DERECHO DIGITAL · RESILIENCIA OPERATIVA
Abogados DORA y resiliencia digital para fintech y proveedores TIC
Asesoramos a fintech, entidades financieras y proveedores tecnológicos en la aplicación del Reglamento DORA: gobierno TIC, incidentes, pruebas, terceros críticos y evidencias de resiliencia.
¿Tu empresa está sujeta a DORA?
Revisamos el alcance, los contratos tecnológicos y el nivel de preparación regulatoria de tu organización.
RESPUESTA BREVE
DORA es el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero. Desde el 17 de enero de 2025 exige gestionar riesgos TIC, notificar determinados incidentes, realizar pruebas y controlar las relaciones con proveedores tecnológicos. El cumplimiento debe documentarse y coordinarse con contratos, seguridad y gobierno interno.
ÁREAS DE TRABAJO
Qué revisamos para preparar a la organización
Gobierno y riesgo TIC
Delimitamos funciones, responsabilidades, políticas, controles, inventario de activos y evidencias que debe conservar la entidad.
Incidentes y pruebas
Revisamos clasificación, notificación, respuesta, continuidad, recuperación, pruebas de resiliencia y coordinación con equipos técnicos.
Terceros tecnológicos
Analizamos contratos, subcontratación, auditoría, localización, salida, concentración y obligaciones frente a proveedores TIC.
DORA no se resuelve solo con una política
La resiliencia operativa exige conectar la norma con la actividad real. Una fintech o un proveedor TIC debe poder explicar qué servicios son críticos, quién decide ante un incidente, qué proveedor interviene y cómo se recupera la operación.
Por eso la revisión jurídica debe coordinarse con el mapa de riesgos, los acuerdos de nivel de servicio, los anexos de seguridad, el plan de continuidad y la documentación de proveedores. El resultado útil no es una carpeta de modelos, sino un sistema defendible y verificable.
- Alcance: identificar la entidad, los servicios financieros y las funciones TIC relevantes.
- Contratos: concretar acceso, auditoría, incidentes, subcontratación, continuidad y terminación.
- Controles: asignar responsables y evidencias para demostrar seguimiento y mejora.
- Respuesta: preparar criterios de clasificación, escalado y comunicación de incidentes.
PROVEEDORES TIC Y FINTECH
Una revisión contractual enfocada en continuidad y supervisión
Los acuerdos con proveedores cloud, SaaS y servicios gestionados deben reflejar el riesgo operativo del servicio. Revisamos las obligaciones regulatorias, los niveles de servicio y la capacidad de recuperar datos y operaciones si la relación termina o el proveedor falla.
Preguntas frecuentes
¿A quién se aplica DORA?
Se aplica a numerosas entidades financieras de la Unión Europea y establece obligaciones específicas para la gestión del riesgo TIC y las relaciones con proveedores tecnológicos. El alcance exacto depende del tipo de entidad y actividad.
¿DORA afecta a los proveedores SaaS?
Puede afectarles directamente o a través de las obligaciones contractuales de sus clientes financieros. Hay que analizar el servicio, su criticidad, la cadena de subcontratación y el marco contractual aplicable.
¿Qué debe revisarse primero?
Conviene empezar por el mapa de servicios TIC, los proveedores críticos, los contratos vigentes y el procedimiento de incidentes. Con esa información se ordenan las medidas y evidencias prioritarias.
Fuentes y marco de referencia
Reglamento (UE) 2022/2554 (DORA). Consulta: 8 de octubre de 2026.
Contenido informativo y orientativo; el alcance debe confirmarse según la entidad, el servicio y la cadena de proveedores.
¿Quieres revisar el alcance de DORA?
Cuéntame qué entidad eres, qué servicios TIC utilizas y qué proveedores intervienen. Ordenaremos las primeras acciones de cumplimiento.