Llega con la renovación del contrato o con la homologación de proveedores: una hoja de cálculo con cuarenta preguntas sobre seguridad y una fecha de entrega. Y en la empresa nadie sabe contestar la mitad.
Es más normal de lo que parece. Las empresas grandes tienen cada vez más obligación de vigilar la seguridad de sus proveedores, y la forma más sencilla que tienen de hacerlo es preguntar. Para muchas pymes, ese cuestionario es el primer contacto real con el cumplimiento, mucho antes que cualquier ley.
¿Qué suelen preguntar estos cuestionarios?
Más o menos lo mismo, aunque cada cliente lo ordene a su manera y con sus palabras. Si se quita el envoltorio, casi todos giran alrededor de seis temas:
- Accesos. Quién entra a qué, si hay doble factor, qué pasa con las cuentas de quien se va.
- Equipos y correo. Si están protegidos, actualizados y gestionados desde un sitio.
- Copias. Si existen, dónde están, y si alguna vez se ha probado a restaurarlas.
- Formación. Si la plantilla ha recibido formación en seguridad y si se puede demostrar.
- Incidentes. Qué hacéis si pasa algo, a quién se avisa y en cuánto tiempo.
- Vuestros proveedores. Qué datos del cliente pasan por manos de terceros.
¿Qué se puede contestar con lo que ya tienes?
Más de lo que parece. Muchas empresas hacen bien cosas que nunca han puesto por escrito: las copias se hacen, los equipos se actualizan, las bajas se cierran. El problema no es hacerlo, es poder demostrarlo.
Así que el primer paso no es comprar nada. Es separar las preguntas en tres montones:
- Lo que hacéis y podéis demostrar. Se contesta que sí, con la prueba a mano.
- Lo que hacéis pero no está escrito. Se contesta que sí cuando esté escrito, que suele ser cuestión de días, no de meses.
- Lo que no hacéis. Esto es lo que hay que montar, o explicar.
El segundo montón suele ser el más grande, y la buena noticia es que es el más barato de vaciar.
¿Qué hay que montar antes de poder decir que sí?
Normalmente, unas pocas piezas que se repiten en casi todos los cuestionarios: políticas cortas y escritas, un registro de quién tiene acceso a qué, pruebas de que las copias se restauran, formación de la plantilla con algo que la acredite y un procedimiento para cuando algo sale mal.
Ninguna de esas piezas tiene que ser un tratado. Una política de accesos de dos páginas que se cumple vale mucho más que una de cuarenta que nadie ha leído, y el cliente que revisa vuestras respuestas lo sabe.
La formación suele ser la pregunta que antes se puede cerrar: un curso para toda la plantilla con su certificado al terminar, que es lo que hacemos en Formación y concienciación.
¿Y si contestamos que sí a todo?
Sale caro. El cuestionario no es un trámite: forma parte de la relación con el cliente y, muchas veces, del contrato. Si un día hay un incidente y se ve que lo que contestasteis no era verdad, el problema ya no es el incidente.
Además, cada vez más clientes no se quedan en la respuesta: piden la prueba. Una política, un certificado, el registro de la última restauración. Un «sí» que no se puede enseñar es peor que un «todavía no».
Y un «todavía no, y este es el plan» se acepta mucho mejor de lo que se piensa. Lo que el cliente necesita saber es que su proveedor sabe dónde está y hacia dónde va.
¿Por dónde empezamos?
Por el cuestionario que tenéis encima de la mesa, contestado con honestidad. Esa primera versión, con sus huecos, es el mejor diagnóstico que vais a tener: dice exactamente qué le importa a vuestro cliente y dónde estáis.
A partir de ahí, se ordena lo que falta por lo que más pesa en ese cliente y se va cerrando. El siguiente cuestionario, que llegará, se contesta en una tarde.
Si quieres que lo miremos contigo pregunta por pregunta, es el punto de partida de Cumplimiento NIS2 y ENS.