Riesgo TIC y gobierno
Marco documentado, responsabilidades del órgano de dirección, activos, dependencias, protección y continuidad.
Estrategia y gobierno
Consultoría DORA para entidades financieras y proveedores TIC en España
Evalúe su papel ante DORA y prepare controles, contratos y evidencias de resiliencia acordes al alcance aplicable.
Acompañamos a entidades financieras y proveedores TIC en España a definir controles, responsabilidades y evidencias según su papel y alcance. Para proveedores colombianos, revisamos las exigencias contractuales de clientes financieros de la UE.
Respuesta directa
¿A quién se aplica DORA en España y qué implica para un proveedor TIC en Colombia?
DORA establece requisitos de resiliencia operativa digital para entidades financieras de la Unión Europea, incluidas las de España. Los proveedores TIC afrontan compromisos contractuales según el servicio y, si son designados críticos, un régimen específico de supervisión. Para un proveedor colombiano, revisamos las exigencias de sus clientes financieros europeos; no es una obligación general para todas las empresas de Colombia.
Cuándo puede necesitarlo
Un banco europeo solicita a su proveedor colombiano evidencias de continuidad y gestión de incidentes exigidas en el contrato de servicios TIC.
Qué recibe para decidir
Matriz de requisitos, controles y evidencias del contrato.
Ejemplo de entregable
Una matriz relaciona cada cláusula aplicable del contrato con el control, la evidencia disponible, el responsable y las acciones pendientes.
Para definir la propuesta
- Servicios TIC prestados y función que soportan para el cliente
- Contratos, anexos de seguridad y cuestionarios recibidos
- Controles existentes, subcontratistas y evidencias disponibles
Resumen orientativo. Las actividades y los entregables incluidos se concretan en la propuesta.
Resiliencia operativa digital
DORA convertido en gobierno, evidencia y capacidad operativa
La consultoría ayuda a entidades financieras y proveedores TIC a organizar las obligaciones aplicables del Reglamento (UE) 2022/2554. El alcance considera proporcionalidad, funciones críticas, modelo operativo y dependencias con terceros.
Incidentes TIC
Detección, clasificación, escalamiento, registro, comunicación y preparación para notificaciones aplicables.
Pruebas de resiliencia
Programa basado en riesgo, escenarios, hallazgos, correcciones y pruebas avanzadas cuando correspondan.
Riesgo de terceros
Estrategia, diligencia, contratos, registro de información, concentración, salida y supervisión continua.
REGLAMENTO (UE) 2022/2554
DORAResiliencia digital
Riesgo TICIncidentesPruebasTercerosInformaciónLos pilares se conectan mediante gobierno, funciones críticas, registros y evidencia operativa.
Metodología
Del perímetro regulatorio a la evidencia operativa
DORA se aplica desde el 17 de enero de 2025. La implementación debe considerar el Reglamento, sus normas técnicas y la guía supervisora aplicable al tipo de entidad.
REGISTRO DE INFORMACIÓNFunciones críticas y contratos TIC
Entidad
CloudPagosDatosSoporteConcentraciónSubcontrataciónSalidaSupervisión
Entregables y evidencia
Frentes de trabajo que deja el proyecto
El alcance final, la dedicación y los entregables se concretan en la propuesta según el contexto, la urgencia y las fuentes disponibles.
01Mapa de aplicabilidad y brechas
02Marco de gestión del riesgo TIC
03Proceso de incidentes
04Programa de pruebas
05Registro y estrategia de terceros
06Hoja de ruta y evidencias
Contexto
Qué problema resuelve
Cuestionarios difíciles de responder
Un cliente financiero solicita evidencias sobre seguridad, continuidad o subcontratación que están dispersas entre varias áreas.
Contratos sin respaldo operativo
Los compromisos de incidentes, auditoría, recuperación o salida del servicio no tienen responsables y procedimientos definidos.
Dudas sobre el papel del proveedor
Se confunden los requisitos exigidos por el cliente con las obligaciones regulatorias que puedan corresponder directamente a la empresa.
Servicio
Opciones de alcance
La propuesta indicará qué actividades y activos quedan incluidos.
- Evaluación del papel de la entidad financiera o proveedor y de los servicios TIC en alcance
- Matriz de requisitos contractuales y evidencias solicitadas por el cliente
- Revisión de controles de seguridad, continuidad y recuperación
- Inventario de servicios, dependencias y subcontratistas relevantes
- Procedimientos de comunicación y colaboración ante incidentes
- Preparación de evidencias para auditorías y revisiones del cliente
- Revisión de mecanismos de salida, devolución y recuperación de datos
- Hoja de ruta con responsables, prioridades y acciones de mejora
Resultado
Entregables posibles
Se seleccionan según el objetivo y el alcance acordados con su empresa.
- Diagnóstico de brechas del alcance evaluado
- Matriz de requisitos, controles y evidencias
- Mapa de servicios y dependencias relevantes
- Procedimiento de coordinación ante incidentes
- Plan de mejoras de continuidad y salida del servicio
- Repositorio organizado de evidencias para el cliente
Marcos de referencia
- Reglamento (UE) 2022/2554 (DORA), según el papel y alcance aplicables
- Requisitos contractuales del cliente financiero
- ISO/IEC 27001:2022 como base de controles
- ISO 22301 como referencia de continuidad
Metodología
Cómo trabajamos
Partimos de las obligaciones o compromisos que corresponden a su organización según su papel. Aprovechamos las evidencias de seguridad y continuidad existentes, y distinguimos las exigencias contractuales del régimen de supervisión de proveedores TIC designados como críticos. Las decisiones jurídicas se coordinan con los responsables legales.
- Paso 1
Delimitar
Identificamos el servicio TIC, el cliente, la función soportada y las exigencias aplicables con los equipos técnico y jurídico.
- Paso 2
Contrastar
Revisamos contratos y cuestionarios frente a los controles y las evidencias disponibles.
- Paso 3
Preparar
Acompañamos el cierre de brechas priorizadas y la documentación de procedimientos y responsabilidades.
- Paso 4
Sostener
Definimos cómo actualizar evidencias, gestionar cambios y atender revisiones del cliente.
Para quién
Organizaciones que suelen contratarlo
- Entidades financieras y proveedores TIC en España con obligaciones o compromisos derivados de DORA
- Proveedores TIC en Colombia con clientes financieros sujetos a DORA
- Empresas de software y servicios cloud que reciben exigencias de resiliencia
- Proveedores de infraestructura o servicios gestionados con dependencias relevantes para esos clientes
Antes de la propuesta
Revisemos lo que le exige su cliente
- Servicios TIC prestados y función que soportan para el cliente
- Contratos, anexos de seguridad y cuestionarios recibidos
- Controles existentes, subcontratistas y evidencias disponibles
Comparta un contexto general en el formulario de contacto. Los accesos, credenciales y evidencias sensibles se coordinan posteriormente por un canal acordado.
Dudas frecuentes
Preguntas frecuentes
- ¿DORA es una obligación general para las empresas en Colombia?
- DORA es un reglamento de la Unión Europea. Para un proveedor TIC colombiano que atiende a entidades financieras sujetas al reglamento, la relación suele concretarse en requisitos contractuales y evidencias solicitadas por el cliente. Los proveedores designados como críticos tienen un régimen específico de supervisión que debe evaluarse por separado.
- ¿Quién notifica un incidente al supervisor financiero?
- La entidad financiera conserva las responsabilidades regulatorias que le correspondan. El proveedor prepara su capacidad de informar y colaborar con el cliente según el contrato y su papel; no se le atribuyen automáticamente las obligaciones de reporte de una entidad financiera.
- ¿Una certificación ISO 27001 equivale a cumplir DORA?
- No. Puede aportar evidencias útiles de gestión de seguridad, pero deben revisarse las exigencias concretas del servicio y del contrato, incluidas continuidad, subcontratación, incidentes y salida.
- ¿Se incluyen pruebas avanzadas TLPT en este servicio?
- No se incluyen automáticamente. Si el cliente requiere colaboración en pruebas avanzadas, se delimitan las responsabilidades, autorizaciones y condiciones en un alcance específico.
- ¿Qué determina el plazo y la propuesta?
- El número y criticidad de los servicios, los contratos a revisar, las dependencias de terceros y el estado de las evidencias. El calendario se acuerda después de delimitar el proyecto.
Guía práctica
Evidencias de resiliencia de los proveedores TIC
Consulte criterios y ejemplos para preparar las decisiones de su empresa antes de definir el alcance del servicio.
Continuar
Servicios relacionados
SGSI / ISO 27001
Construya un Sistema de Gestión de Seguridad de la Información que su equipo pueda operar, mantener y demostrar ante clientes y auditores.
Ver servicioCISO as a Service
Dirección de ciberseguridad para convertir riesgos en decisiones, responsables, métricas y una hoja de ruta que conecte a la gerencia con TI, cumplimiento y proveedores.
Ver servicioSecurity GAP Assessment
Revise con evidencia qué medidas de seguridad funcionan, qué falta y dónde conviene invertir primero.
Ver servicio
Consultoría DORA
Conversemos sobre su alcance
Nuestros equipos en Colombia y España revisarán el contexto de su empresa para acordar objetivos, entregables y condiciones del servicio.
