Soy proveedor de un banco: qué controles de DORA me van a exigir

La respuesta corta: DORA obliga a la entidad financiera, no a ti. La única excepción son los proveedores TIC designados como críticos por las autoridades europeas, que quedan bajo su supervisión directa. Pero el banco, la aseguradora o la gestora que te contrata sigue siendo plenamente responsable de lo que externaliza (art. 28.1.a), y la única forma que tiene de cumplir es exigírtelo a ti por contrato. En la práctica, te llegan tres niveles de exigencia: un mínimo para cualquier servicio TIC (art. 30.2), un nivel reforzado si tu servicio sustenta una función esencial o importante de la entidad (art. 30.3 y sus reglamentos delegados) y la supervisión directa si eres proveedor crítico (arts. 31 a 44).

Este artículo se lee desde tu lado de la mesa. Si buscas las obligaciones de la entidad sobre sus proveedores, están en qué exige DORA sobre proveedores TIC, artículo por artículo. Aquí verás qué te van a pedir, de qué artículo sale cada cosa y qué conviene tener preparado antes de que llegue el cuestionario.

Por qué te afecta una norma que no va dirigida a ti

DORA, el Reglamento (UE) 2022/2554, se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, empresas de inversión, entidades de pago, gestoras y otras entidades financieras. Es un reglamento: no hay ley española que lo transponga y su texto se aplica tal cual.

Los requisitos te llegan por dos vías:

1. El contrato. El artículo 30 fija lo que tiene que incluir cualquier contrato de servicios TIC con una entidad financiera. Si tu contrato no lo incluye, la entidad incumple. Por eso te llegará un «anexo DORA» o una renegociación.
2. Las obligaciones propias de la entidad. Diligencia debida antes de contratar, registro de información, pruebas de continuidad, notificación de incidentes y pruebas de penetración. Todas necesitan datos y cooperación tuya.

Hay dos preguntas que deciden cuánto te van a pedir, y las dos las responde la entidad, no tú.

¿Lo que prestas es un servicio TIC? La definición del artículo 3.21 es amplísima: servicios digitales y de datos prestados a través de sistemas TIC, de forma continuada. Entran el software como servicio, el alojamiento, el soporte técnico, la consultoría tecnológica con acceso a sistemas o los servicios gestionados. La Comisión aclaró en una pregunta y respuesta que los servicios financieros regulados no son servicios TIC, pero que los servicios TIC que presta una entidad financiera fuera de su actividad regulada sí lo son.

¿Sustenta una función esencial o importante? Es aquella cuya interrupción perjudicaría de forma importante la solidez financiera, la continuidad o el cumplimiento normativo de la entidad (art. 3.22). La entidad la califica caso por caso. El mismo servicio puede ser esencial para un cliente y accesorio para otro. Pregunta siempre cómo te han clasificado, porque de esa respuesta depende la mitad de este artículo.

Nivel 1: lo que te pedirán por cualquier servicio TIC

Para todos los contratos, el artículo 30.2 exige un mínimo que no depende de la criticidad. A eso se suma lo que la entidad necesita para su registro de información y su diligencia debida.

Dos puntos de esta tabla suelen sorprender. El primero es el LEI: muchas pymes no lo tienen, y sin él o sin el EUID la entidad no puede rellenar su registro. Sácalo antes de que te lo pidan. El segundo son las causas de resolución del artículo 28.7. La entidad tiene que poder resolver el contrato si incumples de forma grave, si cambia algo que altere el servicio, si tu gestión del riesgo TIC tiene deficiencias o si el supervisor no puede supervisar de forma efectiva. No es negociable, porque la norma exige que exista.

Nivel 2: si sustentas una función esencial o importante

Aquí está el grueso del trabajo. El artículo 30.3 añade cláusulas al contrato, y tres reglamentos delegados las desarrollan: el 2024/1773 sobre la política de contratos, el 2025/532 sobre subcontratación y el 2024/1774 sobre el marco de gestión del riesgo TIC.

Auditorías: tu certificado ayuda, pero no basta

La pregunta que más se repite entre proveedores es si un ISO 27001 o un informe SOC 2 Tipo II les libra de las auditorías. La respuesta del artículo 8 del Reglamento Delegado 2024/1773 es que no del todo.

La entidad puede apoyarse en certificaciones y en informes de auditoría de terceros, y puede organizar auditorías agrupadas con otras entidades clientes tuyas. Pero no puede confiar solo en ellos de forma indefinida. Tienen que cubrir los sistemas y controles clave de tu servicio, estar al día y venir de alguien competente que demuestre la eficacia de los controles. Y la entidad conserva siempre el derecho a pedir que se amplíe el alcance y a auditarte por su cuenta.

El artículo 30.3.e permite pactar «niveles alternativos de garantía» cuando una auditoría directa afectaría a los derechos de tus otros clientes, como en un centro de datos compartido. Ese es el margen real para negociar. Hay proveedores que limitan las auditorías a una al año o que no admiten la auditoría directa de sus subcontratistas. Si eso cabe en unos derechos «ilimitados» se discute entre despachos y no hay criterio oficial. Un contrato que excluya del todo la auditoría directa, en cambio, choca de frente con el artículo 30.3.e.

Si quieres que tu certificado pese, revisa que su alcance cubra el servicio que prestas a la entidad. Lo explicamos en cómo leer un informe SOC 2 o un certificado ISO más allá del sello.

Subcontratistas: las cláusulas bajan por la cadena

El Reglamento Delegado 2025/532 entró en vigor el 22 de julio de 2025. Su historia importa: la Comisión rechazó el primer borrador en enero de 2025 porque su artículo 5 obligaba a la entidad a vigilar toda la cadena de subcontratación, y el texto final se publicó sin él. Lo que queda te afecta igual:

• El contrato dice qué partes del servicio puedes subcontratar y en qué condiciones.
• Sigues siendo responsable de tus subcontratistas y tienes que vigilarlos de forma continua.
• Trasladas a tus subcontratistas los deberes de información, los planes de contingencia, los estándares de seguridad y los mismos derechos de acceso y auditoría para la entidad y para el supervisor.
• Avisas con antelación de cualquier cambio importante en la subcontratación. La entidad tiene un plazo razonable para aprobarlo u oponerse, y no puedes aplicarlo antes de que termine ese plazo.
• Si aplicas el cambio pese a la oposición de la entidad o antes de tiempo, o subcontratas sin permiso, la entidad puede resolver el contrato.

Además, la entidad tendrá que identificar en su registro a tus subcontratistas relevantes con su LEI o su EUID. Tener la lista al día con esos datos te ahorra semanas. El problema de fondo está en el riesgo de cuarta parte.

Incidentes: el plazo de la entidad marca el tuyo

Quien notifica un incidente grave al supervisor es la entidad, no tú. Puede encargar la notificación a un tercero, pero sigue siendo responsable (art. 19.5). Lo que DORA te exige es asistencia (art. 30.2.f) y, en servicios esenciales, informes y avisos (art. 30.3.b).

DORA no fija en cuánto tiempo tienes que avisar a tu cliente. Lo fija el contrato, condicionado por los plazos de la entidad del Reglamento Delegado 2025/301:

En los anexos DORA que publican los proveedores se ven compromisos de aviso de entre 24 y 72 horas. Con los plazos de la entidad, 72 horas se queda corto para un servicio esencial. Si la entidad tiene cuatro horas para notificar y tú tardas un día en avisarle, el incumplimiento empieza en tu lado. Para saber qué datos necesitará de ti, mira cuándo un incidente es grave según DORA.

Nivel 3: si eres proveedor crítico

Los proveedores críticos se designan por su impacto sistémico, el número de entidades que dependen de ellos para funciones esenciales o importantes y lo difícil que es sustituirlos (art. 31.2). Las autoridades europeas de supervisión publicaron la primera lista el 18 de noviembre de 2025, con 19 proveedores: Accenture, AWS, Bloomberg, Capgemini, Colt, Deutsche Telekom, Equinix, FIS, Google Cloud, IBM, InterXion, Kyndryl, LSEG Data and Risk, Microsoft, NTT DATA, Oracle, Orange, SAP y TCS.

Para ellos, DORA sí es directo:

• Un supervisor principal europeo puede pedirles información, investigarles, inspeccionarles y emitirles recomendaciones (art. 35).
• Si no cooperan, puede imponerles multas coercitivas diarias de hasta el 1 % de su volumen de negocios diario medio mundial, durante un máximo de seis meses.
• Pagan tasas de supervisión (art. 43).
• Si no están establecidos en la UE, tienen que crear una filial en la Unión en los doce meses siguientes a la designación (art. 31.12).
• Si no siguen las recomendaciones, el supervisor de la entidad puede llegar a exigirle que suspenda o resuelva el contrato (art. 42).

Hay proveedores que nunca pueden ser designados críticos: las entidades financieras que prestan servicios TIC a otras, los proveedores intragrupo y los que solo prestan servicio en un Estado miembro a entidades que solo operan en él (art. 31.8). Eso no les saca de los niveles 1 y 2. Y ser crítico tampoco libra al proveedor de los contratos del artículo 30 ni a la entidad de vigilarlo.

El caso español

En España supervisan el Banco de España para las entidades de crédito, de pago y de dinero electrónico, la CNMV para los servicios de inversión y las gestoras, y la DGSFP para seguros y pensiones. El Real Decreto-ley 8/2023 extendió además parte de DORA a los operadores y procesadores de pagos.

El Gobierno aprobó en julio de 2026 el Proyecto de Ley de digitalización y modernización del sistema financiero, que está en el Congreso. Según el análisis de finreg360, completa los poderes de supervisión y el régimen sancionador de DORA en España, y puede cambiar cómo responden los proveedores subcontratados. Mientras no se apruebe, lo de este artículo sigue en pie: tu obligación nace del contrato. Conviene seguir su tramitación.

Lo que no es cierto

• «DORA me obliga como proveedor.» Solo si eres crítico. Si no, te obliga lo que firmes.
• «Solo afecta a la nube y a las grandes tecnológicas.» Afecta a cualquier servicio TIC, y la definición deja fuera muy poco.
• «Todos mis contratos necesitan las cláusulas reforzadas.» Solo los que sustentan funciones esenciales o importantes, y eso lo decide cada entidad.
• «Con ISO 27001 me libro de las auditorías.» Te ayuda a reducirlas, no a eliminarlas.
• «El proveedor notifica al Banco de España.» Notifica la entidad. Tú le das los datos a tiempo.
• «Mis subcontratistas quedan fuera.» Las cláusulas bajan a ellos, aunque la entidad ya no tenga que vigilar toda la cadena.
• «Hay cláusulas tipo oficiales de DORA.» No las hay. EIOPA lo confirmó en su base de preguntas y respuestas. Lo más parecido son las cláusulas tipo de la Ley de Datos para contratos de nube, que no son vinculantes ni específicas de DORA.

Cómo tenerlo preparado

La entidad financiera te va a pedir lo mismo que sus otras entidades clientes, con plantillas distintas. Lo que funciona es tener un expediente DORA único que respondas una vez y reutilices:

• Identificación: LEI o EUID tuyo y de tu matriz, país y lugares de prestación y de datos.
• Mapa de subcontratistas: quién hace qué parte del servicio, desde dónde y con qué identificador.
• Evidencias de seguridad: certificados con su alcance, el último informe de auditoría independiente y tu política de gestión de vulnerabilidades.
• Continuidad: tu plan, sus RTO y RPO por servicio y el resultado de la última prueba.
• Incidentes: tu procedimiento, con el plazo de aviso al cliente y los datos que le darás.
• Salida: cómo devuelves los datos, en qué formato, y cuánto dura y cuesta la transición.
• Tu anexo DORA de referencia, para que la negociación empiece desde tu texto.

En Almenara, si un cliente te evalúa con nosotros, respondes en el portal para proveedores sin coste: subes cada evidencia una vez y ves en todo momento qué te falta. Y si eres tú quien gestiona proveedores, el módulo de Gestión de terceros lleva el registro de información, la diligencia debida y el seguimiento de los contratos. En la guía de DORA tienes el resto de obligaciones de la norma.

Preguntas frecuentes

¿Qué pasa con los contratos firmados antes de 2025?

DORA no tiene periodo transitorio para los contratos. Desde el 17 de enero de 2025, los contratos vigentes tenían que cumplir el artículo 30, así que las entidades los están renegociando o añadiendo anexos. Si aún no te ha llegado el tuyo, es probable que te llegue en la próxima renovación.

Soy una empresa del mismo grupo que la entidad. ¿Me afecta?

Sí. Los proveedores intragrupo cuentan como proveedores terceros a efectos del contrato y del registro. Lo único que les excluye el artículo 31.8 es la designación como proveedor crítico.

Mi servicio no es TIC. ¿Me libro?

De DORA, sí. Pero si prestas un servicio externalizado a una entidad financiera, te alcanzarán las directrices de la EBA sobre gestión del riesgo de terceros publicadas en septiembre de 2026, que sustituyen a las de externalización para los servicios no TIC, o las de tu supervisor sectorial.

¿Puedo negarme a una cláusula?

Puedes negociar su redacción, la frecuencia de las auditorías, los preavisos o el coste de la asistencia. Lo que no puedes es quitar lo que el artículo 30 exige, porque entonces la entidad no puede firmar. La negociación real está en los niveles alternativos de garantía, en las auditorías agrupadas y en los plazos.