El Reglamento (UE) 2022/2554, conocido como DORA, se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, gestoras, entidades de pago, proveedores de criptoactivos y la mayor parte del sector financiero de la Unión. Su objetivo es que estas entidades puedan resistir, responder y recuperarse de incidentes tecnológicos. Como reglamento, es directamente aplicable en todos los Estados miembros. Si automatizas procesos de una entidad financiera, DORA no te regula directamente como proveedor, salvo que te designen como crítico, pero sí decide qué debe incluir tu contrato y qué información tendrás que entregar.
Los cinco pilares, en una línea cada uno
- Gestión del riesgo TIC: un marco documentado, aprobado y supervisado por el órgano de dirección.
- Gestión y notificación de incidentes: clasificación de incidentes y notificación de los graves al supervisor.
- Pruebas de resiliencia: programa de pruebas y, para las entidades más relevantes, pruebas de penetración basadas en amenazas cada tres años.
- Riesgo de terceros TIC: el pilar que afecta a los proveedores.
- Intercambio de información sobre amenazas entre entidades, de carácter voluntario.
El registro de información
Cada entidad financiera debe mantener un registro de todos sus acuerdos contractuales con proveedores TIC, con el detalle de qué funciones soportan, si son críticas o importantes, dónde se procesan los datos y qué subcontratistas intervienen. El registro se entrega a los supervisores, que lo usan para detectar concentraciones de riesgo en el sector. Para ti, como proveedor, eso significa que te pedirán datos estructurados sobre tu empresa, tus servicios, tus ubicaciones y tu cadena de subcontratación, y que te los volverán a pedir cuando cambien.
Lo que debe decir tu contrato: artículo 30
El artículo 30 fija las cláusulas mínimas de cualquier contrato de servicios TIC con una entidad financiera:
- Descripción clara y completa de los servicios y de las condiciones de subcontratación.
- Ubicaciones donde se prestan los servicios y se tratan los datos, con obligación de avisar antes de cambiarlas.
- Disponibilidad, autenticidad, integridad y confidencialidad de los datos, incluidos los personales.
- Acceso, recuperación y devolución de los datos en caso de insolvencia, resolución o fin del contrato.
- Niveles de servicio.
- Asistencia en incidentes TIC relacionados con el servicio, sin coste adicional o a un coste determinado de antemano.
- Cooperación plena con las autoridades competentes.
- Derechos de resolución y plazos mínimos de preaviso.
- Participación en los programas de formación en seguridad de la entidad.
Si el servicio soporta una función crítica o importante, el contrato debe añadir niveles de servicio con objetivos cuantitativos, obligaciones de notificación, planes de contingencia probados por el proveedor, participación en las pruebas de penetración de la entidad, derechos ilimitados de acceso, inspección y auditoría, y una estrategia de salida con un periodo de transición obligatorio. Una automatización que ejecuta pagos, conciliaciones o la atención a clientes puede soportar una función crítica; conviene saber de antemano en qué lado de esa línea está tu servicio.
Incidentes: el reloj empieza antes de lo que parece
Las entidades financieras deben notificar los incidentes graves con plazos muy cortos: una notificación inicial dentro de las cuatro horas siguientes a clasificarlo como grave, y en ningún caso más de 24 horas después de conocerlo; un informe intermedio dentro de las 72 horas siguientes a la notificación inicial; y un informe final como máximo un mes después del informe intermedio o de su última actualización. Si el incidente empieza en tu sistema, esos plazos dependen de lo rápido que avises y de la calidad de lo que entregues. Pacta por escrito cómo y en cuánto tiempo notificarás, y ten preparada la información que la entidad necesitará: alcance, sistemas afectados, datos implicados, cronología y medidas adoptadas.
Proveedores críticos y subcontratación
Las autoridades europeas de supervisión designan a los proveedores TIC críticos para el conjunto del sector, que quedan sometidos al marco de vigilancia de DORA, ejercido por un supervisor principal designado entre esas autoridades. La primera lista, publicada el 18 de noviembre de 2025, designó a 19 proveedores, sobre todo grandes proveedores de nube, centros de datos y telecomunicaciones; conviene consultar la versión vigente, porque se actualiza. Si tu automatización corre sobre uno de ellos, la entidad lo reflejará en su registro como parte de tu cadena. Del mismo modo, cuando subcontratas parte de un servicio que soporta una función crítica, la entidad debe poder evaluar y vigilar esa subcontratación.
Cómo prepararte
Ten preparado un paquete estándar para clientes financieros: descripción del servicio, ubicaciones de tratamiento, lista de subcontratistas, niveles de servicio, procedimiento de notificación de incidentes, plan de continuidad con fechas de la última prueba y un plan de salida documentado. Revisa tu contrato tipo frente al artículo 30 antes de que lo haga el departamento jurídico del cliente. Y si tu propia empresa entra en NIS2 o tienes un sistema de gestión según ISO 27001, gran parte de la evidencia ya existe; solo hay que presentarla en el formato que DORA espera.
Preguntas que nos hacen sobre esto
Desde el 17 de enero de 2025, de forma directa en todos los Estados miembros de la UE.
Directamente, solo a los proveedores designados como críticos por las autoridades europeas de supervisión. Al resto le afecta a través de sus clientes financieros, que deben incluir en los contratos las cláusulas del artículo 30, registrar el acuerdo y vigilar el riesgo del proveedor.
Descripción de los servicios, ubicaciones del tratamiento de datos, protección de los datos, acceso y devolución de los datos al terminar, niveles de servicio, asistencia en incidentes, cooperación con las autoridades, derechos de resolución y participación en la formación en seguridad. Para funciones críticas o importantes se añaden objetivos cuantitativos de servicio, planes de contingencia, derechos ilimitados de auditoría, participación en pruebas de penetración y estrategia de salida.
Para incidentes graves: notificación inicial dentro de las cuatro horas siguientes a su clasificación como grave y como máximo 24 horas después de conocerlo, informe intermedio dentro de las 72 horas siguientes a la notificación inicial e informe final como máximo un mes después del informe intermedio o de su última actualización.
Un registro que cada entidad financiera mantiene de todos sus acuerdos con proveedores TIC, con las funciones que soportan, su criticidad, las ubicaciones de los datos y la cadena de subcontratación. Se entrega a los supervisores.
Un plan documentado para que la entidad pueda dejar de usar un proveedor que soporta una función crítica o importante sin interrumpir su actividad, con un periodo de transición pactado en el contrato durante el que el proveedor sigue prestando el servicio.
Tráenos el proceso por el que leías esto
Evaluación confidencial dirigida por ingenieros sénior. Sin compromiso.