DORA regula cómo gestionan las entidades financieras el riesgo relacionado con las TIC y, a través de sus contratos, alcanza a todos los proveedores de TIC que les prestan servicio. Ayudamos a ambas partes: a la entidad financiera que debe cumplir y al proveedor que debe demostrar que es fiable.
Para
Recibe
El Reglamento (UE) 2022/2554 (DORA) es aplicable desde el 17 de enero de 2025. Exige a las entidades financieras un marco documentado de gestión del riesgo relacionado con las TIC bajo la responsabilidad del órgano de dirección (artículos 5 a 16, con un marco simplificado para determinadas entidades de menor tamaño en el artículo 16), clasificar los incidentes relacionados con las TIC y notificar los graves a su autoridad competente mediante una notificación inicial, un informe intermedio y un informe final (artículos 17 a 19), y mantener un programa de pruebas de resiliencia operativa digital (artículos 24 y 25). Las entidades que determine su autoridad competente deben además realizar pruebas de penetración basadas en amenazas al menos cada tres años, sobre los sistemas de producción activos que sustentan funciones esenciales o importantes (artículos 26 y 27).
Para un proveedor de TIC, DORA actúa sobre todo a través del cliente. Las entidades financieras siguen siendo plenamente responsables del cumplimiento cuando utilizan servicios de TIC (artículo 28, apartado 1). Antes de contratar deben aplicar la diligencia debida y recurrir solo a proveedores que cumplan estándares adecuados en materia de seguridad de la información (artículo 28, apartados 4 y 5). Inscriben cada contrato de servicios de TIC en un registro de información (artículo 28, apartado 3), y el contrato debe incluir las cláusulas del artículo 30. Para los servicios que sustentan funciones esenciales o importantes, esas cláusulas comprenden niveles de servicio precisos, planes de contingencia y su prueba, la participación en las pruebas de penetración basadas en amenazas del cliente, derechos ilimitados de acceso, inspección y auditoría para el cliente y su autoridad competente, y estrategias de salida con un periodo de transición. Si la participación del proveedor en esas pruebas puede afectar a la calidad o la seguridad de los servicios que presta a clientes no sujetos a DORA, o a la confidencialidad de sus datos, las partes pueden acordar por escrito una prueba conjunta dirigida por una entidad financiera designada (artículo 26, apartado 4).
Algunos proveedores son designados como esenciales por las Autoridades Europeas de Supervisión, según criterios como el impacto sistémico y la sustituibilidad (artículo 31). Las Autoridades Europeas de Supervisión publicaron su primera lista de proveedores terceros esenciales de servicios de TIC designados el 18 de noviembre de 2025 y deben actualizarla anualmente (artículo 31, apartado 9). Esos proveedores quedan bajo la supervisión directa de un supervisor principal, que puede solicitar información, realizar investigaciones e inspecciones y formular recomendaciones (artículo 35). En el caso de los proveedores de servicios de seguridad gestionados, el Reglamento (UE) 2025/37 incorporó los servicios de seguridad gestionados al marco de certificación del Reglamento sobre la Ciberseguridad, y EUMSS es el esquema europeo candidato para ellos. Una certificación de ese tipo podría respaldar la diligencia debida del cliente, pero no sustituiría las cláusulas del artículo 30, los derechos de auditoría y acceso del propio cliente ni su registro de información.
Qué servicios suyos sustentan funciones esenciales o importantes de sus clientes, qué cláusulas del artículo 30 debe incluir por tanto cada contrato, dónde se aplican la participación en pruebas de penetración basadas en amenazas y los derechos de auditoría, y si los criterios de designación del artículo 31 le afectan.
Duración habitual: 2 a 3 semanas
Posiciones cláusula a cláusula para los apartados 2 y 3 del artículo 30: descripción de servicios y subcontratación, ubicación de los datos, asistencia ante incidentes, cooperación con las autoridades, derechos de auditoría e inspección, niveles de garantía alternativos, participación en las pruebas y salida. Preparada para que su asesoría jurídica la adapte y la utilice en la negociación.
Duración habitual: 3 a 4 semanas
Un conjunto indexado de políticas, procedimientos y registros vinculado a las preguntas habituales de los cuestionarios de diligencia debida de los clientes financieros y, si su organización también está sujeta a NIS2, a las medidas del artículo 21 de esa Directiva. Cada respuesta remite a una evidencia, de modo que los cuestionarios dejan de redactarse desde cero.
Duración habitual: 4 a 8 semanas
Análisis de brechas de la gobernanza, el propio marco, los procedimientos de clasificación y notificación de incidentes, el programa de pruebas y la estrategia de riesgo relacionado con las TIC derivado de terceros frente a los artículos 5 a 30, con un plan de corrección priorizado.
Duración habitual: 4 a 8 semanas
Para una entidad financiera o un proveedor que vaya a participar en la prueba de un cliente: delimitación de las funciones esenciales o importantes y de los sistemas que las sustentan, controles de riesgo para probar sobre producción, requisitos de los probadores del artículo 27 y condiciones de la prueba conjunta, en relación con el Reglamento Delegado (UE) 2025/1190, que refleja el marco TIBER-EU, y con la práctica de su autoridad competente. No realizamos la prueba.
Duración habitual: 3 a 5 semanas
Para proveedores de servicios de seguridad gestionados: revisión de su servicio frente al borrador vigente del esquema candidato EUMSS, con una nota sobre cómo la misma evidencia sirve para la diligencia debida de los clientes financieros bajo DORA y para las obligaciones de NIS2.
Duración habitual: 3 a 6 semanas
Salvo que el proveedor sea designado como esencial conforme al artículo 31, DORA dirige las obligaciones a la entidad financiera, no al proveedor. Al proveedor le llegan por el contrato: las cláusulas del artículo 30, los derechos de acceso, inspección y auditoría del cliente y de su autoridad competente, la cooperación con las autoridades, la asistencia ante incidentes, el apoyo a la salida y, para los servicios que sustentan funciones esenciales o importantes, la participación en las pruebas de penetración basadas en amenazas del cliente. En la práctica, un proveedor que no puede asumir estas condiciones resulta difícil de contratar.
Todo contrato de servicios de TIC debe recoger, entre otros extremos, una descripción completa de los servicios y las condiciones de subcontratación, los lugares de prestación y de tratamiento de los datos, la protección y la devolución de los datos, los niveles de servicio, la asistencia ante incidentes sin coste adicional o con un coste fijado de antemano, la cooperación con las autoridades competentes y de resolución, los derechos de terminación con sus plazos mínimos de preaviso y la participación en la formación en seguridad (artículo 30, apartado 2). Para las funciones esenciales o importantes, el apartado 3 añade objetivos de rendimiento precisos, obligaciones de notificación, prueba de los planes de contingencia, participación en las pruebas de penetración basadas en amenazas, derechos ilimitados de acceso, inspección y auditoría, y una estrategia de salida con un periodo de transición obligatorio.
El artículo 28, apartado 3, obliga a las entidades financieras a mantener un registro de todos los acuerdos contractuales de servicios de TIC prestados por proveedores terceros, a nivel de entidad, subconsolidado y consolidado, distinguiendo los que sustentan funciones esenciales o importantes. El registro completo debe ponerse a disposición de la autoridad competente cuando lo solicite, y sus plantillas normalizadas las fija el Reglamento de Ejecución (UE) 2024/2956. A los proveedores se les piden los datos que lo alimentan, incluido su identificador de entidad jurídica y, para los servicios que sustentan funciones esenciales o importantes, los subcontratistas que los sustentan de forma efectiva.
Si sus servicios de TIC entran en el alcance de la prueba de una entidad financiera, la entidad debe asegurar su participación (artículo 26, apartado 3), y los contratos de funciones esenciales o importantes deben obligarle a cooperar (artículo 30, apartado 3, letra d). Si su participación puede afectar a la calidad o la seguridad de los servicios que presta a clientes no sujetos a DORA, o a la confidencialidad de sus datos, usted y la entidad pueden acordar por escrito una prueba conjunta: su empresa contrata directamente a un probador externo, bajo la dirección de una entidad financiera designada, y la prueba cuenta para cada entidad participante (artículo 26, apartado 4).
Un servicio de seguridad gestionado que se presta de forma continuada a una entidad financiera entra en la definición de servicios de TIC de DORA, por lo que el proveedor es un proveedor tercero de servicios de TIC y se le aplican los requisitos contractuales anteriores. El Reglamento (UE) 2025/37 permitió la certificación europea de los servicios de seguridad gestionados, y EUMSS es el esquema candidato. Un certificado podría respaldar la diligencia debida del cliente y su valoración de los estándares de seguridad de la información del proveedor, pero la entidad financiera sigue siendo responsable y necesita igualmente las cláusulas del artículo 30, sus derechos de auditoría y la inscripción en su registro.
A noviembre de 2026, EUMSS es un esquema candidato. La Comisión no ha adoptado el acto de ejecución que lo establece, por lo que todavía no puede expedirse ningún certificado EUMSS. ENISA sometió un primer borrador a consulta pública entre el 24 de julio y el 13 de septiembre de 2026, y ese borrador empieza por los servicios de respuesta a incidentes. Nuestro fundador es miembro del grupo de trabajo ad hoc de ENISA sobre EUMSS; no hacemos previsiones sobre fechas de adopción. Hay pasos que compensan diga lo que diga el texto final, porque los cuestionarios de la banca y las medidas del artículo 21 de NIS2 ya los piden: delimitar el alcance de cada servicio que presta, conservar evidencias de cómo gestiona los incidentes y registros de actividad que muestren quién accedió a qué datos y cuándo, y documentar la competencia y la experiencia de su personal. La competencia del personal y el registro de accesos coinciden además con dos de los objetivos de seguridad que el artículo 51 bis del Reglamento sobre la Ciberseguridad, introducido por el Reglamento (UE) 2025/37, fija para cualquier esquema de este tipo (letras a) y f)).
Conforme al Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), es poco probable que la mayoría de los sistemas de IA de detección de seguridad sean de alto riesgo. La categoría pertinente del anexo III se refiere a los componentes de seguridad en la gestión y el funcionamiento de las infraestructuras digitales críticas, y el considerando 55 indica que los componentes destinados a ser utilizados exclusivamente con fines de ciberseguridad no deben considerarse componentes de seguridad. La clasificación depende en todo caso de la finalidad prevista de cada sistema, por lo que conviene comprobarla para cada caso de uso. La obligación de alfabetización en materia de IA del artículo 4 es aplicable desde el 2 de febrero de 2025; desde el Reglamento (UE) 2026/1744 exige a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en materia de IA de su personal, sin que deban garantizar un nivel específico. Las preguntas de la banca son más prácticas y siguen su diligencia debida del artículo 28 y las cláusulas del artículo 30: dónde se ejecuta el modelo y dónde se tratan y almacenan sus datos, con preaviso de cualquier cambio de ubicación (artículo 30, apartado 2, letra b), si el modelo procede de un subcontratista y cómo controla y notifica los cambios del modelo que puedan afectar a su capacidad de prestar el servicio (artículo 30, apartado 3, letra b, para los servicios que sustentan funciones esenciales o importantes).
Los cuestionarios de diligencia debida de la banca y las medidas del artículo 21 de NIS2 abarcan en gran parte lo mismo: análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, desarrollo seguro, control de acceso y criptografía. Los proveedores de servicios gestionados y de servicios de seguridad gestionados medianos y grandes están ellos mismos en el ámbito de NIS2 (anexo I). Un único conjunto de controles con su evidencia le permite responder a cada cliente, y a su propia autoridad NIS2, con el mismo material.