Qué exige DORA
DORA entró en vigor como legislación europea en enero de 2025. Los bancos, aseguradoras, empresas de inversión y proveedores de pago deben ahora gestionar el riesgo derivado de cada proveedor tecnológico que utilizan. Tres normas son especialmente relevantes.
Cláusulas contractuales obligatorias (Artículo 30). Cada contrato con un proveedor tecnológico debe incluir cuatro puntos: derechos de auditoría, plazos de notificación de incidentes, planes de salida y objetivos de rendimiento. Estas cláusulas no son opcionales.
Evaluaciones anuales (Artículo 28). Las empresas deben revisar cada proveedor clave al menos una vez al año. Un proveedor es «clave» si su fallo interrumpiría el funcionamiento normal. Las herramientas de anonimización utilizadas en procesos de cumplimiento entran en esta categoría.
Registro de proveedores (Artículo 28(3)). Las empresas deben mantener una lista actualizada de todos los contratos con terceros esenciales. La lista debe incluir documentación de seguridad de cada uno de ellos.
Realizar evaluaciones anuales para decenas de proveedores requiere tiempo. Una evaluación personalizada —hecha desde cero— tarda un estimado de 40 a 80 horas por proveedor. Un banco neerlandés con 50 proveedores clave se enfrenta a hasta 4.000 horas de trabajo de evaluación al año. Eso equivale a dos empleados a tiempo completo dedicados únicamente a las evaluaciones de proveedores.
ISO 27001 reduce las horas de evaluación
La certificación ISO 27001 ofrece a las empresas una vía más rápida para cumplir con la obligación de evaluación anual de DORA. El organismo de certificación realiza una auditoría de vigilancia cada año y una auditoría de recertificación completa cada tres años. El certificado tiene una fecha de vencimiento. Permanece válido solo mientras las verificaciones anuales sean satisfactorias.
Bajo la regla de evaluación anual de DORA, una empresa puede obtener el certificado ISO 27001 vigente del proveedor una vez al año y comprobar su fecha. Una fecha válida significa que un organismo de auditoría independiente ha revisado los 93 controles de seguridad del proveedor en los últimos doce meses. La empresa registra esto en el registro de proveedores. La evaluación está completa.
El ahorro de tiempo es real. Un banco neerlandés que verifica una herramienta de anonimización certificada dedica unas pocas horas a la revisión. La misma evaluación hecha desde cero lleva semanas. Para 20 terceros certificados, el ahorro anual puede alcanzar las 1.200 horas. Ese tiempo puede dedicarse a otras tareas.
Por qué las herramientas de privacidad están en el ámbito de aplicación
Las herramientas de privacidad y anonimización quedan sujetas a DORA cuando una empresa las utiliza para procesar datos de clientes, cumplir con el RGPD o gestionar documentos KYC. Si la herramienta falla y la empresa no puede producir resultados conformes al RGPD, la herramienta es un tercero clave bajo DORA. Debe evaluarse cada año.
Nuestra guía de cumplimiento del RGPD explica las normas de minimización de datos. Consulte también valor de cumplimiento descendente de ISO 27001 y atajos de evaluación de proveedores ISO 27001 para saber cómo la certificación reduce la carga de cumplimiento.