DORA eta IKT hirugarren hornitzaileak: zer behar duten finantza-erakundeek beren hornitzaile­engandik

01DORA Erregelamenduaren egoera 2026ko udazkenean

Finantza-sektorearen erresilientzia operatibo digitalari buruzko Erregelamendua (kanpoko webgune bat irekitzen du), hau da, (EB) 2022/2554 Erregelamendua, 2025eko urtarrilaren 17tik aplikatzen da. Erregelamendua denez, zuzenean aplikatzen da estatu kide guztietan; lege nazionalak, batez ere, agintari eskudunak eta zigorrak finkatzen ditu. Xehetasunak Batzordeak onartutako arau teknikoetan daude: IKT arriskuak kudeatzeko esparrua, gertakarien sailkapena eta jakinarazpena, informazio-erregistroa, kontratu-politikak, azpikontratazioa eta mehatxuetan oinarritutako sartze-probak.

Finantza-erakundeentzat, DORA da IKT arriskuen kudeaketari, gertakarien jakinarazpenari eta ikuskapenari buruzko NIS2 arauak ordezten dituen sektore-egintza. 2025eko azaroaren 18an, Europako hiru ikuskapen-agintaritzek (EBA, EIOPA eta ESMA) zuzenean gainbegiratzen dituzten IKT hirugarren hornitzaile kritikoen lehen zerrenda argitaratu zuten (kanpoko webgune bat irekitzen du).

02Finantza-erakundeak eta haien IKT hornitzaileak

DORA hogei finantza-erakunde motari aplikatzen zaie: kreditu-erakundeak, ordainketa-erakundeak eta diru elektronikoko erakundeak, inbertsio-zerbitzuetako enpresak, kripto-aktiboen zerbitzu-emaileak, negoziazio-guneak, funts-kudeatzaileak, aseguru-etxeak, aseguru-bitartekariak, enpleguko pentsio-funtsak, kreditu-kalifikazioko agentziak eta finantzaketa partizipatiboko plataformak, besteak beste. Proportzionaltasuna barne dago: 4. artikuluak tamainaren, arrisku-profilaren eta konplexutasunaren arabera egokitzen ditu baldintzak, eta 16. artikuluak esparru sinplifikatu bat ezartzen du erakunde txikiago batzuentzat.

IKT hirugarren hornitzailea IKT zerbitzuak ematen dituen edozein enpresa da, eta DORAk zabal definitzen ditu zerbitzu horiek: IKT sistemen bidez barneko edo kanpoko erabiltzaileei modu jarraituan ematen zaizkien zerbitzu digitalak eta datu-zerbitzuak. Ostatatzea, zerbitzu kudeatuak, softwarea zerbitzu gisa, aplikazioen mantentze-lanak eta laguntza, eta datu-zerbitzuak sartu ohi dira definizioan. Hornitzaileak ez daude DORAren ikuskapenaren mende kritiko gisa izendatzen ez badira, baina haien bezeroek kontratu guztietara eramaten dituzte betebeharrak.

03Zuzendaritza-organoak darama IKT arriskua

5. artikuluak zuzendaritza-organoari ematen dio IKT arriskuaren azken erantzukizuna. Organo horrek IKT arriskuak kudeatzeko esparrua definitu, onartu eta gainbegiratzen du, erresilientzia operatibo digitalaren estrategia eta arrisku-tolerantzia finkatzen ditu, negozio-jarraitutasunaren politika eta erantzun- eta berreskurapen-planak onartzen ditu, eta hirugarren hornitzaileen IKT zerbitzuak erabiltzeko politika onartu eta berrikusten du. Haren kideek ezagutzak eguneratuta eduki behar dituzte, besteak beste aldizkako prestakuntzaren bidez.

04Gertakari larriak: 4 ordu, 72 ordu, hilabete bat

Finantza-erakundeek IKTrekin lotutako gertakariak sailkatzen dituzte 18. artikuluko irizpideen arabera, (EB) 2024/1772 Erregelamendu Delegatuak (kanpoko webgune bat irekitzen du) zehaztuta: eragindako bezeroak eta transakzioak, iraupena eta zerbitzu-etena, hedadura geografikoa, datu-galerak, eragindako zerbitzuen kritikotasuna eta eragin ekonomikoa. Gertakari larri bat hiru urratsetan jakinarazten zaio agintari eskudunari, (EB) 2025/301 Erregelamendu Delegatuak (kanpoko webgune bat irekitzen du) ezarritako epeetan:

Finantza-interesak kaltetuta dituzten bezeroei atzerapen bidegaberik gabe jakinarazi behar zaie. Finantza-erakunde batek jakinarazpena bera hirugarren bati eman diezaioke, baina haren erantzule osoa izaten jarraitzen du (19.5 artikulua).

Hornitzaileentzat, hori zehatza da. IKT kontratu orok jaso behar du hornitzaileak laguntzeko duen betebeharra, haren zerbitzuarekin lotutako gertakari bat gertatzen denean, kostu gehigarririk gabe edo aldez aurretik adostutako kostu batean (30.2.f artikulua). Bezeroaren lau orduko leihoak funtzionatzen du hornitzailearen monitorizazioa, erregistroak eta kontaktuak gertakaria baino lehen prest badaude soilik.

05Probak, mehatxuetan oinarritutako sartze-probetaraino

24. artikuluak arriskuan oinarritutako proba-programa bat eskatzen du, barneko edo kanpoko probatzaile independenteek egina, eta proba egokiak gutxienez urtean behin funtzio kritiko edo garrantzitsuei eusten dieten IKT sistema eta aplikazio guztietan. Agintari eskudunak identifikatutako erakundeek mehatxuetan oinarritutako sartze-probak ere egin behar dituzte gutxienez hiru urtean behin, ekoizpeneko sistemetan, (EB) 2025/1190 Erregelamendu Delegatuaren (kanpoko webgune bat irekitzen du) arabera, zeinak TIBER-EU esparruari jarraitzen baitio.

Hornitzaile baten zerbitzuak TLPT baten eremuan daudenean, finantza-erakundeak ziurtatu behar du hornitzaileak parte hartzen duela (26.3 artikulua), eta funtzio kritiko edo garrantzitsuen kontratuek betebehar hori jaso behar dute (30.3.d artikulua). Hornitzailearen parte-hartzeak haren beste bezero batzuei kalte egin badiezaieke, DORAk proba bateratuak ahalbidetzen ditu: hornitzaileak zuzenean kontratatzen du kanpoko probatzaile bat, hainbat finantza-erakunderen izenean (26.4 artikulua).

06IKT hirugarrenen arriskua: estrategia, erregistroa eta irteera

28. artikuluak IKT hirugarrenen arriskua IKT arriskuak kudeatzeko esparruaren parte egiten du, eta finantza-erakundeak betetzearen erantzule osoa izaten jarraitzen du, kanpora ematen duena edozein dela ere. Betebehar nagusiak:

• IKT hirugarrenen arriskuari buruzko estrategia bat, funtzio kritiko edo garrantzitsuei eusten dieten IKT zerbitzuei buruzko politika barne, zuzendaritza-organoak aldiro berrikusia.
• Informazio-erregistro bat IKT zerbitzuen kontratu-akordio guztiei buruz, erakunde- eta talde-mailan, funtzio kritiko edo garrantzitsuei eusten dieten akordioak bereizten dituena. Txantiloiak (EB) 2024/2956 Betearazpen Erregelamenduak (kanpoko webgune bat irekitzen du) ezartzen ditu. Erakundeek gutxienez urtean behin informatzen diote agintari eskudunari, eta erregistro osoa ematen dute eskatzen zaienean.
• Arreta egokia sinatu aurretik: zerbitzuak funtzio kritiko edo garrantzitsu bati eusten dion, arriskuak (kontzentrazio-arriskua barne), hornitzailearen egokitasuna eta interes-gatazkak. Hornitzaileek informazioaren segurtasuneko arau egokiak aplikatu behar dituzte, eta funtzio kritiko edo garrantzitsuetarako eguneratuenak eta kalitate handienekoak.
• Kontratua suntsiarazteko eskubideak, besteak beste hornitzailearen ez-betetze larriagatik, haren IKT arriskuen kudeaketan frogatutako ahuleziengatik edo ikuskapen eraginkorra eragozten duten egoerengatik.
• Irteera-estrategiak funtzio kritiko edo garrantzitsuei eusten dieten IKT zerbitzuetarako, dokumentatuak eta probatuak, erakundeak hornitzailea utzi ahal izan dezan bere jarduera eten gabe, arauak betetzea mugatu gabe eta bezeroei ematen dizkien zerbitzuak kaltetu gabe.

Zer jaso behar duen kontratuak

30. artikuluak gutxieneko kontratu-baldintzak ezartzen ditu. IKT kontratu orok idatziz egon behar du, zerbitzu-mailak barne hartzen dituen dokumentu bakarrean, eta gutxienez honako hauek jaso behar ditu:

• funtzioen eta zerbitzuen deskribapen osoa, eta azpikontratazioa onartzen den ala ez, eta zer baldintzatan;
• zerbitzuak ematen diren eta datuak tratatzen eta gordetzen diren lekuak, aldaketen aurretiazko jakinarazpenarekin;
• datuen eskuragarritasuna, benetakotasuna, osotasuna eta konfidentzialtasuna, datu pertsonalak barne;
• datuetarako sarbidea, haien berreskurapena eta itzulera formatu erraz eskuragarri batean, kaudimengabezian, jarduera uztean edo kontratua amaitzean;
• zerbitzu-mailen deskribapenak;
• laguntza zerbitzuarekin lotutako IKT gertakarietan, kostu gehigarririk gabe edo aldez aurretik adostutako kostu batean;
• lankidetza osoa agintari eskudunekin eta ebazpen-agintariekin;
• kontratua suntsiarazteko eskubideak eta gutxieneko aurrez abisatzeko epeak;
• erakundearen IKT segurtasunari buruzko sentsibilizazio-programetan eta erresilientzia-prestakuntzan parte hartzea.

Funtzio kritiko edo garrantzitsuei eusten dieten zerbitzuetarako, 30.3 artikuluak hau gehitzen du: errendimendu-helburu kuantitatibo eta kualitatibo zehatzak, jakinarazteko eta txostenak emateko betebeharrak, hornitzaileak ezarri eta probatzen dituen kontingentzia-planak, TLPTan parte hartzea, sarbide-, ikuskapen- eta ikuskaritza-eskubide mugagabeak erakundearentzat eta haren ikuskatzailearentzat, eta derrigorrezko trantsizio-aldia duen irteera-estrategia. (EB) 2025/532 Erregelamendu Delegatuak (kanpoko webgune bat irekitzen du) zehazten du zer ebaluatu behar duen erakundeak zerbitzu horiek azpikontratatzen direnean.

07IKT hirugarren hornitzaile kritikoak

31. artikuluaren arabera, Europako ikuskapen-agintaritzek finantza-sektorearentzat kritikoak diren IKT hornitzaileak izendatzen dituzte, irizpide hauen arabera: haien eragin sistemikoa, haietan oinarritzen diren finantza-erakundeen garrantzia, funtzio kritiko edo garrantzitsuetan duten zeregina eta ordezteko erraztasuna. Hornitzaile kritiko bakoitzak gainbegiratzaile nagusi bat du, hiru agintaritzetako bat, eta horrek informazioa eska dezake, ikerketak eta ikuskapenak egin ditzake eta gomendioak eman ditzake.

2025eko azaroaren 18an argitaratutako lehen zerrendak (kanpoko webgune bat irekitzen du) 19 hornitzaile izendatu zituen, hodei- eta datu-zentroen operadoreetatik hasi eta telekomunikazio, IKT zerbitzu, merkatu-datu eta enpresa-software enpresetaraino. Izendapenak ez dio finantza-erakundeari betebeharrik kentzen: hornitzaile horietako bakoitzerako erregistroa, kontratu-baldintzak eta irteera-estrategia izaten jarraitzen du.

08Zer izan behar duen prest IKT hornitzaile batek

Finantza-erakundeen hornitzaile gehienak ez dira inoiz kritiko gisa izendatuko, baina guztiek ezagutzen dute DORA kontratuen, arreta egokiaren eta ikuskaritzen bidez. Ondorengoak prest dituen hornitzaile batek kontratazioa laburtzen du, eta bezeroaren eta ikuskatzailearen arteko elkarrizketa errazten du:

• Erregistrorako datuak. Bezeroak bere informazio-erregistrorako behar duena: pertsona juridikoa eta identifikatzaileak, emandako zerbitzuak eta haiek eusten dieten funtzioak, kokapenak eta kateko azpikontratistak.
• 30. artikuluarekin bat datozen kontratu-baldintzak. Ahal bada, bi zerrendak hartzen dituen DORA eranskin estandar bat, klausula bakoitza hutsetik negoziatu ordez.
• Gertakarien ebidentzia. Monitorizazioa, data eta ordu fidagarriak dituzten erregistroak eta bezeroari orduen buruan sailkatu eta jakinarazten uzten dion jakinarazpen-prozedura.
• Probatutako jarraitutasuna. Kontingentzia-planak eta leheneratze-probak, datekin eta emaitzekin.
• Erakuts daitekeen segurtasuna. Informazioaren segurtasuneko arauak, sarbide-kontrola, garapen-ziklo segurua eta ahultasunen kudeaketa, ahal den neurrian ebidentzia independentearekin.
• Ikuskaritzetarako eta probetarako prest egotea. Ikuskaritzak eta ikuskapenak hartzeko modu bideragarri bat, eta TLPTan parte hartzekoa, egoki denean proba bateratuak barne.
• Irteera-plana. Datuak formatu erabilgarrietan itzultzea, dokumentazioa eta trantsizio-laguntza adostutako aldi batean.

Horrela lan egiten dugu finantza-erakundeen IKT hornitzaile gisa: DORAk eskatzen dituen kontratu-xedapenak adosten ditugu, gertakariak adostutako bidetik jakinarazten ditugu, irteera-planak dokumentatzen ditugu, erresilientzia-probetan parte hartzen dugu eta zure erregistroak behar duen informazioa ematen dugu. Konfiantza eta arau-betetzea orrian azaltzen dugu nola lan egiten dugun, ISO/IEC 27001 ziurtagiria duen informazioaren segurtasuna kudeatzeko gure sistema barne.

09Plan praktiko bat bi aldeentzat

1. 01Osatu erregistroa. Lotu IKT kontratu bakoitza eusten dien funtzioekin, eta markatu kritikoak edo garrantzitsuak.
2. 02Itxi kontratuetako hutsuneak. Alderatu kontratu bakoitza 30. artikuluarekin, eta adostu eranskin bat baldintzak falta direnean.
3. 03Lerrokatu gertakarien kudeaketa. Adostu sailkapenerako datuak, kontaktuak eta jakinarazpen-denborak hornitzaile kritiko bakoitzarekin, eta probatu.
4. 04Planifikatu probak hornitzaileekin. Sartu proba-programan eta, hala badagokio, TLPT baten esparrua zehaztean.
5. 05Idatzi eta probatu irteera-estrategiak. Funtzio kritiko edo garrantzitsu bakoitzerako: alternatibak, datuen itzulera eta trantsizio-aldia.
6. 06Zaindu kontzentrazioa. Funtzio kritiko batzuk hornitzaile berean izatea dokumentatu eta kudeatu beharreko arriskua da (29. artikulua).

10Zure agintari eskuduna Espainian

DORA testu bera da nonahi, baina finantza-erakunde gehienen ikuskapena nazionala da: banku zentrala, ikuskatzaile prudentziala edo merkatuen agintaritza, erakunde motaren arabera, eta Europako Banku Zentrala banku esanguratsuentzat. Informazio-erregistroaren eta gertakarien jakinarazpenen formatua eta bidea, eta TLPTaren arduradun den agintaritza, maila nazionalean finkatzen dira.

Espainian, hiru ikuskatzailek ikuskatzen dituzte finantza-erakundeak DORAren arabera, erakunde motaren arabera: Banco de España erakundeak kreditu-erakundeak, ordainketa-erakundeak eta diru elektronikoko erakundeak; Comisión Nacional del Mercado de Valores (CNMV) erakundeak inbertsio-zerbitzuetako enpresak, inbertsio kolektiboko erakundeen kudeatzaileak eta merkatu arautuak; eta Dirección General de Seguros y Fondos de Pensiones (DGSFP) erakundeak aseguru- eta berraseguru-etxeak eta pentsio-funtsak eta haien kudeatzaileak. Banco de España eta CNMV erakundeek gertakari larriak jakinarazteko prozedurak dituzte beren erakundeentzat. Egiaztatu zure agintariaren jarraibideak.

11Zeri erreparatu hurrengo hilabeteetan

• Zure agintari eskudunaren ikuskapen-lehentasunak eta aurkikuntzak, informazio-erregistroari eta gertakarien jakinarazpenari buruz.
• Gainbegiratzaile nagusiek IKT hirugarren hornitzaile kritikoei egiten dieten gainbegiratzea, eta erabiltzen dituzun zerbitzuei eragiten dieten gomendioak.
• Batzordearen Digital Omnibus proposamena (kanpoko webgune bat irekitzen du), COM(2025) 837; DORAren araberako gertakari larrien jakinarazpenak ENISAk kudeatutako sarrera-puntu bakar batetik bideratuko lituzke. 2026ko urrian, oraindik Europako Parlamentuan zegoen; onartu eta aplikatu arte, egungo bideek eta epeek jarraitzen dute.

Finantza-sektoretik kanpoko erakundeek antzeko hornikuntza-kateko betebeharrak dituzte NIS2 Zuzentarauaren arabera; ikus NIS2ri eta software-hornitzaileei buruzko gure artikulua. Europako ikuskapen-agintaritzek arau teknikoen eta gainbegiratze-esparruaren ikuspegi orokorra eskaintzen dute beren DORA orrietan (kanpoko webgune bat irekitzen du) (ingelesez).