Reglamento (UE) 2022/2554
El registro de información DORA, al día todo el año
El supervisor te pide el registro de información y no sabes cuántos proveedores TIC sostienen funciones críticas o importantes. Almenara lo mantiene con los mismos datos con los que gestionas a tus proveedores, listo para que tu responsable lo revise y lo envíe.
A quién aplica
DORA se aplica desde el 17 de enero de 2025 a las entidades financieras de la UE —entidades de crédito, empresas de servicios de inversión, entidades de pago y de dinero electrónico, aseguradoras y otras— y llega a sus proveedores de servicios TIC a través de los contratos.
- Entidades financieras supervisadas por el Banco de España, la CNMV o la DGSFP
- Proveedores TIC que prestan servicio a entidades financieras
- Equipos de riesgo tecnológico y cumplimiento del sector
Si te suena esto
El supervisor te pide el registro de información y no sabes cuántos proveedores TIC críticos tienes.
El registro de información mantenido todo el año, la evaluación de proveedores TIC y la notificación de incidentes en plazo.
Qué exige DORA
El reglamento se organiza en cinco pilares. Estos son los que más trabajo operativo generan:
- Art. 5–16Marco de gestión del riesgo TIC
- Identificar, proteger, detectar, responder y recuperar, con un marco documentado del que responde el órgano de dirección.
- Art. 28.3Registro de información
- Un registro de todos los acuerdos contractuales con proveedores terceros de servicios TIC, que la autoridad competente puede pedir.
- Art. 28–30Riesgo de terceros TIC
- Evaluar a los proveedores antes de contratar y durante la relación, con especial atención a los que soportan funciones esenciales o importantes.
- Art. 28.8Estrategias de salida
- Planes de salida para los servicios TIC que soportan funciones esenciales o importantes.
- Art. 17–19Incidentes graves
- Clasificar los incidentes relacionados con las TIC y notificar los graves con un informe inicial, uno intermedio y uno final.
- Art. 24–27Pruebas de resiliencia
- Un programa de pruebas de resiliencia operativa digital proporcional al tamaño y al perfil de riesgo.
Plataforma · módulos
Cómo te ayuda Almenara con DORA
Los módulos que más trabajo te quitan, por orden.
- ProveedoresInventario de proveedores TIC, funciones que soportan, criticidad y registro de información listo para remitir.
- IncidentesClasificación de incidentes relacionados con las TIC y plazos de notificación de los incidentes graves.
- CumplimientoMarco de gestión del riesgo TIC, controles y revisión por el órgano de dirección.
- ContinuidadRespuesta y recuperación, copias de seguridad y planes de salida conectados con el BIA.
Catálogo de marcos
Lo que demuestras para DORA cuenta para el siguiente marco
Cada requisito de DORA está cruzado con los controles comunes de Almenara, igual que el resto del catálogo. Cuando te pidan otro marco o el cuestionario de un cliente, empiezas por lo que ya tienes demostrado.
Servicio · por dónde empezar
Registro de información DORA, listo para enviar
Reunimos los datos de tus acuerdos con proveedores TIC, preparamos el registro con el formato que exige la autoridad y te lo dejamos listo para que lo envíes en la remisión anual. Después, el módulo de proveedores lo mantiene al día.
Pedir el registro DORAServicios recomendados
- Servicio · Cada año
Preparamos el registro de información de tus acuerdos con proveedores TIC, lo dejamos listo para que lo envíes a tu supervisor y lo ponemos al día cada año.
- Servicio · Cada año
Un simulacro completo de respuesta a un incidente, con la notificación a la autoridad preparada como si fuera real.
- Servicio · Por proveedor
Plan de salida de un proveedor
Diseñamos cómo dejar a un proveedor crítico sin que se paren los procesos que dependen de él.
Nuestro límite: Almenara no emite certificaciones (las emiten entidades de certificación acreditadas) ni hace la auditoría interna de un sistema que haya implantado o gestione.
Preguntas frecuentes sobre DORA
- ¿Qué es el registro de información de DORA?
- Es el registro que exige el artículo 28.3 con todos los acuerdos contractuales sobre servicios TIC prestados por terceros. Se remite a la autoridad competente con las plantillas que fijan las normas técnicas de la UE.
- ¿Qué es un proveedor TIC crítico en DORA?
- En el lenguaje habitual se llama así al proveedor que soporta funciones esenciales o importantes de la entidad. DORA reserva el término «proveedor tercero crítico de servicios TIC» para los que designan las Autoridades Europeas de Supervisión, que quedan bajo su vigilancia directa.
- ¿Qué plazos tiene la notificación de un incidente grave?
- DORA y sus normas técnicas fijan un informe inicial, uno intermedio y uno final con plazos concretos desde que el incidente se clasifica como grave. El módulo de incidentes lleva la cuenta atrás de cada uno.
- ¿Ayudáis con los planes de salida?
- Sí. El plan de salida de un proveedor crítico se puede contratar como servicio, proveedor a proveedor.
¿Preparamos DORA contigo?
Te enseñamos cómo quedaría tu sistema en Almenara, con tus datos.