DORA para un proveedor de software: las cláusulas contractuales del artículo 30 que le enviará su cliente bancario, el registro de información en el que figurará, y lo que ISO 27001 ya responde

Si entre sus clientes hay un banco, una aseguradora, una empresa de servicios de inversión, una entidad de pago o de dinero electrónico, un proveedor de servicios de criptoactivos o un gestor de fondos en la Unión, probablemente ha recibido una adenda contractual que no redactó, con cláusulas sobre derechos de auditoría, estrategias de salida y los países en los que están sus servidores. Es el Reglamento (UE) 2022/2554, el Digital Operational Resilience Act, que se aplica desde el 17 de enero de 2025. No le regula a usted; regula a su cliente, y el artículo 28(1)(a) hace al cliente plenamente responsable de todo lo que le externaliza, así que el cliente traslada las obligaciones al contrato. Este artículo lee las cláusulas que exige el artículo 30, el registro de información en el que acaba su contrato, los actos delegados que completan el detalle, y qué cláusulas responde ya un sistema de gestión ISO 27001, a partir de los textos en CELLAR el 12 de septiembre de 2026. No es asesoramiento jurídico.

Quién es usted, en las palabras de DORA

El artículo 3(19) define al proveedor tercero de servicios de TIC como una empresa que presta servicios de TIC, y el artículo 3(21) define los servicios de TIC como servicios digitales y de datos prestados a través de sistemas de TIC a uno o varios usuarios internos o externos de forma continua. Un producto SaaS lo es; también un servicio gestionado, una API alojada, una fuente de datos. Que el contrato sea corto o largo, de catálogo o negociado, no importa. Lo que importa es una pregunta que el cliente responde con arreglo al artículo 28(4)(a) antes de firmar: sustenta el servicio una función esencial o importante, definida en el artículo 3(22) como una función cuya perturbación perjudicaría gravemente los resultados financieros del cliente, la solidez o continuidad de sus servicios, o el cumplimiento continuado de las condiciones de su autorización. La respuesta decide si recibe nueve cláusulas o quince.

Las nueve cláusulas de todo contrato de TIC, artículo 30(2)

El artículo 30(1) empieza por la forma: derechos y obligaciones claramente asignados y establecidos por escrito, el contrato completo con los acuerdos de nivel de servicio en un único documento escrito, disponible en papel o en un formato descargable, duradero y accesible. Después el artículo 30(2) enumera lo que todo contrato de uso de servicios de TIC incluye como mínimo:

(a) una descripción clara y completa de todas las funciones y servicios de TIC prestados, indicando si se permite la subcontratación de un servicio que sustenta una función esencial o importante y en qué condiciones; (b) las ubicaciones, regiones o países, donde se prestan las funciones y los servicios y donde se tratan los datos, incluido el almacenamiento, y la obligación de notificar al cliente con antelación un cambio de ubicación; (c) disposiciones sobre disponibilidad, autenticidad, integridad y confidencialidad de los datos, incluidos los personales; (d) disposiciones que garanticen el acceso, la recuperación y la devolución, en un formato fácilmente accesible, de los datos personales y no personales del cliente en caso de insolvencia, resolución o cese de sus actividades, o de terminación del contrato; (e) descripciones de los niveles de servicio, incluidas sus actualizaciones y revisiones; (f) su obligación de asistir al cliente sin coste adicional, o a un coste determinado de antemano, cuando se produzca un incidente de TIC relacionado con el servicio; (g) su obligación de cooperar plenamente con las autoridades competentes y de resolución del cliente, incluidas las personas que designen; (h) los derechos de resolución y los plazos mínimos de preaviso, conforme a las expectativas de esas autoridades; (i) las condiciones de su participación en los programas de concienciación sobre seguridad de las TIC y en la formación en resiliencia operativa digital del cliente con arreglo al artículo 13(6).

Dos de ellas cambian las operaciones de un proveedor y no solo sus papeles. La letra (b) significa que un cambio de región en su cuenta en la nube es un hecho contractual de notificación. La letra (f) significa que la asistencia en incidentes se tarifica antes del incidente o no se tarifica.

Las seis más para funciones esenciales o importantes, artículo 30(3)

Cuando el servicio sustenta una función esencial o importante, el contrato incluye además:

(a) descripciones completas de los niveles de servicio con objetivos de rendimiento cuantitativos y cualitativos precisos, para que el cliente pueda vigilar y adoptar medidas correctoras sin demora indebida cuando no se alcancen los niveles; (b) plazos de preaviso y obligaciones de información al cliente, incluida la notificación de cualquier acontecimiento que pueda afectar gravemente a su capacidad de prestar el servicio en los niveles acordados; (c) requisitos de implantar y probar planes de contingencia y de disponer de medidas, herramientas y políticas de seguridad de las TIC que ofrezcan un nivel de seguridad adecuado al marco regulador del cliente; (d) su obligación de participar y cooperar plenamente en las pruebas de penetración guiadas por amenazas del cliente con arreglo a los artículos 26 y 27; (e) el derecho del cliente a vigilar su rendimiento de forma continua: derechos ilimitados de acceso, inspección y auditoría del cliente, de un tercero que designe y de la autoridad competente, con el derecho a tomar copias de la documentación pertinente in situ cuando usted sea esencial para sus operaciones, sin que otros contratos lo impidan; el derecho a acordar niveles de garantía alternativos cuando se vean afectados los derechos de otros clientes; su obligación de cooperar plenamente en las inspecciones y auditorías in situ de las autoridades competentes, del supervisor principal, del cliente o de su designado; y la obligación de facilitar detalles sobre el alcance, los procedimientos y la frecuencia de tales inspecciones y auditorías; (f) estrategias de salida, con un periodo de transición adecuado y obligatorio durante el cual usted sigue prestando el servicio para que el cliente pueda migrar a otro proveedor o a una solución interna sin perturbación.

Una excepción: cuando el cliente es una microempresa, el artículo 30(3) permite a las partes acordar que sus derechos de acceso, inspección y auditoría se deleguen en un tercero independiente que usted designe, al que el cliente puede pedir información y garantías en cualquier momento. Y el artículo 30(4) pide a ambas partes que consideren las cláusulas contractuales tipo elaboradas por autoridades públicas para servicios específicos.

El registro de información, y los actos que hay detrás del detalle

El artículo 28(3) obliga a cada cliente a mantener un registro de información sobre todos sus acuerdos contractuales de servicios de TIC, distinguiendo los que sustentan funciones esenciales o importantes, a informar cada año a su autoridad competente sobre los nuevos acuerdos, las categorías de proveedores, los tipos de contrato y los servicios y funciones, a entregar el registro completo a petición, y a informar a la autoridad antes de contratar para una función esencial o importante. El Reglamento de Ejecución (UE) 2024/2956 de la Comisión, de 29 de noviembre de 2024, establece las plantillas normalizadas de ese registro, de modo que su nombre, su identificador jurídico, el servicio, la función que sustenta y los países desde los que se presta son campos de un formulario que su cliente presenta.

Tres reglamentos delegados completan el resto. El Reglamento Delegado (UE) 2024/1773, de 13 de marzo de 2024, especifica el contenido de la política del cliente sobre acuerdos contractuales para funciones esenciales o importantes: la diligencia debida que ejerce sobre usted antes de firmar (artículo 28(4)(d)), incluido si cumple normas adecuadas de seguridad de la información, lo que el artículo 28(5) convierte en condición de todo contrato y, para las funciones esenciales o importantes, en una cuestión de las normas más actualizadas y de mayor calidad. El Reglamento Delegado (UE) 2024/1774, de la misma fecha, especifica las herramientas, métodos, procesos y políticas de gestión del riesgo de las TIC del propio cliente, el marco del que el artículo 28(1) hace componente a su servicio. El Reglamento Delegado (UE) 2025/532, de 24 de marzo de 2025, especifica lo que el cliente determina y evalúa cuando usted subcontrata un servicio que sustenta una función esencial o importante, y por eso la letra (a) de las nueve cláusulas le pide que diga si subcontrata y en qué condiciones.

La capa por encima del contrato

El artículo 29 obliga al cliente a evaluar, antes de firmar, si usted no es fácilmente sustituible y si concentra varios servicios esenciales en usted o en proveedores estrechamente vinculados a usted; un proveedor difícil de sustituir es un proveedor cuya estrategia de salida con arreglo al artículo 30(3)(f) se negocia con dureza. El artículo 31 permite a las Autoridades Europeas de Supervisión designar a los proveedores terceros de servicios de TIC esenciales para el sector financiero en su conjunto, con criterios de impacto sistémico, número e importancia de las entidades financieras atendidas y sustituibilidad; un proveedor designado recibe un supervisor principal con poderes propios. Esa capa alcanza a los hiperescaladores y a los proveedores de core bancario, no a una empresa con tres clientes bancarios, pero el registro de información es cómo cuentan las autoridades.

Lo que ISO 27001 ya responde

El artículo 28(5) es la cláusula que pregunta qué norma cumple usted, y el derecho de auditoría del artículo 30(3)(e) es la cláusula que pide verla. Un sistema de gestión de la seguridad de la información ISO/IEC 27001 no satisface una cláusula contractual; produce la evidencia que la diligencia debida y la auditoría de un cliente piden con arreglo a varias de ellas. La tabla es la lectura de StandardOS del encaje; DORA no nombra ninguna norma ni concede presunción alguna.

Dos cláusulas no tienen respuesta ISO 27001 y son puro contrato: la 30(2)(g), cooperación con las autoridades del cliente, y la 30(2)(h), derechos de resolución alineados con lo que esas autoridades esperan. Escríbalas una vez y reutilícelas.

Qué hacer antes de que llegue la próxima adenda

Decida, por producto, si puede ser una función esencial o importante para un cliente, y prepare la versión de quince cláusulas en lugar de negociar desde las nueve. Escriba la frase de las ubicaciones con exactitud: regiones, países, subencargados, almacenamiento. Tarifique la asistencia en incidentes de antemano. Escriba el procedimiento de salida y transición con un periodo en meses y un formato de devolución de datos. Publique las condiciones de auditoría con las que puede vivir, incluida la vía de garantía alternativa para la infraestructura compartida. La lista de cláusulas enumera las nueve o las quince en su idioma con un estado para cada una. Después lleve a la diligencia debida los registros ISO 27001 que nombra la tabla, para que la pregunta del cliente con arreglo al artículo 28(5) tenga respuesta antes de formularse.