TPRM vs gestión de contratistas: precalificación y CAE

TPRM gestiona el riesgo de ciberseguridad, continuidad y cumplimiento que los proveedores aportan a tu información y a tus servicios; la gestión de contratistas y la precalificación (en España, la CAE) comprueban que quien trabaja en tu obra o centro cumple prevención de riesgos laborales, acreditaciones y seguros. Comparten proveedores y evidencias, pero miden riesgos distintos: conviene integrarlos, no fusionarlos.

Diferencia entre TPRM y gestión de contratistas

Ambas disciplinas miran al mismo universo, tus terceros, con una pregunta distinta.

En el lado TPRM, NIS2 obliga a las entidades a gestionar la seguridad de su cadena de suministro y a tener en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad [1]; en el sector financiero, DORA mantiene la responsabilidad plena de la entidad aunque externalice servicios TIC [2]; y NIST publica una guía de gestión de riesgos de la cadena de suministro de ciberseguridad [3].

Qué es la CAE (y qué equivalentes existen)

La coordinación de actividades empresariales (CAE) es un concepto de la normativa laboral española. El artículo 24 de la Ley 31/1995 obliga a las empresas que coinciden en un centro de trabajo a cooperar en la aplicación de la normativa de prevención, al titular del centro a informar a las demás sobre los riesgos y medidas de emergencia, y a la empresa que contrata obras o servicios propios de su actividad a vigilar que sus contratistas y subcontratistas cumplan esa normativa [4]. El Real Decreto 171/2004 lo desarrolla [5].

En construcción se suma la Ley 32/2006, que regula la subcontratación: exige a las empresas contar con organización productiva propia y recursos preventivos, crea el Registro de Empresas Acreditadas, obliga a llevar un libro de subcontratación en la obra y limita los niveles de subcontratación en cadena [6]. Las disposiciones mínimas de seguridad y salud en las obras están en el Real Decreto 1627/1997 [7].

CAE es el término español. Muchos países tienen programas equivalentes de precalificación de contratistas en seguridad y salud, con otros nombres y requisitos; lo importante para elegir una plataforma es la función (verificar y mantener al día la documentación del contratista), no la sigla.

Plataforma que integra TPRM con precalificación de contratistas

Hay dos tipos de producto: plataformas de precalificación y coordinación de contratistas, centradas en documentación de prevención y acceso al centro, y plataformas TPRM, centradas en riesgo cibernético, continuidad y cumplimiento del proveedor. Lo que une ambas es el maestro de proveedores: el mismo CIF, los mismos contactos, los mismos contratos y las mismas subcontratas.

Al evaluar una oferta que dice cubrir las dos, comprueba la profundidad de cada mitad por separado, y no des por hecho que una plataforma excelente en un lado lo es en el otro. Preguntas útiles:

• ¿Comparten el registro de proveedores o hay que dar de alta cada empresa dos veces?
• ¿La criticidad de un proveedor en TPRM puede condicionar qué se le pide en precalificación, y a la inversa?
• ¿Se puede ver en un solo sitio a una subcontrata, sus acreditaciones y su postura de ciberseguridad?
• ¿Qué datos se comparten entre módulos y quién tiene acceso a cada uno (prevención, compras, seguridad)?

Una alternativa válida es mantener dos herramientas especializadas e integrarlas mediante el maestro de proveedores. HodeiShield cubre el lado TPRM; no documenta funciones de precalificación de contratistas ni de gestión documental de CAE, y no las prometemos.

Cómo usan las constructoras las plataformas TPRM

Lo que sigue es nuestra lectura de casos de uso razonables, no un estudio de mercado ni datos de clientes. En una constructora o promotora, el riesgo de terceros que cae del lado TPRM suele concentrarse en:

1. Proveedores que alojan información del proyecto: planos, mediciones, ofertas y datos de licitación en plataformas de colaboración, gestión documental o modelado.
2. Subcontratas y consultoras con acceso a tus redes o cuentas (VPN, correo, repositorios).
3. Proveedores de maquinaria y sistemas conectados que envían telemetría o permiten mantenimiento remoto.
4. Dependencias concentradas: muchos proyectos apoyados en una sola plataforma o proveedor.
5. Cadenas largas de subcontratación, donde la subcontrata de la subcontrata toca datos o sistemas. La ley limita los niveles de subcontratación en obra [6], pero eso no cubre sus proveedores tecnológicos.

La práctica sensata es clasificar a los proveedores por criticidad y pedir a cada nivel solo lo proporcionado: a una subcontrata sin acceso a datos, poco más que una declaración y sus certificados; a una plataforma que aloja tus proyectos, un cuestionario completo, evidencias y revisión periódica. En el lado de obra, la CAE sigue su propio camino; lo que gana es compartir el listado de empresas.

Características de una plataforma TPRM operativa

«Operativa» significa que se usa cada semana, no que existe un cuestionario anual. Busca:

• Inventario y clasificación por criticidad, con propietario interno de cada proveedor.
• Cuestionarios proporcionales y portales para que el proveedor responda sin fricción, con validación por un analista (un cuestionario sin validar es una autoevaluación).
• Evidencia con caducidad y trazabilidad de quién la revisó.
• Señales externas (exposición, vulnerabilidades, listas de componentes) para no depender solo de lo que el proveedor declara.
• Registro de decisiones (alta, renovación, revisión, baja) y planes de salida.
• Alertas e integración con tus herramientas de tickets, correo o SIEM.
• Informes para dirección y auditoría, y límites declarados con honestidad.

Según la documentación de HodeiShield, su módulo de riesgo de terceros ofrece portal de cuestionarios por enlace de un solo uso, escaneo externo periódico, sincronización diaria de CVE, puntuación de 0 a 100 por proveedor, SBOM del proveedor y un registro de decisiones. También declara límites: el escaneo es periódico, no continuo; solo ve las dependencias que declaras y no descubre tu cadena completa; y no sustituye tu proceso de compras.

Recursos de TI para integrar una plataforma TPRM

Una plataforma TPRM que se integra con otros sistemas ahorra trabajo manual, pero la integración tiene coste interno. Pregunta al proveedor y prepara tu lado:

Del proveedor de la plataforma

• API documentada, con autenticación, límites y entorno de pruebas.
• Webhooks (idealmente firmados) para enviar alertas a tickets, chat o SIEM.
• Inicio de sesión único (SAML u OIDC) y roles con permisos de lectura y escritura separados.
• Exportación de datos en formatos abiertos (CSV, JSON) y registro de auditoría.
• Dónde se alojan los datos y quién accede.

De tu organización

• Un responsable del dato maestro de proveedores (compras o finanzas) y su fuente (ERP).
• Una persona técnica para la integración y seguridad para revisarla.
• Legal y compras para el circuito de contratos y renovaciones.
• Un criterio claro de qué alerta se convierte en tarea y para quién.

HodeiShield documenta el envío de alertas a ServiceNow, Jira, Slack, Teams, correo, SIEM, PagerDuty y Opsgenie, además de un webhook firmado, y una API pública de solo lectura con CLI. Si necesitas inicio de sesión único, pregunta: no lo documentamos en la página del producto.

Cómo evaluar plataformas TPRM para tu sector

1. Parte de tu obligación real. Un sector financiero necesita registro de proveedores TIC, planes de salida y concentración (DORA [2]); una industria o constructora, riesgo de acceso remoto y de componentes; el sector público, el ENS.
2. Define a quién vas a evaluar (cuántos proveedores y de qué criticidad) y qué evidencia es razonable pedirles.
3. Pide una prueba con tus datos. Una demo genérica no demuestra que encaje con tu sector.
4. Puntúa con la misma matriz a todos y anota los límites declarados.
5. Planifica la integración antes de firmar.

Tenemos una guía con rúbrica: el whitepaper Cómo elegir una plataforma TPRM: criterios para 2026, y HodeiShield publica cómo evaluar plataformas TPRM por sector. Si lo que buscas es elegir un proveedor de servicios y no una plataforma, mira cómo elegir un proveedor de ciberseguridad.

Nuestro punto de vista

Integrar no es fusionar. Un maestro de proveedores único y criterios de criticidad compartidos aportan más que una herramienta que lo haga todo a medias. Para la parte de ciberseguridad de terceros trabajamos la solución de gestión del riesgo de la cadena de suministro y la consultoría GRC; el contexto normativo está en la guía de NIS2 y cadena de suministro.

Preguntas frecuentes

¿TPRM sustituye a la CAE?

No. La CAE responde a una obligación de prevención de riesgos laborales y TPRM a un riesgo de ciberseguridad, continuidad y cumplimiento; una no cubre lo que la otra exige.

¿Puedo usar una sola plataforma para ambas cosas?

Puede ser razonable si cubre en profundidad las dos mitades; comprueba cada una por separado. Mantener dos herramientas integradas por el maestro de proveedores también es válido.

¿Qué proveedores de una constructora deberían entrar en TPRM?

Los que alojan información del proyecto, tienen acceso a tus redes o cuentas, o dependen de sistemas conectados. Los demás, con un control proporcionado.

¿Qué necesito de TI para integrar una plataforma TPRM?

Una fuente de datos maestra de proveedores, una persona para la integración, revisión de seguridad y un destino claro para las alertas (tickets, chat o SIEM). Pide API, webhooks, inicio de sesión único y exportación.

¿Cómo sé si una plataforma TPRM sirve para mi sector?

Parte de la obligación que te aplica, prueba con tus propios proveedores y compara con una rúbrica común. Nuestro whitepaper de criterios incluye una matriz reutilizable.

Siguiente paso

¿Quieres revisar cómo gestionas hoy a tus proveedores? Hablemos de tu caso o conoce HodeiShield.

Fuentes

1. Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2). EUR-Lex (Official Journal of the EU), 2022-12-14. https://eur-lex.europa.eu/eli/dir/2022/2555/oj
2. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). EUR-Lex (Official Journal of the EU), 2022-12-14. https://eur-lex.europa.eu/eli/reg/2022/2554/oj
3. Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations (SP 800-161 Rev. 1 Upd. 1). NIST. https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final
4. Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales. Boletín Oficial del Estado, 1995-11-10. https://www.boe.es/buscar/act.php?id=BOE-A-1995-24292
5. Real Decreto 171/2004, de 30 de enero, por el que se desarrolla el artículo 24 de la Ley 31/1995 en materia de coordinación de actividades empresariales. Boletín Oficial del Estado, 2004-01-31. https://www.boe.es/buscar/act.php?id=BOE-A-2004-1848
6. Ley 32/2006, de 18 de octubre, reguladora de la subcontratación en el Sector de la Construcción. Boletín Oficial del Estado, 2006-10-19. https://www.boe.es/buscar/act.php?id=BOE-A-2006-18205
7. Real Decreto 1627/1997, de 24 de octubre, por el que se establecen disposiciones mínimas de seguridad y de salud en las obras de construcción. Boletín Oficial del Estado, 1997-10-25. https://www.boe.es/buscar/act.php?id=BOE-A-1997-22614