Una guía completa para CISO y responsables de cumplimiento en 2026

El riesgo de terceros ha pasado de ser una preocupación de fondo a un asunto de primera plana para las organizaciones europeas. DORA es exigible a las entidades financieras desde enero de 2025 y NIS2 se está transponiendo ahora al derecho nacional en toda la Unión Europea, incluida Francia mediante la Loi Résilience. Para los CISO, los directores de cumplimiento y los responsables de compras, esto significa sobre todo una cosa: la forma en que una empresa gestiona el riesgo que introducen sus proveedores y prestadores de servicios ya no es una cuestión de preferencia interna. Es una obligación documentada y auditable.

Esta guía reúne lo esencial de la gestión del riesgo de terceros, conocida como TPRM, y explica cómo NIS2 y DORA configuran lo que ahora se espera de las organizaciones.

Qué significa realmente TPRM

TPRM se refiere al proceso estructurado de identificar, evaluar y supervisar los riesgos que proveedores, suministradores y prestadores de servicios introducen en una organización. Abarca la postura de ciberseguridad, pero también la resiliencia operativa, la protección de datos y la responsabilidad contractual. Un programa TPRM maduro hace bien tres cosas. Mantiene un inventario claro de cada tercero y de los sistemas que toca. Evalúa a cada uno con un conjunto de criterios coherente. Y hace seguimiento de las incidencias hasta su resolución, con un responsable designado y un plazo.

Dónde encaja NIS2

NIS2 amplía el alcance de la regulación europea de ciberseguridad a dieciocho sectores, mucho más allá de los operadores cubiertos originalmente por la primera Directiva NIS. El artículo 21 exige a las entidades esenciales e importantes que gestionen de forma explícita la seguridad de la cadena de suministro, de modo que las organizaciones ya no pueden tratar la supervisión de proveedores de manera informal u ocasional. En Francia, la Loi Résilience transpone NIS2 junto con DORA y la Directiva sobre resiliencia de las entidades críticas en un único instrumento legislativo, un enfoque nacional distintivo que conviene entender para cualquier empresa que opere en el mercado francés.

Dónde encaja DORA

DORA se aplica a veinte categorías de entidades financieras reguladas y adopta un enfoque considerablemente más prescriptivo que NIS2 respecto al riesgo de terceros. Exige un registro de información completo que cubra a cada proveedor de TIC que dé soporte a funciones críticas o importantes, incluidos subcontratistas, ubicación de los datos y estrategias de salida. También exige pruebas continuas de resiliencia operativa y criterios claros para identificar qué proveedores se consideran críticos.

Por qué importa ahora la supervisión continua

Ambos marcos alejan a las organizaciones del cuestionario anual y las orientan hacia la monitorización continua. Los reguladores ya señalan los registros incompletos y las evaluaciones desfasadas como áreas prioritarias de control en 2026. Una evaluación completada hace doce meses dice muy poco a un consejo sobre la exposición actual de un proveedor.

Aquí es exactamente donde muchas organizaciones se atascan. Crear y mantener un registro vivo de proveedores, realizar evaluaciones de forma coherente y generar evidencias bajo demanda es difícil de hacer manualmente en cuanto una cartera de proveedores supera un puñado de nombres.

Si tu equipo busca dar estructura a este proceso sin ampliar plantilla, puede valer la pena ver cómo lo resuelve una plataforma específica. Reservar una demo breve con Cynapze es una forma sencilla de ver cómo es en la práctica un programa TPRM actualizado de forma continua.

Primeros pasos

Las organizaciones que empiezan este trabajo deberían partir de un inventario honesto de cada tercero en uso, por menor que parezca. A partir de ahí, clasificar a los proveedores por criticidad permite a un equipo centrar la atención donde más importa, en lugar de tratar a todos los proveedores por igual. Por último, adquirir el hábito de documentar quién fue evaluado, cuándo y qué se encontró convierte el cumplimiento en un subproducto de las buenas prácticas en lugar de una carrera aparte antes de una auditoría.

Conclusión

TPRM, NIS2 y DORA convergen en la misma expectativa: las organizaciones deben conocer a sus terceros, evaluarlos de forma coherente y poder demostrarlo. Es un cambio significativo respecto a cómo han operado históricamente muchas empresas, pero también una oportunidad para crear un programa que proteja al negocio mucho más allá de lo que exija cualquier normativa por sí sola. Los equipos que empiecen ahora, con una responsabilidad clara y las herramientas adecuadas, estarán en una posición mucho más sólida cuando llegue la próxima auditoría o incidente.

Para ver cómo Cynapze puede respaldar tu programa de riesgo de terceros desde el primer día, reserva una demo con nuestro equipo.