La norma de EPP cambió en 2025, y te dio una obligación con tus contratistas

Hay dos razones para leer esta guía, y una es más urgente que la otra. La primera es una corrección de fechas: la norma mexicana de equipo de protección personal que casi todo el mundo cita —la de 2008— quedó sin efectos el 28 de septiembre de 2025. Si tu manual interno, el procedimiento de tu proveedor o el material del último curso al que fue tu gente citan la NOM-017-STPS-2008, están citando una norma cancelada.

La segunda razón es la que de verdad importa. Dentro de la norma nueva hay un numeral, el 5.8, que impone una obligación al cliente respecto de los trabajadores de sus contratistas. No al proveedor: a ti, el que recibe el servicio en su centro de trabajo. Y no es una obligación cara ni compleja: se cumple con un oficio y un acuse antes de que empiecen los trabajos. Es, probablemente, la medida de cumplimiento con mejor relación entre lo que cuesta y lo que cubre que vas a encontrar en toda esta materia. También es la que prácticamente nadie está haciendo.

Aplica a cualquier servicio que meta trabajadores de otra empresa dentro de tus instalaciones: limpieza, jardinería, pintura, plomería, mantenimiento eléctrico, aire acondicionado, comedores. Es orientación práctica de compra, no asesoría legal, y los términos técnicos que aparezcan están explicados en el glosario.

Qué cambió exactamente, y desde cuándo

La norma vigente es la NOM-017-STPS-2024, «Equipo de protección personal — Selección, uso y manejo en los centros de trabajo». Se publicó en el Diario Oficial de la Federación el 28 de marzo de 2025 y entró en vigor seis meses después, el 28 de septiembre de 2025. El catálogo oficial de normalización la registra como vigente, y registra a la versión 2008 como cancelada.

El transitorio tercero de la norma nueva lo dice sin ambigüedad:

Conviene tener presente un efecto de arrastre que confunde a mucha gente: varias normas de seguridad todavía vigentes citan en su texto a la NOM-017-STPS-2008, porque fueron redactadas antes. La mayoría lo hace con la fórmula «o las que la sustituyan», que es exactamente para esto: hoy esa remisión debe leerse hacia la versión 2024. Que una norma vigente mencione la 2008 no significa que la 2008 siga viva; significa que su texto no se ha actualizado.

Por qué esto invalida buena parte del material que vas a encontrar

La cita de una norma derogada funciona como marcador de antigüedad, igual que una cifra en pesos calculada con una UMA de hace tres años. Si un proveedor te presenta su procedimiento de equipo de protección personal fundamentado en la NOM-017-STPS-2008, no está necesariamente incumpliendo —los requisitos de fondo se parecen bastante—, pero sí te está diciendo que ese documento no se ha revisado desde antes de septiembre de 2025.

Como criterio de compra es útil precisamente porque es barato de aplicar. No requiere que audites nada: lees el fundamento legal de la primera página del procedimiento que te entregaron. Y suele correlacionar con el resto del expediente, del mismo modo que el material que sigue citando artículos derogados en materia de subcontratación suele venir acompañado de otras cosas sin actualizar.

El numeral 5.8: tu obligación con los trabajadores de tu proveedor

Este es el corazón de la guía. El numeral 5.8 de la norma establece, como obligación del patrón del centro de trabajo:

Léelo despacio, porque hay tres cosas dentro. La primera: el sujeto obligado es el centro de trabajo, es decir, tú. No dice que el contratista deba capacitar a su gente —eso también es cierto y es obligación suya—, dice que tú debes asegurarte de que la conozcan. La segunda: el objeto son los riesgos y las medidas de seguridad de tu instalación, que son precisamente los que el contratista no puede conocer por sí mismo, porque no vive ahí. Y la tercera: no termina en informar, termina en supervisar que se cumplan.

El razonamiento detrás es sensato y explica por qué la obligación está donde está. Un equipo de tres personas que llega a pintar una nave no sabe que la línea del fondo maneja disolventes, que la subestación está sin señalizar desde la remodelación, o que el montacargas cruza ese pasillo cada veinte minutos. Tú sí. Esa información es tuya y solo puede transmitirse en una dirección. Contratar a un tercero no traslada el riesgo de tu instalación: lo introduce en ella con gente que no lo conoce.

Qué evidencia pide la norma, y por qué eso te conviene

Aquí está la parte accionable, y es más concreta de lo que suele serlo este tipo de obligaciones. El procedimiento de evaluación de la conformidad de la norma —la tabla que dice cómo se acredita cada numeral— establece que el cumplimiento del 5.8 se demuestra con «oficios, memorándums u otras formas de comunicación formal internas del centro de trabajo», y con la entrega al contratista de los documentos internos de seguridad:

Es decir: la obligación es documental, es previa a los trabajos, y se cumple con papel que en la mayoría de los casos ya existe. No pide contratar a nadie, ni un curso, ni un dictamen. Pide entregar lo que ya tienes y conservar la constancia de haberlo entregado.

Que la evidencia sea documental tiene una consecuencia que conviene entender bien: la obligación se incumple en silencio. No hay un momento en que alguien note que falta. Una empresa puede llevar diez años recibiendo contratistas, briefeándolos verbalmente en la puerta con la mejor intención, y no tener una sola línea escrita que lo acredite. El día que hay una inspección o un accidente, el brief verbal no existió.

El paquete mínimo que deberías estar entregando

Lo siguiente es un armado práctico de lo que la norma pide, pensado para que se resuelva en un solo envío antes del inicio de los trabajos y quede archivado con acuse. No es un formato oficial: es el contenido que cubre lo que la evidencia exige.

• Oficio de entrega dirigido al contratista, con fecha anterior al inicio de los trabajos, que enumere lo que se acompaña y a qué contrato u orden de servicio corresponde. Es el documento que acredita la obligación; el resto son anexos.
• Reglamento interno de seguridad e higiene del centro de trabajo, procedimientos y manuales de seguridad aplicables al área donde se van a ejecutar los trabajos. Los que ya tienes, tal cual están.
• Descripción de los riesgos específicos del área: qué se opera cerca, qué sustancias hay, qué tránsito vehicular interno existe, qué áreas están restringidas y cuáles son de uso obligatorio de equipo de protección.
• Equipo de protección personal requerido para esas áreas, con el tipo de protección exigido, y la indicación de quién lo suministra —normalmente el contratista a su propio personal, pero conviene que quede escrito y no supuesto.
• Reglas del sitio y ruta de emergencia: a quién reportarse al llegar, horarios permitidos, procedimiento de evacuación y punto de reunión. Es información que el personal externo desconoce por definición y que en una emergencia real decide desenlaces.
• Acuse de recibo firmado por el contratista, con nombre, cargo y fecha. Sin acuse, la entrega no es evidencia de nada.

Una vez armado, este paquete se reutiliza. Cambia el anexo de riesgos por área y poco más, así que el costo real es el de la primera vez. Encaja de forma natural en el expediente que ya deberías estar integrando al contratar —el checklist de los doce documentos cubre el resto—, con una diferencia importante: casi todo lo demás del expediente son documentos que le pides al proveedor, y este es un documento que tú produces.

El numeral 5.10(b): la parte que no se resuelve con papel

Informar no agota la obligación. El numeral 5.10, inciso b, exige supervisar durante la jornada que los trabajadores de las empresas contratistas de servicios especializados u obras especializadas porten el equipo de protección personal y que este cumpla con las condiciones de la norma.

Esto es más incómodo que entregar un oficio, porque implica que alguien mire. En la práctica se resuelve con lo que ya existe en cualquier operación: la persona que autoriza el acceso, el supervisor del área o el responsable de seguridad e higiene, con un registro breve de la verificación al inicio de cada jornada o de cada trabajo. Lo que la norma no admite es la postura de que el equipo de protección de esa gente es asunto de su patrón. Formalmente lo es, y aun así la norma te impone verificarlo.

La consecuencia contractual conviene anticiparla, porque es el punto donde esto se vuelve real: si detectas que el personal del contratista no trae el equipo adecuado, tienes que poder detener el trabajo sin que eso se convierta en una discusión de penalizaciones por retraso. Esa facultad se escribe en el contrato o no existe cuando la necesitas. Y cuando algo sale mal, el reparto de responsabilidades entre cliente y contratista es todo menos intuitivo: está desarrollado en accidentes de contratistas en tu planta.

El puente con el régimen de servicios especializados

Hay un detalle de redacción que no es casual y que vale la pena señalar, porque conecta dos obligaciones que casi todas las empresas gestionan por separado. La norma de equipo de protección personal no habla de «proveedores» ni de «terceros». Usa literalmente la expresión «Servicios Especializados u Obras Especializadas», que es el vocabulario de la Ley Federal del Trabajo, y añade la misma condición: que no sean actividades preponderantes del centro de trabajo.

El efecto práctico es que el universo de proveedores es el mismo en ambos frentes. El proveedor al que debes verificar en el padrón público antes de contratarlo es exactamente el proveedor al que debes informar y supervisar mientras trabaja contigo. Uno es un control previo a la firma; el otro es un control durante la ejecución. Y ninguno de los dos se delega.

La asimetría entre ambos es lo que hace que valga la pena tratarlos juntos. El del padrón es el de mayor exposición económica —la multa por beneficiarse de una subcontratación irregular llega a 5,865,500 pesos, según se explica en la multa del artículo 1004-C—, y el de la norma es el más barato de cumplir. Si vas a empezar por algo, empieza por el oficio de entrega, que se hace esta semana, y sigue por la consulta del padrón, que se hace en diez minutos siguiendo el procedimiento de verificación del proveedor.

Lo demás que cambió y te afecta como comprador

La norma trae otros requisitos que conviene conocer, no para auditarlos línea por línea, sino porque son las preguntas que separan a un proveedor que sabe lo que hace de uno que compró equipo de protección en la ferretería:

De todos ellos, el detalle más interesante y menos conocido es el último. La norma no se conforma con el grado de protección: exige que la documentación del fabricante indique también las condiciones bajo las cuales el equipo NO protege. Es un requisito con una lógica excelente, porque el accidente típico con equipo de protección no ocurre por falta de equipo, sino por usar el correcto fuera de su rango: el guante que resiste un químico y no otro, el respirador con el cartucho equivocado, el arnés anclado a un punto que no soporta la caída. Un proveedor que puede darte esa hoja sabe lo que compró; uno que solo te enseña la factura del equipo, no.

Cuánto cuesta no hacerlo

Las normas oficiales de seguridad y salud en el trabajo se sancionan por la vía del artículo 994 fracción V de la Ley Federal del Trabajo: de 250 a 5,000 UMA. Con la UMA 2026 de 117.31 pesos, eso son entre 29,327.50 y 586,550 pesos.

Sobre esa cifra hay tres modificadores que la mueven bastante y que rara vez se mencionan. La base de cálculo es la UMA vigente al momento de cometerse la violación, no la del día de la resolución. La reincidencia dentro del periodo duplica el monto. Y un solo acto que afecte a varios trabajadores puede sancionarse por cada trabajador, lo que en un servicio con cuadrilla de doce personas cambia el orden de magnitud del resultado. El detalle del cálculo y su actualización anual está en la guía de la UMA 2026.

Dicho esto, el argumento de la multa es el más débil de todos los que se pueden dar aquí, y conviene reconocerlo. La razón real para cumplir el 5.8 es que cuesta un oficio, que la información que transmite es la que efectivamente evita accidentes de gente que no conoce tu instalación, y que es de las poquísimas obligaciones de esta materia que se cierran por completo en una tarde y sin contratar a nadie. Si además necesitas un dictamen de tercero para otra cosa, conviene tener claro cuándo hace falta de verdad y cuándo no: está en la vigencia del dictamen y cuándo no lo necesitas, y cómo comprobar que quien lo firma puede hacerlo, en cómo verificar una unidad de inspección acreditada.

Errores comunes al gestionar contratistas bajo esta norma

Siguiente paso

Empieza por lo que se puede cerrar esta semana: arma el oficio de entrega con los anexos de tu centro de trabajo y mándalo a los contratistas que ya tienes operando, no solo a los próximos. Después, ordena el resto del expediente con el checklist de verificación de proveedores y ponlo en ciclo con la auditoría trimestral, que es lo que impide que todo esto vuelva a quedar desactualizado en dos años. Y si estás por contratar, solicita cotización pidiendo desde el inicio la norma vigente conforme a la cual el proveedor selecciona el equipo de protección de su personal: la respuesta ordena las propuestas antes de mirar el precio.