HumanosTech · DORA — Guía para Proveedores ICThumanostech.com
DORA en vigor desde el 17 de enero de 2025
El Reglamento (UE) 2022/2554 — Digital Operational Resilience Act — aplica desde el 17 de enero de 2025 a entidades financieras europeas y sus proveedores ICT. El 92% de las entidades financieras europeas externalizan operaciones IT. Cada proveedor externo amplía la superficie de riesgo que DORA obliga a gestionar y documentar.
Entidades obligadas (20 tipos, Art. 2)
- Bancos, entidades de crédito e instituciones de pago
- Empresas de inversión, fondos de inversión y sus gestoras
- Compañías de seguros y reaseguros
- Plataformas de crowdfunding y entidades de dinero electrónico
- Proveedores de servicios de criptoactivos (MiCA)
- Proveedores ICT críticos — designados por las ESA, supervisión directa europea
- Proveedores ICT no críticos — obligados contractualmente por sus clientes financieros
| Pilar | Descripción |
|---|
| 1. Gestión ICT | Framework documentado, roles definidos, revisiones periódicas. La dirección es responsable. |
| 2. Incidentes | Incidentes graves: notificación inicial 4h, informe intermedio 72h, informe final 30 días. |
| 3. Pruebas | Penetration testing anual para entidades significativas. TLPT (Threat-Led Penetration Testing). |
| 4. Terceros ICT | Registro DORA. Contratos con cláusulas: auditoría, SLA, localización de datos, subcontratación. |
| 5. Información | Compartir inteligencia de amenazas entre entidades. Voluntario pero recomendado por los reguladores. |
⚠ AVISO LEGAL IMPORTANTE — Este documento es exclusivamente informativo
No constituye asesoramiento jurídico, fiscal ni de compliance. Las normativas citadas pueden haber sido modificadas. Ninguna persona u organización debe tomar decisiones legales o empresariales basándose únicamente en este documento. Para decisiones concretas consulte siempre a profesionales cualificados. Humanos Tech OÜ declina toda responsabilidad por el uso de esta información.
Humanos Tech OÜ · Reg. 17179670 · Tallinn, Estonia · Datos procesados exclusivamente en la UE2 / 3
HumanosTech · DORA — Guía para Proveedores ICThumanostech.com
Cláusulas obligatorias en contratos con proveedores ICT (Art. 30)
- Descripción completa de los servicios ICT con SLA documentados y medibles
- Localización de los datos y sistemas, y derecho a conocer cambios de localización
- Disposiciones sobre disponibilidad, autenticidad, integridad y confidencialidad
- Derecho de auditoría e inspección por la entidad financiera y por los reguladores competentes
- Lista de subcontratistas y obligación de notificar cambios en la cadena
- Procedimientos de crisis y plan de contingencia operativa
- Condiciones de terminación y períodos de transición mínimos
- Retorno o destrucción segura de los datos al terminar el contrato
Sanciones — régimen de penalizaciones (Art. 50 y ss.) [VERIFICADO]
Entidades financierasHasta el 2% del volumen de negocio anual mundial total por infracciones graves. Las cuantías exactas las fijan los Estados miembro.
Personas físicas responsablesHasta 1.000.000 EUR por incumplimientos deliberados de la dirección.
Proveedores ICT críticosHasta 5.000.000 EUR o 1% del volumen de negocio diario mundial por cada día de incumplimiento continuado (hasta 6 meses).
Nota importanteEl Art. 50 DORA delega la fijación de cuantías exactas a las legislaciones nacionales de cada Estado miembro. Las cifras anteriores son los umbrales máximos de referencia. Consultad la legislación de vuestro país.
HumanosTech: contratos ICT con cláusulas DORA incluidas
Registros DORA, SLA documentados y cláusulas Art. 30 en todos los contratos. humanostech.com/cybersecurity.html
Humanos Tech OÜ · Reg. 17179670 · Tallinn, Estonia · Datos procesados exclusivamente en la UE3 / 3