Preparación DORA para proveedores TIC
Desde enero de 2025, tus clientes del sector financiero tienen que gestionarte como un riesgo de tercero TIC. Te ayudamos a responder a sus cuestionarios y cláusulas con controles y evidencias reales.
La preparación DORA para proveedores TIC prepara a empresas de software, hosting y servicios IT que trabajan para bancos, aseguradoras, entidades de pago y otras entidades financieras para los requisitos de seguridad que esos clientes ahora les trasladan por DORA (art. 28–30). Implantamos y documentamos los controles técnicos; no certificamos y no somos proveedores de TLPT. Los proyectos parten de 6.000 € y llevan 3–6 semanas.
Recopilamos lo que te han enviado tus clientes: anexos, cuestionarios, peticiones de auditoría, y acordamos el alcance.
Comparamos tu infraestructura y tus procesos reales con esas peticiones y ordenamos las carencias.
Construimos los controles que faltan con pull requests y escribimos los procedimientos que tu equipo usará de verdad.
Un paquete de evidencias y respuestas al cuestionario, repasado contigo para que tu equipo pueda defenderlas.
Un cuestionario derivado de DORA suele reducirse a las mismas preguntas. ¿Puedes demostrar quién tiene acceso a los sistemas que nos dan servicio? ¿Detectas y notificas incidentes lo bastante rápido para que nosotros cumplamos nuestros plazos? ¿Puedes restaurar nuestros datos, y lo has probado? ¿Cada cambio en producción se revisa y queda registrado? ¿Podríamos salir de tu servicio de forma ordenada?
Si hoy la respuesta sincera es “más o menos, pero no está escrito”, la mayor parte del trabajo consiste en hacerlo real y demostrable.
Preferimos evidencias que se generan solas. Cuando la infraestructura está en Terraform y Ansible y cada cambio pasa por una pull request, el historial del repositorio es tu registro de cambios. Cuando los backups se restauran según calendario y se verifican por checksum, el registro de restauraciones es tu evidencia de continuidad. Cuando el acceso pasa por una VPN mesh con las políticas en Git, ese archivo de políticas es tu documento de control de accesos.
Es la misma disciplina que aplicamos en infraestructura de pagos, y dura más que una carpeta de políticas escrita una vez para una auditoría.
No damos asesoramiento legal sobre tus contratos, no certificamos y no somos proveedores de TLPT. Trabajamos en los controles técnicos y las evidencias, junto a tus abogados y a los equipos de riesgos de tus clientes.
Una fintech europea que procesa pagos, tarjetas y cripto, con entre 20 y 50 personas y un núcleo regulado. Llevamos su DevOps a largo plazo: infraestructura como código, controles PCI DSS, conectividad de pagos y recuperación ante desastres.
DORA se aplica directamente a las entidades financieras. Pero ellas tienen que gestionar a sus proveedores TIC, llevar un registro y meter cláusulas concretas en los contratos (art. 28–30). Así que si les das software o servicios IT, los requisitos te llegan por contratos y cuestionarios.
Desde 6.000 € sin IVA para un proveedor pequeño con un alcance claro. El presupuesto cerrado depende de cuántos sistemas dan servicio a clientes financieros y de cuánto existe ya.
Normalmente 3–6 semanas. Si un cliente te ha puesto una fecha, dínoslo: podemos empezar por lo más visible.
No, y nadie puede certificar a un proveedor como 'conforme a DORA' en ese sentido. Implantamos los controles y preparamos las evidencias que piden tus clientes. Es su propia evaluación la que decide si cumples sus requisitos.
No. Las TLPT son para determinadas entidades financieras y las hacen probadores acreditados. Podemos ayudarte a preparar tu infraestructura y tus evidencias antes de una prueba así.
En gran parte, sí. Control de accesos, logs, backups, gestión de incidentes y control de cambios son el mismo trabajo de ingeniería. Redactamos las evidencias para que puedas reutilizarlas.
Mándanoslo o cuéntanos qué te pide tu cliente. Te diremos qué puntos ya puedes responder y cuáles necesitan trabajo.