¿Cómo evalúo las plataformas TPRM para mi sector?
Por HodeitekPublicado
Para responsables de seguridad y cumplimiento que van a comprar, comparar o sustituir una herramienta de riesgo de terceros y quieren saber qué pide su norma antes de ver una demo.
Empieza por el régimen que te obliga, no por el catálogo de funciones. Para cada norma (DORA, NIS2, ENS, HIPAA, CMMC 2.0, SAMA o ECC) comprueba qué pide sobre terceros, qué evidencia exige y si la plataforma la guarda con responsable y fecha. Después prueba con tus propios proveedores antes de contratar.
Descargar el checklist en PDFChecklist de evaluación de plataformas TPRM por sector. PDF, descarga directa sin formularioCriterios que valen para cualquier sector
Antes de entrar en cada norma, hay seis preguntas que sirven siempre. Ninguna depende de la marca de la herramienta; todas se pueden probar en una demo con tus datos.
Qué comprobar en la plataforma
- Inventario de terceros con responsable interno, criticidad, datos del contrato y subcontratistas.
- Evidencia con responsable, fecha de validez y estado, y que la caducada deje de contar.
- Cómo se obtiene la información del proveedor: cuestionario, documentos, escaneo externo, SBOM. Cada vía mide algo distinto.
- Cómo se calcula la puntuación o el riesgo: entradas visibles, método documentado y estimaciones marcadas como tales.
- Registro de cambios, exportación de tus datos y API, para poder salir de la herramienta.
- Dónde se alojan los datos, qué subencargados participan y qué no hace la plataforma. Ninguna te hace cumplir por sí sola.
DORA: entidades financieras de la UE
DORA es el Reglamento (UE) 2022/2554 y se aplica desde el 17 de enero de 2025. El artículo 28 deja claro que la entidad sigue siendo responsable aunque externalice, exige una estrategia de riesgo de terceros TIC y, en el apartado 3, un registro de información de todos los acuerdos contractuales. El artículo 29 pide evaluar el riesgo de concentración, el 30 fija cláusulas contractuales mínimas (con plan de salida y derechos de acceso y auditoría para funciones críticas o importantes) y el 31 prevé la designación de los proveedores críticos, que pasan a estar sujetos a supervisión europea.
El formato del registro lo fija el Reglamento de Ejecución (UE) 2024/2956.
Qué comprobar en la plataforma
- Registro con LEI, jurisdicción, función que apoya y criticidad por proveedor y por contrato.
- Exportación en el formato de las plantillas oficiales (las guías de los supervisores citan paquetes xBRL-CSV), y que la presentación por el canal oficial siga siendo tuya.
- Seguimiento por contrato de plan de salida, derecho de auditoría y cadena de subcontratación.
- Vista de concentración: cuántas funciones dependen de un mismo proveedor.
Fuente: Reglamento (UE) 2022/2554 (DORA), artículos 28 a 31, en EUR-Lex (se abre en una pestaña nueva); Reglamento de Ejecución (UE) 2024/2956, plantillas del registro de información, en EUR-Lex (se abre en una pestaña nueva)
NIS2: entidades esenciales e importantes de la UE
La Directiva (UE) 2022/2555 exige en el artículo 21(2)(d) medidas de seguridad de la cadena de suministro, incluidos los aspectos de seguridad de la relación con cada proveedor directo. El artículo 21(3) añade que hay que tener en cuenta las vulnerabilidades propias de cada proveedor y la calidad global de sus productos y prácticas de ciberseguridad. El artículo 20 hace responsable al órgano de dirección de aprobar y supervisar esas medidas.
Para proveedores de DNS, nube, centros de datos, servicios gestionados y otros tipos concretos, el Reglamento de Ejecución (UE) 2024/2690 detalla además requisitos técnicos.
Qué comprobar en la plataforma
- Evaluación por proveedor con vulnerabilidades y prácticas de seguridad, no solo un cuestionario genérico.
- Cláusulas de notificación de incidentes del proveedor hacia ti, con seguimiento del plazo.
- Informes que el órgano de dirección pueda aprobar y revisar.
- Gestión de incidentes con los plazos del artículo 23: 24 horas, 72 horas y un mes.
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 20, 21 y 23, en EUR-Lex (se abre en una pestaña nueva); Reglamento de Ejecución (UE) 2024/2690, requisitos técnicos y metodológicos, en EUR-Lex (se abre en una pestaña nueva)
ENS: sector público español y sus proveedores
El Real Decreto 311/2022 se aplica al sector público y, según su artículo 2.3, también a los sistemas de las entidades privadas que presten servicios o provean soluciones a una entidad pública. En el anexo II, la medida op.ext.1 pide un acuerdo de nivel de servicio antes de usar recursos externos, op.ext.2 un sistema rutinario para medir su cumplimiento y op.ext.3 la protección de la cadena de suministro.
Las dos primeras aplican en categoría media y alta; op.ext.3 aplica en categoría alta.
Qué comprobar en la plataforma
- Que distinga la categoría del sistema (básica, media, alta) y muestre qué medidas op.ext aplican.
- Acuerdos de nivel de servicio por proveedor y medición periódica de su cumplimiento.
- Análisis de impacto y riesgo por incidente originado en la cadena de suministro, con medidas de contención.
- Estado de conformidad ENS del propio proveedor cuando presta servicio a una entidad pública.
HIPAA: sanidad en EE. UU. y asociados de negocio
En HIPAA, quien crea, recibe, mantiene o transmite información de salud protegida por cuenta de una entidad cubierta es un asociado de negocio. La Regla de Seguridad (45 CFR 164.308(b) y 164.314(a)) solo permite que un asociado maneje ePHI si hay garantías satisfactorias por contrato. Los apartados 164.502(e) y 164.504(e) regulan lo mismo para la regla de privacidad, incluidas las garantías que el asociado debe obtener de sus subcontratistas.
El asociado de negocio debe notificar a la entidad cubierta una brecha sin demora injustificada y, como máximo, en 60 días naturales desde que la descubre (164.410).
Qué comprobar en la plataforma
- Marca de qué terceros tocan información de salud y estado del contrato de asociado de negocio de cada uno, con fechas.
- Registro de subcontratistas del asociado y de sus garantías.
- Seguimiento de las cláusulas de notificación de brechas y del plazo de 60 días.
- Si la propia plataforma va a almacenar información de salud, es asociado de negocio: pide el contrato antes de cargar datos.
Fuente: 45 CFR 164.308(b), contratos con asociados de negocio, en eCFR (se abre en una pestaña nueva); 45 CFR 164.314(a), contratos de asociados de negocio (Regla de Seguridad), en eCFR (se abre en una pestaña nueva); 45 CFR 164.502(e), divulgaciones a asociados de negocio, en eCFR (se abre en una pestaña nueva); 45 CFR 164.504(e), contenido de los contratos de asociado de negocio, en eCFR (se abre en una pestaña nueva); 45 CFR 164.410, notificación del asociado de negocio, en eCFR (se abre en una pestaña nueva)
CMMC 2.0: cadena de suministro de defensa de EE. UU.
El programa CMMC está en 32 CFR parte 170. El artículo 170.23 obliga al contratista principal a cumplir y a exigir el cumplimiento a sus subcontratistas, con un nivel mínimo que depende de la información que manejan: nivel 1 para información de contratos federales sin CUI y al menos nivel 2 si hay CUI. El 170.16(c) y 170.17(c) añaden que un proveedor de nube con CUI debe estar autorizado FedRAMP Moderate o cumplir requisitos equivalentes.
Qué comprobar en la plataforma
- Campo por proveedor con el tipo de información que maneja (FCI o CUI) y el nivel CMMC que se le exige.
- Evidencia de que has trasladado los requisitos en el contrato (flow-down).
- Estado de cada subcontratista frente al nivel exigido, con fecha de la última evidencia.
- Si vas a cargar CUI en la herramienta, que su alojamiento cumpla el requisito de nube del 170.16(c).
Fuente: 32 CFR 170.23, aplicación a subcontratistas, en eCFR (se abre en una pestaña nueva); 32 CFR parte 170 (programa CMMC), en eCFR (se abre en una pestaña nueva)
SAMA y ECC de la NCA: sector financiero y nacional de Arabia Saudí
El Marco de Ciberseguridad de SAMA dedica el dominio 3.4 a terceros, con tres subdominios: 3.4.1 contratos y gestión de proveedores, 3.4.2 externalización y 3.4.3 computación en la nube. Los Controles Esenciales de Ciberseguridad de la NCA (ECC-2:2024) incluyen el dominio 4, ciberseguridad de terceros y de la computación en la nube.
Qué comprobar en la plataforma
- Que la biblioteca de marcos incluya SAMA y ECC y que indique la edición (la que hemos consultado es ECC-2:2024).
- Inventario de terceros con acceso a sistemas o datos y cláusulas contractuales por proveedor.
- Marca de los proveedores de externalización y de nube, que tienen subdominio propio en SAMA.
- Evidencia por control, con responsable y fecha, para responder a la entidad supervisora.
Fuente: Marco de Ciberseguridad de SAMA, dominio 3.4 «Third Party Cyber Security», en el Rulebook de SAMA (se abre en una pestaña nueva); Controles Esenciales de Ciberseguridad (ECC-2:2024), dominio 4, de la NCA (se abre en una pestaña nueva)
Tipos de herramienta y dónde encaja HodeiShield
Hay cuatro familias y ninguna es mejor en abstracto: plataformas de cuestionarios y recogida de evidencia, servicios de puntuación externa de seguridad, suites GRC con módulo de proveedores y plataformas integradas que unen evidencia de proveedores, cuantificación de riesgo y cumplimiento multimarco. HodeiShield pertenece a la cuarta, y es una opción entre otras.
Según su documentación, calcula una puntuación de proveedor de 0 a 100 con dependencias en un grafo, radio de impacto e índice de concentración (HHI); hace escaneo externo (puertos expuestos, CVE, brechas conocidas), cruza SBOM de proveedores (CycloneDX o SPDX) con OSV.dev y ofrece un portal donde el proveedor responde cuestionarios con un enlace de un solo uso, sin cuenta. Cuantifica la exposición FAIR en euros con una banda de incertidumbre simulada (sin calibrar). Mide 17 marcos, entre ellos NIS2, ENS, DORA, HIPAA, CMMC 2.0, SAMA CSF y Saudi ECC-1:2018, como cobertura medida sobre sus controles, no como certificación.
Límites: la evidencia documental se sube o se enlaza, no se recoge sola de la nube. Genera el registro de información de DORA como paquete xBRL-CSV, pero la presentación la haces tú.
Cómo hacer la comparación
Con dos o tres candidatas, carga los mismos diez proveedores reales en cada una, incluido el más crítico y el que tiene más subcontratistas. Pide a cada herramienta que produzca lo que te pediría tu supervisor o auditor: el registro, la evidencia de un control y el plazo de un incidente. Puntúa con la lista del PDF y anota lo que cada una no hace.
Preguntas frecuentes
- ¿Qué es una plataforma TPRM?
- Es software para inventariar a los terceros, recoger y vigilar su evidencia de seguridad, medir su riesgo y conservar los registros que piden los supervisores. TPRM significa gestión de riesgo de terceros.
- ¿Una plataforma TPRM me hace cumplir DORA o NIS2?
- No. La responsabilidad sigue siendo de la entidad (artículo 28 de DORA) y, en NIS2, del órgano de dirección (artículo 20). La herramienta ordena datos y plazos; las decisiones las tomas tú.
- ¿Qué diferencia hay entre un escaneo externo y un cuestionario?
- El escaneo mide lo que se ve desde fuera, como puertos expuestos o brechas conocidas. El cuestionario recoge lo que el proveedor declara de sus controles internos. Se complementan y ninguno prueba por sí solo que el control funcione.
- ¿Por qué proveedores empiezo?
- Por los que apoyan funciones críticas o importantes (DORA), los que tocan información de salud (HIPAA) o CUI (CMMC) y los que no tienen alternativa. Después amplía por criticidad.
- ¿Y si estoy sujeto a varias normas a la vez?
- Busca un mapeo entre marcos para reutilizar la misma evidencia, y comprueba que cada correspondencia es revisable. Una respuesta que sirve para dos marcos solo vale si la correspondencia es correcta.
- ¿Qué pregunto sobre dónde se guardan mis datos?
- Región de alojamiento, subencargados, cifrado, copias y cómo recuperas tus datos al salir. Según el régimen puede haber requisitos añadidos, como el de nube del 170.16(c) en CMMC.
Checklist de evaluación de plataformas TPRM por sector
Los criterios comunes y los de DORA, NIS2, ENS, HIPAA, CMMC 2.0 y SAMA o ECC en una lista imprimible, con la fuente de cada norma y espacio para notas.
Descargar el checklist en PDFPDF, descarga directa sin formulario
Guía relacionada
¿Cómo lograr el cumplimiento NIS2 con software?Si tu régimen principal es NIS2, lee qué puede y qué no puede hacer el software por el cumplimiento.
Fuentes
- Reglamento (UE) 2022/2554 (DORA), artículos 28 a 31, en EUR-Lex (se abre en una pestaña nueva)
- Reglamento de Ejecución (UE) 2024/2956, plantillas del registro de información, en EUR-Lex (se abre en una pestaña nueva)
- Directiva (UE) 2022/2555 (NIS2), artículos 20, 21 y 23, en EUR-Lex (se abre en una pestaña nueva)
- Reglamento de Ejecución (UE) 2024/2690, requisitos técnicos y metodológicos, en EUR-Lex (se abre en una pestaña nueva)
- Real Decreto 311/2022 (ENS), artículo 2 y anexo II, medidas op.ext, en el BOE (se abre en una pestaña nueva)
- 45 CFR 164.308(b), contratos con asociados de negocio, en eCFR (se abre en una pestaña nueva)
- 45 CFR 164.314(a), contratos de asociados de negocio (Regla de Seguridad), en eCFR (se abre en una pestaña nueva)
- 45 CFR 164.502(e), divulgaciones a asociados de negocio, en eCFR (se abre en una pestaña nueva)
- 45 CFR 164.504(e), contenido de los contratos de asociado de negocio, en eCFR (se abre en una pestaña nueva)
- 45 CFR 164.410, notificación del asociado de negocio, en eCFR (se abre en una pestaña nueva)
- 32 CFR 170.23, aplicación a subcontratistas, en eCFR (se abre en una pestaña nueva)
- 32 CFR parte 170 (programa CMMC), en eCFR (se abre en una pestaña nueva)
- Marco de Ciberseguridad de SAMA, dominio 3.4 «Third Party Cyber Security», en el Rulebook de SAMA (se abre en una pestaña nueva)
- Controles Esenciales de Ciberseguridad (ECC-2:2024), dominio 4, de la NCA (se abre en una pestaña nueva)
Prueba la lista con tus proveedores
En una demo cargamos tus proveedores de muestra en HodeiShield y repasamos esta lista punto por punto, incluido lo que no cubre. Te responde una persona de Hodeitek.