Las cláusulas contractuales de DORA, artículo 30: nueve o quince, un estado para cada una

Responda a la pregunta y las cláusulas se enumeran aquí.

Todas las cláusulas, en las palabras del reglamento

9 cláusulas en cualquier contrato de servicios de TIC, 6 más cuando el servicio sustenta una función esencial o importante, y 12 condiciones de subcontratación cuando el contrato la permite. La herramienta de arriba decide cuáles le afectan; aquí están todas.

En todo contrato: 9 cláusulas

Artículo 30, apartado 2. Las lleva cualquier contrato de servicios de TIC, sustente lo que sustente el servicio.

• 30(2)(a) una descripción clara y completa de todas las funciones y los servicios de TIC que deba prestar el proveedor tercero de servicios de TIC en la que se indique si está permitida la subcontratación de un servicio de TIC que sustente una función esencial o importante, o partes sustanciales de ellas, y, en caso afirmativo, las condiciones aplicables a dicha subcontratación; ISO 27001: Clause 4.3, A.5.19, A.5.20, A.5.21
• 30(2)(b) los lugares, en concreto, las regiones o países, en los que deberán proporcionarse las funciones y los servicios de TIC contratados o subcontratados y en los que deberán tratarse los datos, incluido el lugar de almacenamiento, y el requisito de que el proveedor tercero de servicios de TIC notifique por adelantado a la entidad financiera cualquier cambio previsto de dichos lugares; ISO 27001: A.5.9, A.8.9, A.8.32
• 30(2)(c) disposiciones sobre disponibilidad, autenticidad, integridad y confidencialidad en relación con la protección de los datos, incluidos los datos personales; ISO 27001: Clause 6.1, Clause 8.2, A.8.13, A.8.24
• 30(2)(d) disposiciones sobre las garantías de la entidad financiera de poder acceder a los datos personales y no personales tratados y de poder recuperarlos y que le sean devueltos en un formato fácilmente accesible en caso de insolvencia, resolución o interrupción de las operaciones comerciales del proveedor tercero de servicios de TIC o en caso de terminación de los acuerdos contractuales; ISO 27001: A.5.30, A.8.10, A.8.13
• 30(2)(e) descripciones del nivel de servicio, incluidas sus actualizaciones y revisiones; ISO 27001: A.5.30, A.8.6, A.8.16
• 30(2)(f) la obligación del proveedor tercero de servicios de TIC de prestar asistencia a la entidad financiera sin coste adicional, o a un coste determinado con anterioridad, cuando se produzca un incidente de TIC relacionado con el servicio de TIC prestado a la entidad financiera; ISO 27001: A.5.24, A.5.26, A.5.28
• 30(2)(g) la obligación del proveedor tercero de servicios de TIC de cooperar plenamente con las autoridades competentes y las autoridades de resolución de la entidad financiera, incluidas las personas nombradas por ellas; ISO 27001: puro contrato, sin registro
• 30(2)(h) los derechos de terminación y los correspondientes plazos mínimos de notificación para la terminación de los acuerdos contractuales, conforme a las expectativas de las autoridades competentes y las autoridades de resolución; ISO 27001: puro contrato, sin registro
• 30(2)(i) las condiciones para la participación de proveedores terceros de servicios de TIC en los programas de sensibilización en materia de seguridad de las TIC y en las actividades de formación sobre resiliencia operativa digital de las entidades financieras, de conformidad con el artículo 13, apartado 6. ISO 27001: Clause 7.3, A.6.3

Cuando el servicio sustenta una función esencial o importante: 6 más

Artículo 30, apartado 3. El cliente decide si la función es esencial o importante conforme al artículo 28, apartado 4, letra a); el proveedor se prepara para un sí.

• 30(3)(a) descripciones completas del nivel de servicio, incluidas sus actualizaciones y revisiones, con objetivos precisos de rendimiento cuantitativos y cualitativos dentro de los niveles de servicio acordados, de modo que la entidad financiera pueda realizar un seguimiento efectivo de los servicios de TIC y que se puedan adoptar sin demora indebida las medidas correctoras adecuadas cuando no se alcancen los niveles de servicio acordados; ISO 27001: A.5.30, A.8.6, A.8.16
• 30(3)(b) plazos de notificación y obligaciones de información del proveedor tercero de servicios de TIC a la entidad financiera, incluida la notificación de cualquier hecho que pueda afectar considerablemente a la capacidad del proveedor tercero de servicios de TIC para prestar de forma efectiva los servicios de TIC que sustentan funciones esenciales o importantes de conformidad con los niveles de servicio acordados; ISO 27001: A.8.32, A.5.20
• 30(3)(c) requisitos para que el proveedor tercero de servicios de TIC aplique y someta apruebe los planes de contingencia empresarial y disponga de medidas, herramientas y políticas de seguridad de las TIC que proporcionen un nivel adecuado de seguridad para la prestación de servicios por parte de la entidad financiera en consonancia con su marco regulador; ISO 27001: A.5.29, A.5.30, A.8.14
• 30(3)(d) la obligación de que el proveedor tercero de servicios de TIC participe y coopere plenamente en las pruebas de penetración basadas en amenazas de la entidad financiera a que se refieren los artículos 26 y 27; ISO 27001: A.8.8, A.8.29
• 30(3)(e) el derecho a realizar un seguimiento continuo de la actuación del proveedor tercero de servicios de TIC, lo que implica lo siguiente: (i) derechos ilimitados de acceso, inspección y auditoría por la entidad financiera o un tercero designado, y por la autoridad competente, y el derecho a hacer copias de la documentación pertinente in situ si son esenciales para las operaciones del proveedor tercero de servicios de TIC, cuyo ejercicio efectivo no se vea obstaculizado o limitado por otros acuerdos contractuales o políticas de aplicación, (ii) el derecho a pactar niveles de garantía alternativos si se ven afectados los derechos de otros clientes, (iii) la obligación de que el proveedor tercero de servicios de TIC coopere plenamente durante las inspecciones y las auditorías in situ realizadas por las autoridades competentes, el supervisor principal, la entidad financiera o un tercero designado, y (iv) la obligación de proporcionar detalles sobre el alcance, los procedimientos que deben seguirse y la frecuencia de tales inspecciones y auditorías; ISO 27001: Clause 9.2, Clause 9.3, A.5.35
• 30(3)(f) estrategias de salida, en particular el establecimiento de un período transitorio suficiente obligatorio: (i) durante el cual el proveedor tercero de servicios de TIC seguirá proporcionando las funciones o los servicios de TIC de que se trate con el fin de reducir el riesgo de perturbación en la entidad financiera o de garantizar su resolución y reestructuración efectivas, (ii) que permita a la entidad financiera migrar a otro proveedor tercero de servicios de TIC o adoptar soluciones internas coherentes con la complejidad del servicio prestado. ISO 27001: A.5.30, A.8.10

Cuando se permite la subcontratación: 12 condiciones

Artículo 4, apartado 1, del Reglamento Delegado (UE) 2025/532, aplicable cuando el contrato permite subcontratar el servicio o partes sustanciales de él.

• RTS 4(1)(a) que el proveedor tercero de servicios de TIC es responsable de los servicios prestados por los subcontratistas; ISO 27001: A.5.19, A.5.21
• RTS 4(1)(b) que el proveedor tercero de servicios de TIC está obligado a supervisar todos los servicios de TIC subcontratados que sustenten funciones esenciales o importantes, o partes sustanciales de ellas, a fin de garantizar el cumplimiento continuado de sus obligaciones contractuales con la entidad financiera; ISO 27001: A.5.22
• RTS 4(1)(c) las obligaciones de seguimiento y notificación del proveedor tercero de servicios de TIC con respecto a la entidad financiera en relación con los subcontratistas que presten servicios de TIC que sustenten funciones esenciales o importantes, o partes sustanciales de ellas; ISO 27001: A.5.22
• RTS 4(1)(d) que el proveedor tercero de servicios de TIC debe evaluar todos los riesgos asociados a la ubicación de los subcontratistas actuales o potenciales que presten servicios de TIC que sustenten funciones esenciales o importantes, o partes sustanciales de ellas, a su sociedad matriz y a la ubicación desde la que se presta el servicio de TIC de que se trate; ISO 27001: Clause 6.1, A.5.21
• RTS 4(1)(e) la ubicación de los datos tratados o almacenados por el subcontratista, cuando proceda; ISO 27001: A.5.9, A.5.21
• RTS 4(1)(f) que el proveedor tercero de servicios de TIC debe especificar en el contrato que formalice con sus subcontratistas las obligaciones de seguimiento y notificación de dicho subcontratista con respecto al proveedor tercero de servicios de TIC y, cuando así se acuerde, con la entidad financiera; ISO 27001: A.5.20
• RTS 4(1)(g) que el proveedor tercero de servicios de TIC debe garantizar la continuidad de los servicios de TIC que sustenten funciones esenciales o importantes a lo largo de toda la cadena de subcontratistas en caso de incumplimiento de las obligaciones contractuales por parte de un subcontratista de TIC; ISO 27001: A.5.29, A.5.30
• RTS 4(1)(h) que el acuerdo contractual entre el proveedor tercero de servicios de TIC y sus subcontratistas contiene los requisitos relativos a los planes de contingencia empresarial a que se refiere el artículo 30, apartado 3, letra c), del Reglamento (UE) 2022/2554 y especifica los niveles de servicio que deben cumplir los subcontratistas de TIC en relación con dichos planes; ISO 27001: A.5.20, A.5.30
• RTS 4(1)(i) que en el acuerdo contractual formalizado entre el proveedor tercero de servicios de TIC y sus subcontratistas se especifican las normas de seguridad de las TIC y los requisitos de seguridad adicionales a que se refiere el artículo 30, apartado 3, letra c), del Reglamento (UE) 2022/2554; ISO 27001: A.5.20, Clause 6.1.3
• RTS 4(1)(j) que el subcontratista debe conceder a la entidad financiera y a las autoridades competentes y de resolución pertinentes los mismos derechos de acceso, inspección y auditoría a que se refiere el artículo 30, apartado 3, letra e), del Reglamento (UE) 2022/2554; ISO 27001: A.5.20, A.5.35
• RTS 4(1)(k) que el proveedor tercero de servicios de TIC debe notificar a la entidad financiera cualquier cambio significativo introducido en los acuerdos de subcontratación; ISO 27001: A.8.32, A.5.22
• RTS 4(1)(l) que la entidad financiera tiene derecho a rescindir el contrato con el proveedor tercero de servicios de TIC cuando se cumplan las condiciones establecidas en el artículo 6 del presente Reglamento o las condiciones establecidas en el artículo 28, apartado 7, del Reglamento (UE) 2022/2554. ISO 27001: puro contrato, sin registro

DORA para un proveedor de software: las cláusulas, el registro, los actosLos controles ISO 27001, una página cada uno