DORA e os provedores terceiros de servizos TIC: o que precisan as entidades financeiras dos seus provedores

01En que punto está DORA no outono de 2026

O Regulamento de resiliencia operativa dixital (abre un sitio web externo), o Regulamento (UE) 2022/2554 (DORA), aplícase desde o 17 de xaneiro de 2025. Como regulamento, aplícase directamente en todos os Estados membros; a lei nacional sobre todo designa as autoridades competentes e fixa as sancións. Os detalles están nas normas técnicas adoptadas pola Comisión sobre o marco de xestión do risco TIC, a clasificación e a notificación de incidentes, o rexistro de información, as políticas contractuais, a subcontratación e as probas de penetración baseadas en ameazas.

Para as entidades financeiras, DORA é o acto sectorial que ocupa o lugar das normas da NIS2 sobre xestión do risco TIC, notificación de incidentes e supervisión. O 18 de novembro de 2025, as tres Autoridades Europeas de Supervisión (EBA, EIOPA e ESMA) publicaron (abre un sitio web externo) a primeira lista de provedores terceiros críticos de servizos TIC que supervisan directamente.

02As entidades financeiras e os seus provedores TIC

DORA cobre vinte tipos de entidade financeira: desde entidades de crédito, entidades de pagamento e de diñeiro electrónico e empresas de servizos de investimento ata provedores de servizos de criptoactivos, centros de negociación, xestoras de fondos, aseguradoras, mediadores de seguros, fondos de pensións de emprego, axencias de cualificación crediticia e plataformas de financiamento participativo. En España, isto inclúe bancos, cooperativas de crédito, aseguradoras e xestoras de fondos de todos os tamaños. A proporcionalidade forma parte do texto: o artigo 4 axusta os requisitos ao tamaño, ao perfil de risco e á complexidade, e o artigo 16 fixa un marco simplificado para algunhas entidades máis pequenas.

Un provedor terceiro de servizos TIC é calquera empresa que presta servizos TIC, e DORA defíneos de forma ampla: servizos dixitais e de datos prestados a través de sistemas TIC a persoas usuarias internas ou externas de forma continuada. O aloxamento, os servizos xestionados, o software como servizo, o mantemento e soporte de aplicacións e os servizos de datos adoitan entrar nesta definición. Os provedores non están supervisados segundo DORA salvo que se designen como críticos, pero os seus clientes levan as obrigas a cada contrato.

03O órgano de dirección asume o risco TIC

O artigo 5 atribúelle ao órgano de dirección a responsabilidade última sobre o risco TIC. Define, aproba e supervisa o marco de xestión do risco TIC, fixa a estratexia de resiliencia operativa dixital e a tolerancia ao risco, aproba a política de continuidade do negocio e os plans de resposta e recuperación, e aproba e revisa a política sobre o uso de servizos TIC de provedores terceiros. Os seus membros deben manter os seus coñecementos ao día, tamén mediante formación periódica.

04Incidentes graves: 4 horas, 72 horas, un mes

As entidades financeiras clasifican os incidentes relacionados coas TIC segundo os criterios do artigo 18, desenvolvidos no Regulamento delegado (UE) 2024/1772 (abre un sitio web externo): clientes e operacións afectados, duración e tempo de inactividade, extensión xeográfica, perdas de datos, criticidade dos servizos afectados e impacto económico. Un incidente grave notifícase á autoridade competente en tres pasos, cos prazos que fixa o Regulamento delegado (UE) 2025/301 (abre un sitio web externo):

Hai que informar sen demora indebida a clientela cuxos intereses financeiros se vexan afectados. Unha entidade financeira pode externalizar a propia notificación nun terceiro, pero segue sendo plenamente responsable dela (artigo 19.5).

Para os provedores, isto é concreto. Todo contrato TIC debe incluír a obriga do provedor de prestar asistencia cando se produza un incidente relacionado co seu servizo, sen custo adicional ou cun custo acordado de antemán (artigo 30.2.f). A xanela de catro horas do cliente só funciona se a vixilancia, os rexistros e os contactos do provedor están listos antes do incidente.

05Probas, ata as de penetración baseadas en ameazas

O artigo 24 esixe un programa de probas baseado no risco, realizado por persoas avaliadoras independentes, internas ou externas, con probas adecuadas polo menos unha vez ao ano en todos os sistemas e aplicacións TIC que sosteñen funcións esenciais ou importantes. As entidades que identifique a súa autoridade competente deben facer ademais probas de penetración baseadas en ameazas polo menos cada tres anos, sobre sistemas en produción, segundo o Regulamento delegado (UE) 2025/1190 (abre un sitio web externo), que segue o marco TIBER-EU.

Cando os servizos dun provedor entran no alcance dunha TLPT, a entidade financeira debe asegurarse de que o provedor participa (artigo 26.3), e os contratos que sosteñen funcións esenciais ou importantes deben incluír esa obriga (artigo 30.3.d). Se a participación dun provedor puidese prexudicar os seus outros clientes, DORA permite probas agrupadas, nas que o provedor contrata directamente un avaliador externo en nome de varias entidades financeiras (artigo 26.4).

06Risco de terceiros TIC: estratexia, rexistro e saída

O artigo 28 integra o risco de terceiros TIC no marco de xestión do risco TIC, e a entidade financeira segue sendo plenamente responsable do cumprimento, externalice o que externalice. As obrigas principais:

• Unha estratexia sobre o risco de terceiros TIC, que inclúa unha política sobre os servizos TIC que sosteñen funcións esenciais ou importantes, revisada periodicamente polo órgano de dirección.
• Un rexistro de información sobre todos os acordos contractuais de servizos TIC, para cada entidade e para o grupo, que distinga os que sosteñen funcións esenciais ou importantes. Os modelos fíxaos o Regulamento de execución (UE) 2024/2956 (abre un sitio web externo). As entidades informan sobre el á súa autoridade competente polo menos unha vez ao ano e entregan o rexistro completo cando se lles pide.
• Dilixencia debida antes de asinar: se o servizo sostén unha función esencial ou importante, os riscos, incluído o de concentración, a idoneidade do provedor e calquera conflito de intereses. Os provedores deben aplicar normas de seguridade da información adecuadas e, para as funcións esenciais ou importantes, as máis actualizadas e de maior calidade.
• Dereitos de resolución, entre outros casos por un incumprimento significativo do provedor, por debilidades probadas na súa xestión do risco TIC ou por circunstancias que impidan unha supervisión eficaz.
• Estratexias de saída para os servizos TIC que sosteñen funcións esenciais ou importantes, documentadas e probadas, para que a entidade poida saír sen interromper a súa actividade, sen limitar o seu cumprimento e sen prexudicar os servizos á súa clientela.

O que debe dicir o contrato

O artigo 30 fixa as cláusulas contractuais mínimas. Todo contrato TIC debe constar por escrito, nun único documento que inclúa os niveis de servizo, e cubrir polo menos:

• unha descrición completa das funcións e dos servizos, e se se permite a subcontratación e en que condicións;
• os lugares onde se prestan os servizos e onde se tratan e almacenan os datos, con aviso previo de calquera cambio;
• a dispoñibilidade, autenticidade, integridade e confidencialidade dos datos, incluídos os datos persoais;
• o acceso aos datos, a súa recuperación e a súa devolución nun formato facilmente accesible en caso de insolvencia, cesamento ou resolución;
• as descricións dos niveis de servizo;
• a asistencia nos incidentes TIC relacionados co servizo, sen custo adicional ou cun custo acordado de antemán;
• a plena cooperación coas autoridades competentes e de resolución;
• os dereitos de resolución e os prazos mínimos de preaviso;
• a participación nos programas de concienciación sobre seguridade TIC e na formación sobre resiliencia da entidade.

Para os servizos que sosteñen funcións esenciais ou importantes, o artigo 30.3 engade obxectivos de rendemento cuantitativos e cualitativos precisos, obrigas de aviso e de información, plans de continxencia que o provedor aplica e proba, a participación nas TLPT, dereitos ilimitados de acceso, inspección e auditoría para a entidade e o seu supervisor, e unha estratexia de saída cun período de transición obrigatorio. O Regulamento delegado (UE) 2025/532 (abre un sitio web externo) engade o que a entidade debe avaliar cando eses servizos se subcontratan.

07Provedores terceiros críticos de servizos TIC

Segundo o artigo 31, as Autoridades Europeas de Supervisión designan os provedores TIC que son críticos para o sector financeiro, en función do seu impacto sistémico, da importancia das entidades financeiras que dependen deles, do seu papel en funcións esenciais ou importantes e da facilidade coa que se poden substituír. Cada provedor crítico ten un supervisor principal, unha das tres autoridades, que pode pedir información, realizar investigacións e inspeccións e emitir recomendacións.

A primeira lista (abre un sitio web externo), publicada o 18 de novembro de 2025, designou 19 provedores, desde operadores de nube e de centros de datos ata empresas de telecomunicacións, de servizos informáticos, de datos de mercado e de software empresarial. A designación non libera a entidade financeira de ningunha obriga: segue mantendo o rexistro, as cláusulas contractuais e unha estratexia de saída para cada un deses provedores.

08O que debería ter preparado un provedor TIC

A maioría dos provedores de entidades financeiras nunca serán designados como críticos, pero todos se atopan con DORA a través dos contratos, da dilixencia debida e das auditorías. Un provedor que ten o seguinte preparado acurta as compras e facilita o diálogo do seu cliente co supervisor:

• Datos para o rexistro. O que o cliente precisa para o seu rexistro de información: entidade xurídica e identificadores, os servizos prestados e as funcións que sosteñen, as localizacións e os subcontratistas da cadea.
• Cláusulas que se axusten ao artigo 30. Idealmente, un anexo DORA estándar que cubra as dúas listas, en vez de negociar cada cláusula desde cero.
• Probas sobre incidentes. Vixilancia, rexistros con marcas de tempo fiables e un procedemento de aviso que lle permita ao cliente clasificar e notificar en poucas horas.
• Continuidade probada. Plans de continxencia e probas de restauración, con datas e resultados.
• Seguridade demostrable. Normas de seguridade da información, control de acceso, un ciclo de vida de desenvolvemento seguro e xestión de vulnerabilidades, con probas independentes cando sexa posible.
• Preparación para auditorías e probas. Unha forma viable de acoller auditorías e inspeccións e de participar en TLPT, incluídas as probas agrupadas cando encaixen.
• Un plan de saída. Devolución dos datos en formatos utilizables, documentación e apoio na transición durante un período acordado.

Así traballamos como provedor TIC de entidades financeiras: acordamos as cláusulas contractuais que esixe DORA, notificamos os incidentes pola canle acordada, documentamos os plans de saída, participamos nas probas de resiliencia e achegamos a información que precisa o seu rexistro. A nosa páxina sobre confianza e cumprimento normativo describe como traballamos, incluído o noso sistema de xestión da seguridade da información con certificación ISO/IEC 27001.

09Un plan práctico para as dúas partes

1. 01Completar o rexistro. Vincule cada contrato TIC ás funcións que sostén e marque as esenciais ou importantes.
2. 02Pechar as lagoas dos contratos. Compare cada contrato co artigo 30 e acorde un anexo onde falten cláusulas.
3. 03Aliñar a xestión de incidentes. Acorde cos provedores críticos os datos para a clasificación, os contactos e os tempos de aviso, e próbeos.
4. 04Planificar as probas cos provedores. Inclúaos no programa de probas e, cando proceda, na definición do alcance dunha TLPT.
5. 05Redactar e probar as estratexias de saída. Para cada función esencial ou importante: alternativas, devolución dos datos e período de transición.
6. 06Vixiar a concentración. Ter varias funcións esenciais no mesmo provedor é un risco que hai que documentar e xestionar (artigo 29).

10A súa autoridade competente en España

DORA é o mesmo texto en toda a UE, pero a supervisión da maioría das entidades financeiras é nacional, e nos bancos significativos intervén tamén o BCE. En España, segundo a relación que publica o INCIBE (abre un sitio web externo), a autoridade depende do tipo de entidade: o Banco de España para as entidades de crédito, de pagamento e de diñeiro electrónico; a Comisión Nacional do Mercado de Valores (CNMV) para as empresas de servizos de investimento, as xestoras de institucións de investimento colectivo e os mercados regulados; e a Dirección Xeral de Seguros e Fondos de Pensións (DGSFP) para as aseguradoras, as reaseguradoras e os fondos de pensións e as súas xestoras. O Banco de España e a CNMV teñen procedementos propios para a notificación de incidentes graves das súas entidades.

O formato e a canle do rexistro de información e das notificacións de incidentes, e a autoridade responsable das TLPT, fíxanse no ámbito nacional. Consulte as indicacións da súa propia autoridade.

11Que seguir nos próximos meses

• As prioridades e as conclusións de supervisión da súa autoridade competente sobre o rexistro de información e a notificación de incidentes.
• A supervisión dos provedores terceiros críticos de servizos TIC polos supervisores principais, e as recomendacións que afecten servizos que vostede usa.
• A proposta Ómnibus dixital (abre un sitio web externo) da Comisión, COM(2025) 837, que faría pasar as notificacións de incidentes graves de DORA por un punto único de entrada xestionado pola ENISA. En outubro de 2026 aínda estaba no Parlamento Europeo; ata que se adopte e se aplique, seguen vixentes as canles e os prazos actuais.

As organizacións de fóra do sector financeiro teñen deberes parecidos sobre a cadea de subministración segundo a NIS2; consulte a nosa análise sobre a NIS2 e os provedores de software. As Autoridades Europeas de Supervisión manteñen unha visión de conxunto das normas técnicas e do marco de supervisión nas súas páxinas sobre DORA (abre un sitio web externo).