DORA para proveedores TIC: lo que te van a exigir

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿DORA obliga directamente a los proveedores TIC?

No de forma directa, casi nunca. Las obligaciones de DORA recaen sobre tu cliente financiero, que te las traslada por contrato (art. 30) y te incluye en su registro de información (art. 28.3). La excepción son los proveedores que las autoridades europeas designan «esenciales» —los que todo el mundo llama críticos—: a esos sí los supervisan, les cobran tasas y los pueden multar directamente (arts. 31 a 35).

DORA no te va a mandar una carta. Te llega como un anexo nuevo en el contrato que renuevas —con un banco, una aseguradora, una gestora de fondos— o como condición para firmar el próximo. Es el Reglamento (UE) 2022/2554, aplicable en toda la UE desde el 17 de enero de 2025 sin transposición, y su lógica es simple: la entidad financiera conserva la plena responsabilidad de todo lo que externaliza (art. 28.1), así que empuja las obligaciones hacia abajo hasta llegar a ti.

Y sí, te aplica aunque seas pequeño. DORA define al proveedor tercero como «una empresa que presta servicios de TIC», sin umbral de tamaño ni de sector (art. 3.19), y por servicios de TIC entiende cualquier servicio digital o de datos prestado de forma continua, incluido el hardware como servicio (art. 3.21). Un ERP en la nube, un CRM, un servicio gestionado de copias, una pasarela de pagos: todo eso son proveedores tecnológicos dentro del ámbito de DORA.

Antes incluso de contratarte, tu cliente está obligado a evaluarte (art. 28.4). Esa evaluación es la razón por la que se han multiplicado los cuestionarios de seguridad que te van a llegar: no son manía del comprador, son una obligación regulatoria suya.

Las cláusulas del art. 30 de DORA: qué firmas y qué puedes negociar

El art. 30 se titula «cláusulas contractuales fundamentales» y no deja margen: el contrato «incluirá, como mínimo» una lista tasada. Tu cliente no puede omitirlas aunque quiera, porque es su ley, no su política de compras. Estas son las de todo contrato TIC (art. 30.2):

• Qué servicio prestas exactamente y si puedes subcontratar los que sustentan funciones esenciales, y bajo qué condiciones (a).
• Dónde prestas el servicio y tratas o almacenas los datos, con obligación de avisar por adelantado si eso cambia (b).
• Cómo garantizas la disponibilidad, autenticidad, integridad y confidencialidad de los datos, incluidos los personales (c).
• Que devuelves los datos en formato accesible si quiebras, hay resolución o se acaba el contrato (d).
• Los niveles de servicio y su actualización (e).
• Asistencia en incidentes «sin coste adicional o a un coste determinado con anterioridad» (f).
• Cooperación con las autoridades competentes y de resolución del cliente (g).
• Derechos de terminación y plazos mínimos de preaviso (h).
• Tu participación en sus programas de formación en resiliencia (i).

Si el servicio que prestas sustenta una función esencial o importante del cliente, el art. 30.3 añade otra capa, y aquí es donde muchos proveedores firman sin leer:

• SLA con objetivos medibles, cuantitativos y cualitativos, para que el cliente pueda vigilarte de verdad (a).
• Aviso sin demora de cualquier hecho que pueda afectar considerablemente a tu capacidad de prestar el servicio (b).
• Planes de contingencia y medidas de seguridad TIC acordes al marco del cliente (c).
• Obligación de participar y cooperar en sus pruebas de penetración avanzadas —los TLPT (d, arts. 26-27).
• Derecho de auditoría ilimitado: acceso, inspección y auditoría por el cliente, por un tercero que designe y por la autoridad, detallando alcance, procedimientos y frecuencia (e).
• Estrategia de salida con un período transitorio durante el cual sigues prestando el servicio mientras el cliente migra a otro proveedor o lo internaliza (f).

Lo que nadie le cuenta al proveedor: qué es negociable

Negarte en bloque a estas cláusulas te deja fuera del mercado financiero —el art. 28.8 obliga a tu cliente a tener una estrategia de salida precisamente para poder sustituirte—. Pero firmarlas a ciegas te compromete a auditorías en tus instalaciones y a poner recursos en los pentests de otro. El margen está en los detalles, y casi nadie lo aprovecha:

1. Auditoría ilimitada no es auditoría incondicionada. El propio art. 30.3.e te da derecho a pactar «niveles de garantía alternativos» si las auditorías individuales afectan a los derechos de tus demás clientes. Es la palanca del SaaS multicliente: ofrecer una certificación o un informe de tercero en vez de dejar que veinte bancos entren por turnos a tu centro de datos. Y la norma obliga a fijar el alcance, los procedimientos y la frecuencia: acótalos en el contrato, no los dejes en abierto.
2. La asistencia en incidentes tiene precio ahora. El «sin coste adicional o a un coste determinado con anterioridad» (art. 30.2.f) significa que la tarifa de tu ayuda en una crisis se negocia hoy, no a las tres de la madrugada durante el incidente.
3. La salida se paga. El período transitorio del art. 30.3.f es obligatorio, pero su duración y la remuneración de mantener el servicio durante la migración son negociables. Pactarlo mal es regalar meses de trabajo.
4. La microempresa tiene una válvula. Si tu cliente financiero es una microempresa, el contrato puede delegar los derechos de acceso e inspección en un tercero independiente que designes tú (art. 30.3 in fine). No aplica cuando el cliente es un banco grande, pero sí a muchas gestoras y entidades de pago pequeñas.
5. Las certificaciones que ya tienes son tu mejor palanca. Si cuentas con ISO 27001 o estás certificado en el ENS, son la baza para pactar los «niveles de garantía alternativos» del punto 1: evidencia ya auditada por un tercero que tu cliente financiero puede aceptar en vez de someterte a auditorías propias.

Un apunte útil: el art. 30.4 pide a las partes «considerar el uso de cláusulas contractuales tipo» de las autoridades. Si tu cliente te presenta una plantilla oficial, sabrás que el margen de negociación es más estrecho —pero sigue existiendo en frecuencia de auditoría, precios y plazos de salida.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

El registro de información y el LEI que te van a pedir

Además del contrato, hay un segundo canal por el que DORA te toca: el registro de información de tu cliente. El art. 28.3 obliga a cada entidad financiera a registrar todos sus contratos TIC, distinguiendo los que sustentan funciones esenciales, y a remitirlo a su autoridad al menos una vez al año, con las plantillas del Reglamento de Ejecución (UE) 2024/2956.

Para ti, la consecuencia práctica es concreta: te van a pedir un LEI (Identificador de Entidad Jurídica, el código que identifica a tu empresa en los registros financieros) válido y activo —o un EUID si estás establecido en la UE— para identificarte en ese registro (art. 3.5). Si no lo tienes, tramítalo antes de que te lo reclame el tercer cliente; es el tipo de trámite que frena una renovación en el peor momento. El registro también mapea toda tu cadena de subcontratación por posición (tú eres la posición 1; tus subcontratistas, del 2 en adelante), el tipo de servicio según una lista cerrada, los países de prestación y la ubicación de los datos. Conviene que tengas ese mapa hecho antes de que te lo pidan.

La subcontratación, de hecho, tiene reglas propias desde el Reglamento Delegado (UE) 2025/532. Cambiar de subcontratista sin la aprobación del cliente, subcontratar algo expresamente prohibido o incumplir los plazos de notificación es causa de terminación del contrato (art. 6). Documenta tu cadena y pacta el procedimiento de aviso desde el principio.

¿Eres un proveedor TIC crítico según DORA?

Aquí conviene deshacer un equívoco de vocabulario. El texto oficial español de DORA no dice «crítico»: dice esencial. «Proveedor TIC crítico» es el calco del inglés critical ICT third-party service provider que usa todo el sector, pero la norma titula su régimen «proveedores terceros esenciales de servicios de TIC» (art. 31). Da igual cómo lo busques: es lo mismo.

Ser designado esencial es otra liga. Lo deciden las tres autoridades europeas de supervisión según criterios de impacto sistémico, la importancia de tus clientes, la dependencia de funciones esenciales y lo difícil que sería sustituirte (art. 31.2). La lista es pública y anual (art. 31.9), la designación puede ser voluntaria (art. 31.11), y un proveedor de tercer país designado debe crear una filial en la UE en doce meses (art. 31.12).

¿Es teoría? No. La primera lista se publicó en noviembre de 2025 y designó a 19 proveedores. A un proveedor esencial lo supervisa directamente un «supervisor principal», que puede imponer multas coercitivas de hasta el 1 % del volumen de negocios medio diario mundial, cada día durante un máximo de seis meses (art. 35). Y hay un botón nuclear: las autoridades pueden exigir a las entidades financieras que suspendan o terminen sus contratos con un proveedor esencial que incumpla (art. 42). Para la inmensa mayoría de proveedores esto no llegará —seguirás en el circuito contractual del art. 30—, pero explica por qué tus clientes se lo toman tan en serio.

¿Y si además estás en NIS2 por tu cuenta?

Puedes llevar dos sombreros a la vez. Para las entidades financieras, DORA funciona como lex specialis y desplaza a NIS2: la propia DORA se declara acto sectorial en su art. 1.2, a los efectos del art. 4 de la Directiva (UE) 2022/2555 (NIS2), cuyo considerando 28 recoge esa relación. Tu cliente banco no aplica los arts. 21 y 23 de NIS2, aplica DORA. Pero tú, como proveedor de servicios gestionados, puedes estar sujeto a NIS2 por derecho propio —por tu sector y tu tamaño— y, al mismo tiempo, soportar DORA por contrato hacia tus clientes financieros. Cómo se reparten ambas normas lo desarrollamos en cómo encajan DORA y NIS2.

Si ese es tu caso, tienes dos regímenes distintos encima. El estado de la obligación NIS2 en España es este:

Y las sanciones que un proveedor afronta como entidad NIS2 —distintas de las multas coercitivas de DORA— son las de la propia Directiva:

En la práctica, la vigilancia de tus clientes en España la ejercen el Banco de España, la CNMV y la Dirección General de Seguros y Fondos de Pensiones, según el tipo de entidad. Ellos son quienes, a través del contrato y del registro, hacen que DORA aterrice en tu servicio.

El primer paso no es contratar a un despacho: es leer el próximo anexo TIC que te manden con el art. 30 delante, marcar las cláusulas de auditoría, salida y subcontratación, y decidir qué pides negociar antes de firmar.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.