DORA explicado: impacto en la compra de Software en el sector financiero
DORA entrará en vigor el 17 de enero de 2025 y cambiará fundamentalmente la forma en que las organizaciones financieras adquieren y contratan Software. Esto es lo que debe saber sobre los cinco pilares, los requisitos contractuales y el impacto en la gestión de los Fabricantes de Software.
- 9 de septiembre de 2025
- 5 min
- DORA – Ley de resiliencia operativa digital
DORA, el Reglamento de Resiliencia Operacional Digital, está vigente en toda la UE desde el 17 de enero de 2025. Para las organizaciones financieras, la resiliencia digital ya no es solo una cuestión interna de TI, sino una obligación legal con supervisión.
¿Qué es DORA?
DORA es un reglamento de la UE y, por tanto, se aplica directamente sin necesidad de transposición a la legislación nacional. El reglamento abarca un amplio espectro de entidades financieras, desde bancos y aseguradoras hasta sociedades de inversión, entidades de pago y proveedores de servicios de criptomonedas.
Los cinco pilares
Gestión del riesgo TIC: un marco para identificar, clasificar y gestionar riesgos TIC.
Reporte de incidentes: los incidentes TIC graves deben notificarse dentro de plazos estrictos.
Pruebas de resiliencia digital: pruebas periódicas de los sistemas críticos.
Gestión del riesgo de terceros TIC: requisitos contractuales, un registro y análisis del riesgo de concentración.
Intercambio de información: compartir información sobre amenazas dentro del sector.
¿Qué significa DORA para la compra de Software?
El cuarto pilar afecta directamente a la compra de Software:
Requisitos contractuales mínimos: los contratos TIC deben incluir cláusulas sobre servicios, notificación de incidentes, derechos de auditoría, salida, ubicación de datos y continuidad.
Registro de Información: un registro actualizado y completo de todos los acuerdos contractuales con proveedores TIC.
Riesgo de concentración: se debe evaluar la dependencia excesiva de una sola parte.
Subcontratistas: también se deben tener en cuenta las partes de las que dependen sus Fabricantes de Software.
Lea en DORA en la práctica en qué aspectos se están fijando los supervisores actualmente.
Cómo ayuda SoftVaro
SoftVaro mapea su paisaje Software, incluyendo la larga cola que a menudo falta en el registro. En cada renovación, incorporamos las cláusulas contractuales requeridas por DORA. Este artículo no constituye asesoramiento legal; coordine su aplicación con su departamento de compliance o jurídico.
Preguntas frecuentes
Las preguntas más frecuentes sobre este tema.
¿A quién se aplica DORA?
DORA se aplica a un amplio rango de entidades financieras en la UE, como bancos, aseguradoras, sociedades de inversión, entidades de pago y proveedores de servicios de criptomonedas. Los proveedores TIC se verán afectados por los requisitos de DORA a través de sus contratos con estos clientes.
¿Se aplica DORA también a mi Fabricante de Software?
Indirectamente, sí. Su organización debe establecer contractualmente los requisitos de DORA con los Fabricantes de Software que utilice. Además, los proveedores considerados críticos están sujetos a supervisión europea directa.
¿Cuáles son las sanciones por incumplimiento de DORA?
Las sanciones para entidades financieras las establecen los supervisores nacionales. Para proveedores TIC críticos, el supervisor europeo cuenta con mecanismos propios de aplicación.
¿Listo para ahorrar en software?
SoftVaro negocia por ti la mejor oferta con más de 4.000 proveedores. Independiente, transparente, en menos de 24 horas.