[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:dora-diligencia-debida-rts-2024-1773-las-seis-preguntas-las-cinco-fuentes-de-garantia-las-ocho-condiciones-para-su-certificado-y-los-cinco-informes":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","dora-diligencia-debida-rts-2024-1773-las-seis-preguntas-las-cinco-fuentes-de-garantia-las-ocho-condiciones-para-su-certificado-y-los-cinco-informes","La política DORA de su banco sobre proveedores, RTS 2024\u002F1773: las seis preguntas de la diligencia debida, las cinco fuentes de garantía, las ocho condiciones para aceptar su certificado ISO 27001 en lugar de una auditoría, y los cinco informes que deberá","Toda entidad financiera de la Unión tiene una política escrita sobre sus contratos de servicios de TIC que sustentan funciones esenciales o importantes, y el Reglamento Delegado (UE) 2024\u002F1773 dice qué debe contener esa política, en vigor desde el 15 de julio de 2024. Leído desde el lado del proveedor: las seis cosas que el cliente evalúa sobre usted antes de firmar (artículo 6), las cinco fuentes de garantía que puede usar y las ocho condiciones bajo las cuales puede confiar en sus certificaciones o informes de auditoría en vez de auditarle él mismo (artículo 8), los indicadores clave, las penalizaciones y los cinco tipos de informe que exigirá el contrato (artículo 9), y el plan de salida que debe probar (artículo 10). Con lo que un certificado ISO 27001 responde, y lo que no.","2026-09-12","\nEl cuestionario que un banco envía a sus proveedores de software no es invención del banco. Desde el 15 de julio de 2024, toda entidad financiera sujeta al Reglamento (UE) 2022\u002F2554, DORA, tiene que mantener una política escrita sobre sus contratos de servicios de TIC que sustentan funciones esenciales o importantes, y el Reglamento Delegado (UE) 2024\u002F1773 de la Comisión, de 13 de marzo de 2024, publicado el 25 de junio de 2024, especifica el contenido detallado de esa política en once artículos. El artículo 28, apartado 2, de DORA exige la política; el Reglamento Delegado dice qué debe hacer la política que el banco pregunte, compruebe, contrate y vigile. Leído desde el lado del proveedor, es el guion de cada cuestionario de diligencia debida, cada cláusula de auditoría y cada solicitud de informe trimestral que recibirá de un cliente financiero. Este artículo lo lee en el Diario Oficial en CELLAR el 12 de septiembre de 2026. No es asesoramiento jurídico.\n\n## Las seis cosas que el cliente evalúa antes de firmar, artículo 6, apartado 1\n\nEl artículo 6, apartado 1, exige que la política establezca un proceso proporcionado para seleccionar y evaluar a los posibles proveedores, y que imponga una evaluación, antes de celebrar el contrato, de si el proveedor: a) tiene la reputación empresarial, capacidades suficientes, experiencia y recursos financieros, humanos y técnicos adecuados, normas de seguridad de la información, una estructura organizativa apropiada, gestión de riesgos y controles internos y, en su caso, las autorizaciones o registros exigidos para prestar el servicio de forma fiable y profesional; b) tiene capacidad para seguir los avances tecnológicos pertinentes, identificar las mejores prácticas de seguridad de las TIC y aplicarlas cuando proceda; c) utiliza o pretende utilizar subcontratistas para el servicio o partes sustanciales de él; d) está ubicado, o trata o almacena los datos, en un tercer país y, en tal caso, si ello afecta al riesgo operativo o de reputación o al riesgo de verse afectado por medidas restrictivas, incluidos embargos y sanciones; e) consiente acuerdos contractuales que hagan efectivamente posible realizar auditorías en el proveedor, incluso in situ, por el cliente, terceros designados y las autoridades competentes; f) actúa de forma ética y socialmente responsable, respeta los derechos humanos y los derechos del niño, incluida la prohibición del trabajo infantil, respeta los principios aplicables de protección del medio ambiente y garantiza condiciones de trabajo adecuadas.\n\nLa letra a) es la pregunta para la que suele presentarse su certificado ISO 27001; la letra c) es donde toma el relevo el Reglamento Delegado sobre subcontratación; la letra d) es la razón por la que el registro de información pide los países de almacenamiento y tratamiento; la letra e) es la cláusula de auditoría, y un proveedor que rechaza las auditorías in situ suspende la evaluación antes de que exista el contrato. La letra f) es la que la mayoría de los cuestionarios llevan ahora y la que sorprende a la mayoría de los proveedores: una respuesta de código de conducta de proveedores, con origen en este apartado. El artículo 6, apartado 2, añade que la política especifica el nivel de garantía que el cliente necesita sobre la eficacia de su marco de gestión de riesgos y exige que la diligencia debida evalúe la existencia de sus medidas de mitigación de riesgos y de continuidad de la actividad y cómo se asegura su funcionamiento. El artículo 5 exige, del lado del cliente, una evaluación previa de los riesgos operativos, jurídicos, de TIC, de reputación, de protección de datos, de disponibilidad de los datos, de ubicación de los datos, de ubicación del proveedor y de concentración, y el artículo 7 pide al cliente identificar y gestionar los conflictos de intereses, incluida la fijación de precios intragrupo.\n\n## Las cinco fuentes de garantía, artículo 6, apartados 3 y 4\n\nEl artículo 6, apartado 3, exige que la política indique cuáles de los siguientes elementos se usan para el nivel de garantía requerido sobre el desempeño del proveedor: a) auditorías o evaluaciones independientes realizadas por el cliente o por cuenta de él; b) informes de auditoría independientes elaborados a petición del proveedor; c) informes de auditoría elaborados por la función de auditoría interna del proveedor; d) certificaciones de terceros apropiadas; e) otra información pertinente de que disponga el cliente o que facilite el proveedor. El artículo 6, apartado 4, exige un nivel de garantía apropiado teniendo en cuenta esos elementos y, cuando proceda, más de uno de ellos. La tarea de un proveedor es poner a disposición b), c) y d) antes de que el cliente tenga que recurrir a a): el certificado, el último informe de auditoría de seguimiento, el programa de auditoría interna y sus informes.\n\n## Las ocho condiciones para confiar en su certificado o informe de auditoría, artículo 8\n\nEl artículo 8, apartado 1, exige que el contrato sea escrito e incluya todos los elementos del artículo 30, apartados 2 y 3, de DORA, las cláusulas que enumera la [lista de cláusulas](\u002Fdora\u002Fcontract-clauses). El artículo 8, apartado 2, exige que el contrato incluya el derecho del cliente a acceder a la información, realizar inspecciones y auditorías y efectuar pruebas sobre las TIC, usando: a) su propia auditoría interna o un tercero designado; b) cuando proceda, auditorías conjuntas y pruebas de TIC conjuntas, incluidas pruebas de penetración guiadas por amenazas, organizadas junto con otros clientes del mismo proveedor; c) cuando proceda, certificaciones de terceros; d) cuando proceda, informes de auditoría internos o de terceros facilitados por el proveedor.\n\nDespués el artículo 8, apartado 3, el apartado que decide hasta dónde le lleva un certificado ISO 27001. El cliente no puede, con el tiempo, confiar únicamente en certificaciones o informes de auditoría, y la política solo puede permitir su uso cuando el cliente: a) está satisfecho con su plan de auditoría para el contrato en cuestión; b) se asegura de que el alcance de la certificación o del informe cubre los sistemas y los controles clave que ha identificado y garantiza el cumplimiento de los requisitos regulatorios pertinentes; c) evalúa a fondo el contenido de forma continua y verifica que el informe o la certificación no está obsoleto; d) se asegura de que los sistemas y controles clave se cubran en las versiones futuras; e) está satisfecho con la aptitud de la parte certificadora o auditora; f) está satisfecho de que la certificación se emite, y la auditoría se realiza, con arreglo a normas profesionales pertinentes ampliamente reconocidas e incluye una prueba de la eficacia operativa de los controles clave existentes; g) tiene el derecho contractual de solicitar, con una frecuencia razonable, modificaciones del alcance de la certificación o del informe a otros sistemas y controles pertinentes; h) tiene el derecho contractual de realizar auditorías individuales y conjuntas a su discreción y de ejercer esos derechos con la frecuencia acordada. El artículo 8, apartado 4, añade que los cambios sustanciales del contrato se formalizan en un documento fechado y firmado por todas las partes, y que la política especifica el proceso de renovación.\n\nLeído como proveedor, b) significa que la declaración de alcance del certificado tiene que nombrar el producto y los sistemas que lo ejecutan, no la sede central; c) y d) significan que el certificado vale lo que valga la última auditoría de seguimiento y la siguiente; e) significa un organismo de certificación acreditado, y los [registros de acreditación](\u002Farticles\u002Fhow-to-check-an-iso-9001-certificate-is-real-what-a-certificate-must-show-three-checks-that-take-ten-minutes-and-the-27-accreditation-registers) que consultará un cliente son los mismos para ISO 27001 que para ISO 9001; f) significa una auditoría que ha probado si los controles funcionan, cosa que hace una auditoría de certificación y no una autoevaluación; y g) y h) significan que el certificado nunca sustituye a la cláusula de auditoría, solo reduce la frecuencia con que se usa.\n\n## Los indicadores clave y los cinco informes, artículo 9\n\nEl artículo 9, apartado 1, exige que el contrato especifique las medidas y los indicadores clave para vigilar de forma continua el desempeño del proveedor, incluidas medidas para vigilar el cumplimiento de los requisitos de confidencialidad, disponibilidad, integridad y autenticidad de los datos y de las políticas pertinentes del cliente, y las medidas que se aplican cuando no se alcanzan los niveles de servicio, incluidas penalizaciones contractuales cuando proceda. El artículo 9, apartado 2, exige que la política garantice en particular a) que el proveedor facilite al cliente informes adecuados sobre sus actividades y servicios, incluidos informes periódicos, informes de incidentes, informes de prestación del servicio, informes sobre seguridad de las TIC e informes sobre las medidas de continuidad de la actividad y sus pruebas; b) que el desempeño se evalúe con indicadores clave de rendimiento, indicadores clave de control, auditorías, autocertificaciones y revisiones independientes; c) que el cliente reciba otra información pertinente; d) que el cliente sea notificado, cuando proceda, de los incidentes relacionados con las TIC y de los incidentes operativos o de seguridad relacionados con los pagos; e) que se realicen una revisión independiente y auditorías que verifiquen el cumplimiento de los requisitos legales y regulatorios y de las políticas. El artículo 9, apartado 3, hace que la evaluación se documente y se reincorpore a la evaluación de riesgos del cliente, y el artículo 9, apartado 4, exige medidas contra las deficiencias, con un plazo definido y seguimiento de su aplicación.\n\nLos cinco informes de la letra a) son el coste operativo de un cliente financiero, y un proveedor con un sistema de gestión produce cuatro de ellos como subproducto: el informe periódico a partir del registro de disponibilidad y supervisión, el informe de incidentes a partir del proceso de incidentes, el informe de seguridad de las TIC a partir de la auditoría interna y la revisión por la dirección, y el informe de continuidad a partir del plan y sus resultados de prueba. El informe de prestación del servicio es el que definen los niveles de servicio del contrato.\n\n## El plan de salida, artículo 10\n\nEl artículo 10 exige que la política contenga un plan de salida documentado para cada contrato, revisado y probado periódicamente, teniendo en cuenta interrupciones del servicio imprevistas y persistentes, una prestación del servicio inadecuada o fallida, y la resolución inesperada del contrato; el plan debe ser realista, viable, basado en escenarios plausibles e hipótesis razonables, y tener un calendario de aplicación compatible con las condiciones de salida y resolución del contrato. El artículo 30, apartado 3, letra f), de DORA pone en el contrato el período de transición y su obligación de seguir prestando el servicio durante él; el artículo 10 es la razón por la que el cliente le pedirá ensayarlo.\n\n## Lo que un certificado ISO 27001 responde, y lo que no\n\nEl Reglamento Delegado no nombra ninguna norma. Lo que sigue es la lectura de StandardOS de dónde responde a las preguntas un sistema de gestión ISO\u002FIEC 27001:2022, sin presunción de conformidad. El artículo 6, apartado 1, letra a), es todo el sistema: el certificado, la declaración de aplicabilidad (cláusula 6.1.3), el programa de auditoría interna (cláusula 9.2) y la revisión por la dirección (cláusula 9.3). El artículo 6, apartado 1, letra b), son los controles de inteligencia sobre amenazas y de gestión de cambios (A.5.7, A.8.32). El artículo 6, apartado 1, letra c), es el registro de proveedores (A.5.19 a A.5.21). El artículo 6, apartado 2, es el plan de continuidad y sus pruebas (A.5.29, A.5.30). El artículo 6, apartado 3, letras b) a d), son el propio certificado, los informes de las auditorías de seguimiento y los informes de auditoría interna. El artículo 8, apartado 3, letra f), lo cumple una auditoría de certificación, que prueba la eficacia operativa, y no un cuestionario de autoevaluación. El artículo 9, apartado 2, letra a), es el registro de supervisión (A.8.16), el proceso de incidentes (A.5.24 a A.5.27) y las pruebas de continuidad. Lo que el certificado no responde: el artículo 6, apartado 1, letra d), que es un hecho sobre sus ubicaciones; el artículo 6, apartado 1, letra e), y el artículo 8, apartado 3, letras g) y h), que son condiciones contractuales que usted tiene que conceder; el artículo 6, apartado 1, letra f), que ninguna norma de seguridad de la información cubre; y el artículo 8, apartado 3, letra b), que depende de si el alcance de su certificado nombra los sistemas en los que se apoya el cliente.\n\n## Qué hacer antes de que llegue el cuestionario\n\nRedacte el alcance del certificado de modo que nombre el producto y sus sistemas. Tenga el último informe de auditoría de seguimiento y el programa de auditoría interna listos para compartir bajo acuerdo de confidencialidad, porque el artículo 6, apartado 3, letras b) y c), es la garantía más barata para ambas partes. Decida la frecuencia de auditoría y las condiciones de auditoría conjunta que puede conceder con arreglo al artículo 8, apartado 3, letra h), y ponga precio a las auditorías in situ en el contrato. Defina una sola vez los cinco informes del artículo 9, apartado 2, letra a), con su cadencia, y prodúzcalos desde el sistema en vez de a mano. Escriba la respuesta de código de conducta de proveedores para el artículo 6, apartado 1, letra f). Y ponga las ubicaciones, los subcontratistas y los plazos de preaviso en la [ficha de datos del registro](\u002Fdora\u002Fregister-of-information), porque la misma política, en el artículo 4, letra e), hace que el cliente mantenga el registro en el que usted aparece. El [centro DORA](\u002Fdora) reúne las fechas del Reglamento y de este acto.\n",1789383970028]