En resumen
- Regulación: DORA.
- Toda ESN que preste servicios TIC (gestión delegada, cloud, desarrollo, mantenimiento) a entidades financieras está afectada en calidad de proveedor TIC tercero.
- Aceptar las cláusulas contractuales DORA.
- Cooperar en el registro de información.
- Garantizar la resiliencia.
- La empresa de servicios digitales no es sancionada como entidad financiera, pero un proveedor designado crítico y sometido a supervisión puede exponerse a multas coercitivas de hasta el 1 % de su facturación diaria media mundial.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor
En vigorEnero de 2025
Aplicación
En vigor¿De qué trata DORA?
DORA se sustenta en cinco pilares: gestión de riesgos TIC, gestión y notificación de incidentes, pruebas de resiliencia (incluidas las pruebas de penetración basadas en amenazas para las entidades más significativas), gestión de riesgos de proveedores TIC terceros e intercambio de información. Los proveedores TIC no son entidades financieras, pero están regulados en virtud del cuarto pilar.
Los proveedores considerados críticos para el sistema financiero pueden ser designados y sometidos a la supervisión directa de las autoridades europeas de supervisión.
¿Está afectado el sector «Empresas de servicios digitales (ESN)»?
Toda ESN que preste servicios TIC (gestión delegada, cloud, desarrollo, mantenimiento) a entidades financieras está concernida en calidad de proveedor TIC tercero. No tiene obligaciones DORA «propias» como un banco, pero debe satisfacer los requisitos que sus clientes están obligados a imponerle.
Cuanto más crítico es el servicio para el cliente, mayores son los requisitos; una designación como proveedor crítico conlleva una supervisión directa.
Obligaciones detalladas
Aceptar las cláusulas contractuales DORA.
Integrar las cláusulas obligatorias: descripción de los servicios, niveles de servicio, localización de los datos, derechos de auditoría y acceso, reversibilidad, regulación de la subcontratación, cooperación en caso de incidente.
Cooperar en el registro de información.
Proporcionar al cliente la información necesaria para el mantenimiento de su registro de información (modelo definido por las normas técnicas).
Garantizar la resiliencia
Demostrar medidas de seguridad, continuidad y recuperación acordes con la criticidad del servicio prestado.
Cooperar en caso de incidente
Notificar y cooperar con el cliente para la gestión y la declaración de los incidentes TIC dentro de sus propios plazos.
Prepararse para la supervisión
Para un proveedor potencialmente crítico: anticipar los requisitos de una supervisión directa por parte de las autoridades europeas.
Sanciones y riesgos
La ESN no está sujeta a sanciones como entidad financiera, pero un proveedor designado crítico y sometido a supervisión puede enfrentarse a multas coercitivas de hasta el 1 % de su facturación diaria media mundial. En ausencia de cumplimiento, el principal riesgo es la pérdida de contratos: las entidades financieras deben poder demostrar el control sobre sus proveedores.
Estar «DORA-ready» se convierte así en un argumento comercial diferenciador en el mercado financiero.
Calendario de aplicación
- 1Aplicación. DORA es aplicable desde el 17 de enero de 2025.
- 2Registro de información. Las entidades financieras remiten su registro a las autoridades; la empresa de servicios digitales debe proporcionar los datos requeridos.
Errores frecuentes en el sector
- 1«DORA no me afecta». Ignorar los requisitos cuando se prestan servicios a entidades financieras.
- 2Cláusulas rechazadas. Bloquear las cláusulas DORA y perder contratos regulados.
- 3Reversibilidad descuidada. No prever la salida y la restitución de los datos.
- 4Registro no anticipado. No poder facilitar la información que el cliente espera.
Caso práctico
Una ESN aloja y mantiene una aplicación crítica para una aseguradora. En virtud de DORA, la aseguradora exige un derecho de auditoría, una cláusula de reversibilidad, la regulación de la subcontratación y la información para su registro. La ESN que ha anticipado estas cláusulas conserva el contrato y lo utiliza como referencia para captar otros clientes financieros.
Hoja de ruta de cumplimiento
- 1
Identificar a los clientes financieros. Identificar las entidades financieras atendidas y la criticidad de los servicios prestados.
- 2
Adaptar los contratos. Integrar las cláusulas DORA obligatorias en los contratos correspondientes.
- 3
Preparar los datos del registro. Estructurar la información que debe facilitarse a los clientes para su registro.
- 4
Reforzar la resiliencia. Alinear seguridad, continuidad y pruebas con la criticidad de los servicios.
- 5
Anticipar la supervisión. Evaluar el riesgo de ser un proveedor crítico y prepararse para ello.
Preguntas frecuentes
No como una entidad financiera: la empresa de servicios tecnológicos debe cumplir los requisitos que sus clientes financieros están obligados a imponerle contractualmente, y cooperar en su registro de información.
Pase a la acción en DORA
Diagnóstico gratuito o una charla con un experto dedicado a empresas de servicios digitales (esn).
Ya confían en nosotros
Descubra cómo organizaciones del sector empresas de servicios digitales (esn) aseguraron su cumplimiento con DCO.