El proveedor de alojamiento bajo su producto es un subcontratista en el sentido de DORA, y si su producto sustenta una función esencial o importante de un banco, una aseguradora o una entidad de pago, su cliente tuvo que decidir antes de firmar si permitía esa subcontratación, en las condiciones que las Autoridades Europeas de Supervisión redactaron y la Comisión adoptó como Reglamento Delegado (UE) 2025/532, de 24 de marzo de 2025, publicado el 2 de julio de 2025 y en vigor desde el 22 de julio de 2025. Es el tercero de los actos delegados en virtud del Reglamento (UE) 2022/2554 que alcanzan a un proveedor a través del contrato, adoptado sobre la base del artículo 30, apartado 5, y es corto: siete artículos. Este artículo los lee en el Diario Oficial en CELLAR el 12 de septiembre de 2026, desde el lado del proveedor. No es asesoramiento jurídico.

Qué cuenta como subcontratación, y qué subcontratistas cuentan

La letra a) del artículo 30, apartado 2, de DORA hace que todo contrato de servicios de TIC diga si se permite la subcontratación de un servicio que sustenta una función esencial o importante y en qué condiciones. El Reglamento Delegado rellena «qué condiciones». Su primer considerando nombra el problema: la prestación de servicios de TIC depende a menudo de una cadena compleja de subcontratistas, y la capacidad del cliente para obtener información de esos subcontratistas es limitada. Su segundo considerando estrecha el campo: entre los subcontratistas de un servicio que sustenta una función esencial o importante, el cliente se centra en los que efectivamente lo sostienen, incluido todo subcontratista cuya perturbación menoscabaría la seguridad o la continuidad del servicio, tal como consta en el registro de información. El considerando 5 añade que los subcontratistas intragrupo cuentan, y los artículos hablan en todo momento de servicios que sustentan funciones esenciales o importantes «o partes sustanciales de ellas».

Para un proveedor SaaS la cadena suele ser corta y lo que la sostiene, evidente: el proveedor de nube en el que corre el producto, el proveedor de la base de datos o del almacenamiento de objetos si no es la misma empresa, la pasarela de correo o SMS de la que depende un paso de autenticación, un centro de operaciones de seguridad gestionado. Una pasarela de pago o un feed de datos al que el producto simplemente llama es una cuestión más difícil, y la responde el cliente, no el proveedor; el registro de información consigna la cadena por posición, el proveedor en la posición 1 y cada subcontratista por debajo con su propio identificador, y la plantilla B_05.02 es donde acaba la respuesta.

Las diez condiciones que su cliente evalúa antes de firmar, artículo 3

El artículo 3, apartado 1, hace que el cliente decida, antes de celebrar el contrato, si usted puede subcontratar un servicio que sustenta una función esencial o importante, y que lo celebre solo si ha evaluado que se cumplen todas las condiciones siguientes. Cuatro tratan de usted: a) su diligencia debida sobre usted muestra que es capaz de seleccionar y evaluar las capacidades operativas y financieras de los posibles subcontratistas, incluso participando, cuando lo exija, en sus pruebas de resiliencia operativa digital; b) usted es capaz de identificar a todos los subcontratistas que prestan tales servicios, de notificarlos e informar al cliente de ellos, y de facilitarle toda la información que necesite para esta evaluación; c) usted garantiza que sus contratos con esos subcontratistas permiten al cliente cumplir sus propias obligaciones con arreglo a DORA y al Derecho de la Unión y nacional aplicable; e) usted mismo dispone de capacidad, experiencia y recursos financieros, humanos y técnicos suficientes para vigilar los riesgos relacionados con las TIC a nivel de sus subcontratistas, incluso aplicando normas adecuadas de seguridad de la información, con una estructura organizativa, gestión de riesgos y controles internos, y notificación y respuesta ante incidentes.

Una trata de su subcontratista: d) concede al cliente y a las autoridades competentes y de resolución los mismos derechos contractuales de acceso e inspección que concede usted. Cinco son los deberes propios del cliente, pero escritos frente a sus datos: f) sus propios recursos para vigilar el servicio subcontratado; g) el impacto en su resiliencia y solidez financiera de un posible fallo del subcontratista; h) los riesgos de la ubicación del subcontratista; i) su riesgo de concentración de TIC con arreglo al artículo 29 de DORA; j) si algo obstaculiza los derechos de auditoría, inspección y acceso de las autoridades o del cliente. El artículo 3, apartado 2, hace que el cliente repita las letras f) a j) periódicamente frente a los cambios de su entorno empresarial, incluidas las amenazas de TIC, los riesgos de concentración y los riesgos geopolíticos, y el artículo 3, apartado 3, dice que apoyarse en su propia evaluación de riesgos de sus subcontratistas no limita la responsabilidad final del cliente. El artículo 1 enumera los elementos que ajustan todo esto al tamaño y al perfil de riesgo del cliente, entre ellos el tipo de servicio que usted subcontrata, la ubicación del subcontratista o de su empresa matriz, la longitud y complejidad de la cadena, la naturaleza de los datos compartidos con él, si está en un Estado miembro o en un tercer país, si está supervisado, si la prestación se concentra en un solo subcontratista, y si la subcontratación afectaría a la transferibilidad del servicio a otro proveedor.

Las doce condiciones que el contrato lleva después, artículo 4

El artículo 4, apartado 1, dice que el contrato identifica qué servicios que sustentan funciones esenciales o importantes pueden subcontratarse y en qué condiciones, y especifica: a) que usted es responsable de los servicios prestados por los subcontratistas; b) que debe vigilar todos los servicios subcontratados de ese tipo para que sus obligaciones con el cliente se cumplan de forma continua; c) sus obligaciones de vigilancia y de información al cliente respecto de esos subcontratistas; d) que usted evalúa todos los riesgos asociados a la ubicación de los subcontratistas actuales o potenciales y de su empresa matriz, y al lugar desde el que se presta el servicio; e) la ubicación de los datos tratados o almacenados por el subcontratista, cuando proceda; f) que usted especifica, en su contrato con cada subcontratista, sus obligaciones de vigilancia y de información hacia usted y, si se acuerda, hacia el cliente; g) que usted garantiza la continuidad del servicio a lo largo de toda la cadena si un subcontratista incumple sus obligaciones; h) que su contrato con el subcontratista contiene los requisitos sobre planes de contingencia del artículo 30, apartado 3, letra c), de DORA y los niveles de servicio que el subcontratista debe cumplir en relación con esos planes; i) que especifica las normas de seguridad de las TIC y cualquier requisito adicional de seguridad de la misma letra c); j) que el subcontratista concede al cliente y a las autoridades los mismos derechos de acceso, inspección y auditoría que el artículo 30, apartado 3, letra e), de DORA; k) que usted notifica al cliente cualquier cambio sustancial de los acuerdos de subcontratación; l) que el cliente puede resolver el contrato cuando se cumplan las condiciones del artículo 6 del Reglamento Delegado o del artículo 28, apartado 7, de DORA.

El artículo 4, apartado 2, añade la regla transitoria: los cambios de los contratos existentes que el Reglamento Delegado haga necesarios se aplican oportunamente y lo antes posible, y el cliente documenta el calendario previsto. Por eso la adenda llegó después del 22 de julio de 2025 y no con el contrato original.

El plazo de preaviso antes de cambiar de subcontratista, artículo 5

El artículo 5 es la cláusula operativa. El contrato prevé que usted informe al cliente de cualquier cambio sustancial previsto en sus acuerdos de subcontratación con tiempo suficiente para que evalúe el impacto en sus riesgos y en su capacidad de cumplir sus obligaciones; el contrato contiene un plazo de preaviso razonable dentro del cual el cliente aprueba u objeta; usted aplica el cambio solo después de que el cliente lo haya aprobado o no se haya opuesto al final del plazo; y cuando el cliente considera que el cambio excede su tolerancia al riesgo, se lo comunica antes del final del plazo, se opone y pide modificaciones antes de la aplicación. Una migración de una región o de un proveedor de nube a otro, un nuevo subcontratista de seguridad gestionada, o un cambio del lugar donde el subcontratista trata los datos es un cambio sustancial según esa lectura, y la letra b) del artículo 30, apartado 2, de DORA ya convertía por sí sola un cambio de ubicación en un hecho que debe notificarse.

El artículo 6 enumera los tres casos en los que el cliente puede prever que el contrato se resuelva: usted aplicó un cambio sustancial al que se opuso y cuya modificación pidió; usted aplicó un cambio sustancial antes del final del plazo sin aprobación; o usted subcontrató un servicio que sustenta una función esencial o importante que el contrato no le permitía explícitamente subcontratar. El artículo 28, apartado 7, de DORA añade los motivos generales, entre ellos un incumplimiento significativo y deficiencias demostradas en su gestión del riesgo relacionado con las TIC.

Lo que un sistema ISO 27001 ya contiene

El Reglamento Delegado no nombra ninguna norma; la letra e) del artículo 3, apartado 1, pide «normas adecuadas de seguridad de la información» a nivel de sus subcontratistas, y lo que sigue es la lectura de StandardOS de dónde un sistema ISO/IEC 27001:2022 ya contiene las pruebas, sin presunción de conformidad. De las cuatro condiciones del proveedor, b) es un registro de proveedores con los subcontratistas identificados y sus servicios descritos (controles A.5.19 a A.5.21 del anexo A), c) y e) son los acuerdos con proveedores y la supervisión de los servicios de proveedores (A.5.20, A.5.22), y a) es el registro de selección que hay detrás del registro. De las doce condiciones, b), c) y f) son el mismo registro de supervisión; d) y e) son las ubicaciones que usted ya mantiene para las columnas de almacenamiento y tratamiento del registro; g) y h) son el plan de continuidad y sus pruebas (A.5.29, A.5.30) extendidos a los niveles de servicio del subcontratista; i) es la declaración de aplicabilidad transmitida cadena abajo; j) es la cláusula de auditoría; k) es el registro de gestión de cambios (A.8.32). Nada de eso satisface por sí solo el Reglamento Delegado; es la prueba que la evaluación del cliente con arreglo al artículo 3 pide ver.

Qué hacer antes de que el cliente pregunte

Escriba la lista de subcontratistas que sostienen cada producto, con posición, identificador y ubicación, y guárdela en la ficha de datos del registro. Ponga las doce condiciones del artículo 4, apartado 1, en sus propios contratos de subcontratación donde corresponden, en particular los derechos de auditoría de la letra j) y los requisitos de contingencia de la letra h), porque el cliente comprobará que se trasladan. Decida el plazo de preaviso que puede asumir para un cambio de subcontratista y escríbalo una vez, para que cada adenda se negocie a partir de su cifra y no de la del cliente. Después lleve el registro de proveedores y las pruebas de continuidad a la diligencia debida. La lista de cláusulas del artículo 30 cubre las cláusulas de las que cuelgan las condiciones de subcontratación, y el centro DORA reúne las fechas del Reglamento y de sus actos.