El cuestionario de seguridad ha dejado de ser un trámite de última hora para convertirse en una etapa fija del proceso de compra B2B. Antes de firmar, el departamento de compras o el equipo de IT del cliente quiere ver cómo gestionas el riesgo, qué haces con sus datos y qué controles tienes documentados. Dos formularios dominan ese trámite, SIG y CAIQ, y cada uno responde a un tipo de proveedor distinto. Si vendes software a empresas medianas o grandes, tarde o temprano vas a rellenar uno de los dos, y conviene saber qué te vas a encontrar antes de que aparezca en mitad de una negociación ya avanzada.
El cuestionario de seguridad es el formulario, normalmente SIG o CAIQ, con el que un cliente B2B evalúa los controles de riesgo, privacidad y continuidad de un proveedor antes de firmar. El SIG Core supera las 800 preguntas y el CAIQ se centra en proveedores cloud, mapeado contra los 207 controles de la Cloud Controls Matrix. Sin equipo de seguridad, responderlo bien puede tardar semanas.
Qué pregunta el cuestionario SIG en una venta B2B
El SIG (Standardized Information Gathering) lo mantiene Shared Assessments y es el formulario que más piden las empresas medianas y grandes cuando compran software a un proveedor externo, sea o no cloud. Cubre gobernanza, gestión de accesos, cifrado, continuidad de negocio, privacidad y gestión de proveedores de tu propia cadena, no solo la seguridad técnica del producto.
SIG Lite o SIG Core, qué versión te toca responder
La diferencia está en la criticidad del proveedor, no en el tamaño de su empresa. El SIG Lite reúne 126 preguntas de control y sirve para una debida diligencia básica, pensada para un proveedor que no toca datos sensibles ni sistemas críticos del cliente. El SIG Core supera las 800 preguntas y entra en el detalle de cómo cifras en reposo y en tránsito, cómo gestionas los accesos con privilegios y qué haces si sufres una brecha. Si tu producto procesa datos personales, financieros o de salud de los clientes de tu cliente, acabarás respondiendo la versión Core tarde o temprano, y conviene tener las respuestas documentadas antes de que llegue la primera solicitud, no mientras el comercial espera una fecha.
El CAIQ, el cuestionario de seguridad cloud
El CAIQ (Consensus Assessments Initiative Questionnaire) lo publica la Cloud Security Alliance y solo tiene sentido si tu producto es una aplicación cloud: SaaS, PaaS o IaaS. En su versión 4.1, publicada el 27 de enero de 2026, son preguntas de sí o no mapeadas contra los 207 controles repartidos en 17 dominios de la Cloud Controls Matrix, el marco de referencia de la propia alianza.
El STAR Registry, publicar una vez y reutilizar en cada venta
La diferencia práctica con el SIG es que el CAIQ se puede publicar una sola vez en el STAR Registry de la Cloud Security Alliance y enlazarlo a cada cliente que lo pida, en vez de rellenarlo de cero en cada negociación. Es un registro público y gratuito: cualquier comprador puede consultarlo antes de mandarte su propio formulario, y muchos lo aceptan como sustituto si ya está publicado y actualizado. Para un proveedor que vende a decenas de cuentas al año, ese registro ahorra las mismas preguntas repetidas una y otra vez. El coste es mantenerlo al día: un CAIQ publicado con dos versiones de retraso pesa menos que uno recién actualizado a la 4.1.
¿Te ayudamos con esto?
Cuéntanos tu caso
Si esto te afecta, escríbenos en dos líneas y te respondemos por email con una valoración concreta.
Por qué crece la revisión de riesgo por sector
La exigencia no es igual en todos los sectores, y conviene saberlo antes de prometer un plazo de respuesta corto. Es el mismo problema de fondo que resuelve un data clean room entre dos empresas que comparten datos sin exponerlos: la confianza hay que demostrarla con controles, no con una promesa verbal.
- En banca y seguros, la revisión de proveedores forma parte de su propia supervisión regulatoria: esperan SIG Core completo y evidencia de certificaciones, no solo el formulario rellenado.
- En sanidad, el foco está en qué datos de pacientes toca tu producto y durante cuánto tiempo se conservan, aunque tu papel sea solo analítica o marketing.
- En administración pública, el cuestionario suele ir dentro del propio pliego de licitación y no se negocia aparte: lo que falte descalifica la oferta.
- En un SaaS B2B puro sin esos condicionantes, el filtro suele limitarse al CAIQ o a un SIG Lite, y se resuelve en días.
La novedad de los últimos cuestionarios es que SIG y CCM han sumado controles de gobernanza de IA: si tu producto usa modelos de lenguaje para generar contenido, clasificar leads o automatizar respuestas, el cliente va a preguntar quién entrena esos modelos, con qué datos y quién revisa sus resultados antes de confiar en ellos.
Cómo responde tu equipo a una auditoría de seguridad
Rellenar un SIG Core de más de 800 preguntas la primera vez sin preparación consume semanas enteras del equipo técnico, y suele caer sobre la misma persona que también lleva la seguridad del día a día. Lo que funciona es tratarlo como un proceso, no como un simulacro cada vez.
- Asigna un responsable único que coordine con ventas, no que conteste cada pregunta: la mayoría ya está respondida en la política de seguridad o en el contrato de proveedores.
- Mantén una biblioteca de respuestas con fecha de revisión, porque la mitad del trabajo de un SIG Core es texto que ya escribiste en el anterior.
- Mapea tus controles contra un marco reconocido, como ISO 27001 o SOC 2, antes de que llegue el primer cuestionario: responder que cumples el control de un anexo ya auditado es más rápido y más creíble que describirlo desde cero.
- Publica tu CAIQ en el STAR Registry si vendes cloud, y actualízalo cuando cambie algo real, no por calendario.
Una auditoría de seguridad informática previa, aunque no sea obligatoria para vender, da material reutilizable mucho más rápido que empezar por el formulario del cliente. Y si el volumen de cuestionarios ya ocupa a alguien a tiempo parcial, una consultoría de sistemas IT externa puede dejar la documentación lista antes de que la pida el siguiente cliente.
Preguntas frecuentes sobre el cuestionario de seguridad B2B
¿SIG o CAIQ, cuál me va a pedir mi cliente?
Depende de lo que vendas. Si tu producto es una aplicación cloud, lo habitual es el CAIQ, mapeado contra la Cloud Controls Matrix. Si vendes cualquier otro tipo de servicio o software on-premise, el cliente suele usar el SIG, en su versión Lite o Core según cuánto dato sensible toques. Algunos clientes piden los dos a la vez.
¿Hace falta la certificación ISO 27001 para aprobarlo?
No es obligatoria, pero ayuda mucho. Tenerla no sustituye el cuestionario, porque cada cliente quiere sus propias respuestas, pero permite contestar citando el control ya auditado en vez de describirlo desde cero, y acelera la revisión porque el cliente confía en una auditoría externa ya hecha.
¿Cuánto tarda en responderse un SIG Core?
Con las respuestas ya documentadas y un responsable dedicado, entre tres y cinco días hábiles. Sin ninguna preparación previa, un SIG Core de más de 800 preguntas puede llevarse varias semanas, porque hay que consultar a distintos equipos, como TI, legal o recursos humanos, para cada bloque del formulario.
¿Qué pasa si no tengo equipo de seguridad dedicado?
El cuestionario no desaparece por eso: lo suele asumir quien lleva TI o incluso el responsable de producto, apoyado en una consultoría externa para la primera vuelta. Lo que no conviene es dejarlo sin responder, porque un cuestionario incompleto frena la venta igual que uno que revela carencias reales.
Fuente: Cloud Security Alliance — Cloud Controls Matrix v4.1
