Píldora · DORA, si tu cliente es una entidad financiera
Prepárate antes de que te lo pidan
Por qué te hacen tantas preguntas
Cada entidad financiera mantiene un registro de información con todos sus contratos de servicios de TIC, distingue los que sustentan funciones esenciales o importantes y lo pone a disposición de su supervisor (art. 28.3). Ese registro se rellena con datos tuyos. Y antes de contratar, la entidad tiene que comprobar que el proveedor es idóneo y que cumple estándares adecuados de seguridad de la información (art. 28.4 y 28.5). De ahí el cuestionario.
El reloj de tu cliente
Cuando una entidad financiera sufre un incidente grave relacionado con las TIC, tiene que notificarlo a su supervisor con estos plazos (Reglamento Delegado (UE) 2025/301, art. 5):
- Notificación inicial: en las cuatro horas siguientes a clasificar el incidente como grave, y como muy tarde veinticuatro horas después de conocerlo.
- Informe intermedio: como muy tarde setenta y dos horas después de la notificación inicial.
- Informe final: como muy tarde un mes después del informe intermedio, o de su última actualización.
Si el incidente empieza en tu servicio, ese reloj depende de lo que tardes en avisar. Por eso el aviso es lo primero que te van a pedir.
Lo que conviene tener preparado (marca lo que ya tienes; lo que quede, llévalo a quien decide)
0 de 7
Dos casos que conviene conocer
Las autoridades europeas de supervisión pueden designar como esenciales a los proveedores de los que depende una parte importante del sector financiero (art. 31). Esos proveedores quedan bajo supervisión europea directa. Las primeras designaciones se hicieron el 18 de noviembre de 2025. A la mayoría de los proveedores no les afecta: DORA les llega por el contrato con sus clientes.
Un cliente financiero te trae DORA. Un cliente de un sector esencial o importante puede traerte exigencias por NIS2. Y si trabajas para la Administración, el Esquema Nacional de Seguridad. Piden cosas parecidas con palabras distintas: lo que prepares para uno te sirve para los otros.
D1 Ficha «Cuando un cliente financiero te envía su anexo»
una cara · para quien lleva los contratos
Descargarlo es voluntario. El archivo se crea en tu navegador y se queda en tu dispositivo: no se envía a ningún servidor.
Texto de la pieza
¿Nuestro servicio sustenta una función esencial o importante? Lo dice el cliente: ____.
En todos los contratos. Descripción del servicio y subcontratación · dónde se presta y dónde están los datos · protección de los datos · recuperación y devolución · niveles de servicio · ayuda en incidentes · cooperación con sus autoridades · terminación y preaviso · formación.
Además, si es esencial o importante. Niveles de servicio con objetivos medibles · avisos · continuidad y seguridad · pruebas de penetración · acceso, inspección y auditoría · estrategia de salida con periodo transitorio.
Auditoría. Alcance, procedimiento y frecuencia por escrito: ____. Garantía alternativa si afecta a otros clientes: ____.
Incidentes. Primer aviso en ____ horas. Contacto fuera de horario: ____. Datos mínimos del aviso: ____.
Salida. Periodo transitorio: ____. Formato de devolución de los datos: ____.
Subcontratistas que intervienen: ____.
Pie: Minery Academy. Formación, no asesoramiento jurídico.
En 30 segundos
DORA obliga a las entidades financieras desde el 17 de enero de 2025, y les llega a sus proveedores por contrato.
Tu cliente sigue siendo responsable de lo que tiene contratado fuera: por eso te lo pide.
Hay un mínimo para todos los contratos y un nivel reforzado si sustentas una función esencial o importante.
En ese nivel hay auditoría, avisos y una salida ordenada. Lo que se negocia es el cómo.
El aviso de incidentes se pacta en horas: tu cliente notifica a su supervisor en horas.
Ten preparados el servicio, los datos, los subcontratistas y los niveles que puedes comprometer.
Cuando termines, sigues con «Comprobación final».