{"id":70497,"date":"2026-10-21T08:17:30","date_gmt":"2026-10-21T08:17:30","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=70497"},"modified":"2026-10-21T08:17:30","modified_gmt":"2026-10-21T08:17:30","slug":"enisa-cadena-suministro-riesgo-70497","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/enisa-cadena-suministro-riesgo-70497\/","title":{"rendered":"ENISA revela que los ataques a proveedores preocupan al 47% de las empresas"},"content":{"rendered":"

La seguridad de una empresa ya no depende exclusivamente de lo que ocurre dentro de sus propios muros digitales. En un ecosistema empresarial hiperconectado, un ciberdelincuente puede sortear las defensas m\u00e1s s\u00f3lidas comprometiendo a un proveedor con acceso leg\u00edtimo. Esta realidad ha dejado de ser una hip\u00f3tesis para convertirse en una de las m\u00e9tricas m\u00e1s reveladoras del mercado: seg\u00fan el informe NIS Investments 2025 de la Agencia de la Uni\u00f3n Europea para la Ciberseguridad (ENISA<\/a>), el 47% de las organizaciones europeas<\/strong> se\u00f1ala los ataques a la cadena de suministro como su principal preocupaci\u00f3n en materia de ciberseguridad, situ\u00e1ndola solo por detr\u00e1s del ransomware, que alcanza el 55%.<\/p>\n

El 47% de las organizaciones europeas sit\u00faa la cadena de suministro como su principal riesgo de ciberseguridad<\/h2>\n

La fotograf\u00eda que presenta ENISA en su \u00faltimo informe es clara: el riesgo que introducen los terceros ha escalado posiciones hasta equipararse estrat\u00e9gicamente con las amenazas m\u00e1s tradicionales y agresivas. Este cambio de paradigma no es casual. Responde a una evidencia que las empresas est\u00e1n comenzando a internalizar: disponer de controles de seguridad internos excelentes ya no es suficiente<\/strong> si un eslab\u00f3n de la cadena de proveedores puede ser explotado como vector de ataque.<\/p>\n

La interconexi\u00f3n con proveedores tecnol\u00f3gicos, plataformas en la nube, fabricantes y distribuidores multiplica la eficiencia operativa, pero tambi\u00e9n la superficie de exposici\u00f3n. El dato del 47% es especialmente significativo porque refleja una preocupaci\u00f3n que cruza todos los sectores, desde la manufactura hasta los servicios financieros. En paralelo, la informaci\u00f3n recopilada por la agencia europea sobre incidentes reales permite dimensionar el verdadero alcance del problema.<\/p>\n\n\n\n\n\n
Indicador<\/th>\nDato ENISA (NIS Investments 2025)<\/th>\nImplicaci\u00f3n Estrat\u00e9gica<\/th>\n<\/tr>\n
Preocupaci\u00f3n principal<\/td>\nAtaques a la cadena de suministro (47%)<\/td>\nSe percibe casi al mismo nivel que el ransomware<\/td>\n<\/tr>\n
Vector de ataque principal<\/td>\nC\u00f3digo de proveedor utilizado en el 66% de los casos<\/td>\nLa confianza en el software de terceros es la nueva vulnerabilidad cr\u00edtica<\/td>\n<\/tr>\n
Objetivo principal del atacante<\/td>\nDatos de la organizaci\u00f3n en el 58% de los incidentes<\/td>\nLa propiedad intelectual y los datos sensibles son el bot\u00edn prioritario<\/td>\n<\/tr>\n<\/table>\n

\u00bfC\u00f3mo se materializa el ataque? El c\u00f3digo del proveedor y la puerta de entrada silenciosa<\/h2>\n

Para entender por qu\u00e9 este porcentaje de preocupaci\u00f3n es tan elevado, basta con analizar los mecanismos que emplean los atacantes. Seg\u00fan el an\u00e1lisis de ENISA, en aproximadamente el 66% de los incidentes estudiados, los ciberdelincuentes utilizaron el c\u00f3digo de los proveedores<\/strong> como v\u00eda de acceso a sus clientes. Esto significa que un atacante no necesita vulnerar las defensas de la empresa objetivo directamente; le basta con comprometer una actualizaci\u00f3n de software leg\u00edtima de un proveedor de confianza para distribuir su carga maliciosa a todas las organizaciones que utilizan ese producto.<\/p>\n

En paralelo, el estudio revela que en el 58% de los incidentes examinados, el principal objetivo de los atacantes al comprometer la cadena de suministro fueron los datos de las organizaciones afectadas<\/strong>, incluyendo informaci\u00f3n personal y propiedad intelectual. Esto desmonta la idea de que los ataques a proveedores son simplemente un da\u00f1o colateral o un medio para llegar a otro fin: robar datos valiosos puede ser el objetivo final de la operaci\u00f3n.<\/p>\n

\u00abEl problema reside en que una organizaci\u00f3n puede disponer de elevados niveles de protecci\u00f3n y, aun as\u00ed, verse comprometida a trav\u00e9s de un tercero. Un proveedor con acceso remoto, una aplicaci\u00f3n utilizada por m\u00faltiples compa\u00f1\u00edas, una actualizaci\u00f3n de software manipulada o unas credenciales comprometidas pueden convertirse en la puerta de entrada a organizaciones que, atacadas directamente, resultar\u00edan mucho m\u00e1s dif\u00edciles de vulnerar\u00bb<\/em>, explica Francisco Valencia<\/strong>, director general de Secure&IT<\/strong>.<\/p>\n

La paradoja de la externalizaci\u00f3n: eficiencia operativa frente a riesgo de negocio<\/h2>\n

La externalizaci\u00f3n de servicios y la adopci\u00f3n de plataformas cloud han permitido a las empresas centrarse en su negocio principal, pero han creado una dependencia cr\u00edtica de actores externos. Los incidentes en la cadena de suministro no solo implican una fuga de datos; pueden desencadenar la paralizaci\u00f3n de un proveedor cr\u00edtico<\/strong>, deteniendo la producci\u00f3n, impidiendo la prestaci\u00f3n de un servicio o provocando interrupciones en cascada en numerosas organizaciones de manera simult\u00e1nea.<\/p>\n

Esta realidad convierte la gesti\u00f3n de terceros<\/strong> en una cuesti\u00f3n que trasciende el departamento de TI para convertirse en un asunto de gobierno corporativo y continuidad de negocio. Conocer en profundidad el ecosistema de proveedores sigue siendo uno de los principales desaf\u00edos para las compa\u00f1\u00edas que han trabajado durante a\u00f1os en reforzar su propia seguridad, pero que ahora descubren que el per\u00edmetro a proteger se ha expandido m\u00e1s all\u00e1 de sus propias instalaciones.<\/p>\n

\u00abConocer a fondo este tipo de ecosistema sigue siendo uno de los principales retos para las empresas que han trabajado durante a\u00f1os en reforzar su propia seguridad, pero, en la actualidad, ya no basta con proteger lo que ocurre dentro de la organizaci\u00f3n. Cualquier proveedor que accede a nuestros sistemas, maneja nuestros datos o participa en un proceso cr\u00edtico puede introducir un riesgo que debemos conocer, evaluar y controlar. Lamentablemente, un porcentaje muy peque\u00f1o de las organizaciones revisa los riesgos de ciberseguridad asociados a sus proveedores directos; adem\u00e1s, muy pocos se centran en analizar los correspondientes a su cadena de suministro\u00bb<\/em>, asegura Francisco Valencia<\/strong>.<\/p>\n

Un marco de acci\u00f3n integral para la gesti\u00f3n del riesgo de terceros<\/h2>\n

Ante este panorama, desde Secure&IT<\/strong> proponen un enfoque que va m\u00e1s all\u00e1 de la simple auditor\u00eda anual de proveedores. La gesti\u00f3n del riesgo de terceros debe ser un proceso integral y continuo que abarque todo el ciclo de vida de la relaci\u00f3n comercial. A continuaci\u00f3n, se presentan las seis l\u00edneas de acci\u00f3n recomendadas, estructuradas como un ciclo de mejora continua.<\/p>\n

Fase 1: Identificaci\u00f3n y clasificaci\u00f3n estrat\u00e9gica de proveedores<\/h3>\n

No todos los proveedores presentan el mismo nivel de riesgo. El primer paso consiste en identificar y clasificar a los proveedores seg\u00fan su criticidad<\/strong>, prestando especial atenci\u00f3n a aquellos que cuentan con acceso a informaci\u00f3n, sistemas o procesos cr\u00edticos para el negocio. Esta segmentaci\u00f3n permite priorizar los recursos de supervisi\u00f3n donde m\u00e1s se necesitan.<\/p>\n

Fase 2: Evaluaci\u00f3n de la postura de seguridad antes de la contrataci\u00f3n<\/h3>\n

El momento de la contrataci\u00f3n es la ventana de oportunidad m\u00e1s valiosa para establecer las reglas del juego. Es necesario evaluar el riesgo antes de la contrataci\u00f3n<\/strong>, realizando un an\u00e1lisis profundo de la postura de seguridad del potencial proveedor e incorporando requisitos espec\u00edficos en materia de ciberseguridad en los contratos, incluyendo cl\u00e1usulas de responsabilidad y derecho a auditor\u00eda.<\/p>\n

Fase 3: An\u00e1lisis de dependencias cr\u00edticas y puntos \u00fanicos de fallo<\/h3>\n

Uno de los errores m\u00e1s comunes es no saber qu\u00e9 ocurrir\u00eda si un proveedor concreto dejara de funcionar. Es fundamental analizar las dependencias cr\u00edticas<\/strong>, identificando aquellos servicios cuya ca\u00edda podr\u00eda detener o afectar significativamente al negocio. Esta informaci\u00f3n es la base para construir un plan de resiliencia realista.<\/p>\n

Fase 4: Control de accesos con criterios de m\u00ednimo privilegio<\/h3>\n

El acceso que un proveedor tiene a los sistemas internos debe ser estrictamente el necesario para realizar su trabajo. Es imprescindible limitar y controlar los accesos de terceros<\/strong>, aplicando criterios de m\u00ednimo privilegio y revisando peri\u00f3dicamente permisos y credenciales. Un acceso que fue otorgado para un proyecto temporal no debe convertirse en una puerta trasera permanente.<\/p>\n

Fase 5: Planes de continuidad y respuesta ante incidentes del ecosistema<\/h3>\n

Cuando un incidente de seguridad afecta a un proveedor, la empresa cliente debe estar preparada para reaccionar. La preparaci\u00f3n incluye preparar planes de continuidad y respuesta ante incidentes<\/strong> que contemplen escenarios en los que el origen del problema se encuentre en un proveedor, no dentro de la propia organizaci\u00f3n.<\/p>\n

Fase 6: Supervisi\u00f3n continua y din\u00e1mica de la cadena de suministro<\/h3>\n

La evaluaci\u00f3n de proveedores no puede ser un ejercicio est\u00e1tico que se realiza \u00fanicamente en el momento de la contrataci\u00f3n o en momentos puntuales durante la prestaci\u00f3n del servicio. Las posturas de seguridad evolucionan, y lo que era aceptable hace seis meses puede no serlo hoy. La supervisi\u00f3n de la postura de seguridad de los proveedores de forma continua<\/strong> es el \u00fanico camino para mantener un control efectivo del riesgo a lo largo del tiempo.<\/p>\n

\u00abReducir la exposici\u00f3n ante ataques no significa eliminar proveedores, sino conocer qu\u00e9 terceros forman parte del ecosistema de la organizaci\u00f3n, qu\u00e9 nivel de acceso tienen y qu\u00e9 impacto tendr\u00eda un incidente en cada uno de ellos\u00bb<\/em>, asevera Valencia<\/strong>.<\/p>\n

El respaldo regulatorio: la caja de herramientas europea para la cadena de suministro TIC<\/h2>\n

La preocupaci\u00f3n del mercado no solo se refleja en las encuestas, sino que est\u00e1 empezando a cristalizar en el marco normativo. En febrero de 2026<\/a>, el Grupo de Cooperaci\u00f3n NIS<\/strong> \u2014integrado por los Estados miembros, la Comisi\u00f3n Europea y la propia ENISA\u2014 aprob\u00f3 una caja de herramientas europea para la seguridad de la cadena de suministro TIC. Este documento recomienda a las organizaciones evaluar a los proveedores cr\u00edticos<\/strong>, adoptar estrategias multiproveedor para evitar la dependencia excesiva de un \u00fanico actor y reducir la dependencia de proveedores considerados de alto riesgo.<\/p>\n

Esta iniciativa supone un espaldarazo regulatorio a las pr\u00e1cticas de gesti\u00f3n de terceros que muchas empresas ya est\u00e1n empezando a implementar de forma voluntaria. La tendencia es inequ\u00edvoca: la ciberseguridad en la cadena de suministro dejar\u00e1 de ser una recomendaci\u00f3n para convertirse en un requisito de cumplimiento obligatorio en sectores regulados, especialmente en aquellos considerados esenciales bajo la directiva NIS 2.<\/p>\n

El nuevo per\u00edmetro de seguridad: visibilidad y control sobre el ecosistema<\/h2>\n

La gesti\u00f3n del riesgo de terceros debe integrarse dentro de una estrategia global de ciberseguridad en todas las empresas. La pregunta ya no es si nuestra empresa est\u00e1 protegida, sino hasta qu\u00e9 punto conocemos y controlamos el riesgo que introducen las organizaciones de las que dependemos. La cadena de suministro forma parte de nuestro per\u00edmetro de seguridad, aunque sus sistemas no est\u00e9n f\u00edsicamente dentro de nuestra compa\u00f1\u00eda.<\/p>\n

\u00abLa gesti\u00f3n del riesgo de terceros debe integrarse dentro de una estrategia global de ciberseguridad en todas las empresas. La pregunta ya no es si nuestra empresa est\u00e1 protegida, el verdadero planteamiento es saber hasta qu\u00e9 punto conocemos y controlamos el riesgo que introducen las organizaciones de las que dependemos. La cadena de suministro forma parte de nuestro per\u00edmetro de seguridad, aunque sus sistemas no est\u00e9n f\u00edsicamente dentro de nuestra compa\u00f1\u00eda\u00bb<\/em>, concluye el director general de Secure&IT<\/strong>.<\/p>\n

Los datos de ENISA han puesto negro sobre blanco una realidad que muchos directivos prefer\u00edan ignorar: el eslab\u00f3n m\u00e1s d\u00e9bil de la cadena de seguridad no suele estar dentro de la empresa, sino en las conexiones con el exterior. En un entorno donde el 47% de las organizaciones ya identifica este riesgo como prioritario, la capacidad de una compa\u00f1\u00eda para gestionar proactivamente a sus proveedores no ser\u00e1 solo una ventaja competitiva, sino un requisito indispensable para la supervivencia del negocio. La transparencia y el control sobre el ecosistema de terceros se consolidan as\u00ed como la primera l\u00ednea de defensa frente a un panorama de amenazas que evoluciona para explotar, precisamente, la confianza que depositamos en quienes nos rodean.<\/p>\n","protected":false},"excerpt":{"rendered":"

La seguridad de una empresa ya no depende exclusivamente de lo que ocurre dentro de sus propios muros digitales. En un ecosistema empresarial hiperconectado, un ciberdelincuente puede sortear las defensas m\u00e1s s\u00f3lidas comprometiendo a un proveedor con acceso leg\u00edtimo. Esta realidad ha dejado de ser una hip\u00f3tesis para convertirse en una de las m\u00e9tricas m\u00e1s […]<\/p>\n","protected":false},"author":2,"featured_media":70500,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70497.png","fifu_image_alt":"ENISA revela que los ataques a proveedores preocupan al 47% de las","footnotes":""},"categories":[5],"tags":[],"class_list":["post-70497","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70497.png","fifu_image_alt":"ENISA revela que los ataques a proveedores preocupan al 47% de las","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70497","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=70497"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70497\/revisions"}],"predecessor-version":[{"id":70499,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70497\/revisions\/70499"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/70500"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=70497"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=70497"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=70497"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}