DORA también afecta a su proveedor de TI: registro y contratos

DORA tiene dos destinatarios, aunque en el texto legal figure solo uno. El Reglamento (UE) 2022/2554 obliga formalmente a las empresas financieras, pero sus requisitos recaen con toda su fuerza sobre sus proveedores de TI: en forma de catálogos de cláusulas, solicitudes de información y derechos de auditoría. Por eso, este artículo se dirige a ambas partes: a la mediana empresa financiera que debe mantener actualizado su registro de información y reforzar sus contratos con proveedores, y al proveedor de TI que por primera vez tiene sobre la mesa una hoja de cláusulas del art. 30.

Quién está obligado

DORA rige desde el 17 de enero de 2025, y lo hace para unas 20 categorías de empresas financieras: bancos y aseguradoras, así como entidades de pago, empresas de servicios de inversión, sociedades gestoras de activos o intermediarios de seguros. También las casas pequeñas están incluidas; el reglamento prevé para ello proporcionalidad (art. 4) y, para determinadas pequeñas empresas, un marco simplificado de gestión de riesgos (art. 16). «Demasiado pequeño para DORA» no es, por tanto, una autoevaluación sólida para la mayoría de los participantes en el mercado: la cuestión no es si, sino con qué profundidad.

Para las entidades más pequeñas, la BaFin concretó además en agosto de 2025 su práctica administrativa sobre la proporcionalidad, con facilidades entre otras respecto a los arts. 16 y 28 a 30 y, en parte, plazos transitorios hasta finales de 2026 (comunicación de supervisión de la BaFin de 21 de agosto de 2025). Quien quiera apoyarse en ello debería revisar los detalles con la mirada puesta en su propia casa.

El registro de información: del estreno a la rutina

El elemento central de la gestión de terceros es el registro de información según el art. 28, apdo. 3: cada empresa financiera lleva un registro de todos los acuerdos contractuales con proveedores terceros de TIC, no solo los críticos. La primera recopilación a escala europea ya se ha completado: las autoridades nacionales de supervisión remitieron los registros a las autoridades europeas de supervisión (AES) hasta el 30 de abril de 2025.

En Alemania, también la segunda ronda es ya historia: la BaFin fijó para la presentación la ventana del 9 al 30 de marzo de 2026, con fecha de referencia 31 de diciembre de 2025, presentada a través del portal MVP. Con ello queda claro qué es el registro en adelante: no un ejercicio único, sino una rutina anual; las autoridades nacionales remiten los registros a las AES cada año hasta el 31 de marzo. Para la próxima ronda cabe esperar, por tanto, una ventana en torno a marzo de 2027 con fecha de referencia 31 de diciembre de 2026; esta fecha aún no se ha anunciado oficialmente.

En la práctica esto significa: el registro debe mantenerse a lo largo del año. Nuevos contratos, modificaciones contractuales, rescisiones, cambios en la cadena de subcontratistas: quien lo recopile todo por primera vez en febrero produce errores bajo presión de tiempo.

Art. 30: qué debe constar en los contratos

Para los servicios de TIC que dan soporte a funciones críticas o importantes, el art. 30, apdos. 2 y 3, prescribe contenidos contractuales concretos. Los más importantes desde la perspectiva de ambas partes —teniendo en cuenta que el apoyo en incidentes y la cooperación con las autoridades (apdo. 2) rigen para todos los contratos de TIC, y los derechos de auditoría, salida y pruebas (apdo. 3) adicionalmente para las funciones críticas o importantes:

Derechos de auditoría, acceso e inspección para la empresa financiera y su supervisor, hasta los locales y sistemas del proveedor.
Estrategias de salida con plazos de transición adecuados, para que un cambio de proveedor o una repatriación no se convierta en un riesgo operativo.
Apoyo en incidentes de TIC, sin costes adicionales o a condiciones acordadas de antemano.
Cooperación con las autoridades competentes.
Participación en pruebas de penetración basadas en amenazas (TLPT).

Para el proveedor de TI, la interpretación es decisiva: estos puntos no son una masa negociable inventada por un comprador especialmente aguerrido, sino que están prescritos por la regulación. Quien los rechace de plano deja simplemente de ser apto para contratar con clientes financieros. Negociables son, en cambio, las modalidades: cómo se anuncian y se llevan a cabo las auditorías, qué plazos de transición son realistas, cómo se remunera el apoyo en incidentes cuando excede la medida acordada. Precisamente aquí se separa el diseño contractual profesional de los reflejos defensivos.

La cadena detrás: supervisión y subcontratistas

Dos desarrollos del año 2025 muestran que la regulación ha llegado ya también directamente a los proveedores de servicios.

En primer lugar, el 18 de noviembre de 2025 las AES designaron a los primeros proveedores terceros críticos de TIC (CTPP). Estos proveedores están ahora bajo supervisión europea directa; la lista se actualiza anualmente. Para la mayoría de los proveedores esto no cambia nada de inmediato, pero marca el rumbo: la supervisión piensa la cadena de suministro hasta el proveedor.

En segundo lugar, desde el 22 de julio de 2025 está en vigor el Reglamento Delegado (UE) 2025/532 sobre subcontratación. Según la lectura habitual, los proveedores deben, con ello, ofrecer a sus clientes financieros transparencia sobre la subcontratación de funciones críticas: quien cede partes de su prestación a subcontratistas debe poder revelar y gobernar esa cadena. El «modelo caja negra», en el que el cliente no sabe quién opera realmente, no es compatible con DORA.

Plazos de notificación que su proveedor debe asumir

El Reglamento Delegado (UE) 2025/301 precisa los plazos de notificación para los incidentes graves de TIC:

Notificación inicial: en un plazo de 4 horas tras la clasificación, a más tardar 24 horas tras la detección.
Informe intermedio: en un plazo de 72 horas tras la notificación inicial.
Informe final: en un plazo de un mes tras el último informe intermedio.

Estos plazos no puede cumplirlos por sí sola ninguna empresa financiera si el incidente ocurre en el proveedor. Por eso, el contrato debe asegurar el flujo rápido de datos: vías de notificación definidas, disponibilidades y obligaciones de información del proveedor que encajen con los propios plazos de notificación. Un proveedor sin supervisión continua y sin un proceso de incidentes practicado es, en este punto, una vulnerabilidad documentada en el propio sistema de notificación.

Qué se deriva de ello, para ambas partes

Para la empresa financiera: mantener el registro a lo largo del año, cotejar los contratos de funciones críticas contra el art. 30, indagar las cadenas de subcontratistas y montar la propia gestión de proveedores como proceso en lugar de como ejercicio de bomberos anual.

Para el proveedor de TI: asumir los requisitos del art. 30 y negociar las modalidades de forma profesional, o dar por perdido el sector financiero como grupo de clientes. A la inversa, para la elección del socio rige: un proveedor de servicios gestionados que ya trabaja de todos modos con supervisión 24/7, procesos de incidentes definidos y disposición a auditorías apenas tiene que forzar nada para DORA; documenta lo que ya hace de todas formas. Un proveedor para el que los derechos de auditoría y los planes de salida son terreno nuevo se convierte, en cambio, él mismo en un riesgo de cumplimiento para su cliente.

Cómo ayuda sector7

Como proveedor de TI de gestión propia, trabajamos estructuralmente en el marco que DORA exige de los proveedores: supervisión 24/7 a través de nuestro NOC, procesos de incidentes definidos y una práctica de copia de seguridad Veeam consolidada, complementados con asesoramiento en cumplimiento sobre DORA, NIS-2, ISO 27001 y TISAX. Nuestra experiencia certificada en infraestructura (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks) cubre la parte técnica sin derivarla a cadenas opacas. Todo ello con una tarifa plana mensual previsible, también eso una porción de claridad contractual en el sentido del art. 30.

Este artículo es una interpretación técnica y no sustituye el asesoramiento jurídico en cada caso concreto.