DORA: designados los primeros proveedores TIC críticos
Las AES designaron 19 proveedores terceros críticos de servicios TIC con arreglo a DORA, ahora bajo vigilancia directa de la UE. Qué supone.
El Reglamento de resiliencia operativa digital (DORA, Reglamento (UE) 2022/2554) se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y otras entidades financieras. Su vigilancia de los mayores proveedores tecnológicos ya está en marcha.
19 proveedores bajo vigilancia directa de la UE
El 18 de noviembre de 2025 las tres Autoridades Europeas de Supervisión (ABE, AESPJ y AEVM) publicaron la primera lista de proveedores terceros críticos de servicios TIC (CTPP). Los 19 proveedores designados son grandes empresas de nube, centros de datos, telecomunicaciones, consultoría y datos financieros, entre ellas Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture e IBM.
Las autoridades se basaron en los registros de información que las entidades financieras llevan sobre sus contratos TIC, seguidos de una evaluación de criticidad con las autoridades nacionales. Los proveedores designados tienen ahora un supervisor principal que puede pedir información, realizar inspecciones y emitir recomendaciones. La lista se actualiza cada año.
Registros de información: cada año
Las entidades financieras llevan un registro de todos sus acuerdos con proveedores terceros de servicios TIC. Desde 2026, las autoridades nacionales remiten estos registros a las AES antes del 31 de marzo de cada año, con el 31 de diciembre del año anterior como fecha de referencia. Cada autoridad nacional fija plazos propios, anteriores, para las entidades que supervisa.
Qué significa
- Para las entidades financieras: la vigilancia de un CTPP no sustituye su propia responsabilidad. Usted sigue gestionando el riesgo de terceros TIC: contratos con las cláusulas del artículo 30, estrategias de salida y un registro completo y exacto.
- Para los proveedores TIC que no están en la lista, incluidos los proveedores SaaS más pequeños: cuente con cláusulas DORA en los contratos, preguntas sobre subcontratistas y ubicaciones, y solicitudes de apoyo en la salida y en incidentes. Tener respuestas claras acorta las compras.
La perspectiva del proveedor: DORA para proveedores SaaS y TIC terceros.
Fuentes
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 19 de octubre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål