DORA i els proveïdors de serveis TIC: què necessiten les entitats financeres dels seus proveïdors

01On és el DORA a la tardor del 2026

El Reglament de resiliència operativa digital (obre un lloc web extern) (DORA), el Reglament (UE) 2022/2554, s’aplica des del 17 de gener del 2025. Com que és un reglament, s’aplica directament a tots els estats membres. El detall és en les normes tècniques que ha adoptat la Comissió sobre el marc de gestió del risc TIC, la classificació i la notificació d’incidents, el registre d’informació, les polítiques contractuals, la subcontractació i les proves de penetració basades en amenaces.

Per a les entitats financeres, el DORA és l’acte sectorial que substitueix les normes de la NIS2 sobre gestió del risc TIC, notificació d’incidents i supervisió. El 18 de novembre del 2025, les tres autoritats europees de supervisió (EBA, EIOPA i ESMA) van publicar (obre un lloc web extern) la primera llista de proveïdors tercers de serveis TIC crítics que supervisen directament.

02Les entitats financeres i els seus proveïdors TIC

El DORA cobreix vint tipus d’entitats financeres, des de les entitats de crèdit, les entitats de pagament i de diner electrònic i les empreses de serveis d’inversió fins als proveïdors de serveis de criptoactius, els centres de negociació, les gestores de fons, les asseguradores, els mediadors d’assegurances, els fons de pensions d’ocupació, les agències de qualificació creditícia i les plataformes de finançament participatiu. La proporcionalitat hi és prevista: l’article 4 ajusta els requisits a la mida, el perfil de risc i la complexitat, i l’article 16 fixa un marc simplificat per a algunes entitats més petites.

Un proveïdor tercer de serveis TIC és qualsevol empresa que presta serveis TIC, i el DORA els defineix de manera àmplia: serveis digitals i de dades prestats a través de sistemes TIC a persones usuàries internes o externes de manera continuada. L’allotjament, els serveis gestionats, el programari com a servei, el manteniment i el suport d’aplicacions i els serveis de dades hi solen entrar. Els proveïdors no estan supervisats pel DORA tret que se’ls designi com a crítics, però els seus clients porten les obligacions a cada contracte.

03L’òrgan de direcció assumeix el risc TIC

L’article 5 atribueix a l’òrgan de direcció la responsabilitat última del risc TIC. Defineix, aprova i supervisa el marc de gestió del risc TIC, fixa l’estratègia de resiliència operativa digital i la tolerància al risc, aprova la política de continuïtat de l’activitat i els plans de resposta i recuperació, i aprova i revisa la política d’ús de serveis TIC de proveïdors tercers. Els seus membres han de mantenir actualitzats els coneixements, també amb formació periòdica.

04Incidents greus: 4 hores, 72 hores, un mes

Les entitats financeres classifiquen els incidents relacionats amb les TIC amb els criteris de l’article 18, detallats al Reglament delegat (UE) 2024/1772 (obre un lloc web extern): clients i operacions afectats, durada i temps d’inactivitat, abast geogràfic, pèrdues de dades, criticitat dels serveis afectats i impacte econòmic. Un incident greu es notifica a l’autoritat competent en tres passos, amb els terminis que fixa el Reglament delegat (UE) 2025/301 (obre un lloc web extern):

Els clients els interessos financers dels quals es vegin afectats han de ser informats sense demora indeguda. Una entitat financera pot externalitzar la notificació mateixa a un tercer, però en continua sent plenament responsable (article 19.5). A Espanya, el Banc d’Espanya i la Comissió Nacional del Mercat de Valors (CNMV) tenen procediments propis per notificar els incidents greus de les entitats que supervisen.

Per als proveïdors, això és concret. Cada contracte TIC ha d’incloure l’obligació del proveïdor de prestar assistència quan es produeix un incident relacionat amb el seu servei, sense cost addicional o amb un cost acordat per endavant (article 30.2.f). La finestra de quatre hores del client només funciona si la supervisió, els registres i els contactes del proveïdor estan a punt abans de l’incident.

05Proves, fins a les proves de penetració basades en amenaces

L’article 24 exigeix un programa de proves basat en el risc, executat per persones independents internes o externes, amb proves adequades almenys un cop l’any de tots els sistemes i aplicacions TIC que donen suport a funcions crítiques o importants. Les entitats que identifiqui l’autoritat competent també han de fer proves de penetració basades en amenaces almenys cada tres anys, en sistemes de producció en funcionament, d’acord amb el Reglament delegat (UE) 2025/1190 (obre un lloc web extern), que segueix el marc TIBER-EU.

Quan els serveis d’un proveïdor entren en l’abast d’una TLPT, l’entitat financera ha de garantir que hi participi (article 26.3), i els contractes de funcions crítiques o importants han d’incloure aquesta obligació (article 30.3.d). Si la participació d’un proveïdor pot perjudicar els seus altres clients, el DORA permet proves agrupades, en què el proveïdor contracta directament un equip de proves extern en nom de diverses entitats financeres (article 26.4).

06Risc de tercers TIC: estratègia, registre i sortida

L’article 28 fa del risc de tercers TIC una part del marc de gestió del risc TIC, i l’entitat financera continua sent plenament responsable del compliment, externalitzi el que externalitzi. Els deures principals:

• Una estratègia sobre el risc de tercers TIC, amb una política sobre els serveis TIC que donen suport a funcions crítiques o importants, revisada periòdicament per l’òrgan de direcció.
• Un registre d’informació de tots els acords contractuals de serveis TIC, per a cada entitat i per al grup, que distingeixi els que donen suport a funcions crítiques o importants. Les plantilles les fixa el Reglament d’execució (UE) 2024/2956 (obre un lloc web extern). Les entitats n’informen l’autoritat competent almenys un cop l’any i li faciliten el registre complet quan el demana.
• Diligència deguda abans de signar: si el servei dona suport a una funció crítica o important, els riscos, inclòs el de concentració, la idoneïtat del proveïdor i els possibles conflictes d’interessos. Els proveïdors han d’aplicar normes adequades de seguretat de la informació i, per a les funcions crítiques o importants, les més actuals i de més qualitat.
• Drets de resolució, entre altres casos per un incompliment greu del proveïdor, per febleses demostrades en la seva gestió del risc TIC o per circumstàncies que impedeixen una supervisió efectiva.
• Estratègies de sortida per als serveis TIC que donen suport a funcions crítiques o importants, documentades i provades, perquè l’entitat pugui marxar sense interrompre l’activitat, limitar el compliment ni perjudicar els serveis als seus clients.

Què ha de dir el contracte

L’article 30 fixa les clàusules contractuals mínimes. Cada contracte TIC ha de constar per escrit, en un sol document que inclogui els nivells de servei, i cobrir com a mínim:

• una descripció completa de les funcions i els serveis, i si es permet la subcontractació i en quines condicions;
• els llocs on es presten els serveis i on es tracten i s’emmagatzemen les dades, amb preavís de qualsevol canvi;
• la disponibilitat, l’autenticitat, la integritat i la confidencialitat de les dades, incloses les personals;
• l’accés a les dades, la seva recuperació i el seu retorn en un format fàcilment accessible en cas d’insolvència, cessament o resolució;
• la descripció dels nivells de servei;
• l’assistència en els incidents TIC relacionats amb el servei, sense cost addicional o amb un cost acordat per endavant;
• la cooperació plena amb les autoritats competents i de resolució;
• els drets de resolució i els terminis mínims de preavís;
• la participació en els programes de conscienciació en seguretat TIC i en la formació en resiliència de l’entitat.

Per als serveis que donen suport a funcions crítiques o importants, l’article 30.3 hi afegeix objectius de rendiment quantitatius i qualitatius precisos, deures d’avís i d’informació, plans de contingència que el proveïdor aplica i prova, la participació en les TLPT, drets d’accés, inspecció i auditoria sense restriccions per a l’entitat i el seu supervisor, i una estratègia de sortida amb un període de transició obligatori. El Reglament delegat (UE) 2025/532 (obre un lloc web extern) afegeix el que l’entitat ha de valorar quan aquests serveis se subcontracten.

07Proveïdors tercers de serveis TIC crítics

D’acord amb l’article 31, les autoritats europees de supervisió designen els proveïdors TIC que són crítics per al sector financer, segons el seu impacte sistèmic, la importància de les entitats financeres que en depenen, el seu paper en funcions crítiques o importants i la facilitat per substituir-los. Cada proveïdor crític té un supervisor principal, una de les tres autoritats, que pot demanar informació, fer investigacions i inspeccions, i emetre recomanacions.

La primera llista (obre un lloc web extern), publicada el 18 de novembre del 2025, va designar 19 proveïdors, des d’operadors de núvol i centres de dades fins a empreses de telecomunicacions, de serveis informàtics, de dades de mercat i de programari empresarial. La designació no treu cap deure a l’entitat financera: continua mantenint el registre, les clàusules contractuals i una estratègia de sortida per a cadascun d’aquests proveïdors.

08Què ha de tenir a punt un proveïdor TIC

La majoria de proveïdors d’entitats financeres no seran mai designats com a crítics, però tots troben el DORA en contractes, processos de diligència deguda i auditories. Un proveïdor que té a punt el que segueix escurça la contractació i facilita el diàleg del client amb el supervisor:

• Dades per al registre. El que el client necessita per al seu registre d’informació: entitat jurídica i identificadors, els serveis prestats i les funcions a què donen suport, les ubicacions i els subcontractistes de la cadena.
• Clàusules que s’ajusten a l’article 30. Idealment, un annex DORA estàndard que cobreixi totes dues llistes, en lloc de negociar cada clàusula des de zero.
• Evidència d’incidents. Supervisió, registres amb marques de temps fiables i un procediment de notificació que permeti al client classificar i notificar en poques hores.
• Continuïtat provada. Plans de contingència i proves de restauració, amb dates i resultats.
• Seguretat que es pot demostrar. Normes de seguretat de la informació, control d’accés, un cicle de vida de desenvolupament segur i gestió de vulnerabilitats, amb evidència independent sempre que es pugui.
• Preparació per a auditories i proves. Una manera viable d’acollir auditories i inspeccions i de participar en les TLPT, incloses les proves agrupades quan escaigui.
• Un pla de sortida. Retorn de dades en formats utilitzables, documentació i suport en la transició durant un període acordat.

Així treballem com a proveïdor TIC d’entitats financeres: acordem les clàusules contractuals que exigeix el DORA, notifiquem els incidents pel canal acordat, documentem els plans de sortida, participem en les proves de resiliència i aportem la informació que necessita el vostre registre. La nostra pàgina de confiança i compliment normatiu descriu com treballem, inclòs el nostre sistema de gestió de la seguretat de la informació amb certificació ISO/IEC 27001.

09Un pla pràctic per a totes dues parts

1. 01Completeu el registre. Vinculeu cada contracte TIC a les funcions a què dona suport i marqueu les crítiques o importants.
2. 02Tanqueu els buits contractuals. Compareu cada contracte amb l’article 30 i acordeu un annex on faltin clàusules.
3. 03Alineeu la gestió d’incidents. Acordeu amb cada proveïdor crític les dades per a la classificació, els contactes i els temps de notificació, i proveu-los.
4. 04Planifiqueu les proves amb els proveïdors. Incloeu-los en el programa de proves i, si escau, en la delimitació d’una TLPT.
5. 05Redacteu i proveu les estratègies de sortida. Per a cada funció crítica o important: alternatives, retorn de dades i període de transició.
6. 06Vigileu la concentració. Tenir diverses funcions crítiques en un mateix proveïdor és un risc que cal documentar i gestionar (article 29).

10La vostra autoritat competent a Espanya

El DORA és el mateix text a tot arreu, però la supervisió és nacional per a la majoria d’entitats financeres. A Espanya, l’autoritat competent depèn del tipus d’entitat: el Banc d’Espanya per a les entitats de crèdit, les entitats de pagament i les entitats de diner electrònic; la CNMV per a les empreses de serveis d’inversió, les gestores d’institucions d’inversió col·lectiva i els mercats regulats; i la Direcció General d’Assegurances i Fons de Pensions (DGSFP) per a les asseguradores, les reasseguradores i els fons de pensions i les seves gestores. El format i el canal del registre d’informació i de les notificacions d’incidents, i l’autoritat responsable de les TLPT, es fixen a escala nacional. Consulteu les orientacions de la vostra autoritat.

11Què cal seguir els propers mesos

• Les prioritats i les conclusions de supervisió de la vostra autoritat competent sobre el registre d’informació i la notificació d’incidents.
• La supervisió dels proveïdors tercers de serveis TIC crítics per part dels supervisors principals, i les recomanacions que afectin serveis que utilitzeu.
• La proposta d’Òmnibus digital (obre un lloc web extern) de la Comissió, COM(2025) 837, que faria passar les notificacions d’incidents greus del DORA per un punt d’entrada únic gestionat per l’ENISA. A l’octubre del 2026 encara era en tràmit al Parlament Europeu; mentre no s’adopti i s’apliqui, es mantenen els canals i els terminis actuals.

Les organitzacions de fora del sector financer tenen deures semblants sobre la cadena de subministrament amb la NIS2; vegeu el nostre article sobre la NIS2 i els proveïdors de programari. Les autoritats europees de supervisió mantenen una síntesi de les normes tècniques i del marc de supervisió a les seves pàgines sobre el DORA (obre un lloc web extern).