Riesgo TIC de terceros en DORA: guía de supervisión para el órgano de administración

1. Empieza por el servicio que la empresa debe seguir prestando

Un informe de compras suele empezar por proveedores, gasto anual y fechas de renovación. Un debate DORA útil para el consejo empieza por un resultado para el cliente: abonar un siniestro, ejecutar un pago, conservar el historial de inversiones o permitir el acceso a una cuenta. Desde ahí, se identifican los sistemas, servicios externos y personas necesarios para conseguirlo.

Esto cambia la pregunta de «¿Hemos evaluado a nuestro proveedor cloud?» a «¿Qué ocurre con este servicio si la plataforma de identidad, la región de hosting o el proveedor de soporte no están disponibles?». La segunda pregunta revela dependencias que una ficha de proveedor puede pasar por alto. Un servicio de autenticación económico puede detener más actividad que un gran contrato de software.

El uso de servicios TIC no transfiere las obligaciones de la entidad financiera a su proveedor. DORA integra el riesgo de los proveedores terceros de servicios TIC en el marco de gestión de riesgos de la entidad. Consulta el artículo 28 del Reglamento (UE) 2022/2554. Las interpretaciones y métodos de trabajo de esta guía son sugerencias prácticas; no constituyen una declaración exhaustiva de todos los requisitos aplicables a todos los tipos de entidades.

Para preparar la documentación del consejo, pide al directivo responsable que identifique el servicio afectado, el responsable interno, la interrupción tolerable, la exposición actual y la decisión necesaria. Deja los detalles técnicos en los anexos. Los consejeros necesitan información suficiente para cuestionar una hipótesis, sin asumir el trabajo del equipo de respuesta a incidentes ni negociar cada cláusula.

2. No confundas una función crítica con un proveedor crítico designado

Las dos evaluaciones responden a preguntas diferentes. Tu entidad determina qué funciones son críticas o importantes según DORA. Las Autoridades Europeas de Supervisión designan a los proveedores terceros críticos de servicios TIC dentro del marco de supervisión de la Unión. La ESMA explica que esta supervisión complementa las responsabilidades de las entidades financieras; no las sustituye. Consulta la explicación de la ESMA sobre la supervisión de DORA.

Aplica esta distinción a un proveedor especializado pequeño. Puede apoyar tu única vía para un servicio financiero importante sin aparecer en la lista de proveedores designados. Del mismo modo, adquirir un servicio menor de un gran proveedor designado no elimina la necesidad de valorar su uso real. Guarda estas dos clasificaciones por separado para evitar que un campo “crítico: sí/no” engañoso condicione todas las decisiones posteriores.

3. Haz que el registro sea completo, comprensible y conectado con los servicios

El registro no se limita a los contratos que respaldan funciones críticas o importantes. El artículo 28(3) cubre todos los acuerdos contractuales para servicios TIC prestados por proveedores TIC terceros, distinguiendo los acuerdos que respaldan esas funciones. El Reglamento de Ejecución (UE) 2024/2956 proporciona las plantillas estándar, incluyendo información adicional de evaluación y de la cadena de suministro relevante para funciones críticas o importantes.

Para comprobar que el registro está completo, compáralo con los documentos de compras, los pagos recurrentes, el inventario de aplicaciones y la información de los responsables de servicio. Las diferencias son cuestiones que investigar, no pruebas automáticas de un incumplimiento: una factura puede corresponder a un servicio no TIC o varias facturas al mismo acuerdo. Documenta la conclusión en lugar de ignorar la discrepancia.

Pide a alguien ajeno al equipo que mantiene el registro que siga una dependencia de principio a fin. ¿Puede identificar a la entidad contratante, quién utiliza realmente el servicio, el proveedor, la función respaldada, el responsable y el contrato vigente? ¿Puede distinguir el acuerdo externo del acuerdo interno del grupo relacionado con él? Si esos vínculos no están claros, exportar un archivo técnicamente válido no resuelve el problema de gestión.

• Asigna a una persona concreta las cuestiones abiertas sobre clasificación y atribución de responsabilidades.
• Registra la fecha y el motivo de cada cambio, especialmente tras adquisiciones o migraciones de servicios.
• Contrasta los cambios cuando se apruebe un nuevo servicio, no solo antes de una fecha límite de presentación.
• Muestra a la dirección qué información falta y desde cuándo, en lugar de presentar solo el número de proveedores.

El consejo no necesita aprobar cada fila de la hoja de cálculo. Debe confiar en que hay un responsable de la integridad, que la incertidumbre es visible y que las dependencias importantes reciben la atención adecuada.

4. Convierte la política de proveedores en puntos de revisión de las decisiones

Una política resulta útil cuando cambia una decisión antes de que la organización dependa del proveedor. Para las entidades sujetas a los requisitos correspondientes, el Reglamento Delegado (UE) 2024/1773 aborda el ciclo de vida de los acuerdos que respaldan funciones críticas o importantes. Requiere la revisión de la política por el órgano de administración al menos una vez al año y su actualización cuando sea necesario. Se debe comprobar la aplicabilidad y proporcionalidad respecto a la categoría regulatoria de la entidad.

Las siguientes etapas son una propuesta de trabajo. Antes de elegir al proveedor, el responsable del servicio describe la actividad y las consecuencias de una interrupción. Antes de firmar, las áreas de riesgos, seguridad, asesoría jurídica y compras identifican juntas las cuestiones pendientes. Antes de la puesta en marcha, operaciones demuestra que están organizadas la supervisión, la asistencia y la recuperación. Al renovar o introducir un cambio importante, el responsable comprueba si las hipótesis iniciales siguen siendo válidas.

En cada revisión, distingue entre pruebas obtenidas, valoración realizada y excepción aceptada. Un informe de verificación del proveedor aporta pruebas. Concluir que cubre adecuadamente tu uso del servicio es una valoración. Seguir adelante con una carencia pendiente es una excepción: requiere una decisión de quien tenga autoridad, condiciones y una fecha de caducidad.

No dejes que todos los problemas se clasifiquen como «aceptados por la organización». Identifica quién puede aceptar cada riesgo según las reglas de gobierno de la entidad. Eleva al nivel competente las dependencias cuyas consecuencias superen esa autoridad. La aportación más útil del consejo puede ser financiar una capacidad de recuperación que falta o detener una puesta en marcha precipitada cuyas hipótesis de resiliencia aún no se han probado.

5. Cuestiona la concentración más allá del gráfico de gasto en proveedores

La concentración afecta tanto a las interrupciones con una causa común como a la dependencia comercial. Dos contratos con empresas distintas pueden depender de la misma plataforma de alojamiento, operador de conectividad, servicio de identidad o subcontratista especializado. Incluso dos regiones de nube pueden compartir el entorno de administración. Un gráfico de gasto no aclara esas dependencias técnicas.

El artículo 29 de DORA aborda la evaluación del riesgo de concentración de TIC. Para que el debate sea práctico, pide a la dirección algunos escenarios plausibles de interrupción de dependencias y que muestre qué servicios se detendrían a la vez. Explicita las hipótesis: personal disponible, acceso a las claves, conectividad, coherencia de los datos y capacidad de la alternativa.

Tener varios proveedores también puede aumentar la complejidad, los costes operativos y los riesgos de coordinación. El objetivo no es prohibir toda concentración ni duplicar siempre las infraestructuras. Se trata de decidir cómo gestionar una exposición concreta, con alternativas viables y un responsable identificado. Registra por qué la medida elegida es proporcionada y qué suceso obligaría a revisarla.

6. Contrasta el contrato con el servicio que utilizas realmente

Una etiqueta que diga «Anexo DORA firmado» es demasiado imprecisa para una supervisión eficaz. El artículo 30 establece requisitos contractuales, con disposiciones adicionales para servicios TIC que soportan funciones críticas o importantes. Los asesores legales deben asignar los requisitos aplicables al acuerdo real. La comparación siguiente es una herramienta de análisis práctico, no una redacción contractual sustitutiva.

Lee los informes de verificación teniendo en cuenta sus límites. ¿Qué periodo cubren? ¿Qué configuración se evaluó? ¿Qué responsabilidades presuponen a cargo del cliente? ¿Excluyen algún componente del que dependa tu plan de recuperación? Un certificado vigente puede ser útil y dejar sin respuesta una cuestión operativa concreta.

Mantén un registro breve de carencias que relacione cada problema con una consecuencia para la actividad, una medida compensatoria, un responsable y una fecha límite. Lleva al consejo las exposiciones relevantes sin resolver y las decisiones que excedan la autoridad delegada. No ocultes una carencia importante tras un alto porcentaje de cláusulas completadas: una sola capacidad ausente puede importar más que muchos asuntos resueltos de bajo impacto.

7. Prueba si el plan de salida se puede ejecutar

El derecho contractual a dejar un proveedor y la capacidad operativa de hacerlo son cosas distintas. Las disposiciones DORA sobre la salida de acuerdos relativos a servicios que respaldan funciones críticas o importantes figuran en el artículo 28, apartado 8. En la práctica, el consejo debería cuestionar los supuestos en los que se basa el plan: destino, datos, personas, tiempo, dinero y prestación continuada del servicio.

Distingue una migración planificada de una interrupción de emergencia. Una migración de seis meses puede ser realista desde el punto de vista comercial y no servir como respuesta inmediata a una caída del servicio. El plan de recuperación puede mantener la actividad mientras el plan de salida resuelve la dependencia a largo plazo. Pide a la dirección que explique esa relación, sin presentar ninguno de los dos documentos como una solución universal.

1. Elige un servicio representativo y define el desencadenante de salida.
2. Exporta una muestra controlada de los datos necesarios con las protecciones adecuadas.
3. Comprueba que el destino pueda leer y conciliar los datos, no solo almacenar un archivo.
4. Verifica derechos de acceso, licencias, habilidades especializadas y soporte de transición contratado.
5. Mide el tiempo necesario e identifica tareas manuales, dependencias omitidas e hipótesis sin probar.
6. Actualiza el coste, la secuencia, el responsable y la fecha de la próxima prueba.

Esta secuencia es una propuesta de prueba, no una exigencia de migrar sin control en producción. Elige pruebas seguras y adecuadas al servicio y documenta sus límites. Si solo has probado una muestra pequeña, indícalo. Si la alternativa aún no está preparada, explica esa limitación y la decisión provisional sobre el riesgo. Un estado «verde» nunca debe significar únicamente que existe un documento.

8. Prepara un informe breve para el consejo con decisiones claras

Un informe útil puede responder a cinco preguntas: ¿qué ha cambiado?, ¿qué podría interrumpirse a la vez?, ¿qué verificaciones ofrecen menos garantías?, ¿qué opciones quedan? y ¿qué decisión hace falta? Es una propuesta de estructura. La frecuencia debe responder a los riesgos y a las reglas de gobierno de la organización; no hay que inventar un calendario trimestral DORA universal.

Incluye las pocas dependencias con mayores consecuencias para la actividad, los cambios recientes, las acciones importantes que van con retraso y la próxima decisión contractual o de migración. Explica las tendencias. Más proveedores registrados pueden indicar un inventario más completo, no una exposición mayor. Menos acciones abiertas pueden significar que se han corregido problemas o que ha cambiado la forma de contarlas.

• Relaciona cada riesgo importante con el servicio afectado y un directivo responsable.
• Distingue una capacidad de recuperación probada de un objetivo o una promesa del proveedor.
• Muestra las excepciones contractuales, las carencias en las verificaciones y cuánto tiempo llevan pendientes.
• Identifica los cambios de concentración y las hipótesis que requieren nuevas pruebas.
• Indica la decisión solicitada, alternativas valoradas y la consecuencia de posponerla.

Utiliza la guía del cuadro de mando DORA para el consejo para conectar estos indicadores con la supervisión general de los riesgos TIC. Para practicar, analiza una dependencia de gran impacto mediante el ejercicio de simulación de respuesta a incidentes para el consejo. El consejo debería reconocer los mismos nombres de servicios, responsables de riesgos y supuestos de recuperación en las tres conversaciones.

9. Prepara la próxima discusión en torno a una dependencia real

No empieces pidiendo a todos los equipos que rehagan todos los informes. Elige un servicio importante y solicita un conjunto coherente de pruebas: evaluación de la función, entrada en el registro, contrato, informe de verificación, prueba de recuperación y plan de salida. Pide a los distintos responsables que lo revisen juntos. Pronto saldrán a la luz los identificadores discordantes, las hipótesis obsoletas y las acciones sin responsable.

Convierte los hallazgos en un breve plan de mejora. Primero aclara las responsabilidades y completa el inventario. Después atiende las decisiones urgentes por renovaciones, migraciones o exposición al riesgo. Por último, mejora la supervisión periódica para evitar que las mismas carencias se repitan. Cada acción debe tener un resultado verificable, no solo la indicación «mejorar la gobernanza».

Los consejeros también necesitan una comprensión compartida de su función. La guía sobre los requisitos de formación de los consejos según DORA explica cómo vincular el aprendizaje con las responsabilidades de gobierno. El curso de BlueTeam Academy «Formación DORA en ciberseguridad para administradores y directivos» ofrece un programa centrado en las decisiones para equipos directivos de entidades financieras sujetas a DORA. No evalúa el cumplimiento de la organización. Completa la formación con pruebas, decisiones y actuaciones posteriores relativas a tus propios servicios.