DORA – cambio de subproveedor de TIC, evaluación de riesgos y objeción | Word/PDF/Excel

Su proveedor de nube o socio operativo le notifica que se va a sustituir a un subproveedor de TIC importante. ¿Debe su empresa financiera aceptar el cambio? Cuando el servicio de TIC sustenta una función crítica o importante, o una parte sustancial de una de ellas, DORA y el estándar específico de la UE sobre subproveedores pueden exigir una evaluación de riesgos documentada, una notificación contractual y una decisión en el plazo adecuado. Este paquete especializado le ayuda a gestionar una notificación de cambio específica, no solo a establecer una política general de TI.

Marco normativo aplicable: DORA, Reglamento (UE) 2022/2554, se aplica desde el 17 de enero de 2025. El Reglamento delegado (UE) 2025/532 complementario entra en vigor el 22 de julio de 2025 y aborda la evaluación de riesgos y las condiciones de la subcontratación de servicios de TIC que sustentan funciones críticas o importantes. El artículo 5 regula los cambios sustanciales; el artículo 6 regula ciertas condiciones para el derecho de rescisión contractual.

Contenido: 5 plantillas de trabajo en sueco, guía de usuario en sueco y Guía de usuario en inglés por separado, tanto en Word (DOCX) como en PDF A4 buscable/imprimible, además de un registro en Excel con nueve pestañas y 730 fórmulas administrativas. Total de 7 DOCX + 7 PDF + 1 XLSX = 15 archivos en un ZIP. Precio único: 79 kr; sin entrega física, sin macros y sin integración automatizada con proveedores.

¿Cuándo es la plantilla DORA correcta?

Los usuarios típicos son la función de riesgo de TIC, el departamento de cumplimiento, el asesor jurídico, el responsable de compras y proveedores, el responsable de seguridad de la información y el propietario de la actividad de las empresas financieras para las funciones críticas o importantes. Ejemplo de evento: una empresa con un servicio financiero crítico recibe una notificación por escrito de que la operación, la infraestructura, la función de seguridad o el almacenamiento de datos se trasladan a otro subproveedor, quizá en un país nuevo o más abajo en la cadena de suministro.

Delimitación: No todo cambio de proveedor de TI o cambio habitual de proveedor es un cambio sustancial según el artículo 5. Documente primero si la entidad está cubierta por DORA y si la cadena de subproveedores concreta sustenta una función crítica o importante, o una parte sustancial de una de ellas. No se deben atribuir los mismos requisitos legales a empresas fuera del ámbito de aplicación relevante.

Los 15 archivos para clientes

Excel – nueve pestañas para el proceso contractual y de riesgos

El libro de trabajo consta de Léame, Resumen, Cambios, Contratos, Riesgos, Respuestas, Decisiones, Salida y Fuentes. A cada cambio real se le asigna un ID de caso. El resumen contabiliza notificaciones, bases de riesgo incompletas, contratos que deben investigarse, solicitudes sin respuesta, objeciones sin comunicación real y casos de salida con falta de base de decisión. Las etiquetas automáticas como “EVALUAR APLICABILIDAD”, “COMPLETAR CONTRATO”, “EVALUACIÓN DE OBJECIÓN ANTES DEL PLAZO” y “LA SALIDA REQUIERE DECISIÓN MANUAL” nunca implican que se hayan cumplido los requisitos legales. El archivo para clientes se restablece sin casos de prueba ficticios.

Cómo gestionar el cambio en la práctica

1. Reciba y guarde la notificación original. Identifique el remitente real, el contrato, el momento de la notificación, la nueva cadena de subproveedores y la fecha de implementación planificada.
2. Compruebe la aplicabilidad. Evalúe la entidad DORA, la función crítica/importante, la materialidad, la cadena de subproveedores y la autorización contractual para contratar subproveedores.
3. Verifique el plazo de notificación. El artículo 5.2 requiere un plazo razonable acordado contractualmente para la aprobación o la objeción. No existe una regla legal general de exactamente 30 días. Deje que la persona responsable establezca la fecha límite de respuesta basándose en el contrato real.
4. Evalúe los riesgos del cambio. Investigue la concentración, la continuidad, la seguridad, la localización de datos, los recursos de los subproveedores y los derechos de acceso, inspección y auditoría.
5. Solicite la información complementaria necesaria. Pida al proveedor principal que documente la cadena y el efecto real del cambio. La empresa financiera mantiene la responsabilidad incluso si el proveedor ha realizado su propia evaluación de riesgos.
6. Tome y comunique una decisión competente. Si el riesgo supera el apetito/tolerancia al riesgo, la entidad financiera debe informar al proveedor, objetar y solicitar modificaciones antes del final del plazo, según el artículo 5.4. Guarde los comprobantes reales de envío y recepción.
7. Haga seguimiento de la implementación y de la posible salida. Compruebe la fecha real de implementación. Evalúe el artículo 6, el artículo 28.7 de DORA y el propio contrato antes de la rescisión o migración.

¿Qué dicen DORA y el Reglamento UE 2025/532?

Artículo 3, 2025/532: la entidad financiera debe realizar evaluaciones pertinentes de los subproveedores que sustentan funciones críticas o importantes. Confiar en la diligencia debida del proveedor de TIC no exime a la empresa de la responsabilidad final.

Artículo 4: el contrato debe identificar qué servicios de TIC pertinentes pueden subcontratarse y bajo qué condiciones. Las posibles adaptaciones contractuales necesarias deben implementarse a tiempo y planificarse de forma documentada.

Artículos 5.1–5.3: los cambios sustanciales deben notificarse con suficiente antelación para que la empresa pueda evaluar el riesgo y la capacidad del proveedor para cumplir el contrato. Debe existir un plazo de objeción razonable acordado contractualmente. El proveedor puede implementar el cambio cuando la entidad financiera lo haya aprobado o no haya objetado al final del plazo, según el contrato y el marco normativo aplicables.

Artículo 5.4: si el cambio excede la tolerancia al riesgo establecida, la empresa debe notificar su evaluación, objetar y solicitar modificaciones antes del final del plazo. No es lo mismo que un sistema pueda determinar automáticamente el riesgo.

Artículo 6: el contrato debe incluir un derecho de rescisión, entre otros, si el proveedor implementa el cambio a pesar de la objeción, lo implementa anticipadamente sin aprobación o subcontrata servicios pertinentes sin que el contrato lo permita expresamente. Esto es un derecho contractual condicionado, no una rescisión automática. Compruebe también el artículo 28.7 de DORA.

Fuentes primarias: Reglamento delegado de la Comisión (UE) 2025/532 y DORA (UE) 2022/2554. Consulte el listado de reglamentos de ejecución de la Comisión Europea.

Diferencia con el paquete DORA general de Mallbutiken

El Paquete de plantillas de contratos con proveedores de TIC DORA y cumplimiento 2026 se refiere a la gestión contractual amplia y al cumplimiento normativo. Este producto especializado resuelve un paso de trabajo más delimitado: un cambio realmente notificado en la cadena de subproveedores, con evaluación, respuesta dentro del plazo acordado, objeción y evaluación de salida por separado. Para una solicitud general de cambio de TI, también existe Solicitud de cambio de TI y gestión de cambios.

Preguntas frecuentes

¿Deben aprobarse todos los cambios de subproveedor según DORA?

No. Estas reglas específicas se refieren a los servicios de TIC que sustentan funciones críticas o importantes o partes sustanciales de ellas, y a los cambios sustanciales pertinentes. Revise el servicio real, el impacto y el contrato.

¿El plazo de objeción es siempre de 30 días?

No. El Reglamento requiere un plazo de notificación razonable en el contrato. No existe un plazo universal prescrito de 30 días. Un plazo así solo se aplica si se deriva del contrato relevante y es aplicable.

¿Qué hacemos si la evaluación de riesgos excede el apetito al riesgo?

El artículo 5.4 indica que la empresa debe informar sobre su evaluación de riesgos, objetar y solicitar modificaciones antes del final del plazo acordado. Debe hacerlo la función competente y documentarlo.

¿Podemos rescindir el contrato si el cambio ya se ha realizado?

El artículo 6 indica las posibilidades de rescisión basadas en el contrato en situaciones específicas. Compruebe el contrato, los hechos reales, el riesgo y la continuidad, y deje que el asesor jurídico responsable evalúe la medida. No todo cambio implementado da derecho automático de rescisión.

¿Puede la investigación de riesgos del proveedor sustituir a la nuestra?

No. El Reglamento indica que la entidad financiera no queda eximida de su responsabilidad final simplemente por confiar en la diligencia debida del proveedor.

¿Puede Excel calcular automáticamente un plazo de objeción jurídicamente correcto?

No. El libro de trabajo registra el plazo que una persona responsable ha establecido tras la revisión del contrato; no calcula por sí mismo la fecha límite contractual ni una aprobación.

¿Están todos los documentos en inglés?

No. Cinco plantillas de trabajo, la guía en sueco y Excel están en sueco. Una Guía de usuario en inglés por separado describe el uso, pero no constituye una traducción completa de las plantillas de trabajo.

¿Los archivos PDF son rellenables?

No. Son copias A4 buscables e imprimibles de los documentos de Word, no formularios PDF con campos interactivos.

Versión, control de fuentes y limitaciones

Versión 1.0 – 9 de noviembre de 2026. Se ha realizado un control de fuentes legales con actos oficiales del derecho de la UE y una revisión técnica de los archivos DOCX, PDF y XLSX. Ningún asesor jurídico externo, autoridad de supervisión ni auditor de TIC independiente ha revisado ni aprobado el material. Las plantillas no pueden enviar notificaciones contractuales, verificar la seguridad real de un subproveedor ni aprobar una decisión de rescisión. Utilícelas como base administrativa para una evaluación experta y competente por separado.