La gestión de riesgos de terceros (en inglés, Third-Party Risk Management o TPRM) consiste en saber qué proveedores tratan tus datos o acceden a tus sistemas, qué riesgo supone cada uno y cómo lo controlas. Durante años se vio como un asunto de grandes corporaciones. Hoy ya no: el RGPD, la directiva NIS2, el reglamento DORA y la norma ISO 27001 la exigen, cada uno a su manera. En esta guía explicamos qué pide cada norma, qué ha sancionado la AEPD y un método práctico para aplicarla en una empresa mediana.
En este artículo vamos a tratar...
Qué es la gestión de riesgos de terceros
Un tercero es cualquier empresa o profesional externo que presta un servicio a tu organización: la gestoría, el proveedor de software, la nube, el mantenimiento informático, la empresa de seguridad o el call center. Muchos de ellos tratan datos personales por cuenta tuya; en el lenguaje del RGPD, son encargados del tratamiento.
La gestión de riesgos de terceros tiene cuatro fases:
- Antes de contratar: comprobar que el proveedor ofrece garantías suficientes.
- Al contratar: recoger esas garantías por escrito.
- Durante el servicio: verificar que las cumple y reaccionar ante cambios o incidentes.
- Al terminar: asegurarse de que devuelve o borra los datos.
Es decir, la gestión de riesgos de terceros no es un trámite puntual, sino un ciclo que se repite mientras dure la relación con cada proveedor.
Por qué ya no basta con firmar el contrato de encargado
Muchas empresas creen que, una vez firmado el contrato de encargado, la responsabilidad pasa al proveedor. No es así. El artículo 28.1 del RGPD dice que el responsable «elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados». Además, el considerando 81 concreta esas garantías: «conocimientos especializados, fiabilidad y recursos».
El mismo artículo exige que el contrato obligue al proveedor a permitir «auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado». Por lo tanto, la norma parte de la idea de que el responsable va a verificar.
La AEPD lo ha llevado a la práctica en dos casos que conviene conocer:
- Vodafone (2021). La Agencia le impuso 8 millones de euros en total. De ellos, 4 millones fueron por infringir el artículo 28 en relación con el 24: no supervisó a los encargados y subencargados que hacían campañas comerciales en su nombre. Según los análisis publicados de la resolución, la Agencia insistió en que las garantías del encargado deben evaluarse durante toda la relación, no solo al elegirlo.
- Grupo hospitalario (2024). La AEPD sancionó con 200.000 euros por falta de medidas de seguridad. Los fallos estaban en el sistema del proveedor que alojaba la historia clínica electrónica: no registraba las consultas, los permisos estaban mal delimitados y el cifrado era parcial. Aun así, la multa recayó en el hospital, como supervisor último de la eficacia de las medidas.
La conclusión es clara para la gestión de riesgos de terceros: si un proveedor falla y no puedes demostrar que lo elegiste y lo controlaste con diligencia, el riesgo es tuyo.
Qué exige cada norma en la gestión de riesgos de terceros
RGPD: garantías suficientes y contrato completo
Además de las garantías, el contrato de encargado debe recoger el objeto y la duración del tratamiento, las instrucciones, la confidencialidad, las medidas de seguridad, el régimen de subencargados, la ayuda al responsable, la devolución o el borrado de los datos al terminar y las auditorías. Te lo explicamos cláusula por cláusula en nuestra guía del contrato de encargado del tratamiento.
Si el proveedor recurre a su vez a otro (un subencargado), necesita tu autorización previa. Además, le debe imponer las mismas obligaciones. Si hay transferencias de datos fuera del Espacio Económico Europeo, también hay que revisar en qué garantías se apoyan.
NIS2: la seguridad de la cadena de suministro
La directiva NIS2 obliga a las entidades esenciales e importantes a adoptar medidas de gestión de riesgos. Entre ellas incluye expresamente «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos».
En España, a la fecha de esta guía (octubre de 2026), la ley que debe trasponerla todavía no se ha publicado en el BOE. Sin embargo, el efecto ya se nota: es habitual que las empresas sujetas a NIS2 en otros países, y las españolas que se preparan, envíen cuestionarios de seguridad a sus proveedores y añaden cláusulas en los contratos.
DORA: registro de proveedores tecnológicos en el sector financiero
El reglamento DORA se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, gestoras y demás entidades financieras. Les obliga a gestionar el riesgo de sus proveedores de servicios tecnológicos y a mantener un registro de todos los contratos con ellos. En consecuencia, cualquier empresa que preste servicios tecnológicos a una entidad financiera debe esperar preguntas detalladas.
ISO 27001: controles específicos de proveedores
La versión 2022 de la norma ISO 27001 dedica varios controles a los proveedores: la seguridad en las relaciones con ellos, los acuerdos, la cadena de suministro tecnológica, el seguimiento y la gestión de cambios, y el uso de servicios en la nube. Por eso, quien prepara la certificación descubre pronto que necesita un proceso de evaluación de proveedores.
Método en seis pasos para la gestión de riesgos de terceros
A continuación proponemos un método proporcionado, pensado para una empresa mediana sin un departamento de riesgos. Por lo tanto, prioriza lo importante y deja documentado cada paso.
1. Haz un inventario completo
Empieza por las facturas y los contratos, no por la memoria. Revisa también las herramientas que usa cada departamento: es habitual descubrir servicios en la nube contratados con una tarjeta y sin ningún contrato de encargado.
2. Clasifica por riesgo
No todos los proveedores merecen el mismo esfuerzo. Para clasificarlos, valora estos criterios:
- Tipo de datos: de salud, de menores, financieros o solo de contacto.
- Volumen de personas afectadas.
- Acceso a tus sistemas o solo a datos concretos.
- Ubicación de los datos y posibles transferencias internacionales.
- Uso de subencargados.
- Importancia del servicio: qué pasaría si dejara de funcionar.
Con esos criterios, divide a tus proveedores en tres niveles: bajo, medio y crítico.
3. Comprueba las garantías antes de contratar
Para los proveedores de nivel medio y crítico, envía un cuestionario y pide evidencias. Después, valora las respuestas antes de firmar, no después.
4. Cierra un contrato completo
Revisa que el contrato de encargado recoge todo lo que exige el RGPD. En los proveedores críticos, añade además plazos para avisar de brechas de seguridad, el derecho a auditar y un plan de salida.
5. Haz seguimiento
Revisa a cada proveedor al menos una vez al año, y además cuando cambie algo relevante: un subencargado nuevo, una brecha de seguridad, un cambio de servicio o una noticia que afecte a su solvencia. Si un proveedor sufre una brecha, también debes valorar si tienes que notificarla; lo explicamos en cómo notificar una brecha a la AEPD en 72 horas.
6. Planifica la salida
Al terminar el servicio, pide al proveedor que te devuelva o borre los datos y que te lo confirme por escrito. Es la fase que más se olvida, y precisamente por eso conviene dejarla prevista en el contrato.
Cuestionario básico para la gestión de riesgos de terceros
Estas son las preguntas que, como mínimo, debería responder un proveedor de riesgo medio o crítico. Después, adapta el cuestionario al servicio concreto.
- ¿Qué datos personales vas a tratar y con qué finalidad?
- ¿Dónde se alojan los datos? ¿Hay transferencias fuera del Espacio Económico Europeo?
- ¿Usas subencargados? ¿Cuáles y para qué?
- ¿Tienes certificaciones de seguridad (ISO 27001, Esquema Nacional de Seguridad u otras)? ¿Cuál es su alcance y su fecha de validez?
- ¿Cómo controlas quién de tu personal accede a nuestros datos?
- ¿Cifras los datos en tránsito y en reposo?
- ¿Registras los accesos y las consultas, no solo las modificaciones?
- ¿Haces copias de seguridad y las pruebas?
- ¿En qué plazo nos avisarás de una brecha de seguridad?
- ¿Has sufrido incidentes relevantes en los últimos años?
- ¿Qué harás con nuestros datos cuando termine el contrato?
- ¿Aceptas que te auditemos o que lo haga un tercero en nuestro nombre?
La séptima pregunta no es casual: la falta de registro de las consultas fue uno de los fallos que la AEPD reprochó en el caso del grupo hospitalario.
Qué evidencias pedir
- Certificados de seguridad vigentes y su alcance: un certificado que no cubre el servicio que contratas sirve de poco.
- Política de seguridad o un resumen de las medidas aplicadas.
- Lista actualizada de subencargados.
- Información sobre la ubicación de los datos y las garantías para transferencias internacionales.
- Informes de auditoría externa, si los tiene.
- Procedimiento de gestión de brechas de seguridad.
El registro de proveedores en la gestión de riesgos de terceros
La gestión de riesgos de terceros se sostiene sobre un registro sencillo y actualizado. No hace falta un programa caro: lo importante es que cada proveedor tenga su ficha y que alguien la mantenga al día. Como mínimo, incluye estos campos:
- Nombre del proveedor y servicio que presta.
- Datos personales a los que accede y personas afectadas.
- Nivel de riesgo asignado y por qué.
- Contrato de encargado: fecha de firma y versión.
- Subencargados conocidos.
- Ubicación de los datos y, si las hay, transferencias internacionales.
- Certificaciones aportadas y su fecha de caducidad.
- Fecha de la última revisión y de la próxima.
- Incidencias o brechas comunicadas.
- Persona de tu empresa responsable de ese proveedor.
Además, este registro conecta con tu registro de actividades de tratamiento: cada actividad debe indicar qué encargados intervienen. Por eso conviene mantener los dos coordinados.
Ejemplo práctico: una empresa con 40 proveedores
Imagina una empresa de servicios con 40 proveedores. Tras el inventario, el reparto podría ser este (es un ejemplo orientativo, no una regla):
- 25 de riesgo bajo: mensajería, material de oficina o servicios que apenas manejan datos de contacto. Basta con revisar el contrato y una declaración de cumplimiento.
- 12 de riesgo medio: gestoría, software de facturación, CRM o herramienta de correo masivo. En estos casos toca cuestionario, evidencias y revisión anual.
- 3 críticos: la nube donde está toda la información, el software de nóminas y el proveedor que gestiona datos de salud de la plantilla. Aquí conviene una revisión en profundidad, una reunión con el proveedor y un plan de acción con plazos.
Así, la empresa concentra el esfuerzo en 15 proveedores en lugar de perseguir a los 40 con el mismo cuestionario. Ese es, en el fondo, el sentido de la gestión de riesgos de terceros: proporcionalidad.
Errores habituales en la gestión de riesgos de terceros
- Pensar que el contrato de encargado traslada toda la responsabilidad al proveedor.
- Controlar solo a los proveedores grandes y olvidar las herramientas pequeñas que usa cada departamento.
- Pedir el mismo cuestionario largo a todos los proveedores, que acaban sin responder.
- Aceptar un certificado sin comprobar su alcance ni su fecha.
- Revisar al contratar y no volver a mirar nunca más.
- No guardar las pruebas: si no puedes demostrar el control, a efectos prácticos no existe.
Y si el proveedor eres tú
La gestión de riesgos de terceros tiene una cara B. Si tu empresa presta servicios a otras, cada vez recibirás más cuestionarios de seguridad y protección de datos, sobre todo de clientes del sector financiero o de empresas que se preparan para NIS2. Responderlos bien, con evidencias ordenadas, se ha convertido en una ventaja comercial que puede decidir quién se queda con el contrato.
Preguntas frecuentes sobre la gestión de riesgos de terceros
¿Qué significa TPRM?
Son las siglas de Third-Party Risk Management, es decir, gestión de riesgos de terceros: el proceso para identificar, evaluar y controlar los riesgos que generan los proveedores.
¿Es obligatoria la gestión de riesgos de terceros para una pyme?
En lo que afecta a datos personales, sí: el RGPD obliga a cualquier empresa a elegir encargados con garantías suficientes. NIS2 y DORA solo se aplican a determinadas entidades, pero sus exigencias llegan a sus proveedores por contrato.
¿Cada cuánto hay que revisar a los proveedores?
Como referencia, una vez al año y siempre que haya un cambio relevante. Los proveedores críticos pueden necesitar un seguimiento más frecuente.
¿Puedo externalizar el control de proveedores?
Sí. Puedes encargar el inventario, los cuestionarios, la revisión y el seguimiento a un especialista externo. Eso sí, la responsabilidad ante la AEPD sigue siendo tuya, de modo que conviene que el servicio deje todo documentado.
Cómo te ayudamos en Auratech
En Auratech nos ocupamos del control de proveedores y encargados del tratamiento de principio a fin: inventario, clasificación por riesgo, contratos, cuestionarios, informe y seguimiento anual. Lo hacemos con tres niveles de revisión según lo crítico que sea cada proveedor, para que el esfuerzo vaya donde está el riesgo. Si además necesitas una revisión global, puedes combinarlo con nuestra auditoría de protección de datos o con el servicio de delegado de protección de datos externo. Cuéntanos cuántos proveedores tienes y te enviamos una propuesta.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
