El 47% de las empresas identifica la cadena de suministro como riesgo de ciberseguridad

El 47% de las organizaciones europeas identifica los ataques a la cadena de suministro entre sus principales preocupaciones en materia de ciberseguridad, según el informe NIS Investments 2025 de la Agencia de la Unión Europea para la Ciberseguridad (ENISA). Esta amenaza se sitúa únicamente por detrás del secuestro de datos (ransomware), señalado por el 55% de las entidades consultadas.

La creciente dependencia de proveedores tecnológicos, plataformas en la nube y empresas de servicios ha ampliado los riesgos de exposición de las organizaciones frente a los ciberataques. Muchos de estos proveedores tienen acceso a los sistemas corporativos, gestionan información sensible o participan en procesos esenciales para la actividad empresarial, lo que puede facilitar que un incidente de seguridad se extienda a otras compañías.

«El problema reside en que una organización puede disponer de elevados niveles de protección y, aun así, verse comprometida a través de un tercero. Un proveedor con acceso remoto, una aplicación utilizada por múltiples compañías, una actualización de software manipulada o unas credenciales comprometidas pueden convertirse en la puerta de entrada a organizaciones que, atacadas directamente, resultarían mucho más difíciles de vulnerar», explica Francisco Valencia, director general de Secure&IT.

Según los datos de ENISA recogidos por la firma de ciberseguridad, en aproximadamente el 66% de los casos analizados, los atacantes utilizaron el código de los proveedores para acceder a sus clientes. Asimismo, en el 58% de los incidentes examinados, el principal objetivo fueron los datos de las organizaciones afectadas, incluida información personal y propiedad intelectual.

Los ataques a proveedores

Las consecuencias de este tipo de incidentes pueden ir más allá del robo de información. La paralización de un proveedor crítico puede interrumpir procesos de producción, impedir la prestación de servicios o afectar simultáneamente a distintas organizaciones que dependen de una misma infraestructura tecnológica.

Por ello, la gestión de los riesgos asociados a terceros se ha convertido en una cuestión vinculada a la continuidad del negocio y a la gestión corporativa, especialmente entre las empresas que trabajan con numerosos proveedores o desarrollan actividades esenciales.

Desde Secure&IT advierten de que las organizaciones han centrado tradicionalmente sus esfuerzos en reforzar la seguridad de sus propios sistemas, sin prestar la misma atención a los riesgos procedentes de sus colaboradores externos. «Cualquier proveedor que accede a nuestros sistemas, maneja nuestros datos o participa en un proceso crítico puede introducir un riesgo que debemos conocer, evaluar y controlar», señala Valencia, quien advierte de que todavía son pocas las organizaciones que revisan los riesgos de ciberseguridad asociados a sus proveedores directos y al conjunto de su cadena de suministro.

La supervisión de proveedores, clave para prevenir ciberataques

Para reducir la exposición a estas amenazas, Secure&IT recomienda que las empresas incorporen la evaluación de sus proveedores a su estrategia general de ciberseguridad, comenzando por identificar aquellos que tienen acceso a información, sistemas o procesos críticos.

La firma también aconseja analizar los riesgos antes de contratar un servicio, establecer requisitos específicos de seguridad en los contratos y revisar periódicamente los permisos y credenciales de acceso concedidos a terceros. Otra de las medidas propuestas consiste en identificar las dependencias tecnológicas que podrían comprometer la actividad empresarial en caso de interrupción, además de preparar planes de continuidad y respuesta ante incidentes que contemplen posibles ataques originados en proveedores externos.

La supervisión, según la empresa, debe mantenerse durante toda la relación comercial y no limitarse al momento de la contratación. «Reducir la exposición ante ataques no significa eliminar proveedores, sino conocer qué terceros forman parte del ecosistema de la organización, qué nivel de acceso tienen y qué impacto tendría un incidente en cada uno de ellos», explica el director general de Secure&IT.

La Unión Europea impulsa nuevas medidas de seguridad

La protección de las cadenas de suministro también está adquiriendo mayor protagonismo en las iniciativas regulatorias europeas. En febrero de 2026, el Grupo de Cooperación NIS, integrado por los Estados miembros, la Comisión Europea y ENISA, aprobó una caja de herramientas europea para reforzar la seguridad de las cadenas de suministro de tecnologías de la información y la comunicación (TIC).

Entre sus recomendaciones figuran la evaluación de proveedores críticos, la adopción de estrategias que permitan trabajar con varios suministradores y la reducción de la dependencia de aquellos considerados de alto riesgo. Para Secure&IT, estas medidas reflejan la necesidad de ampliar el alcance de las estrategias empresariales de ciberseguridad e incorporar los riesgos derivados de las relaciones con terceros.

«La gestión del riesgo de terceros debe integrarse dentro de una estrategia global de ciberseguridad en todas las empresas. La pregunta ya no es si nuestra empresa está protegida, el verdadero planteamiento es saber hasta qué punto conocemos y controlamos el riesgo que introducen las organizaciones de las que dependemos», concluye Francisco Valencia.