[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:dora-para-un-proveedor-de-software-las-clausulas-contractuales-del-articulo-30-que-le-enviara-su-cliente-bancario-el-registro-de-informacion-y-lo-que-iso-27001-ya-responde":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","dora-para-un-proveedor-de-software-las-clausulas-contractuales-del-articulo-30-que-le-enviara-su-cliente-bancario-el-registro-de-informacion-y-lo-que-iso-27001-ya-responde","DORA para un proveedor de software: las cláusulas contractuales del artículo 30 que le enviará su cliente bancario, el registro de información en el que figurará, y lo que ISO 27001 ya responde","Desde el 17 de enero de 2025, todo banco, aseguradora, empresa de servicios de inversión y entidad de pago de la Unión gestiona a sus proveedores de software con arreglo al Reglamento (UE) 2022\u002F2554, DORA. El proveedor no está regulado; el contrato sí. El artículo 30 enumera nueve cláusulas que todo contrato de servicios de TIC debe contener y seis más cuando el servicio sustenta una función esencial o importante: ubicaciones, devolución de datos, asistencia en incidentes a un coste fijado de antemano, cooperación con las autoridades del cliente, preaviso de resolución, derechos de auditoría, estrategias de salida. Cada cláusula leída en el Reglamento, el registro de información que el cliente presenta cada año, los tres actos delegados que hay detrás, y para cuáles de esas cláusulas un sistema ISO 27001 ya produce la evidencia.","2026-09-12",{"who":10,"when":11,"do":12},"Un proveedor de software, proveedor SaaS, servicio gestionado o API alojada con un cliente que en la Unión es banco, aseguradora, empresa de servicios de inversión, entidad de pago o de dinero electrónico, proveedor de servicios de criptoactivos o gestor de fondos; el proveedor no está regulado, su contrato sí.","DORA se aplica desde el 17 de enero de 2025; cada contrato de TIC lleva las cláusulas del artículo 30 en la firma o la renovación, y el cliente comunica cada año a su autoridad el registro de información en el que usted aparece.","Lea la adenda contra el artículo 30, apartados 2 y 3, nueve cláusulas en cada contrato y seis más cuando el servicio sustenta una función esencial o importante; la lista de comprobación gratuita de cláusulas da las quince con lo que ISO 27001 ya responde.","\nSi entre sus clientes hay un banco, una aseguradora, una empresa de servicios de inversión, una entidad de pago o de dinero electrónico, un proveedor de servicios de criptoactivos o un gestor de fondos en la Unión, probablemente ha recibido una adenda contractual que no redactó, con cláusulas sobre derechos de auditoría, estrategias de salida y los países en los que están sus servidores. Es el Reglamento (UE) 2022\u002F2554, el Digital Operational Resilience Act, que se aplica desde el 17 de enero de 2025. No le regula a usted; regula a su cliente, y el artículo 28(1)(a) hace al cliente plenamente responsable de todo lo que le externaliza, así que el cliente traslada las obligaciones al contrato. Este artículo lee las cláusulas que exige el artículo 30, el registro de información en el que acaba su contrato, los actos delegados que completan el detalle, y qué cláusulas responde ya un sistema de gestión ISO 27001, a partir de los textos en CELLAR el 12 de septiembre de 2026. No es asesoramiento jurídico.\n\n## Quién es usted, en las palabras de DORA\n\nEl artículo 3(19) define al proveedor tercero de servicios de TIC como una empresa que presta servicios de TIC, y el artículo 3(21) define los servicios de TIC como servicios digitales y de datos prestados a través de sistemas de TIC a uno o varios usuarios internos o externos de forma continua. Un producto SaaS lo es; también un servicio gestionado, una API alojada, una fuente de datos. Que el contrato sea corto o largo, de catálogo o negociado, no importa. Lo que importa es una pregunta que el cliente responde con arreglo al artículo 28(4)(a) antes de firmar: sustenta el servicio una función esencial o importante, definida en el artículo 3(22) como una función cuya perturbación perjudicaría gravemente los resultados financieros del cliente, la solidez o continuidad de sus servicios, o el cumplimiento continuado de las condiciones de su autorización. La respuesta decide si recibe nueve cláusulas o quince.\n\n## Las nueve cláusulas de todo contrato de TIC, artículo 30(2)\n\nEl artículo 30(1) empieza por la forma: derechos y obligaciones claramente asignados y establecidos por escrito, el contrato completo con los acuerdos de nivel de servicio en un único documento escrito, disponible en papel o en un formato descargable, duradero y accesible. Después el artículo 30(2) enumera lo que todo contrato de uso de servicios de TIC incluye como mínimo:\n\n(a) una descripción clara y completa de todas las funciones y servicios de TIC prestados, indicando si se permite la subcontratación de un servicio que sustenta una función esencial o importante y en qué condiciones; (b) las ubicaciones, regiones o países, donde se prestan las funciones y los servicios y donde se tratan los datos, incluido el almacenamiento, y la obligación de notificar al cliente con antelación un cambio de ubicación; (c) disposiciones sobre disponibilidad, autenticidad, integridad y confidencialidad de los datos, incluidos los personales; (d) disposiciones que garanticen el acceso, la recuperación y la devolución, en un formato fácilmente accesible, de los datos personales y no personales del cliente en caso de insolvencia, resolución o cese de sus actividades, o de terminación del contrato; (e) descripciones de los niveles de servicio, incluidas sus actualizaciones y revisiones; (f) su obligación de asistir al cliente sin coste adicional, o a un coste determinado de antemano, cuando se produzca un incidente de TIC relacionado con el servicio; (g) su obligación de cooperar plenamente con las autoridades competentes y de resolución del cliente, incluidas las personas que designen; (h) los derechos de resolución y los plazos mínimos de preaviso, conforme a las expectativas de esas autoridades; (i) las condiciones de su participación en los programas de concienciación sobre seguridad de las TIC y en la formación en resiliencia operativa digital del cliente con arreglo al artículo 13(6).\n\nDos de ellas cambian las operaciones de un proveedor y no solo sus papeles. La letra (b) significa que un cambio de región en su cuenta en la nube es un hecho contractual de notificación. La letra (f) significa que la asistencia en incidentes se tarifica antes del incidente o no se tarifica.\n\n## Las seis más para funciones esenciales o importantes, artículo 30(3)\n\nCuando el servicio sustenta una función esencial o importante, el contrato incluye además:\n\n(a) descripciones completas de los niveles de servicio con objetivos de rendimiento cuantitativos y cualitativos precisos, para que el cliente pueda vigilar y adoptar medidas correctoras sin demora indebida cuando no se alcancen los niveles; (b) plazos de preaviso y obligaciones de información al cliente, incluida la notificación de cualquier acontecimiento que pueda afectar gravemente a su capacidad de prestar el servicio en los niveles acordados; (c) requisitos de implantar y probar planes de contingencia y de disponer de medidas, herramientas y políticas de seguridad de las TIC que ofrezcan un nivel de seguridad adecuado al marco regulador del cliente; (d) su obligación de participar y cooperar plenamente en las pruebas de penetración guiadas por amenazas del cliente con arreglo a los artículos 26 y 27; (e) el derecho del cliente a vigilar su rendimiento de forma continua: derechos ilimitados de acceso, inspección y auditoría del cliente, de un tercero que designe y de la autoridad competente, con el derecho a tomar copias de la documentación pertinente in situ cuando usted sea esencial para sus operaciones, sin que otros contratos lo impidan; el derecho a acordar niveles de garantía alternativos cuando se vean afectados los derechos de otros clientes; su obligación de cooperar plenamente en las inspecciones y auditorías in situ de las autoridades competentes, del supervisor principal, del cliente o de su designado; y la obligación de facilitar detalles sobre el alcance, los procedimientos y la frecuencia de tales inspecciones y auditorías; (f) estrategias de salida, con un periodo de transición adecuado y obligatorio durante el cual usted sigue prestando el servicio para que el cliente pueda migrar a otro proveedor o a una solución interna sin perturbación.\n\nUna excepción: cuando el cliente es una microempresa, el artículo 30(3) permite a las partes acordar que sus derechos de acceso, inspección y auditoría se deleguen en un tercero independiente que usted designe, al que el cliente puede pedir información y garantías en cualquier momento. Y el artículo 30(4) pide a ambas partes que consideren las cláusulas contractuales tipo elaboradas por autoridades públicas para servicios específicos.\n\n## El registro de información, y los actos que hay detrás del detalle\n\nEl artículo 28(3) obliga a cada cliente a mantener un registro de información sobre todos sus acuerdos contractuales de servicios de TIC, distinguiendo los que sustentan funciones esenciales o importantes, a informar cada año a su autoridad competente sobre los nuevos acuerdos, las categorías de proveedores, los tipos de contrato y los servicios y funciones, a entregar el registro completo a petición, y a informar a la autoridad antes de contratar para una función esencial o importante. El Reglamento de Ejecución (UE) 2024\u002F2956 de la Comisión, de 29 de noviembre de 2024, establece las plantillas normalizadas de ese registro, de modo que su nombre, su identificador jurídico, el servicio, la función que sustenta y los países desde los que se presta son campos de un formulario que su cliente presenta.\n\nTres reglamentos delegados completan el resto. El Reglamento Delegado (UE) 2024\u002F1773, de 13 de marzo de 2024, especifica el contenido de la política del cliente sobre acuerdos contractuales para funciones esenciales o importantes: la diligencia debida que ejerce sobre usted antes de firmar (artículo 28(4)(d)), incluido si cumple normas adecuadas de seguridad de la información, lo que el artículo 28(5) convierte en condición de todo contrato y, para las funciones esenciales o importantes, en una cuestión de las normas más actualizadas y de mayor calidad. El Reglamento Delegado (UE) 2024\u002F1774, de la misma fecha, especifica las herramientas, métodos, procesos y políticas de gestión del riesgo de las TIC del propio cliente, el marco del que el artículo 28(1) hace componente a su servicio. El Reglamento Delegado (UE) 2025\u002F532, de 24 de marzo de 2025, especifica lo que el cliente determina y evalúa cuando usted subcontrata un servicio que sustenta una función esencial o importante, y por eso la letra (a) de las nueve cláusulas le pide que diga si subcontrata y en qué condiciones.\n\n## La capa por encima del contrato\n\nEl artículo 29 obliga al cliente a evaluar, antes de firmar, si usted no es fácilmente sustituible y si concentra varios servicios esenciales en usted o en proveedores estrechamente vinculados a usted; un proveedor difícil de sustituir es un proveedor cuya estrategia de salida con arreglo al artículo 30(3)(f) se negocia con dureza. El artículo 31 permite a las Autoridades Europeas de Supervisión designar a los proveedores terceros de servicios de TIC esenciales para el sector financiero en su conjunto, con criterios de impacto sistémico, número e importancia de las entidades financieras atendidas y sustituibilidad; un proveedor designado recibe un supervisor principal con poderes propios. Esa capa alcanza a los hiperescaladores y a los proveedores de core bancario, no a una empresa con tres clientes bancarios, pero el registro de información es cómo cuentan las autoridades.\n\n## Lo que ISO 27001 ya responde\n\nEl artículo 28(5) es la cláusula que pregunta qué norma cumple usted, y el derecho de auditoría del artículo 30(3)(e) es la cláusula que pide verla. Un sistema de gestión de la seguridad de la información ISO\u002FIEC 27001 no satisface una cláusula contractual; produce la evidencia que la diligencia debida y la auditoría de un cliente piden con arreglo a varias de ellas. La tabla es la lectura de StandardOS del encaje; DORA no nombra ninguna norma ni concede presunción alguna.\n\n| Cláusula del artículo 30 | Lo que el cliente pedirá ver | ISO 27001 |\n|---|---|---|\n| 30(2)(a) descripción y subcontratación | El alcance del servicio, la lista de proveedores y las condiciones que impone a los subencargados | Cláusula 4.3, A.5.19 a A.5.21 |\n| 30(2)(b) ubicaciones y datos | Dónde se tratan y almacenan los datos, y el control de cambios que activa la notificación | A.5.9, A.8.9, A.8.32 |\n| 30(2)(c) disponibilidad, integridad, confidencialidad | La evaluación de riesgos, los controles aplicados, la evidencia de cifrado y copias de seguridad | Cláusulas 6.1 y 8.2, A.8.13, A.8.24 |\n| 30(2)(d) acceso, recuperación y devolución de datos | El procedimiento de exportación y borrado, probado | A.5.30, A.8.10, A.8.13 |\n| 30(2)(e) y 30(3)(a) niveles de servicio | La monitorización de la disponibilidad y el registro frente al objetivo | A.5.30, A.8.6, A.8.16 |\n| 30(2)(f) asistencia en incidentes | El proceso de incidentes, las funciones y el registro de respuesta | A.5.24 a A.5.28 |\n| 30(3)(b) notificación de acontecimientos importantes | El registro de gestión de cambios y las condiciones de notificación del acuerdo con el proveedor | A.8.32, A.5.20 |\n| 30(3)(c) planes de contingencia y medidas de seguridad | El plan de continuidad y sus resultados de prueba, la declaración de aplicabilidad | A.5.29, A.5.30, A.8.14 |\n| 30(3)(d) pruebas de penetración guiadas por amenazas | El registro de gestión de vulnerabilidades y los informes de pruebas anteriores | A.8.8, A.8.29 |\n| 30(3)(e) acceso, inspección y auditoría | El programa de auditoría interna, el certificado, los informes de auditoría | Cláusulas 9.2 y 9.3, A.5.35 |\n| 30(3)(f) estrategia de salida | El procedimiento de transición y el formato de devolución de datos | A.5.30, A.8.10 |\n\nDos cláusulas no tienen respuesta ISO 27001 y son puro contrato: la 30(2)(g), cooperación con las autoridades del cliente, y la 30(2)(h), derechos de resolución alineados con lo que esas autoridades esperan. Escríbalas una vez y reutilícelas.\n\n## Qué hacer antes de que llegue la próxima adenda\n\nDecida, por producto, si puede ser una función esencial o importante para un cliente, y prepare la versión de quince cláusulas en lugar de negociar desde las nueve. Escriba la frase de las ubicaciones con exactitud: regiones, países, subencargados, almacenamiento. Tarifique la asistencia en incidentes de antemano. Escriba el procedimiento de salida y transición con un periodo en meses y un formato de devolución de datos. Publique las condiciones de auditoría con las que puede vivir, incluida la vía de garantía alternativa para la infraestructura compartida. La [lista de cláusulas](\u002Fdora\u002Fcontract-clauses) enumera las nueve o las quince en su idioma con un estado para cada una. Después lleve a la diligencia debida los registros ISO 27001 que nombra la tabla, para que la pregunta del cliente con arreglo al artículo 28(5) tenga respuesta antes de formularse.\n",1789383969434]