Por qué las evaluaciones puntuales ya no satisfacen a DORA y NIS2
Durante años, la gestión del riesgo de terceros significó en muchas organizaciones enviar un cuestionario una vez al año, archivar la respuesta y seguir adelante hasta el siguiente ciclo. Ese enfoque nunca fue perfecto, pero se toleraba. Con DORA y NIS2 ya no es suficiente. Ambos marcos esperan que las organizaciones conozcan el estado actual de sus proveedores, no el de hace doce meses. Este artículo analiza por qué se produce ese cambio y qué significa en la práctica.
El problema de las revisiones anuales
La postura de seguridad de un proveedor no es estática. Un servidor mal configurado, un certificado caducado, una vulnerabilidad recién divulgada o un cambio de subcontratistas pueden alterar el perfil de riesgo de un proveedor en cuestión de días. Un cuestionario anual capta un único momento y luego queda silenciosamente obsoleto. Los estudios del sector señalan de forma constante retrasos de detección de muchos meses cuando una brecha se origina en un tercero, precisamente porque la supervisión no era lo bastante continua para detectar a tiempo el cambio de postura.
Los reguladores han tomado nota. DORA exige que las entidades financieras prueben de forma continua la resiliencia de sus proveedores de TIC y puedan demostrar esa supervisión en cualquier momento, no solo cuando una revisión llega a su vencimiento. NIS2 empuja a las entidades esenciales e importantes en la misma dirección mediante su obligación de seguridad de la cadena de suministro.
Cómo es la supervisión continua en la práctica
El TPRM continuo no significa evaluar a cada proveedor cada día con la misma profundidad. Significa combinar un pequeño número de prácticas para que el riesgo sea visible a medida que cambia, y no solo a intervalos programados. Esto suele incluir una monitorización externa continua de la postura de seguridad de un proveedor, para que una puntuación a la baja o un nuevo hallazgo aflore rápidamente. Incluye mantener los registros de evaluación lo bastante actualizados para que un equipo pueda responder, en cualquier momento, cuándo se revisó por última vez a un proveedor y qué se encontró. E incluye un proceso claro para convertir cualquier brecha identificada en un plan de remediación con responsable y plazo, para que los problemas no se queden sin más en una hoja de cálculo.
Por qué es difícil hacerlo manualmente
La dificultad rara vez es la falta de voluntad. Es la escala. Una organización mediana puede trabajar fácilmente con varios cientos de proveedores, y hacer seguimiento diario de los cambios de postura, el estado de los cuestionarios y el avance de la remediación en todos ellos mediante correos y hojas de cálculo se vuelve inmanejable mucho antes de que la cartera alcance ese tamaño. Los equipos acaban volviendo a las revisiones periódicas simplemente porque el seguimiento continuo sin la herramienta adecuada consume más tiempo del que tienen.
Aquí es donde una plataforma creada específicamente para el riesgo de terceros se gana su lugar. Cynapze actualiza a diario las puntuaciones de seguridad de los proveedores y hace llegar una bajada de calificación o una nueva incidencia al equipo correspondiente en un día, no en la siguiente revisión programada. Si tu equipo está valorando si seguir gestionando esto manualmente o incorporar una herramienta específica, una demo breve es una buena forma de ver la diferencia que supone una vista actualizada de forma continua.
Conclusión
El paso de la gestión puntual a la continua del riesgo de terceros no es solo una preferencia regulatoria. Refleja una imagen más exacta de cómo se comporta realmente el riesgo. Los proveedores cambian, y un programa que solo hace una comprobación al año trabajará siempre con una imagen desfasada. Las organizaciones que incorporan la supervisión continua a su proceso, con la herramienta adecuada, no solo cumplirán las expectativas de DORA y NIS2, sino que también detectarán los problemas antes, cuando todavía es fácil corregirlos.
Reserva una demo con Cynapze para ver cómo puede funcionar la monitorización continua en tu cartera de proveedores.
