. Complementa a una certificación, no la sustituye.

‍

El cuestionario declarativo

‍

Es el documento que su proveedor rellena él mismo, a menudo una hoja de cálculo de 200 líneas. Tiene una utilidad real: plantear preguntas específicas de su contexto, que ni una norma ni una evaluación genérica cubren.

‍

Pero no demuestra nada por sí solo. Un cuestionario declarativo sin un documento justificativo adjunto a cada respuesta es una declaración de intenciones con formato. Su valor depende por completo de los documentos anexos: política de seguridad, informe de test de intrusión, plan de continuidad, esquema de alojamiento, lista de subcontratistas.

‍

Certificación o evaluación: la lectura correcta

‍

La cuestión no es elegir. Ambas responden a preguntas distintas, y un comprador avisado utiliza las dos.

‍

• La certificación responde a «¿este proveedor está estructurado?» Demuestra la existencia de un enfoque dirigido, documentado y auditado. No jerarquiza nada.
• La evaluación puntuada responde a «¿a qué nivel y en qué?» Jerarquiza y permite la comparación. No tiene el valor normativo de un certificado.
• El cuestionario responde a «¿y para mi caso concreto?» Cubre sus particularidades. No aporta ninguna garantía externa.

‍

El reflejo que hay que evitar es el más extendido: tratar estas pruebas como logotipos intercambiables que marcar en una tabla de proveedores. Un logotipo no se lee; un alcance y una puntuación sí.

‍

Las 6 preguntas que hay que hacer antes de firmar

‍

Caben en unas pocas líneas y eliminan lo esencial de la ambigüedad.

‍

1. ¿Cuál es el alcance exacto de la certificación? Pida el certificado en sí, no el logotipo. Compruebe que el servicio que compra figura en él, y no solo la matriz.

‍

2. ¿De cuándo data la prueba, y sobre qué versión de la norma? Una certificación ISO 27001 al día se refiere a la versión 2022. Una evaluación de ciberseguridad de hace 3 años no dice nada del estado actual.

‍

3. ¿Dónde se alojan los datos, y bajo qué jurisdicción? La ubicación física y el derecho aplicable al proveedor de alojamiento son dos preguntas distintas, y ambas cuentan.

‍

4. ¿Cuál es la cadena de subcontratación? Su proveedor se apoya a su vez en terceros. Pida la lista, y qué se les confía. Ahí es donde se pierden los alcances.

‍

5. ¿Cuál es el proceso de notificación de incidentes? ¿En qué plazo se le avisa, por qué canal y con qué nivel de detalle? Un compromiso contractual con cifras vale más que una intención.

‍

6. ¿Qué muestra el desglose de la puntuación, y no solo la puntuación? En una evaluación puntuada, una puntuación global halagüeña puede ocultar una función débil. La capacidad de reacción suele ser la peor dotada.

‍

Este planteamiento no difiere de un enfoque basado en el riesgo aplicado a sus proveedores: la intensidad del control se calibra según la sensibilidad de lo que les confía. Una herramienta que trata documentos de identidad y datos bancarios no exige el mismo nivel que una herramienta de gestión de notas de gastos.

‍

Dónde está Meelo

‍

Aplicarnos a nosotros mismos lo que pedimos a los demás supone aportar elementos verificables en lugar de un discurso.

‍

Meelo ha obtenido 930 sobre 1000 en su evaluación CyberVadis, lo que corresponde a la medalla Gold. Esta evaluación se refiere a las cuatro funciones descritas más arriba: identificación de los riesgos, protección, detección y reacción.

‍

Es una puntuación atribuida por un tercero, y es precisamente lo que buscábamos: una medida externa en lugar de una afirmación interna. Preferimos decirlo por lo que es, una evaluación puntuada y no una certificación, porque la confusión entre ambas es exactamente lo que este artículo busca disipar.

‍

En lo demás, los elementos son los siguientes: los datos están alojados en Francia, cifrados, los accesos están controlados, y cada decisión de verificación de identidad, de fraude o de solvencia queda trazada y es auditable. El proceso de certificación ISO 27701, la extensión de la ISO 27001 dedicada a la protección de los datos personales, está en marcha. Hemos elegido esta norma y no otra porque se refiere a lo que nuestros tratamientos manipulan realmente: identidades, justificantes y datos personales.

‍

En conclusión

‍

La seguridad de un proveedor no se demuestra con un logotipo, y no se verifica marcando una casilla. Una certificación demuestra que existe un enfoque y que ha sido auditado, sin decir a qué nivel. Una evaluación puntuada dice el nivel y lo detalla por ámbito, sin tener el alcance de un certificado. Un cuestionario cubre sus particularidades y no demuestra nada por sí solo.

‍

Las tres se complementan, y ninguna exime de leer el alcance, la fecha y el detalle. Si solo tuviera que quedarse con una pregunta de este artículo, quédese con la primera: pida el certificado, no el logotipo.

‍

FAQ

‍

¿Cuál es la diferencia entre una certificación ISO 27001 y una evaluación CyberVadis?

‍

La certificación ISO 27001 la expide un organismo acreditado tras una auditoría, y es binaria: la empresa es conforme o no lo es, sobre un alcance declarado. Una evaluación CyberVadis produce una puntuación sobre 1000 y un desglose por ámbito, lo que permite medir un nivel y comparar proveedores entre sí. La primera tiene un alcance normativo; la segunda, un alcance comparativo. Se complementan.

‍

¿Qué significa una puntuación CyberVadis de 930 sobre 1000?

‍

Corresponde a la medalla Gold, cuyo tramo va de 900 a 949 desde el 1 de enero de 2026. Por encima está Platinum, a partir de 950. Por debajo, Silver a partir de 800 y Bronze a partir de 700. Por debajo de 700 no se atribuye ninguna medalla.

‍

¿Cuáles son las 4 funciones evaluadas por CyberVadis?

‍

Identify, Protect, Detect y React: la identificación de los riesgos y los activos, su protección, la detección de los incidentes y la capacidad de reaccionar ante ellos. Cada función recibe su propia puntuación y después el conjunto se pondera en una puntuación global sobre 1000 acompañada de un nivel de madurez.

‍

¿Un certificado ISO 27001 cubre toda la empresa?

‍

No necesariamente, y es el punto que más a menudo se pasa por alto. Cada certificado incluye una declaración de alcance que puede limitarse a un centro, una filial o un servicio. Hay que comprobar, por lo tanto, que el producto que usted compra entra efectivamente en ese alcance, pidiendo el certificado y no el logotipo.

‍

¿Basta con un cuestionario de seguridad para proveedores?

‍

No, no por sí solo. Es útil para cubrir sus exigencias propias, que los referenciales genéricos no tratan, pero sus respuestas son declarativas. Su valor depende de los documentos adjuntos: política de seguridad, informe de test de intrusión, plan de continuidad, esquema de alojamiento, lista de subcontratistas.

‍

¿Qué exige DORA sobre la seguridad de los proveedores?

‍

DORA obliga a las entidades financieras a regular contractualmente y a supervisar a sus proveedores de servicios informáticos, con requisitos reforzados para los que dan soporte a funciones críticas o importantes. La obligación se refiere al control del riesgo vinculado a terceros, lo que supone documentar la prueba en la que se apoya la confianza concedida.

‍

¿Está Meelo certificado en ISO 27001?

‍

No. Meelo ha obtenido 930 sobre 1000 en su evaluación CyberVadis, es decir, la medalla Gold, que es una evaluación puntuada por un tercero y no una certificación. El proceso de certificación ISO 27701, la extensión de la ISO 27001 dedicada a la protección de los datos personales, está en marcha. Los datos están alojados en Francia, cifrados, los accesos controlados, y cada decisión queda trazada y es auditable.

‍

Fuentes: documentación de CyberVadis sobre la escala de puntuación, los distintivos y las medallas; ISO/IEC 27001:2022 e ISO/IEC 27701, Organización Internacional de Normalización; reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero (DORA); reglamento general de protección de datos.