La seguridad de una empresa ya no depende exclusivamente de lo que ocurre dentro de sus propios muros digitales. En un ecosistema empresarial hiperconectado, un ciberdelincuente puede sortear las defensas más sólidas comprometiendo a un proveedor con acceso legítimo. Esta realidad ha dejado de ser una hipótesis para convertirse en una de las métricas más reveladoras del mercado: según el informe NIS Investments 2025 de la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el 47% de las organizaciones europeas señala los ataques a la cadena de suministro como su principal preocupación en materia de ciberseguridad, situándola solo por detrás del ransomware, que alcanza el 55%.
El 47% de las organizaciones europeas sitúa la cadena de suministro como su principal riesgo de ciberseguridad
La fotografía que presenta ENISA en su último informe es clara: el riesgo que introducen los terceros ha escalado posiciones hasta equipararse estratégicamente con las amenazas más tradicionales y agresivas. Este cambio de paradigma no es casual. Responde a una evidencia que las empresas están comenzando a internalizar: disponer de controles de seguridad internos excelentes ya no es suficiente si un eslabón de la cadena de proveedores puede ser explotado como vector de ataque.
La interconexión con proveedores tecnológicos, plataformas en la nube, fabricantes y distribuidores multiplica la eficiencia operativa, pero también la superficie de exposición. El dato del 47% es especialmente significativo porque refleja una preocupación que cruza todos los sectores, desde la manufactura hasta los servicios financieros. En paralelo, la información recopilada por la agencia europea sobre incidentes reales permite dimensionar el verdadero alcance del problema.
| Indicador | Dato ENISA (NIS Investments 2025) | Implicación Estratégica |
|---|---|---|
| Preocupación principal | Ataques a la cadena de suministro (47%) | Se percibe casi al mismo nivel que el ransomware |
| Vector de ataque principal | Código de proveedor utilizado en el 66% de los casos | La confianza en el software de terceros es la nueva vulnerabilidad crítica |
| Objetivo principal del atacante | Datos de la organización en el 58% de los incidentes | La propiedad intelectual y los datos sensibles son el botín prioritario |
¿Cómo se materializa el ataque? El código del proveedor y la puerta de entrada silenciosa
Para entender por qué este porcentaje de preocupación es tan elevado, basta con analizar los mecanismos que emplean los atacantes. Según el análisis de ENISA, en aproximadamente el 66% de los incidentes estudiados, los ciberdelincuentes utilizaron el código de los proveedores como vía de acceso a sus clientes. Esto significa que un atacante no necesita vulnerar las defensas de la empresa objetivo directamente; le basta con comprometer una actualización de software legítima de un proveedor de confianza para distribuir su carga maliciosa a todas las organizaciones que utilizan ese producto.
En paralelo, el estudio revela que en el 58% de los incidentes examinados, el principal objetivo de los atacantes al comprometer la cadena de suministro fueron los datos de las organizaciones afectadas, incluyendo información personal y propiedad intelectual. Esto desmonta la idea de que los ataques a proveedores son simplemente un daño colateral o un medio para llegar a otro fin: robar datos valiosos puede ser el objetivo final de la operación.
«El problema reside en que una organización puede disponer de elevados niveles de protección y, aun así, verse comprometida a través de un tercero. Un proveedor con acceso remoto, una aplicación utilizada por múltiples compañías, una actualización de software manipulada o unas credenciales comprometidas pueden convertirse en la puerta de entrada a organizaciones que, atacadas directamente, resultarían mucho más difíciles de vulnerar», explica Francisco Valencia, director general de Secure&IT.
La paradoja de la externalización: eficiencia operativa frente a riesgo de negocio
La externalización de servicios y la adopción de plataformas cloud han permitido a las empresas centrarse en su negocio principal, pero han creado una dependencia crítica de actores externos. Los incidentes en la cadena de suministro no solo implican una fuga de datos; pueden desencadenar la paralización de un proveedor crítico, deteniendo la producción, impidiendo la prestación de un servicio o provocando interrupciones en cascada en numerosas organizaciones de manera simultánea.
Esta realidad convierte la gestión de terceros en una cuestión que trasciende el departamento de TI para convertirse en un asunto de gobierno corporativo y continuidad de negocio. Conocer en profundidad el ecosistema de proveedores sigue siendo uno de los principales desafíos para las compañías que han trabajado durante años en reforzar su propia seguridad, pero que ahora descubren que el perímetro a proteger se ha expandido más allá de sus propias instalaciones.
«Conocer a fondo este tipo de ecosistema sigue siendo uno de los principales retos para las empresas que han trabajado durante años en reforzar su propia seguridad, pero, en la actualidad, ya no basta con proteger lo que ocurre dentro de la organización. Cualquier proveedor que accede a nuestros sistemas, maneja nuestros datos o participa en un proceso crítico puede introducir un riesgo que debemos conocer, evaluar y controlar. Lamentablemente, un porcentaje muy pequeño de las organizaciones revisa los riesgos de ciberseguridad asociados a sus proveedores directos; además, muy pocos se centran en analizar los correspondientes a su cadena de suministro», asegura Francisco Valencia.
Un marco de acción integral para la gestión del riesgo de terceros
Ante este panorama, desde Secure&IT proponen un enfoque que va más allá de la simple auditoría anual de proveedores. La gestión del riesgo de terceros debe ser un proceso integral y continuo que abarque todo el ciclo de vida de la relación comercial. A continuación, se presentan las seis líneas de acción recomendadas, estructuradas como un ciclo de mejora continua.
Fase 1: Identificación y clasificación estratégica de proveedores
No todos los proveedores presentan el mismo nivel de riesgo. El primer paso consiste en identificar y clasificar a los proveedores según su criticidad, prestando especial atención a aquellos que cuentan con acceso a información, sistemas o procesos críticos para el negocio. Esta segmentación permite priorizar los recursos de supervisión donde más se necesitan.
Fase 2: Evaluación de la postura de seguridad antes de la contratación
El momento de la contratación es la ventana de oportunidad más valiosa para establecer las reglas del juego. Es necesario evaluar el riesgo antes de la contratación, realizando un análisis profundo de la postura de seguridad del potencial proveedor e incorporando requisitos específicos en materia de ciberseguridad en los contratos, incluyendo cláusulas de responsabilidad y derecho a auditoría.
Fase 3: Análisis de dependencias críticas y puntos únicos de fallo
Uno de los errores más comunes es no saber qué ocurriría si un proveedor concreto dejara de funcionar. Es fundamental analizar las dependencias críticas, identificando aquellos servicios cuya caída podría detener o afectar significativamente al negocio. Esta información es la base para construir un plan de resiliencia realista.
Fase 4: Control de accesos con criterios de mínimo privilegio
El acceso que un proveedor tiene a los sistemas internos debe ser estrictamente el necesario para realizar su trabajo. Es imprescindible limitar y controlar los accesos de terceros, aplicando criterios de mínimo privilegio y revisando periódicamente permisos y credenciales. Un acceso que fue otorgado para un proyecto temporal no debe convertirse en una puerta trasera permanente.
Fase 5: Planes de continuidad y respuesta ante incidentes del ecosistema
Cuando un incidente de seguridad afecta a un proveedor, la empresa cliente debe estar preparada para reaccionar. La preparación incluye preparar planes de continuidad y respuesta ante incidentes que contemplen escenarios en los que el origen del problema se encuentre en un proveedor, no dentro de la propia organización.
Fase 6: Supervisión continua y dinámica de la cadena de suministro
La evaluación de proveedores no puede ser un ejercicio estático que se realiza únicamente en el momento de la contratación o en momentos puntuales durante la prestación del servicio. Las posturas de seguridad evolucionan, y lo que era aceptable hace seis meses puede no serlo hoy. La supervisión de la postura de seguridad de los proveedores de forma continua es el único camino para mantener un control efectivo del riesgo a lo largo del tiempo.
«Reducir la exposición ante ataques no significa eliminar proveedores, sino conocer qué terceros forman parte del ecosistema de la organización, qué nivel de acceso tienen y qué impacto tendría un incidente en cada uno de ellos», asevera Valencia.
El respaldo regulatorio: la caja de herramientas europea para la cadena de suministro TIC
La preocupación del mercado no solo se refleja en las encuestas, sino que está empezando a cristalizar en el marco normativo. En febrero de 2026, el Grupo de Cooperación NIS —integrado por los Estados miembros, la Comisión Europea y la propia ENISA— aprobó una caja de herramientas europea para la seguridad de la cadena de suministro TIC. Este documento recomienda a las organizaciones evaluar a los proveedores críticos, adoptar estrategias multiproveedor para evitar la dependencia excesiva de un único actor y reducir la dependencia de proveedores considerados de alto riesgo.
Esta iniciativa supone un espaldarazo regulatorio a las prácticas de gestión de terceros que muchas empresas ya están empezando a implementar de forma voluntaria. La tendencia es inequívoca: la ciberseguridad en la cadena de suministro dejará de ser una recomendación para convertirse en un requisito de cumplimiento obligatorio en sectores regulados, especialmente en aquellos considerados esenciales bajo la directiva NIS 2.
El nuevo perímetro de seguridad: visibilidad y control sobre el ecosistema
La gestión del riesgo de terceros debe integrarse dentro de una estrategia global de ciberseguridad en todas las empresas. La pregunta ya no es si nuestra empresa está protegida, sino hasta qué punto conocemos y controlamos el riesgo que introducen las organizaciones de las que dependemos. La cadena de suministro forma parte de nuestro perímetro de seguridad, aunque sus sistemas no estén físicamente dentro de nuestra compañía.
«La gestión del riesgo de terceros debe integrarse dentro de una estrategia global de ciberseguridad en todas las empresas. La pregunta ya no es si nuestra empresa está protegida, el verdadero planteamiento es saber hasta qué punto conocemos y controlamos el riesgo que introducen las organizaciones de las que dependemos. La cadena de suministro forma parte de nuestro perímetro de seguridad, aunque sus sistemas no estén físicamente dentro de nuestra compañía», concluye el director general de Secure&IT.
Los datos de ENISA han puesto negro sobre blanco una realidad que muchos directivos preferían ignorar: el eslabón más débil de la cadena de seguridad no suele estar dentro de la empresa, sino en las conexiones con el exterior. En un entorno donde el 47% de las organizaciones ya identifica este riesgo como prioritario, la capacidad de una compañía para gestionar proactivamente a sus proveedores no será solo una ventaja competitiva, sino un requisito indispensable para la supervivencia del negocio. La transparencia y el control sobre el ecosistema de terceros se consolidan así como la primera línea de defensa frente a un panorama de amenazas que evoluciona para explotar, precisamente, la confianza que depositamos en quienes nos rodean.
