Reglamento (UE) 2022/2554
DORA, para un proveedor de software
Su cliente bancario está regulado; usted se encuentra con DORA en su contrato, que desde el 17 de enero de 2025 lleva 9 cláusulas para todo servicio de TIC y 6 más para una función esencial o importante.
Responda arriba para leer la determinación de su caso; la herramienta completa se lleva sus respuestas.
Continuar en la determinación gratuitaDe un vistazo
Las fechas
Leídas en el Reglamento y en los ocho actos que completan su detalle, el 12 de septiembre de 2026. DORA no tiene acto modificativo.
- 27 de diciembre de 2022
El Reglamento en el Diario Oficial.
- 13 de marzo de 2024
Reglamentos Delegados (UE) 2024/1773 y 2024/1774: la política del cliente sobre contratos para funciones esenciales o importantes, incluida la diligencia debida sobre sus proveedores, y sus herramientas y procesos de gestión del riesgo de las TIC.
- 13 de marzo de 2024
Reglamento Delegado (UE) 2024/1772: los seis criterios de clasificación y los umbrales de importancia que hacen grave un incidente relacionado con las TIC, entre ellos dos horas de inactividad de un servicio que sustenta una función esencial o importante.
- 23 de octubre de 2024
Reglamento Delegado (UE) 2025/301 y Reglamento de Ejecución (UE) 2025/302: el contenido, los plazos y la plantilla de la notificación inicial, el informe intermedio y el informe final de un incidente grave.
- 29 de noviembre de 2024
Reglamento de Ejecución (UE) 2024/2956: las plantillas normalizadas del registro de información en el que se consigna y comunica cada contrato con un proveedor.
- 17 de enero de 2025
El Reglamento se aplica (artículo 64): todo nuevo contrato de servicios de TIC contiene las cláusulas del artículo 30, y los registros se presentan.
- 13 de febrero de 2025
Reglamento Delegado (UE) 2025/1190: qué entidades financieras realizan pruebas de penetración guiadas por amenazas, las fases, los probadores y la prueba agrupada que un proveedor puede realizar para varias entidades.
- 24 de marzo de 2025
Reglamento Delegado (UE) 2025/532: lo que el cliente evalúa cuando un proveedor subcontrata un servicio que sustenta una función esencial o importante.
Tres herramientas, y la norma detrás de la diligencia debida
- Comprobación gratuitaEn qué lado de DORA está, y qué lleva ese lado(en inglés)Tres respuestas, leídas por la determinación que ejecuta el portal. Una entidad financiera lleva el registro y las notificaciones de incidentes; un proveedor, las cláusulas de los contratos de sus clientes.
- Generador de documentosLas cláusulas del artículo 30, con un estado para cada unaLas 9 cláusulas de todo contrato, las 6 para una función esencial o importante y las 12 condiciones de subcontratación del Reglamento Delegado (UE) 2025/532, literalmente en su idioma, cada una con los registros ISO 27001 que la responden; un estado y una nota por cláusula, redactados como el documento que se devuelve.
- Generador de documentosEl registro de información, como su ficha de datosCada cliente presenta las mismas plantillas sobre usted. Las columnas que son hechos sobre el proveedor y el servicio, con sus códigos y sus nombres tomados del Reglamento de Ejecución, respondidas una vez y redactadas como la ficha que acompaña al contrato.
- Generador de documentosEl cuestionario de proveedores, escrito por el ReglamentoPara el lado de la entidad financiera: los 21 puntos del Reglamento Delegado (UE) 2024/1773 que una política debe hacerle preguntar a un proveedor, en palabras del Reglamento, reunidos en el cuestionario con los elementos de garantía y los métodos de auditoría que usa la entidad, y la evidencia que un sistema ISO 27001 produce bajo cada uno.
- GuíaISO 27001, la norma que pide la diligencia debidaEl artículo 28, apartado 5, convierte las normas adecuadas de seguridad de la información en condición de todo contrato; los 93 controles del anexo A y el registro de cláusulas son la respuesta que espera el cuestionario de un cliente.
- GuíaLos controles del anexo A, una página cada unoCada control con su objetivo y la evidencia que produce, en seis idiomas; la lista de cláusulas remite a ellos por referencia.
- CorrespondenciaNIS2 correlacionada con ISO 27001El proveedor de un banco suele ser a su vez una entidad NIS2; las secciones del Reglamento de Ejecución contra los mismos controles.
Cada plantilla gratuita en una página
9 artículos, desde las fuentes primarias
- ArtículoDORA para un proveedor de software: las cláusulas contractuales del artículo 30 que le enviará su cliente bancario, el registro de información en el que figurará, y lo que ISO 27001 ya respondeDesde el 17 de enero de 2025, todo banco, aseguradora, empresa de servicios de inversión y entidad de pago de la Unión gestiona a sus proveedores de software con arreglo al Reglamento (UE) 2022/2554, DORA.
- ArtículoLos diecinueve tipos de servicios de TIC de DORA, S01 a S19: cuál es un producto SaaS, qué consigna el registro de información sobre él, y por qué un contrato puede ser varias filasCada servicio de TIC que compra un banco, una aseguradora o una entidad de pago se consigna en su registro de información bajo uno de diecinueve códigos, S01 a S19, del anexo III del Reglamento de Ejecución (UE) 2024/2956.
- ArtículoSubcontratación bajo DORA, RTS 2025/532: diez condiciones que comprueba su cliente, doce cláusulas que lleva su contrato, un preaviso antes de cambiar de subcontratistaEn vigor desde el 22 de julio de 2025 para todo servicio TIC que sustente una función crítica o importante: el Reglamento Delegado (UE) 2025/532 da al cliente diez condiciones que evaluar antes de permitir la subcontratación, doce cláusulas que el contrato lleva después, desde su responsabilidad por el servicio del subcontratista hasta los derechos de resolución del cliente, y un preaviso antes de cualquier cambio sustancial de subcontratista.
- ArtículoLa política DORA de su banco sobre proveedores, RTS 2024/1773: las seis preguntas de la diligencia debida, las cinco fuentes de garantía, las ocho condiciones para aceptar su certificado ISO 27001 en lugar de una auditoría, y los cinco informes que deberáToda entidad financiera de la Unión tiene una política escrita sobre sus contratos de servicios de TIC que sustentan funciones esenciales o importantes, y el Reglamento Delegado (UE) 2024/1773 dice qué debe contener esa política, en vigor desde el 15 de julio de 2024.
- ArtículoCuando su caída se convierte en el incidente grave de su cliente bancario: los seis criterios de DORA, el umbral de dos horas de inactividad del RTS 2024/1772, los plazos de cuatro horas, 24 horas, 72 horas y un mes del RTS 2025/301, y los datos que su cliente necesitará de ustedUna entidad financiera debe notificar un incidente grave relacionado con las TIC a su supervisor en las cuatro horas siguientes a su clasificación y a más tardar 24 horas después de tener conocimiento de él, presentar un informe intermedio en 72 horas y cerrar en un mes.
- ArtículoLos nueve lugares en los que el marco de riesgos de TIC de su cliente bancario entra en su producto, RTS 2024/1774: fechas de fin de soporte, informes de vulnerabilidades y seguimiento de bibliotecas, ajustes que no puede eludir, código fuente probado antes de producción, cuentas nominales para su personal, y sus incidentes como sus alarmasEl Reglamento Delegado (UE) 2024/1774, en vigor desde el 15 de julio de 2024, especifica el marco de gestión del riesgo relacionado con las TIC que toda entidad financiera aplica bajo DORA, y nueve de sus artículos nombran al proveedor tercero de servicios de TIC.
- ArtículoLas pruebas de penetración guiadas por amenazas bajo DORA, desde el lado del proveedor: cuándo el equipo rojo de su cliente bancario puede entrar en sus sistemas de producción, la prueba de 12 semanas del RTS 2025/1190, la prueba agrupada que puede realizar en su lugar, y lo que el contrato ya diceEl artículo 26 de DORA hace que las mayores entidades financieras realicen una prueba de penetración guiada por amenazas sobre sistemas de producción al menos cada 3 años, que cubre las funciones esenciales o importantes que han externalizado, y el artículo 30, apartado 3, letra d), pone la participación del proveedor en el contrato.
- ArtículoISO 27001 vs SOC 2 en Europa: qué piden realmente los compradoresSi vende en Europa, consiga ISO 27001: las licitaciones públicas de la UE la mencionaron 3.405 veces en un año, frente a 104 de SOC 2, y fue por delante en cada uno de los doce meses detrás de esa cifra.
- Artículo¿CRA o NIS2? Cuál se aplica a una empresa de software, y si pueden ser las dosEl Reglamento de Ciberresiliencia regula productos introducidos en el mercado; NIS2 regula entidades que prestan servicios.
Lo que le pide
158 requisitos en 4 grupos
Obligaciones
112- 5(1) Establezca un marco interno de gobernanza del riesgo TIC
- 5(2) El órgano de dirección aprueba y responde del marco
- 5(3) Designe a alguien para vigilar los contratos TIC
y 109 más
Deberes
4- RTS 5(1) Avise al cliente de los cambios de subcontratación con tiempo para evaluar
- RTS 5(3) Cambie la subcontratación solo tras aprobación o sin objeción
- 26(3) Participe en las TLPT cuando el alcance le incluya
y 1 más
Cláusulas
39- 31(5) Responda a la designación en un plazo de seis semanas
- 31(11) Solicite ser designado crítico si así lo desea
- 35(1) Conozca las facultades del supervisor principal
y 36 más
Plazos
3- 301-5(1)(a) Apoye el informe inicial en las cuatro horas siguientes a la clasificación
- 301-5(1)(b) Apoye el informe intermedio en las 72 horas siguientes al primero
- 301-5(1)(c) Apoye el informe final en el mes siguiente al intermedio
13 de las 15 cláusulas se responden con un registro ISO 27001
StandardOS lleva los registros ISO 27001 que piden la diligencia debida y el derecho de auditoría de un cliente financiero, en un solo espacio de trabajo, en seis idiomas: registro de proveedores, copias de seguridad y pruebas de restauración, proceso de incidentes, plan de continuidad, auditorías internas, la declaración de aplicabilidad.
Las fechas se leen en el Reglamento y en los actos nombrados y nunca se escriben a mano en esta página. Esto no es asesoramiento jurídico, y el Reglamento es el texto que hay que leer: Reglamento (UE) 2022/2554.
Véase también:ArtículosHerramientas gratuitas