DORA y proveedores terceros de servicios TIC: qué necesitan las entidades financieras de sus proveedores

01Dónde está DORA en otoño de 2026

El Reglamento sobre la resiliencia operativa digital del sector financiero (se abre en un sitio externo), Reglamento (UE) 2022/2554, conocido como DORA, se aplica desde el 17 de enero de 2025. Como reglamento, es directamente aplicable en todos los Estados miembros; la ley nacional se limita sobre todo a designar las autoridades competentes y fijar las sanciones. El detalle está en las normas técnicas adoptadas por la Comisión sobre el marco de gestión del riesgo de TIC, la clasificación y notificación de incidentes, el registro de información, la política contractual, la subcontratación y las pruebas de penetración basadas en amenazas.

Para las entidades financieras, DORA es el acto sectorial que sustituye a las normas de NIS2 sobre gestión de riesgos de TIC, notificación de incidentes y supervisión. El 18 de noviembre de 2025, las tres Autoridades Europeas de Supervisión (EBA, EIOPA y ESMA) publicaron (se abre en un sitio externo) la primera lista de proveedores terceros esenciales de servicios de TIC que supervisan directamente.

02Entidades financieras y sus proveedores de TIC

DORA abarca veinte tipos de entidades financieras, desde entidades de crédito, entidades de pago y de dinero electrónico y empresas de servicios de inversión hasta proveedores de servicios de criptoactivos, centros de negociación, gestoras de fondos, empresas de seguros y reaseguros, mediadores de seguros, fondos de pensiones de empleo, agencias de calificación crediticia y proveedores de servicios de financiación participativa. La proporcionalidad está integrada: el artículo 4 ajusta los requisitos al tamaño, el perfil de riesgo y la complejidad, y el artículo 16 prevé un marco simplificado para algunas entidades más pequeñas.

Un proveedor tercero de servicios de TIC es cualquier empresa que presta servicios de TIC, y DORA los define de forma amplia: servicios digitales y de datos prestados de manera continuada a través de sistemas de TIC a usuarios internos o externos. El alojamiento, los servicios gestionados, el software como servicio, el mantenimiento y soporte de aplicaciones y los servicios de datos suelen quedar incluidos. Los proveedores no están supervisados en virtud de DORA salvo que se les designe como esenciales, pero sus clientes trasladan las obligaciones a cada contrato.

03El órgano de dirección asume el riesgo de TIC

El artículo 5 atribuye al órgano de dirección la responsabilidad última del riesgo de TIC. Define, aprueba y supervisa el marco de gestión de ese riesgo, establece la estrategia de resiliencia operativa digital y el nivel de tolerancia al riesgo, aprueba la política de continuidad de las actividades y los planes de respuesta y recuperación, y aprueba y revisa la política sobre el uso de servicios de TIC prestados por terceros. Sus miembros deben mantener sus conocimientos al día, también mediante formación periódica.

04Incidentes graves: cuatro horas, 72 horas, un mes

Las entidades financieras clasifican los incidentes relacionados con las TIC según los criterios del artículo 18, desarrollados en el Reglamento Delegado (UE) 2024/1772 (se abre en un sitio externo): clientes y operaciones afectados, duración e interrupción del servicio, extensión geográfica, pérdidas de datos, criticidad de los servicios afectados e impacto económico. Un incidente grave se notifica a la autoridad competente en tres pasos, con los plazos del Reglamento Delegado (UE) 2025/301 (se abre en un sitio externo):

Los clientes cuyos intereses financieros se vean afectados deben ser informados sin demora indebida. Una entidad financiera puede externalizar la notificación en un tercero, pero sigue siendo plenamente responsable de ella (artículo 19, apartado 5).

Para los proveedores esto es muy concreto. Todo contrato de TIC debe incluir la obligación del proveedor de prestar asistencia cuando se produzca un incidente relacionado con su servicio, sin coste adicional o con un coste fijado de antemano (artículo 30, apartado 2, letra f). La ventana de cuatro horas del cliente solo funciona si la monitorización, los registros y los contactos del proveedor están listos antes del incidente.

05Pruebas, hasta las pruebas de penetración basadas en amenazas

El artículo 24 exige un programa de pruebas basado en el riesgo, realizado por evaluadores independientes, internos o externos, con pruebas adecuadas al menos una vez al año de todos los sistemas y aplicaciones de TIC que sustentan funciones esenciales o importantes. Las entidades que determine su autoridad competente deben realizar además, al menos cada tres años, pruebas de penetración basadas en amenazas sobre sistemas de producción reales, con arreglo al Reglamento Delegado (UE) 2025/1190 (se abre en un sitio externo), alineado con el marco TIBER-EU.

Cuando los servicios de un proveedor entran en el alcance de una TLPT, la entidad financiera debe asegurar su participación (artículo 26, apartado 3), y los contratos sobre funciones esenciales o importantes deben recoger esa obligación (artículo 30, apartado 3, letra d). Si la participación de un proveedor puede perjudicar a sus otros clientes, DORA permite una prueba agrupada: el proveedor contrata directamente a un evaluador externo en nombre de varias entidades financieras (artículo 26, apartado 4).

06Riesgo de terceros proveedores de TIC: estrategia, registro y salida

El artículo 28 integra el riesgo de terceros proveedores de TIC en el marco de gestión del riesgo de TIC, y la entidad financiera sigue siendo plenamente responsable del cumplimiento, externalice lo que externalice. Las principales obligaciones:

• Una estrategia sobre el riesgo de terceros proveedores de TIC, con una política sobre los servicios de TIC que sustentan funciones esenciales o importantes, revisada periódicamente por el órgano de dirección.
• Un registro de información sobre todos los acuerdos contractuales de servicios de TIC, a nivel de entidad y de grupo, que distinga los que sustentan funciones esenciales o importantes. Las plantillas las fija el Reglamento de Ejecución (UE) 2024/2956 (se abre en un sitio externo). Las entidades informan sobre él a su autoridad competente al menos una vez al año y facilitan el registro completo cuando se les solicita.
• Comprobaciones antes de firmar: si el servicio sustenta una función esencial o importante, los riesgos, incluido el de concentración, la idoneidad del proveedor y los posibles conflictos de intereses. Los proveedores deben aplicar normas adecuadas de seguridad de la información y, para funciones esenciales o importantes, las más actualizadas y de mayor calidad.
• Derechos de resolución, entre otros casos por incumplimiento grave del proveedor, deficiencias acreditadas en su gestión del riesgo de TIC o circunstancias que impidan una supervisión eficaz.
• Estrategias de salida para los servicios de TIC que sustentan funciones esenciales o importantes, documentadas y probadas, para que la entidad pueda cambiar de proveedor sin perturbar su actividad, limitar su cumplimiento normativo ni perjudicar los servicios a sus clientes.

Qué debe recoger el contrato

El artículo 30 establece las cláusulas contractuales mínimas. Todo contrato de TIC se formaliza por escrito, en un único documento que incluya los acuerdos de nivel de servicio, y contiene como mínimo:

• una descripción completa de las funciones y servicios, y si se permite la subcontratación y en qué condiciones;
• los lugares en los que se prestan los servicios y se tratan y almacenan los datos, con aviso previo de cualquier cambio;
• la disponibilidad, autenticidad, integridad y confidencialidad de los datos, incluidos los personales;
• el acceso a los datos, su recuperación y su devolución en un formato fácilmente accesible en caso de insolvencia, cese de actividad o resolución del contrato;
• la descripción de los niveles de servicio;
• asistencia ante incidentes de TIC relacionados con el servicio, sin coste adicional o con un coste fijado de antemano;
• la plena cooperación con las autoridades competentes y de resolución;
• los derechos de resolución y los plazos mínimos de preaviso;
• la participación en los programas de concienciación sobre seguridad de las TIC y en la formación sobre resiliencia de la entidad.

Para los servicios que sustentan funciones esenciales o importantes, el artículo 30, apartado 3, añade objetivos de rendimiento cuantitativos y cualitativos precisos, obligaciones de preaviso e información, planes de contingencia que el proveedor aplica y prueba, la participación en TLPT, derechos ilimitados de acceso, inspección y auditoría para la entidad y su supervisor, y una estrategia de salida con un periodo de transición obligatorio. El Reglamento Delegado (UE) 2025/532 (se abre en un sitio externo) precisa qué debe evaluar la entidad cuando esos servicios se subcontratan.

07Proveedores terceros esenciales de servicios de TIC

Según el artículo 31, las Autoridades Europeas de Supervisión designan a los proveedores de TIC que son esenciales para el sector financiero, en función de su impacto sistémico, la importancia de las entidades financieras que dependen de ellos, su papel en funciones esenciales o importantes y su sustituibilidad. Cada proveedor esencial tiene un supervisor principal, una de las tres autoridades, que puede solicitar información, realizar investigaciones e inspecciones y emitir recomendaciones.

La primera lista (se abre en un sitio externo), publicada el 18 de noviembre de 2025, designó a 19 proveedores: operadores de nube y centros de datos, telecomunicaciones, servicios de TI, datos de mercado y software empresarial. La designación no exime a la entidad financiera de ninguna obligación: sigue manteniendo el registro, las cláusulas contractuales y una estrategia de salida para cada uno de estos proveedores.

08Qué debe tener preparado un proveedor de TIC

La mayoría de los proveedores de entidades financieras nunca serán designados como esenciales, pero todos se encuentran con DORA a través de contratos, diligencia debida y auditorías. Un proveedor que tenga preparado lo siguiente acorta las compras y facilita el diálogo de su cliente con el supervisor:

• Datos para el registro. Lo que el cliente necesita para su registro de información: entidad jurídica e identificadores, servicios prestados y funciones que sustentan, ubicaciones y subcontratistas de la cadena.
• Cláusulas alineadas con el artículo 30. Idealmente una adenda DORA estándar que cubra ambas listas, en lugar de negociar cada cláusula desde cero.
• Evidencias ante incidentes. Monitorización, registros con marcas de tiempo fiables y un procedimiento de aviso que permita al cliente clasificar y notificar en pocas horas.
• Continuidad probada. Planes de contingencia y pruebas de restauración, con fechas y resultados.
• Seguridad demostrable. Normas de seguridad de la información, control de acceso, ciclo de desarrollo seguro y gestión de vulnerabilidades, con evidencias independientes cuando sea posible.
• Preparación para auditorías y pruebas. Una forma viable de acoger auditorías e inspecciones y de participar en TLPT, también en pruebas agrupadas cuando proceda.
• Un plan de salida. Devolución de datos en formatos utilizables, documentación y apoyo en la transición durante un periodo acordado.

Así trabajamos como proveedor de TIC de entidades financieras: acordamos las cláusulas contractuales que exige DORA, notificamos los incidentes por el canal acordado, documentamos los planes de salida, participamos en las pruebas de resiliencia y aportamos la información que necesita su registro. Nuestra página de confianza y cumplimiento describe cómo trabajamos, con un sistema de gestión de la seguridad de la información certificado según ISO/IEC 27001.

09Un plan práctico para ambas partes

1. 01Complete el registro. Vincule cada contrato de TIC a las funciones que sustenta y marque las esenciales o importantes.
2. 02Cierre las lagunas contractuales. Compare cada contrato con el artículo 30 y acuerde una adenda donde falten cláusulas.
3. 03Alinee la gestión de incidentes. Acuerde con cada proveedor crítico los datos para la clasificación, los contactos y los plazos de aviso, y pruébelos.
4. 04Planifique las pruebas con los proveedores. Inclúyalos en el programa de pruebas y, cuando proceda, en la definición del alcance de una TLPT.
5. 05Redacte y pruebe las estrategias de salida. Para cada función esencial o importante: alternativas, devolución de datos y periodo de transición.
6. 06Vigile la concentración. Varias funciones críticas en un mismo proveedor son un riesgo que debe documentar y gestionar (artículo 29).

10Su autoridad competente

DORA es el mismo texto en todas partes, pero la supervisión de la mayoría de las entidades financieras es nacional: el banco central, el supervisor prudencial o el supervisor de los mercados, según el tipo de entidad, y el BCE en el caso de los bancos significativos. El formato y el canal del registro de información y de las notificaciones de incidentes, así como la autoridad responsable de las TLPT, se fijan a escala nacional. Siga las orientaciones de su propia autoridad.

11Qué seguir en los próximos meses

• Las prioridades y conclusiones de su autoridad competente sobre el registro de información y la notificación de incidentes.
• La supervisión de los proveedores terceros esenciales por parte de los supervisores principales y las recomendaciones que afecten a servicios que usted utiliza.
• La propuesta de la Comisión de un Ómnibus Digital (se abre en un sitio externo), COM(2025) 837, que canalizaría las notificaciones de incidentes graves de DORA a través de un punto único de entrada gestionado por ENISA. En octubre de 2026 seguía en tramitación en el Parlamento Europeo; hasta que se adopte y sea aplicable, siguen vigentes los canales y plazos actuales.

Las organizaciones de fuera del sector financiero tienen obligaciones parecidas sobre su cadena de suministro en virtud de NIS2; consulte nuestro artículo sobre NIS2 y los proveedores de software. Las Autoridades Europeas de Supervisión ofrecen una visión de conjunto de las normas técnicas y del marco de vigilancia en sus páginas sobre DORA (se abre en un sitio externo).