Qué cambió en 2025
La Ley de Resiliencia Operativa Digital se aplica a las entidades financieras de la UE desde enero de 2025 y establece cómo deben gestionar el riesgo de ICT, incluido el riesgo de proveedores externos. Deben mantener un registro de cada proveedor de ICT, evaluar a cada uno antes de contratar, incluir cláusulas específicas en cada contrato y aplicar normas más estrictas cuando el proveedor respalde una función crítica o importante. El cuestionario que usted recibe es la evaluación; el anexo contractual que le sigue son las cláusulas.
Qué pregunta un cuestionario DORA
Además de las preguntas de seguridad habituales, espere secciones que quizá no haya visto antes:
- Su gestión de riesgos de ICT: cómo identifica, protege, detecta, responde y recupera, y quién es responsable a nivel de dirección.
- Notificación de incidentes: su clasificación, sus plazos de notificación y si puede apoyar la propia notificación del cliente a su autoridad.
- Pruebas de resiliencia: qué pruebas realiza, con qué frecuencia y si participaría en las pruebas de penetración basadas en amenazas del cliente.
- Continuidad del negocio y salida: objetivos de recuperación, planes de continuidad probados y cómo el cliente saldría de su servicio o migraría fuera de él, con qué ayuda y en qué plazo.
- Subcontratación: quiénes son sus propios proveedores, dónde están y cómo informaría al cliente antes de cambiarlos.
- Ubicación: dónde se procesan y almacenan los datos, y desde dónde se opera el servicio.
- Auditoría y derechos de acceso: si el cliente, sus auditores y su autoridad pueden inspeccionarle, y cómo.
Responder como proveedor
La mayoría de las filas se responden desde la misma biblioteca que cualquier cuestionario de seguridad. Las específicas de DORA necesitan una decisión, no solo un dato: a qué plazo de notificación se compromete, qué asistencia de salida ofrece, si acepta derechos de auditoría y en qué condiciones, y con cuánto aviso informa antes de cambiar un subencargado del tratamiento. Decida esto una vez, con quien firme sus contratos, déjelo por escrito y responda todos los cuestionarios DORA desde el mismo texto. Un proveedor que responde esas filas de forma coherente en todos sus clientes lo tiene más fácil en la fase contractual, porque el anexo coincide entonces con el cuestionario.
Evidencia que le pedirán
Un informe de aseguramiento sobre sus controles, ISAE 3000, ISAE 3402 o SOC 2 Type II, reduce considerablemente la revisión y a menudo marca la diferencia entre un cuestionario y una auditoría in situ. Los resultados de las pruebas de continuidad, el plan de respuesta a incidentes y la lista de subencargados del tratamiento se solicitan casi siempre. Manténgalos actualizados con fechas. Los revisores de DORA comprueban las fechas. Responsemate mantiene la evidencia junto a las respuestas con una fecha de caducidad en cada una, y redacta los borradores de las filas del cuestionario a partir de las decisiones que usted dejó registradas una vez. Cómo se mantienen actualizados los archivos y la evidencia.
Preguntas que hacen las personas
¿DORA se aplica a los proveedores de software?
No directamente, salvo que se le designe como proveedor tercero crítico de TIC. Pero se aplica a sus clientes financieros y les indica en detalle lo que deben saber sobre usted y lo que debe decir su contrato con usted. El cuestionario y el anexo contractual son la forma en que cumplen.
¿Qué es una función crítica o importante según DORA?
Una función cuyo fallo perjudicaría materialmente el desempeño, las obligaciones o la licencia de la entidad financiera. Si su servicio respalda una, espere el cuestionario más largo, planes de salida, derechos de auditoría y una entrada en el registro con sus datos.