DORA impone obligaciones directas a las entidades financieras, no automáticamente a cada proveedor. Por eso el cliente puede pedir por contrato evidencias de seguridad, continuidad, incidentes, subcontratistas y salida. El alcance depende del riesgo del servicio. ISO 27001 es una evidencia útil, no un requisito legal universal de DORA. TLPT no es una obligación ordinaria para todos los proveedores.
La entidad financiera debe registrar y gestionar sus dependencias de terceros de TIC. Cuando un servicio respalda una función crítica o importante, el contrato escrito puede incluir descripción del servicio, acceso a datos, ubicaciones, controles de seguridad, derechos de acceso y auditoría, ayuda ante incidentes, continuidad, terminación y transición. Lo que debe aportar el proveedor depende de ese contrato y del servicio concreto. La notificación regulatoria a autoridades sigue siendo responsabilidad de la entidad financiera.
La supervisión directa europea solo alcanza a proveedores de terceros de TIC designados como críticos mediante el procedimiento aplicable. Un proveedor ordinario de software no adquiere ese estatus solo por tener un banco como cliente.
Haga dos ejercicios útiles. Restaure un registro representativo desde una copia de seguridad y mida el tiempo real de recuperación. Después simule un aviso de incidente. Confirme que el cliente recibe dentro del plazo acordado el impacto, el servicio afectado, la contención y la hora de la próxima actualización. Estos ejercicios ayudan a la evaluación del cliente. No sustituyen asesoramiento jurídico ni una decisión supervisora.
Lea el texto primario en DORA en EUR-Lex. Para preparar la entrega, vea software a medida y consultoría tecnológica.
Fundador y director ejecutivo de Rise.sk. Diseña y entrega aplicaciones web, sistemas de datos y automatizaciones, y escribe sobre decisiones de software, IA y servicios digitales.
Sus clientes corporativos empezarán a enviar cuestionarios de cumplimiento de NIS2. Esto es lo que las empresas de software deben saber sobre la base de seguridad, la respuesta a incidentes y las obligaciones de la cadena de suministro.
Las reglas de transparencia de la AI Act se aplican desde el 2 de agosto de 2026. Las reglas para IA de alto riesgo en el empleo se aplican desde el 2 de diciembre de 2027. Guía práctica de preparación.
Cómo se distingue la transposición de los plazos de información según el tamaño del empleador. Preparación de datos y revisión de reglas nacionales.