¿Te aplica DORA si vendes software o servicios TIC a un banco?
No como a tu cliente. DORA obliga a veinte tipos de entidades financieras (artículo 2.1, letras a a t) y nombra a los proveedores TIC en la letra u, pero la supervisión directa es para los designados esenciales: 19 grandes grupos en la lista de noviembre de 2025. Al resto, DORA le llega por contrato.
El Reglamento (UE) 2022/2554, conocido como DORA por sus siglas en inglés (resiliencia operativa digital), se aplica desde el 17 de enero de 2025 (artículo 64). Sus obligaciones van dirigidas a entidades de crédito, entidades de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de criptoactivos, aseguradoras y reaseguradoras, intermediarios de seguros, fondos de pensiones de empleo y plataformas de financiación participativa, entre otras.
Para DORA eres «proveedor tercero de servicios de TIC» si prestas servicios digitales y de datos a través de sistemas informáticos de forma continua (artículo 3, puntos 19 y 21). El considerando 35 pide entenderla de manera amplia: nombra expresamente el hardware como servicio y solo deja fuera la telefonía analógica tradicional.
19
proveedores TIC designados esenciales para todo el sector financiero de la UE en la primera lista, del 18 de noviembre de 2025: grandes grupos como Accenture, Amazon Web Services, Google Cloud, Microsoft, Oracle o SAP. La lista se revisa cada año (artículo 31.9).
Ojo con la palabra: en la versión española del reglamento, «esencial» traduce el «critical» inglés. Esos 19 los supervisa directamente una autoridad europea (nota de las autoridades europeas de supervisión). La lista la forman grandes grupos. A una empresa de 10 a 250 personas le toca otra cosa: lo que su cliente tiene que exigirle, porque el artículo 28.1.a deja a la entidad financiera plenamente responsable de cumplir DORA aunque externalice el servicio.
¿Tu cliente es una entidad financiera de las letras a a t del artículo 2.1, no excluida por el 2.3?
- No
- DORA no te llega por esta vía. Las corredurías pequeñas están excluidas: mira la última sección.
¿Estás en la lista de proveedores TIC esenciales de las autoridades europeas?
- Sí
- Supervisión directa de una autoridad europea (artículos 31 y siguientes).
¿Tu servicio sostiene una función esencial o importante de tu cliente?
- Sí
- Firmarás las cláusulas del artículo 30.2 y las del 30.3.
- No
- Firmarás las cláusulas mínimas del artículo 30.2.
¿Qué cláusulas del artículo 30 de DORA vas a tener que firmar?
Nueve como mínimo, según el artículo 30.2: descripción del servicio y de la subcontratación, lugares de prestación y de los datos, protección de los datos, acceso y devolución de los datos, niveles de servicio, asistencia en incidentes, cooperación con el supervisor, terminación con preaviso y participación en la formación de seguridad del cliente.
El artículo 30.1 añade la forma: derechos y obligaciones por escrito, con los acuerdos de nivel de servicio dentro del contrato y en un formato descargable y duradero. Estas son las nueve, con lo que suponen para ti:
| Letra | Qué tiene que decir el contrato | Qué supone para ti | Dónde hay margen |
|---|---|---|---|
| a | Descripción completa del servicio y si puedes subcontratar lo que sostiene una función esencial | Describir el servicio con detalle y declarar tus subcontratistas | El nivel de detalle y las condiciones para subcontratar |
| b | Regiones o países donde prestas el servicio y tratas o almacenas los datos | Avisar por adelantado si cambias de ubicación | Con cuánta antelación avisas |
| c | Disponibilidad, autenticidad, integridad y confidencialidad de los datos | Medidas de seguridad descritas, también para datos personales | Qué medidas concretas se detallan en el anexo |
| d | Acceso, recuperación y devolución de los datos si cierras, quiebras o termina el contrato | Devolver los datos en un formato fácilmente accesible | El formato y el plazo de entrega |
| e | Descripción de los niveles de servicio, con sus revisiones | Comprometer disponibilidad y tiempos de respuesta | Las cifras de cada nivel |
| f | Asistencia al cliente en un incidente relacionado con tu servicio | Ayudar sin coste adicional o a un coste fijado de antemano | Elegir el coste fijado de antemano |
| g | Cooperación plena con las autoridades competentes y de resolución del cliente | Atender a su supervisor si lo pide | Ninguno: es obligatoria |
| h | Derechos de terminación y plazos mínimos de preaviso | Aceptar que el cliente pueda terminar en los casos del artículo 28.7 | La duración del preaviso |
| i | Participación en sus programas de concienciación y formación en seguridad | Que tu equipo asista si el cliente lo incluye (artículo 13.6) | Quién asiste y con qué frecuencia |
¿Qué cambia si tu servicio sostiene una función esencial o importante de tu cliente?
Mucho. El artículo 30.3 añade niveles de servicio con objetivos cuantitativos y cualitativos, plazos de aviso, planes de contingencia probados, participación en las pruebas de penetración de tu cliente, derechos ilimitados de acceso, inspección y auditoría, y una estrategia de salida con un periodo transitorio en el que sigues prestando el servicio.
Una función es «esencial o importante» si su interrupción afectaría significativamente a los resultados financieros de la entidad, a la continuidad de sus servicios o al cumplimiento de su autorización (artículo 3.22). Lo decide tu cliente antes de firmar (artículo 28.4.a), y lo anota en su registro de proveedores. Pregúntale cómo ha clasificado tu servicio: de esa respuesta depende la mitad del contrato.
| Situación | Servicio que no sostiene una función esencial | Servicio que sostiene una función esencial o importante |
|---|---|---|
| Niveles de servicio | Descritos, con sus revisiones (30.2.e) | Con objetivos precisos, cuantitativos y cualitativos (30.3.a) |
| Avisos al cliente | Asistencia en incidentes (30.2.f) | Plazos de aviso de todo lo que afecte a tu capacidad de prestar el servicio (30.3.b) |
| Continuidad | Protección de los datos (30.2.c) | Planes de contingencia que apliques y pruebes (30.3.c) |
| Pruebas | El artículo 30.2 no la exige | Participar en sus pruebas de penetración basadas en amenazas (30.3.d) |
| Auditoría | La que pacte el contrato | Acceso, inspección y auditoría ilimitados, también para su supervisor (30.3.e) |
| Salida | Terminación con preaviso (30.2.h) | Periodo transitorio obligatorio para migrar a otro proveedor (30.3.f) |
| Subcontratistas | La descripción del servicio (30.2.a) | Si puedes subcontratar y con qué condiciones: Reglamento Delegado (UE) 2025/532 |
Los planes de contingencia y la salida se demuestran con dos cosas: un plan de continuidad de negocio con la fecha de su última prueba y unos tiempos de recuperación medidos, que es lo que explica la guía de RTO y RPO.
¿Qué parte de las cláusulas de DORA se puede negociar?
Que las cláusulas existan no se negocia. El cómo, sí: el coste de la asistencia en incidentes, que puede fijarse de antemano (30.2.f); el alcance, el procedimiento y la frecuencia de las auditorías (30.3.e.iv); niveles de garantía alternativos si una auditoría afecta a otros clientes (30.3.e.ii), y las cifras de cada nivel de servicio.
Tu cliente no puede quitar una cláusula del artículo 30, porque responde ante su supervisor. Pero el propio artículo deja huecos que se rellenan negociando:
- Coste de la asistencia. La letra f permite ayudar «sin coste adicional, o a un coste determinado con anterioridad». Propón una tarifa por hora o una bolsa de horas para incidentes.
- Auditorías. El contrato tiene que concretar el alcance, el procedimiento y la frecuencia (30.3.e.iv), y el cliente las fija con un enfoque basado en el riesgo (28.6). Ahí caben el preaviso, la confidencialidad y el orden: primero informes independientes, la visita si no bastan. Lo que no cabe, si sostienes una función esencial, es limitar el derecho.
- Los derechos de tus otros clientes. Si una auditoría in situ pondría en riesgo los datos de otros clientes, el artículo 30.3.e.ii permite pactar niveles de garantía alternativos.
- Plazos. Preaviso de terminación, antelación para avisar de un cambio de ubicación y duración del periodo transitorio de salida.
- Modelos públicos. El artículo 30.4 pide a las dos partes considerar cláusulas tipo elaboradas por autoridades públicas. Proponer una tiene la ventaja de que no es tu redacción.
Las cláusulas de responsabilidad, seguro e indemnidad no las fija DORA: se negocian como en cualquier contrato, y están explicadas en la guía de cláusulas de ciberseguridad.
¿Por qué te pide tu cliente financiero el código LEI?
Porque tu cliente tiene que llevar un registro de todos sus contratos de servicios TIC (artículo 28.3 de DORA), y el Reglamento de Ejecución (UE) 2024/2956 le obliga a identificar en él a cada proveedor que sea persona jurídica con un LEI válido y activo o con su EUID (artículo 3.5).
El LEI es el identificador de entidad jurídica: un código de veinte caracteres según la norma ISO 17442. El EUID es el identificador único europeo de las sociedades. Para una persona jurídica, las instrucciones del registro solo admiten uno de esos dos: ni el CIF ni el número de IVA sirven. Si tu empresa no tiene LEI, pregunta a tu cliente si le vale el EUID, porque la norma admite cualquiera de los dos.
| Dato | Qué es | Quién lo aporta |
|---|---|---|
| Código de identificación | Tu LEI o tu EUID | Tú |
| Razón social | Como figura en el registro mercantil | Tú |
| País de la sede | Donde está tu sede operativa, por norma general tu residencia fiscal | Tú |
| Sociedad matriz última | Su LEI o EUID, si perteneces a un grupo | Tú |
| Gasto anual estimado | Lo que tu cliente calcula que te paga al año | Tu cliente |
| Cadena de subcontratistas | Quién presta de verdad el servicio, si sostiene una función esencial | Tú, con el LEI o EUID de cada subcontratista |
Ese registro no se queda en el banco. Tu cliente informa a su autoridad competente al menos una vez al año de sus contratos TIC nuevos y le entrega el registro completo si se lo pide (artículo 28.3). Según el propio Reglamento de Ejecución, esa información es la base con la que las autoridades europeas designan cada año a los proveedores esenciales.
¿En cuántas horas tendrás que avisar a tu cliente financiero de un incidente?
DORA no fija tu plazo: lo fija tu contrato (artículo 30.3.b). Fija el de tu cliente: notificación inicial en cuatro horas desde que clasifica el incidente como grave y nunca después de 24 desde que lo conoce, informe intermedio a las 72 horas y final al mes. Por eso te pedirá un aviso más corto.
0 h
Tu cliente tiene conocimiento del incidente
Muchas veces porque tú se lo has dicho: por eso el contrato te pide avisar pronto.
4 h desde la clasificación
Notificación inicial a su autoridad competente
Desde que lo clasifica como grave, y como mucho 24 horas desde que lo conoce.
72 h
Informe intermedio
Contadas desde la notificación inicial, aunque nada haya cambiado.
1 mes
Informe final
Desde el último informe intermedio.
Fuente: Reglamento Delegado (UE) 2025/301, art. 5 (plazos de notificación de incidentes graves), consultado el .
Los plazos son del Reglamento Delegado (UE) 2025/301, artículo 5. Si el plazo de tu cliente cae en fin de semana o festivo, en general puede presentar antes del mediodía del siguiente día hábil, pero no las entidades de crédito ni las que sean esenciales o importantes según la NIS2. Un banco, por tanto, cuenta también los sábados para la notificación inicial.
Tener escrito quién avisa, a quién y con qué datos es lo que pide un plan de respuesta a incidentes.
¿Qué te puede exigir tu cliente sobre tus propios subcontratistas?
Si tu servicio sostiene una función esencial, el Reglamento Delegado (UE) 2025/532 pide que el contrato diga que respondes de tus subcontratistas, que los supervisas, que les trasladas los mismos derechos de auditoría y que avisas de cualquier cambio sustancial, que no puedes aplicar hasta que tu cliente lo apruebe o no se oponga.
Antes de firmar, tu cliente decide si puedes subcontratar esa parte del servicio (artículo 3 del Reglamento Delegado (UE) 2025/532). Para dejarte hacerlo, tiene que comprobar que eres capaz de identificar a todos tus subcontratistas, de evaluarlos y de vigilar sus riesgos. Lo que el contrato tiene que especificar (artículo 4):
- Que eres responsable de lo que hagan tus subcontratistas y que los supervisas.
- Dónde tratan o almacenan los datos y qué riesgos tiene esa ubicación.
- Que tus contratos con ellos incluyen planes de contingencia, niveles de servicio y normas de seguridad.
- Que concederán a tu cliente y a su supervisor los mismos derechos de acceso y auditoría que tú.
- Que avisarás a tu cliente de cualquier cambio significativo en la subcontratación.
El aviso de un cambio sustancial tiene un plazo razonable para que tu cliente lo apruebe o se oponga (artículo 5). Si aplicas el cambio antes de que acabe, si lo aplicas pese a su oposición o si subcontratas algo que el contrato no permite, tu cliente puede tener derecho a terminar el contrato (artículo 6).
¿Qué pruebas conviene tener listas para un cliente sujeto a DORA?
Las que demuestran cada cláusula: tu LEI o EUID, una descripción del servicio con las ubicaciones de los datos, la lista de subcontratistas, los niveles de servicio medidos, un procedimiento de incidentes con responsable y plazos, un plan de continuidad probado y un procedimiento para devolver los datos al terminar.
Identificación
- LEI válido y activo, o EUID
- Razón social y país de la sede
- Sociedad matriz última, si la hay
El servicio
- Descripción completa de funciones y servicios
- Países o regiones donde se presta y donde están los datos
- Lista de subcontratistas que lo prestan, con su LEI o EUID
- Niveles de servicio con sus cifras y su medición
Seguridad y continuidad
- Política de seguridad aprobada por la dirección
- Procedimiento de aviso de incidentes, con responsable y plazos
- Plan de continuidad y la fecha de su última prueba
- Registro de la última restauración de copias
Salida
- Procedimiento para devolver los datos en un formato accesible
- Duración propuesta del periodo transitorio
Buena parte coincide con lo que ya te piden otros clientes en un cuestionario o en un anexo de seguridad del contrato. Tenerlas reunidas y con fecha es lo que hace un dossier de evidencias: en Talvit lo preparamos cada mes, con presupuesto aparte de la cuota de 29 € por puesto y mes (IVA no incluido). No negociamos contratos ni damos asesoramiento jurídico; ponemos las pruebas.
¿Te aplica DORA si tu cliente es una correduría de seguros pequeña?
No por esa vía. DORA no se aplica a los intermediarios de seguros, de reaseguros y de seguros complementarios que sean microempresas, pequeñas o medianas empresas (artículo 2.3.e). Si una correduría pequeña te pide cláusulas DORA, lo hace por su política o por el RGPD, no porque el reglamento la obligue: pregúntale qué norma invoca.
El artículo 2.3 excluye también a los fondos de pensiones de empleo con quince partícipes o menos y a algunas entidades exentas por otras normas. Y para quien sí está dentro, el artículo 4 manda aplicar DORA de forma proporcional a su tamaño y su perfil de riesgo: una fintech de veinte personas puede gestionar a sus proveedores de forma más sencilla que un gran banco, aunque las cláusulas mínimas del artículo 30 son las mismas.
Si tu cliente no es financiero pero te exige algo parecido, la base suele ser la NIS2, que en España aún no se ha transpuesto, o el RGPD. DORA es la norma específica del sector financiero frente a la NIS2 (considerando 16). Si vendes servicios gestionados o nube, mira también qué dice la NIS2 de las empresas de servicios informáticos.
Lo que esta guía no cubre
- No es asesoramiento jurídico: la lectura de cada cláusula para tu contrato la confirma tu abogado.
- No cubre las obligaciones de la entidad financiera que no te trasladan por contrato: su marco de gestión del riesgo, sus pruebas o su notificación al supervisor.
- No cubre el régimen de supervisión directa de los proveedores designados esenciales.
Preguntas frecuentes
¿Puede inspeccionarme el supervisor de mi cliente?
Tienes que cooperar con él en cualquier caso (artículo 30.2.g). Si tu servicio sostiene una función esencial, el contrato le da además derechos de acceso, inspección y auditoría (artículo 30.3.e).
¿Quién paga el código LEI?
DORA obliga a tu cliente a identificarte con LEI o EUID, pero no dice quién paga el LEI. Antes de pedir uno, pregunta si le sirve el EUID de tu sociedad.
¿Necesito una certificación para firmar las cláusulas de DORA?
DORA no exige una certificación concreta al proveedor. Pide que tu cliente se asegure de que cumples estándares adecuados de seguridad de la información (artículo 28.5), y una certificación es una forma de demostrarlo, no la única.
Fuentes
- Reglamento (UE) 2022/2554 (DORA), arts. 2, 3, 4, 28, 30, 31 y 64, consultado el
- Reglamento de Ejecución (UE) 2024/2956, art. 3 y anexo I (plantillas del registro de información), consultado el
- Reglamento Delegado (UE) 2025/301, art. 5 (plazos de notificación de incidentes graves), consultado el
- Reglamento Delegado (UE) 2025/532, arts. 3 a 6 (subcontratación de servicios TIC), consultado el
- Autoridades Europeas de Supervisión, nota de prensa del 18 de noviembre de 2025: designación de proveedores TIC esenciales, consultado el
- Autoridades Europeas de Supervisión, lista de proveedores TIC esenciales designados (PDF), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
