DORA · Fintech · Proveedores tecnológicos
DORA exige resiliencia operativa digital a las entidades financieras de su ámbito y refuerza el control sobre proveedores TIC. Un proveedor SaaS no queda automáticamente sometido a todas las obligaciones de una entidad financiera, pero sí puede recibir exigencias contractuales, de auditoría y cooperación.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
A quién se aplica DORA
El Reglamento (UE) 2022/2554 enumera las entidades financieras incluidas en su ámbito, entre ellas diferentes tipos de entidades de crédito, pago, inversión, seguros, fondos, criptoactivos y otras categorías definidas por la norma. La calificación no depende de que una empresa se presente comercialmente como fintech: debe comprobarse la actividad regulada y su autorización.
Los proveedores externos de servicios TIC tienen un papel central porque las entidades financieras deben gestionar el riesgo de terceros durante todo el ciclo contractual. Nuestro servicio de abogados de tecnología y negocios digitales revisa esa cadena contractual y de gobierno.
Qué debe organizar una entidad financiera
| Bloque | Objetivo | Evidencia |
|---|---|---|
| Gobierno y riesgo TIC | Asignar responsabilidades y proteger funciones | Marco, políticas, inventario, decisiones del órgano de dirección |
| Incidentes | Detectar, clasificar, responder y comunicar | Procedimiento, criterios, cronología y registros |
| Pruebas | Comprobar la resiliencia y corregir fallos | Plan de pruebas, resultados y seguimiento |
| Terceros TIC | Controlar concentración, contratos y salida | Registro, evaluaciones, cláusulas y estrategia de salida |
| Continuidad | Recuperar servicios y mantener operaciones | Planes, respaldos, objetivos y simulacros |
Qué implica para un proveedor SaaS
El proveedor puede recibir cuestionarios, exigencias de seguridad, obligaciones de información y cláusulas más detalladas. La entidad financiera necesita conocer qué servicio recibe, qué datos y sistemas intervienen, dónde se presta, qué subcontratistas participan y cómo puede recuperar o migrar la operación.
El contrato debe reflejar el nivel de criticidad y los requisitos aplicables. No todos los servicios tienen el mismo impacto. Un software auxiliar aislado no se evalúa igual que una plataforma que sostiene pagos, identidad, atención al cliente o una función crítica.
Subcontratación y cadena de suministro
La empresa debe identificar qué partes del servicio dependen de nube, soporte, desarrollo, datos o infraestructuras de terceros. Cambiar un subcontratista relevante puede alterar localización, seguridad, continuidad o capacidad de auditoría. Por eso se necesitan reglas de información, objeción y terminación proporcionadas.
Auditoría y acceso
Una cláusula genérica de auditoría puede ser insuficiente o impracticable. Conviene definir alcance, medios de verificación, informes disponibles, cooperación con autoridades, protección de información confidencial y condiciones para pruebas adicionales. La evidencia debe ser útil sin comprometer la seguridad de otros clientes.
Salida y portabilidad
DORA obliga a gestionar el riesgo de terminación. El contrato debe permitir recuperar datos y configuraciones, mantener la continuidad durante una transición y conocer formatos, plazos, asistencia y costes. La estrategia de salida debe probarse en los servicios más relevantes.
La sanción del 1% diario no es una multa universal
DORA prevé, dentro del marco europeo de supervisión de proveedores terceros críticos de servicios TIC, pagos coercitivos periódicos en supuestos específicos de incumplimiento de medidas u obligaciones frente al supervisor principal. Esa herramienta no debe presentarse como una multa automática aplicable a cualquier fintech o SaaS por cualquier incumplimiento.
Las consecuencias para las entidades financieras dependen del régimen de supervisión y de la normativa aplicable. Antes de citar importes máximos debe identificarse quién es el destinatario, qué autoridad actúa, qué obligación se incumple y qué procedimiento corresponde.
Checklist para fintech y SaaS
- Confirmar si la empresa es entidad financiera incluida en DORA o proveedor TIC.
- Identificar funciones, activos, datos, servicios y dependencias tecnológicas.
- Clasificar criticidad y concentración por proveedor y servicio.
- Revisar contratos, subcontratación, incidentes, auditoría y salida.
- Definir responsables y evidencias para el órgano de dirección.
- Preparar clasificación, gestión y comunicación de incidentes.
- Planificar pruebas de resiliencia y seguimiento de hallazgos.
- Mantener el registro de información con datos consistentes.
- Coordinar DORA con RGPD, NIS2 y continuidad sin confundir sus ámbitos.
- Actualizar el análisis cuando cambie el servicio o la cadena de suministro.
Preguntas frecuentes
¿Todo proveedor SaaS está sujeto directamente a DORA?
No. Puede estar afectado contractualmente porque presta servicios TIC a una entidad financiera. La supervisión directa de proveedores críticos responde a una designación y marco específicos.
¿DORA sustituye al RGPD?
No. DORA se centra en resiliencia operativa digital del sector financiero. Si el servicio trata datos personales, el RGPD continúa aplicándose con sus propios roles y obligaciones.
¿Basta con añadir un anexo DORA al contrato?
No necesariamente. Las cláusulas deben corresponder al servicio, criticidad, subcontratación y capacidad real de cumplimiento. También se necesitan procesos y evidencias fuera del contrato.
Fuentes oficiales
- Reglamento (UE) 2022/2554, DORA.
- Autoridad Bancaria Europea, Digital Operational Resilience Act.
- ESMA, DORA.
Fuentes consultadas el 25 de septiembre de 2026. La aplicación concreta depende de la categoría de entidad, servicio, actos técnicos y normativa nacional. Este contenido no sustituye un análisis individual.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.