DORA y proveedores de TI: qué cambia para quien opera en España

Durante mucho tiempo, la relación entre una entidad financiera y su proveedor de tecnología se gestionó como cualquier compra: precio, alcance, un SLA y una cláusula de confidencialidad. El Reglamento de Resiliencia Operativa Digital de la Unión Europea, conocido como DORA, cambia ese enfoque. La resiliencia de los servicios digitales pasa a ser una obligación regulatoria de la entidad, y como buena parte de esos servicios los prestan terceros, la exigencia llega también a los proveedores.

Este artículo resume qué es DORA, qué pedirán las entidades financieras a sus proveedores de TI y cómo puede prepararse un proveedor que presta servicios en España, incluidos los que operan desde Latinoamérica.

Qué es DORA y desde cuándo se aplica

DORA es el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. Se aplica desde el 17 de enero de 2025. Al ser un reglamento, es directamente aplicable en todos los Estados miembros, incluida España, sin necesidad de transposición. Se complementa con normas técnicas que detallan muchos de sus requisitos.

Se dirige a un conjunto amplio de entidades financieras (entre otras, entidades de crédito, entidades de pago, empresas de servicios de inversión y aseguradoras) y se organiza en cinco pilares:

• Gestión del riesgo relacionado con las TIC: un marco de gobierno y control del riesgo tecnológico, con responsabilidad del órgano de dirección.
• Gestión, clasificación y notificación de incidentes relacionados con las TIC: detectar, clasificar y notificar a la autoridad los incidentes graves.
• Pruebas de resiliencia operativa digital: un programa de pruebas proporcional, que en algunas entidades incluye pruebas avanzadas basadas en amenazas.
• Gestión del riesgo de terceros proveedores de servicios TIC: control de los riesgos que traen los proveedores tecnológicos durante todo el ciclo del contrato.
• Intercambio de información sobre ciberamenazas entre entidades.

Además, DORA crea un marco de supervisión de los terceros proveedores de servicios TIC críticos. Las Autoridades Europeas de Supervisión pueden designar como críticos a proveedores cuyo fallo afectaría a muchas entidades, y esos proveedores quedan sujetos a supervisión directa a escala europea.

Por qué afecta a los proveedores aunque no sean entidades financieras

La mayoría de los proveedores de TI no son destinatarios directos de DORA. Sin embargo, la entidad financiera sigue siendo plenamente responsable de cumplir aunque externalice un servicio. Por eso trasladará sus obligaciones a los contratos, a los cuestionarios de evaluación y a las revisiones periódicas.

En la práctica, esto se nota de varias formas: procesos de contratación más largos, más preguntas sobre subcontratación y ubicación de los datos, exigencias de participación en pruebas y en la gestión de incidentes, y renegociación de contratos existentes para incluir nuevas cláusulas. Un proveedor que llega preparado reduce fricciones y se diferencia; uno que no, puede quedar fuera de procesos de selección.

Esto incluye a proveedores con sede fuera de la Unión Europea, como empresas latinoamericanas que prestan servicios de desarrollo, soporte u operación a entidades financieras españolas. La exigencia contractual les llega igual.

Consideraciones para proveedores que operan desde fuera de la UE

Prestar servicios a una entidad española desde otro país es perfectamente posible, pero añade preguntas que conviene tener resueltas antes de que llegue el cuestionario:

• Ubicación de los datos y del personal. La entidad querrá saber desde qué países se accede a sus sistemas y dónde se almacenan o tratan sus datos.
• Protección de datos personales. Si el servicio implica tratar datos personales desde fuera de la Unión Europea, se suman las reglas del Reglamento General de Protección de Datos sobre transferencias internacionales, que son independientes de DORA.
• Cobertura horaria. La cooperación ante incidentes exige respuesta en el horario de la entidad. Una diferencia horaria de varias horas debe resolverse con turnos o guardias acordados.
• Acceso de auditores y autoridades. Los derechos de auditoría e inspección también se aplican a instalaciones y procesos fuera de la UE, y el proveedor debe poder facilitarlos.
• Ley aplicable y continuidad. La entidad evaluará si el marco legal del país del proveedor podría dificultar el acceso a los datos o la salida ordenada.

Qué te pedirán las entidades financieras

Sin entrar en el detalle de cada artículo, estos son los temas que un proveedor de TI debe esperar en sus contratos y evaluaciones:

Tema	Qué suele implicar para el proveedor
Descripción del servicio y niveles de servicio	Descripción completa y clara de los servicios, con niveles de servicio precisos y medibles, especialmente si soportan funciones críticas o importantes.
Ubicación y subcontratación	Indicar dónde se prestan los servicios y se tratan los datos, y qué subcontratistas intervienen, con condiciones para subcontratar.
Seguridad y protección de datos	Medidas de disponibilidad, autenticidad, integridad y confidencialidad de los datos, y garantías de acceso y devolución.
Cooperación ante incidentes	Asistencia a la entidad cuando ocurra un incidente TIC relacionado con el servicio, con información oportuna para que pueda clasificarlo y notificarlo.
Pruebas de resiliencia	Participar en las pruebas de la entidad y, cuando corresponda, en pruebas avanzadas basadas en amenazas.
Acceso, auditoría e inspección	Derechos de acceso, inspección y auditoría para la entidad y para las autoridades competentes.
Terminación y estrategia de salida	Derechos de terminación definidos y un periodo de transición que permita a la entidad migrar el servicio sin interrumpir su operación.
Formación y concienciación	Participación en programas de concienciación sobre seguridad TIC y resiliencia de la entidad.

Un punto que conviene entender bien es el registro de información. Las entidades financieras deben mantener un registro de todos sus acuerdos contractuales con proveedores de servicios TIC y ponerlo a disposición de la autoridad. Para alimentarlo, pedirán a sus proveedores datos estructurados sobre el servicio, la entidad proveedora, los subcontratistas relevantes y las ubicaciones. Tener esa información lista y actualizada evita idas y vueltas.

Cómo se prepara un proveedor

Una lista de verificación para revisar antes de la próxima renovación o licitación:

• Catálogo de servicios claro, con alcance, niveles de servicio y método de medición por servicio.
• Mapa de subcontratistas y ubicaciones: quién interviene en cada servicio, desde dónde y con qué acceso a datos.
• Proceso de gestión de incidentes documentado, con tiempos de comunicación al cliente, contenido de los reportes y responsables. Es clave poder entregar información rápida y precisa para que la entidad cumpla sus propios plazos de notificación.
• Plan de continuidad y recuperación del servicio, probado y con evidencia de las pruebas.
• Disposición para pruebas conjuntas: entornos, ventanas y responsables para participar en los ejercicios del cliente.
• Plan de salida por servicio: cómo se devuelven los datos, qué documentación se entrega y qué apoyo se presta durante la transición.
• Evidencias de seguridad: certificaciones vigentes (por ejemplo, ISO/IEC 27001), informes de auditoría y políticas actualizadas.
• Plantilla de datos para el registro de información del cliente, mantenida por un responsable interno.
• Modelo de contrato o adenda revisado por tu área legal, que anticipe las cláusulas habituales.

Un error frecuente es responder a cada cliente desde cero. Conviene preparar un paquete estándar (descripción de servicios, controles, plan de incidentes, plan de salida y datos para el registro) que se adapta a cada caso.

El caso de los proveedores críticos y la proporcionalidad

Solo un número reducido de proveedores será designado como crítico a escala europea, normalmente grandes plataformas de las que dependen muchas entidades. Para el resto, la exigencia llega por vía contractual, pero no es menor: si tu servicio soporta una función crítica o importante de la entidad, las condiciones serán más estrictas.

DORA incorpora además el principio de proporcionalidad: los requisitos se aplican según el tamaño, el perfil de riesgo y la naturaleza de la entidad y de sus servicios. Eso significa que dos clientes pueden pedir cosas distintas por el mismo servicio. Conviene preguntar al cliente cómo ha clasificado el servicio contratado, porque esa clasificación determina buena parte de lo que se exigirá.

En España, la supervisión del cumplimiento recae en las autoridades financieras según el tipo de entidad. Para el proveedor, la relación sigue siendo con su cliente, pero debe estar preparado para que una autoridad solicite información o acceso a través de él.

Este artículo es divulgativo y no constituye asesoría legal: valida la aplicación de DORA a tus contratos y servicios con tu área de cumplimiento o asesoría legal.