Las empresas mantienen una relación cada vez más estrecha con proveedores tecnológicos, plataformas cloud, empresas de servicios, fabricantes, distribuidores y otros terceros. Muchos de estos actores tienen acceso a sus sistemas, gestionan información o intervienen en procesos esenciales para el negocio. Aunque esta interdependencia contribuye a mejorar la eficiencia, también amplía la superficie de exposición frente a un ciberataque.

Así, la cadena de suministro se ha convertido en una de las principales preocupaciones de las organizaciones europeas en materia de ciberseguridad. Según el informe NIS Investments 2025 de la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el 47% de las organizaciones consultadas señala los ataques a la cadena de suministro entre las amenazas que más le preocupan, solo por detrás del ransomware (55%).

“El problema reside en que una organización puede disponer de elevados niveles de protección y, aun así, verse comprometida a través de un tercero. Un proveedor con acceso remoto, una aplicación utilizada por múltiples compañías, una actualización de software manipulada o unas credenciales comprometidas pueden convertirse en la puerta de entrada a organizaciones que, atacadas directamente, resultarían mucho más difíciles de vulnerar”, explica Francisco Valencia, director general de Secure&IT.

La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ya ha advertido de los riesgos asociados a los ataques dirigidos a la cadena de suministro. Según su análisis, en aproximadamente el 66% de los casos estudiados, los ciberdelincuentes utilizaron el código de los proveedores como vía de acceso a sus clientes. Asimismo, en el 58% de los incidentes examinados, el principal objetivo fueron los datos de las organizaciones afectadas, incluida información personal y propiedad intelectual.

El riesgo de un proveedor puede convertirse en riesgo de negocio

Los incidentes en la cadena de suministros conllevan consecuencias como la paralización de un proveedor crítico, que puede afectar a la producción, impedir la prestación de un servicio, comprometer información sensible o provocar interrupciones en numerosas organizaciones de manera simultánea.

Esta realidad convierte la gestión de terceros en una cuestión de continuidad de negocio, gestión del riesgo y gobierno corporativo, especialmente en aquellas compañías que dependen de numerosos proveedores tecnológicos o que operan en sectores esenciales.

“Conocer a fondo este tipo de ecosistema sigue siendo uno de los principales retos para las empresas que han trabajado durante años en reforzar su propia seguridad, pero, en la actualidad, ya no basta con proteger lo que ocurre dentro de la organización. Cualquier proveedor que accede a nuestros sistemas, maneja nuestros datos o participa en un proceso crítico puede introducir un riesgo que debemos conocer, evaluar y controlar. Lamentablemente, un porcentaje muy pequeño de las organizaciones revisa los riesgos de ciberseguridad asociados a sus proveedores directos, además, muy pocos se centran en analizar los correspondientes a su cadena de suministro”, asegura Francisco Valencia.

¿Cómo se gestionan estos riesgos?

Desde Secure&IT recomiendan abordar la gestión del riesgo de terceros de manera integral y continua, realizando acciones como las siguientes:

• Identificar y clasificar a los proveedores según criticidad, teniendo en cuenta especialmente aquellos que cuentan con acceso a información, sistemas o procesos críticos.
• Evaluar el riesgo antes de la contratación, realizando un análisis de la postura de seguridad del potencial proveedor e incorporando requisitos específicos en materia de ciberseguridad en los contratos.
• Analizar las dependencias críticas, identificando aquellos servicios cuya caída podría detener o afectar significativamente al negocio.
• Limitar y controlar los accesos de terceros, aplicando criterios de mínimo privilegio y revisando periódicamente permisos y credenciales.
• Preparar planes de continuidad y respuesta ante incidentes que contemplen escenarios en los que el origen del problema se encuentre en un proveedor.
• Supervisar la postura de seguridad de los proveedores de forma continua, evitando que la evaluación de proveedores sea únicamente un ejercicio realizado en el momento de su contratación o en momentos puntuales durante la prestación del servicio.

“Reducir la exposición ante ataques no significa eliminar proveedores, sino conocer qué terceros forman parte del ecosistema de la organización, qué nivel de acceso tienen y qué impacto tendría un incidente en cada uno de ellos”, asegura Valencia

Este planteamiento se encuentra cada vez más presente en el marco regulatorio europeo. En febrero de 2026, el Grupo de Cooperación NIS —integrado por los Estados miembros, la Comisión Europea y ENISA— aprobó una caja de herramientas europea para la seguridad de la cadena de suministro TIC donde se recomienda evaluar a los proveedores críticos, adoptar estrategias multiproveedor y reducir la dependencia de proveedores considerados de alto riesgo.

“La gestión del riesgo de terceros debe integrarse dentro de una estrategia global de ciberseguridad en todas las empresas. La pregunta ya no es si nuestra empresa está protegida, el verdadero planteamiento es saber hasta qué punto conocemos y controlamos el riesgo que introducen las organizaciones de las que dependemos. La cadena de suministro forma parte de nuestro perímetro de seguridad, aunque sus sistemas no estén físicamente dentro de nuestra compañía”, concluye el director general de Secure&IT.