Inicio / Reglamento UE
Reglamento UE
DORA para proveedores TIC
DORA regula a las entidades financieras y refuerza sus exigencias hacia los proveedores TIC.
Efecto de esta exigencia
Esta regla no se lee de forma aislada.
- Transferencias
- Relación bilateral
- Fuentes de país revisadas el
Hipótesis, límites y fuentes de esta lectura
Punto de lectura
El contrato hace gobernable la dependencia
La naturaleza del servicio TIC, su criticidad y su cadena de subcontratación determinan los temas que deben instruirse.
- Naturaleza del cliente financiero
- Servicio TIC prestado y criticidad
- Cláusulas, auditoría, continuidad y subcontratación
- Pruebas operativas esperadas
Cascada de responsabilidad
Seguir el requisito de DORA sin atribuir al proveedor el rol de la entidad financiera.
Entidad financiera
Sigue siendo responsable de su riesgo relacionado con las tecnologías de la información.
Contrato de servicio TIC
Los derechos, la cooperación, la localización, la continuidad y la salida se precisan según el servicio.
Proveedor internacional
Traduce las cláusulas en capacidades, responsables, plazos y evidencias.
Subcontratación
Las dependencias importantes y los cambios deben permanecer visibles.
Ruta de decisión
Calificar el servicio TIC antes de leer las cláusulas
DORA no se limita ni al sector financiero del cliente ni a una lista uniforme de cláusulas impuestas a todos sus proveedores.
01Función soportada
Precisar la entidad financiera cliente, la actividad prestada y la consecuencia operativa de una indisponibilidad o de un compromiso.
02Servicio y criticidad
Delimitar los sistemas, datos, implantaciones y dependencias que realmente componen la prestación TIC examinada.
03Capacidades contractuales
Traducir derechos de auditoría, asistencia, notificación, continuidad, reversibilidad y salida en responsables y plazos que la empresa pueda cumplir.
04Cadena controlada
Hacer visibles a los subcontratistas importantes, sus cambios, las concentraciones de riesgo y las pruebas utilizables por el cliente.
Lectura operativa del servicio TIC
Las solicitudes que deben vincularse al contrato, a las operaciones y a la subcontratación.
Preguntas por tratar
- Las cláusulas contractuales obligatorias (auditoría, acceso, resolución, subcontratación)
- Su inscripción en su registro de información
- Sus planes de continuidad y resultados de pruebas
- Su cadena de subcontratación TIC y sus ubicaciones
Elementos que sustentan la respuesta
- Contratos y anexos alineados con los requisitos DORA del cliente
- Pruebas de continuidad y restauración con fecha
- Cartografía de subcontratación con criticidad
- Registro de incidentes y plazos de notificación mantenidos
Confusiones que evitar
- Rechazar en bloque las cláusulas de auditoría en lugar de negociar sus modalidades
- Descubrir el registro de información en el momento de la renovación
- Subestimar la criticidad atribuida a su servicio
- Firmar compromisos de resiliencia nunca probados
Expediente de aseguramiento, IN-011Ejemplo de demostración
Cláusula contractualNotificación de incidente al cliente en 24 hHallazgo
Proceso internoCalificación de incidente en 48 a 72 hHallazgo
Cronología realDetección sábado 03:10, calificación lunes por la mañanaHallazgo
Divergencia observadaLa cláusula es estructuralmente insostenible el fin de semanaDesviación
ImpactoIncumplimiento contractual probable desde el primer incidente realDesviación
AcciónNegociar «notificación de los hechos conocidos» + penalización acotadaDecisión
Lectura de los coloresHallazgo factualDesviación o riesgoDecisión o acción
Demostración
Contrastar la cláusula con el funcionamiento real del servicio TIC.
El caso confronta un plazo de notificación con el dispositivo disponible el fin de semana para poner de manifiesto una imposibilidad estructural antes de la firma.
Comprender la calificación de una evidencia →Aplicar esta lectura
Presentar el servicio TIC y su rol en la actividad financiera.
El contrato propuesto, el servicio TIC y su dispositivo de continuidad permiten contrastar los derechos, plazos y obligaciones con una capacidad real.