19.10.2026 · PROVEEDORES · PARA QUIEN RECIBE LA EXIGENCIA

Tu cliente te mandó un cuestionario de seguridad. Así se responde

Con evidencia, sin exagerar y en proporción a lo que haces por tu cliente. Lo que respondas hoy queda por escrito, y mañana te pueden pedir que lo demuestres.

19.10.2026 · 9 min de lectura · Equipo Aexis

Cuéntanos qué te pidió tu cliente Ver la ruta para proveedores

En 30 segundos

Tres ideas para llevarte

Responde lo que haces hoy, no lo que planeas hacer. Lo que todavía no tienes se declara, con un plan y una fecha.
Cada «sí» debería poder mostrarse: una configuración, un registro, una política aprobada o un contrato.
No todas las preguntas pesan igual para tu servicio. Pregunta qué datos y qué sistemas de tu cliente vas a tocar, y responde en proporción.

Por qué te lo piden

No es desconfianza: es su responsabilidad

Cuando tu empresa trata datos personales por cuenta de un cliente, la ley la llama encargado o tercero mandatario. Tu cliente sigue siendo el responsable de esos datos y necesita un contrato contigo que diga qué datos tratas, para qué y por cuánto tiempo. Tú debes guardar secreto, aplicar medidas de seguridad y avisarle si hay una vulneración (Ley N° 21.719, art. 15 bis). Estas reglas rigen desde el 01.12.2026, salvo que se apruebe la postergación en trámite.

Si tu cliente presta servicios esenciales o es operador de importancia vital, además debe aplicar de manera permanente medidas para prevenir, reportar y resolver incidentes de ciberseguridad (Ley N° 21.663, art. 7°). Parte de ese riesgo pasa por sus proveedores.

Los marcos que usan las áreas de seguridad van en la misma línea: el NIST CSF 2.0 incluye la gestión del riesgo de la cadena de suministro en su función Gobernar (GV.SC), y la ISO/IEC 27001:2022 tiene controles específicos para las relaciones con proveedores (A.5.19 a A.5.23).

Ojo con la palabra «certificación»

Si tu cliente pide una certificación ISO/IEC 27001, la emite un organismo de certificación independiente; la ISO no certifica. Un cuestionario respondido no es una certificación, y Aexis tampoco certifica: te ayudamos a responder y a mejorar.

Antes de responder

Lee el cuestionario completo antes de contestar la primera pregunta

AlcancePregunta qué servicio cubre: qué datos de tu cliente vas a tratar, qué sistemas suyos vas a tocar y si tendrás acceso remoto.
PlazoConfirma la fecha de entrega y si aceptan respuestas parciales con un plan para lo pendiente.
ResponsablesReparte las preguntas: quien ve TI responde lo técnico, administración lo contractual y la gerencia revisa antes de enviar.
FormatoRevisa si piden adjuntar evidencia, si usan un formato estándar y cómo van a resguardar lo que les envíes.

«Son demasiadas preguntas para el plazo que nos dieron.»
Pregunta cuáles son críticas para tu servicio y responde esas primero. Pedir prioridades es razonable y muestra que te lo tomas en serio.
«Preguntan por cosas que no aplican a lo que hacemos.»
Responde «no aplica» con una línea que explique por qué. Es una respuesta válida y demuestra que entendiste la pregunta.
«No sabemos si lo que tenemos cuenta.»
Probablemente cuenta más de lo que crees: el segundo factor activado, los respaldos que se prueban y las cuentas por persona son evidencia.
«Nos piden una certificación que no tenemos.»
Dilo con claridad y ofrece lo que sí puedes mostrar: tus controles, tu evidencia y un plan con fechas.

Cómo responder

Cuatro respuestas posibles, todas honestas

Sí, con evidencia: Lo haces y puedes mostrarlo. Indica qué documento, registro o captura respalda la respuesta.
Parcialmente: Lo haces en parte. Di dónde sí, dónde no y qué vas a hacer, con fecha.
No, con plan: No lo haces hoy. Explica cuándo lo vas a resolver o qué control usas mientras tanto.
No aplica: La pregunta no corresponde a tu servicio. Explica por qué en una línea.

Un «sí» que no puedes demostrar es peor que un «no» con plan. Si después hay un incidente o una auditoría, lo que respondiste será de lo primero que tu cliente revise.

Una pregunta, tres respuestas

Pregunta: ¿Utilizan autenticación multifactor para acceder al correo y a los sistemas con información del cliente?
Débil: Sí.
Exagerada: Sí, en todos los sistemas, para todos los usuarios y con monitoreo permanente.
Sólida: Parcialmente. El segundo factor está activo en el correo de todo el personal desde marzo (adjuntamos la captura de la configuración). En el sistema de facturación se activará antes del 30 de noviembre; mientras tanto, sólo dos personas tienen acceso.

Ejemplo ilustrativo, no corresponde a un cliente real.

La evidencia

Qué adjuntar y qué no mandar nunca

Evidencia útil

Políticas aprobadas y con fecha: seguridad, accesos, respaldos y datos personales.
Capturas de configuración: segundo factor, cifrado, retención de respaldos.
Registros: la última prueba de restauración, la revisión de accesos, la capacitación realizada.
Los contratos con tus propios proveedores, si tratan datos de tu cliente.
Tu procedimiento ante incidentes: quién decide y cómo le avisas a tu cliente.

Nunca en un adjunto

Contraseñas, claves de acceso a sistemas o códigos de recuperación.
Diagramas completos de tu red o listas de direcciones internas, sin un acuerdo de confidencialidad.
Datos personales de tus trabajadores o de otros clientes.
Detalles de vulnerabilidades que todavía no corriges.

Si la evidencia es sensible

Ofrece mostrarla en una reunión o enviarla con un acuerdo de confidencialidad. Es una práctica razonable, y protege a tu cliente tanto como a ti.

Proporcionalidad

A una empresa de aseo no se le exige lo mismo que a una de software

No todas las preguntas pesan igual. Si limpias oficinas, importan el acceso físico, la confidencialidad y los datos de tu personal. Si desarrollas o alojas un sistema para tu cliente, importa casi todo lo técnico.

Pregunta a tu cliente cómo clasifica tu servicio. Marcos como el NIST CSF 2.0 recomiendan conocer a los proveedores y priorizarlos según su criticidad (GV.SC-04), así que es una pregunta razonable.

La ley de datos personales sigue el mismo criterio: los estándares mínimos de seguridad se diferenciarán según el tamaño de la empresa, su actividad y los datos que trata, también para los encargados (Ley N° 21.719, arts. 14 septies y 15 bis).

Si tu empresa presta servicios de TI

La Ley N° 21.663 incluye entre los servicios esenciales los servicios digitales y los servicios de tecnología de la información gestionados por terceros (art. 4°). Si es tu caso, revisa con tu asesoría legal si la ley te aplica directamente, además de lo que te pida tu cliente. Y si tu cliente es operador de importancia vital, te explicamos por qué sus exigencias llegan a ti en este artículo.

Después de enviar

El cuestionario no termina cuando lo envías

Guarda una copia fechada de lo que respondiste y de la evidencia que adjuntaste.
Convierte cada «no, con plan» en una tarea con responsable y fecha, y cúmplela: tu cliente puede volver a preguntar.
Revisa el contrato: lo que respondiste puede terminar como cláusula.
Arma una carpeta de respuestas y evidencia que puedas reutilizar. El próximo cliente va a preguntar algo parecido.

Con esa misma idea nace KRYVEX, la plataforma de Aexis, que está en preparación: permitirá saber de antemano qué te van a pedir tus clientes, con exigencias proporcionales a lo que haces y dos resultados separados, ciberseguridad y datos personales. No la necesitas para responder lo que tu cliente ya te pidió: en eso te ayudamos hoy. Conoce KRYVEX.

Cómo te ayudamos

Leemos lo que te pidió tu cliente y lo respondemos contigo

Lo que haces tú

Nos cuentas qué te pidió tu cliente y para cuándo.
Nos explicas cómo trabajas y nos muestras lo que ya tienes.
Decides qué se envía y firmas las respuestas.

Lo que hacemos nosotros

Leemos el cuestionario y separamos lo crítico de lo que no aplica a tu servicio.
Preparamos las respuestas contigo y ordenamos la evidencia.
Te dejamos un plan proporcional para lo que falta.

Lo que no hacemos

No respondemos a nombre de tu empresa ni firmamos por ti: las respuestas son tuyas. Tampoco certificamos. Si el cuestionario es confidencial, firmamos un acuerdo antes de leerlo.

Si tu cliente también trabaja con Aexis

No revisamos la evidencia de un proveedor al que hayamos asesorado en los últimos 12 meses para responder a ese mismo cliente. Si tu cliente nos contrata para revisar a sus proveedores, se lo informamos antes de contratar y tu evidencia la revisa su equipo u otro especialista. La misma regla regirá en KRYVEX.

Cuéntanos qué te pidió tu cliente Ver la ruta para proveedores

Para tu equipo técnico

Los temas que más se repiten y dónde se ubican

Temas frecuentes y su referencia

Identidad y accesos: segundo factor, cuentas por persona y revisión periódica de permisos · ISO/IEC 27001:2022 A.5.15 a A.5.18 y A.8.5 · NIST CSF 2.0 PR.AA.
Respaldo y recuperación: frecuencia, aislamiento y pruebas de restauración · ISO/IEC 27001:2022 A.8.13 · NIST CSF 2.0 RC.RP.
Vulnerabilidades y actualizaciones · ISO/IEC 27001:2022 A.8.8 · NIST CSF 2.0 ID.RA y PR.PS.
Incidentes: detección, aviso al cliente y plazos de comunicación · ISO/IEC 27001:2022 A.5.24 a A.5.28 · NIST CSF 2.0, función RESPOND (RS).
Tus propios proveedores: nube, correo y software · ISO/IEC 27001:2022 A.5.19 a A.5.23 · NIST CSF 2.0 GV.SC.
Datos personales: finalidad, conservación, supresión o devolución al terminar · ISO/IEC 27001:2022 A.5.34 · Ley N° 21.719, art. 15 bis.
Formatos estándar: algunos clientes usan el CAIQ de la Cloud Security Alliance, un cuestionario de preguntas de sí o no vinculado a su Cloud Controls Matrix.

Preguntas frecuentes

Lo que se pregunta quien recibe un cuestionario

¿Puedo responder que no a una pregunta?

Sí. Un «no» con un plan y una fecha es una respuesta honesta y útil. Lo que daña la confianza es un «sí» que después no puedes demostrar.

¿Y si mi cliente exige una certificación ISO/IEC 27001?

Pregúntale si acepta, mientras tanto, tus controles y tu evidencia con un plan. Si decides certificarte, te preparamos; la certificación la emite un organismo independiente.

¿Cuánto demora preparar las respuestas?

Depende del cuestionario y de lo que ya tengas. Te lo decimos después de leerlo y antes de empezar. Si tienes fecha de entrega, ponla en el primer correo: la conversación parte por ahí.

¿Me sirve lo que respondí para otros clientes?

Sí, si lo ordenas. Una carpeta con respuestas y evidencia vigentes te ahorra trabajo en el próximo cuestionario. Actualízala cuando cambie algo importante.

¿Cuánto cuesta?

La primera conversación no tiene costo. El alcance y el valor del trabajo los conoces antes de contratar.

Qué significa para tu empresa

Una línea para cada mesa

Para el directorio: Las respuestas a un cuestionario son compromisos de la empresa. Alguien de la gerencia debería revisarlas antes de que salgan.
Para TI: Tu trabajo diario es la evidencia: configuraciones, respaldos probados y accesos revisados. Documentarlo una vez te evita responder de memoria cada vez.
Para la pyme: Responde con la verdad, adjunta lo que tienes y ponle fecha a lo que falta. Eso vale más que un «sí» a todo.

Te ayudamos a responder lo que te pidió tu cliente

Sigue por aquí

Lo que suele venir después

Conversemos

Cuéntanos qué te pidió tu cliente. Te decimos por dónde empezar

Escríbenos a contacto@aexis.cl con qué te pidieron y para cuándo. La primera conversación no tiene costo y te respondemos dentro de 2 días hábiles.

Cuéntanos qué te pidió tu cliente

Fuentes

Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.