{"product_id":"dora-ikt-underleverantorsbyte-risk-invandning-exit","title":"DORA – cambio de subproveedor de TIC, evaluación de riesgos y objeción | Word\/PDF\/Excel","description":"\u003csection lang=\"sv\" class=\"mb-product-description\" style=\"line-height:1.67;color:#183B57\"\u003e\n\u003cp\u003e\u003cstrong\u003eSu proveedor de nube o socio operativo le notifica que se va a sustituir a un subproveedor de TIC importante. ¿Debe su empresa financiera aceptar el cambio?\u003c\/strong\u003e Cuando el servicio de TIC sustenta una \u003cstrong\u003efunción crítica o importante, o una parte sustancial de una de ellas\u003c\/strong\u003e, DORA y el estándar específico de la UE sobre subproveedores pueden exigir una evaluación de riesgos documentada, una notificación contractual y una decisión en el plazo adecuado. Este paquete especializado le ayuda a gestionar una \u003cem\u003enotificación de cambio específica\u003c\/em\u003e, no solo a establecer una política general de TI.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eMarco normativo aplicable:\u003c\/strong\u003e \u003ca href=\"https:\/\/eur-lex.europa.eu\/legal-content\/SV\/TXT\/?uri=CELEX:32022R2554\"\u003eDORA, Reglamento (UE) 2022\/2554\u003c\/a\u003e, se aplica desde el \u003cstrong\u003e17 de enero de 2025\u003c\/strong\u003e. El \u003ca href=\"https:\/\/eur-lex.europa.eu\/legal-content\/SV\/TXT\/?uri=CELEX:32025R0532\"\u003eReglamento delegado (UE) 2025\/532\u003c\/a\u003e complementario entra en vigor el \u003cstrong\u003e22 de julio de 2025\u003c\/strong\u003e y aborda la evaluación de riesgos y las condiciones de la subcontratación de servicios de TIC que sustentan funciones críticas o importantes. El \u003cstrong\u003eartículo 5\u003c\/strong\u003e regula los cambios sustanciales; el \u003cstrong\u003eartículo 6\u003c\/strong\u003e regula ciertas condiciones para el derecho de rescisión contractual.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eContenido:\u003c\/strong\u003e 5 plantillas de trabajo en sueco, guía de usuario en sueco y Guía de usuario en inglés por separado, tanto en Word (DOCX) como en PDF A4 buscable\/imprimible, además de un registro en Excel con nueve pestañas y \u003cstrong\u003e730 fórmulas administrativas\u003c\/strong\u003e. Total de \u003cstrong\u003e7 DOCX + 7 PDF + 1 XLSX = 15 archivos\u003c\/strong\u003e en un ZIP. Precio único: \u003cstrong\u003e79 kr\u003c\/strong\u003e; sin entrega física, sin macros y sin integración automatizada con proveedores.\u003c\/p\u003e\n\n\u003cdiv style=\"border:2px solid #BDD5E3;border-left:6px solid #28779D;background:#EDF6FB;border-radius:11px;padding:18px 21px;margin:19px 0\"\u003e\n\n\u003ch2 style=\"margin:0 0 8px;color:#1C5B7E\"\u003e01 · Contenido del paquete\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003e\u003cstrong\u003eCinco plantillas en sueco:\u003c\/strong\u003e (1) recepción y aplicabilidad, (2) matriz de riesgos para el cambio de subproveedor, (3) solicitud de información complementaria al proveedor de TIC, (4) objeción y acta formal de decisión, y (5) escalada, rescisión y evaluación de salida. Se incluyen dos guías: en sueco e inglés. Cada documento está disponible en Word editable y PDF buscable. El libro de trabajo de Excel sigue el mismo proceso. Total de 15 archivos para clientes.\u003c\/p\u003e\n\n\n\u003c\/div\u003e\n\n\u003cdiv style=\"border:2px solid #BDD5E3;border-left:6px solid #28779D;background:#EDF6FB;border-radius:11px;padding:18px 21px;margin:19px 0\"\u003e\n\n\u003ch2 style=\"margin:0 0 8px;color:#1C5B7E\"\u003e02 · Contenido de los archivos\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eComplete el ID real del contrato, la función crítica\/importante afectada, la cadena de subproveedores, la localización de datos, la evaluación de riesgos y concentración, el \u003cstrong\u003eplazo real de notificación y objeción acordado contractualmente\u003c\/strong\u003e, las solicitudes de información complementaria, la decisión competente, el comprobante de entrega y las posibles condiciones de salida. Excel solo registra las deficiencias administrativas. \u003cstrong\u003eNinguna fórmula envía objeciones, aprueba el cambio de subproveedor ni rescinde contratos.\u003c\/strong\u003e\u003c\/p\u003e\n\n\n\u003c\/div\u003e\n\n\u003ch2\u003e¿Cuándo es la plantilla DORA correcta?\u003c\/h2\u003e\n\n\u003cp\u003eLos usuarios típicos son la función de riesgo de TIC, el departamento de cumplimiento, el asesor jurídico, el responsable de compras y proveedores, el responsable de seguridad de la información y el propietario de la actividad de las empresas financieras para las funciones críticas o importantes. Ejemplo de evento: una empresa con un servicio financiero crítico recibe una notificación por escrito de que la operación, la infraestructura, la función de seguridad o el almacenamiento de datos se trasladan a otro subproveedor, quizá en un país nuevo o más abajo en la cadena de suministro.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eDelimitación:\u003c\/strong\u003e No todo cambio de proveedor de TI o cambio habitual de proveedor es un cambio sustancial según el artículo 5. Documente primero si la entidad está cubierta por DORA y si la cadena de subproveedores concreta sustenta una función crítica o importante, o una parte sustancial de una de ellas. No se deben atribuir los mismos requisitos legales a empresas fuera del ámbito de aplicación relevante.\u003c\/p\u003e\n\n\u003ch2\u003eLos 15 archivos para clientes\u003c\/h2\u003e\n\n\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable style=\"width:100%;min-width:700px;border-collapse:collapse\"\u003e\n\n\u003cthead\u003e\u003ctr style=\"background:#DFEDF5\"\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eDocumento\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eResultado práctico\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eIdioma y formato\u003c\/th\u003e\n\n\n\u003c\/tr\u003e\u003c\/thead\u003e\n\n\u003ctbody\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e01 Notificación – recepción y aplicabilidad\u003c\/td\u003e\n\n\u003ctd\u003eDocumente el remitente, el plazo de notificación real acordado contractualmente, la función crítica, la fecha de cambio planificada y la cadena de suministro.\u003c\/td\u003e\n\n\u003ctd\u003eSV · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e02 Evaluación de riesgos para el cambio de subproveedor\u003c\/td\u003e\n\n\u003ctd\u003eEvalúe el impacto en la seguridad de la información, la operación, el riesgo geográfico, la concentración, el acceso de supervisión y la salida.\u003c\/td\u003e\n\n\u003ctd\u003eSV · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e03 Solicitud de información complementaria al proveedor de TIC\u003c\/td\u003e\n\n\u003ctd\u003eSolicite el mapa de la cadena, los controles reales, la localización, el plan de continuidad, el derecho de auditoría y el plan de implementación.\u003c\/td\u003e\n\n\u003ctd\u003eSV · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e04 Objeción y acta formal de decisión\u003c\/td\u003e\n\n\u003ctd\u003eSepare la evaluación objetiva de riesgos, la decisión y la objeción realmente comunicada antes del plazo contractual relevante.\u003c\/td\u003e\n\n\u003ctd\u003eSV · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e05 Escalada y evaluación de salida\u003c\/td\u003e\n\n\u003ctd\u003eDocumente la implementación a pesar de la objeción, el cambio antes del plazo o la subcontratación no permitida; evalúe el derecho contractual y la continuidad.\u003c\/td\u003e\n\n\u003ctd\u003eSV · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e06 Guía de usuario en sueco\u003c\/td\u003e\n\n\u003ctd\u003eFlujo de trabajo, alcance legal, cadena de responsabilidad, fuentes y trampas especiales.\u003c\/td\u003e\n\n\u003ctd\u003eSV · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e07 English User Guide\u003c\/td\u003e\n\n\u003ctd\u003eInstrucciones para usar las cinco plantillas operativas en sueco; no son traducciones completas de las plantillas.\u003c\/td\u003e\n\n\u003ctd\u003eEN · DOCX\/PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e08 Excel – registro de cambios de subproveedores\u003c\/td\u003e\n\n\u003ctd\u003eNueve pestañas y 730 fórmulas para el registro, seguimiento y revisión manual.\u003c\/td\u003e\n\n\u003ctd\u003eSV · XLSX\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\n\u003c\/tbody\u003e\n\n\n\u003c\/table\u003e\u003c\/div\u003e\n\n\u003ch2\u003eExcel – nueve pestañas para el proceso contractual y de riesgos\u003c\/h2\u003e\n\n\u003cp\u003eEl libro de trabajo consta de \u003cstrong\u003eLéame, Resumen, Cambios, Contratos, Riesgos, Respuestas, Decisiones, Salida y Fuentes\u003c\/strong\u003e. A cada cambio real se le asigna un ID de caso. El resumen contabiliza notificaciones, bases de riesgo incompletas, contratos que deben investigarse, solicitudes sin respuesta, objeciones sin comunicación real y casos de salida con falta de base de decisión. Las etiquetas automáticas como \u003cstrong\u003e“EVALUAR APLICABILIDAD”, “COMPLETAR CONTRATO”, “EVALUACIÓN DE OBJECIÓN ANTES DEL PLAZO”\u003c\/strong\u003e y \u003cstrong\u003e“LA SALIDA REQUIERE DECISIÓN MANUAL”\u003c\/strong\u003e nunca implican que se hayan cumplido los requisitos legales. El archivo para clientes se restablece sin casos de prueba ficticios.\u003c\/p\u003e\n\n\u003ch2\u003eCómo gestionar el cambio en la práctica\u003c\/h2\u003e\n\n\u003col\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eReciba y guarde la notificación original.\u003c\/strong\u003e Identifique el remitente real, el contrato, el momento de la notificación, la nueva cadena de subproveedores y la fecha de implementación planificada.\u003c\/li\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eCompruebe la aplicabilidad.\u003c\/strong\u003e Evalúe la entidad DORA, la función crítica\/importante, la materialidad, la cadena de subproveedores y la autorización contractual para contratar subproveedores.\u003c\/li\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eVerifique el plazo de notificación.\u003c\/strong\u003e El artículo 5.2 requiere un plazo razonable acordado contractualmente para la aprobación o la objeción. \u003cstrong\u003eNo existe una regla legal general de exactamente 30 días\u003c\/strong\u003e. Deje que la persona responsable establezca la fecha límite de respuesta basándose en el contrato real.\u003c\/li\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eEvalúe los riesgos del cambio.\u003c\/strong\u003e Investigue la concentración, la continuidad, la seguridad, la localización de datos, los recursos de los subproveedores y los derechos de acceso, inspección y auditoría.\u003c\/li\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eSolicite la información complementaria necesaria.\u003c\/strong\u003e Pida al proveedor principal que documente la cadena y el efecto real del cambio. La empresa financiera mantiene la responsabilidad incluso si el proveedor ha realizado su propia evaluación de riesgos.\u003c\/li\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eTome y comunique una decisión competente.\u003c\/strong\u003e Si el riesgo supera el apetito\/tolerancia al riesgo, la entidad financiera debe informar al proveedor, objetar y solicitar modificaciones antes del final del plazo, según el artículo 5.4. Guarde los comprobantes reales de envío y recepción.\u003c\/li\u003e\n\n\u003cli\u003e\n\n\u003cstrong\u003eHaga seguimiento de la implementación y de la posible salida.\u003c\/strong\u003e Compruebe la fecha real de implementación. Evalúe el artículo 6, el artículo 28.7 de DORA y el propio contrato antes de la rescisión o migración.\u003c\/li\u003e\n\n\n\u003c\/ol\u003e\n\n\u003ch2\u003e¿Qué dicen DORA y el Reglamento UE 2025\/532?\u003c\/h2\u003e\n\n\u003cp\u003e\u003cstrong\u003eArtículo 3, 2025\/532:\u003c\/strong\u003e la entidad financiera debe realizar evaluaciones pertinentes de los subproveedores que sustentan funciones críticas o importantes. Confiar en la diligencia debida del proveedor de TIC no exime a la empresa de la responsabilidad final.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eArtículo 4:\u003c\/strong\u003e el contrato debe identificar qué servicios de TIC pertinentes pueden subcontratarse y bajo qué condiciones. Las posibles adaptaciones contractuales necesarias deben implementarse a tiempo y planificarse de forma documentada.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eArtículos 5.1–5.3:\u003c\/strong\u003e los cambios sustanciales deben notificarse con suficiente antelación para que la empresa pueda evaluar el riesgo y la capacidad del proveedor para cumplir el contrato. Debe existir un plazo de objeción razonable acordado contractualmente. El proveedor puede implementar el cambio cuando la entidad financiera lo haya aprobado o no haya objetado al final del plazo, según el contrato y el marco normativo aplicables.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eArtículo 5.4:\u003c\/strong\u003e si el cambio excede la tolerancia al riesgo establecida, la empresa debe notificar su evaluación, objetar y solicitar modificaciones \u003cem\u003eantes del final del plazo\u003c\/em\u003e. No es lo mismo que un sistema pueda determinar automáticamente el riesgo.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eArtículo 6:\u003c\/strong\u003e el contrato debe incluir un derecho de rescisión, entre otros, si el proveedor implementa el cambio a pesar de la objeción, lo implementa anticipadamente sin aprobación o subcontrata servicios pertinentes sin que el contrato lo permita expresamente. \u003cstrong\u003eEsto es un derecho contractual condicionado, no una rescisión automática.\u003c\/strong\u003e Compruebe también el artículo 28.7 de DORA.\u003c\/p\u003e\n\n\u003cp\u003eFuentes primarias: \u003ca href=\"https:\/\/eur-lex.europa.eu\/legal-content\/SV\/TXT\/?uri=CELEX:32025R0532\"\u003eReglamento delegado de la Comisión (UE) 2025\/532\u003c\/a\u003e y \u003ca href=\"https:\/\/eur-lex.europa.eu\/legal-content\/SV\/TXT\/?uri=CELEX:32022R2554\"\u003eDORA (UE) 2022\/2554\u003c\/a\u003e. Consulte el \u003ca href=\"https:\/\/finance.ec.europa.eu\/regulation-and-supervision\/financial-services-legislation\/implementing-and-delegated-acts\/digital-operational-resilience-regulation_en\"\u003elistado de reglamentos de ejecución de la Comisión Europea\u003c\/a\u003e.\u003c\/p\u003e\n\n\u003ch2\u003eDiferencia con el paquete DORA general de Mallbutiken\u003c\/h2\u003e\n\n\u003cp\u003eEl \u003ca href=\"\/es\/products\/dora-ikt-leverantorsavtal-compliance-mallpaket-2026\"\u003ePaquete de plantillas de contratos con proveedores de TIC DORA y cumplimiento 2026\u003c\/a\u003e se refiere a la gestión contractual amplia y al cumplimiento normativo. \u003cstrong\u003eEste producto especializado resuelve un paso de trabajo más delimitado:\u003c\/strong\u003e un cambio realmente notificado en la cadena de subproveedores, con evaluación, respuesta dentro del plazo acordado, objeción y evaluación de salida por separado. Para una solicitud general de cambio de TI, también existe \u003ca href=\"\/es\/products\/it-andringsbegaran-andringsstyrning-word-pdf-excel\"\u003eSolicitud de cambio de TI y gestión de cambios\u003c\/a\u003e.\u003c\/p\u003e\n\n\u003ch2\u003ePreguntas frecuentes\u003c\/h2\u003e\n\n\u003ch3\u003e¿Deben aprobarse todos los cambios de subproveedor según DORA?\u003c\/h3\u003e\n\n\u003cp\u003eNo. Estas reglas específicas se refieren a los servicios de TIC que sustentan funciones críticas o importantes o partes sustanciales de ellas, y a los cambios sustanciales pertinentes. Revise el servicio real, el impacto y el contrato.\u003c\/p\u003e\n\n\u003ch3\u003e¿El plazo de objeción es siempre de 30 días?\u003c\/h3\u003e\n\n\u003cp\u003eNo. El Reglamento requiere un plazo de notificación razonable en el contrato. No existe un plazo universal prescrito de 30 días. Un plazo así solo se aplica si se deriva del contrato relevante y es aplicable.\u003c\/p\u003e\n\n\u003ch3\u003e¿Qué hacemos si la evaluación de riesgos excede el apetito al riesgo?\u003c\/h3\u003e\n\n\u003cp\u003eEl artículo 5.4 indica que la empresa debe informar sobre su evaluación de riesgos, objetar y solicitar modificaciones antes del final del plazo acordado. Debe hacerlo la función competente y documentarlo.\u003c\/p\u003e\n\n\u003ch3\u003e¿Podemos rescindir el contrato si el cambio ya se ha realizado?\u003c\/h3\u003e\n\n\u003cp\u003eEl artículo 6 indica las posibilidades de rescisión basadas en el contrato en situaciones específicas. Compruebe el contrato, los hechos reales, el riesgo y la continuidad, y deje que el asesor jurídico responsable evalúe la medida. No todo cambio implementado da derecho automático de rescisión.\u003c\/p\u003e\n\n\u003ch3\u003e¿Puede la investigación de riesgos del proveedor sustituir a la nuestra?\u003c\/h3\u003e\n\n\u003cp\u003eNo. El Reglamento indica que la entidad financiera no queda eximida de su responsabilidad final simplemente por confiar en la diligencia debida del proveedor.\u003c\/p\u003e\n\n\u003ch3\u003e¿Puede Excel calcular automáticamente un plazo de objeción jurídicamente correcto?\u003c\/h3\u003e\n\n\u003cp\u003eNo. El libro de trabajo registra el plazo que una persona responsable ha establecido tras la revisión del contrato; no calcula por sí mismo la fecha límite contractual ni una aprobación.\u003c\/p\u003e\n\n\u003ch3\u003e¿Están todos los documentos en inglés?\u003c\/h3\u003e\n\n\u003cp\u003eNo. Cinco plantillas de trabajo, la guía en sueco y Excel están en sueco. Una Guía de usuario en inglés por separado describe el uso, pero no constituye una traducción completa de las plantillas de trabajo.\u003c\/p\u003e\n\n\u003ch3\u003e¿Los archivos PDF son rellenables?\u003c\/h3\u003e\n\n\u003cp\u003eNo. Son copias A4 buscables e imprimibles de los documentos de Word, no formularios PDF con campos interactivos.\u003c\/p\u003e\n\n\u003ch2\u003eVersión, control de fuentes y limitaciones\u003c\/h2\u003e\n\n\u003cp\u003e\u003cstrong\u003eVersión 1.0 – 9 de noviembre de 2026.\u003c\/strong\u003e Se ha realizado un control de fuentes legales con actos oficiales del derecho de la UE y una revisión técnica de los archivos DOCX, PDF y XLSX. Ningún asesor jurídico externo, autoridad de supervisión ni auditor de TIC independiente ha revisado ni aprobado el material. Las plantillas no pueden enviar notificaciones contractuales, verificar la seguridad real de un subproveedor ni aprobar una decisión de rescisión. Utilícelas como base administrativa para una evaluación experta y competente por separado.\u003c\/p\u003e\n\n\u003c\/section\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56559609250134,"sku":"MB-DORA-SUBCHANGE-2026-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/mallbutiken-01_DORA_Underleverantorsbyte_Huvudbild_1600.png?v=1794227970","url":"https:\/\/mallbutiken.se\/es\/products\/dora-ikt-underleverantorsbyte-risk-invandning-exit","provider":"Mallbutiken","version":"1.0","type":"link"}