DORA: declarar proveedores cloud a BaFin

Hasta el 30 de marzo de 2026, las entidades financieras en Alemania deben presentar por primera vez ante la BaFin su registro completo de proveedores externos de tecnologías de la información y la comunicación (TIC). El Reglamento sobre la Resistencia Operativa Digital (DORA) de la UE entró en vigor en enero de 2025, y se acerca la primera gran obligación de notificación. Fecha límite para los datos que deben declararse: 31 de diciembre de 2025. Quienes utilicen AWS, Azure o Google Cloud deberán documentar íntegramente sus contratos, ubicaciones de almacenamiento de datos y subcontratistas.

En resumen

• 📋 Plazo de la BaFin: 30 de marzo de 2026. Primera notificación del registro de proveedores externos de TIC en formato xBRL-CSV (ADVISORI).
• 📊 A finales de 2025, solo el 50 % de las entidades financieras europeas había alcanzado una conformidad completa con DORA (The Next Web).
• ☁️ Diecinueve proveedores externos de TIC han sido designados como Proveedores Externos Críticos (CTPP), sometidos directamente a la supervisión de la UE; entre ellos figuran AWS, Azure y Google Cloud.
• ⚖️ Obligaciones de notificación: tipo de servicio prestado, ubicación de almacenamiento de datos, subcontratistas, duración del contrato y estrategia de salida.
• ⏰ El 38 % de las entidades financieras ha pospuesto su objetivo de cumplimiento al año 2026 (The Next Web).

Qué exige DORA a las entidades financieras

El Reglamento sobre la Resistencia Operativa Digital (Reglamento (UE) 2022/2554) es de aplicación directa en todos los Estados miembros de la UE desde el 17 de enero de 2025. A diferencia de NIS2, que requiere leyes nacionales de transposición, DORA es un reglamento y, por tanto, directamente aplicable. Este reglamento afecta a bancos, compañías de seguros, empresas de servicios de inversión, prestadores de servicios de pago, prestadores de servicios relacionados con activos criptográficos y numerosos otros actores del sector financiero europeo.

DORA persigue un objetivo claro: reforzar la resistencia digital del sector financiero. Para ello establece cinco pilares: gestión de riesgos TIC, notificación de incidentes, pruebas de resistencia, gestión de riesgos derivados de terceros e intercambio de información. El tercer pilar, la gestión de riesgos derivados de terceros, es el ámbito que actualmente ocupa más intensamente a los equipos de TI.

Concretamente, DORA exige que cada entidad financiera mantenga un registro completo de todos sus proveedores externos de TIC. Este registro debe ponerse a disposición de la autoridad supervisora competente a petición y, ahora por primera vez, también debe presentarse proactivamente. La BaFin ha fijado el 30 de marzo de 2026 como fecha límite para la primera presentación.

Qué debe contener el registro de proveedores externos de TIC

Este registro no es una simple hoja de cálculo. La BaFin exige una notificación estructurada en formato xBRL-CSV, que incluya campos específicos para cada proveedor externo de TIC.

Datos obligatorios por proveedor:

Nombre e identificador jurídico (LEI, por sus siglas en inglés) del proveedor. Tipo de servicio prestado (infraestructura en la nube, SaaS, procesamiento de datos). Ubicaciones de almacenamiento de datos, incluidos los centros de respaldo y las regiones destinadas a la recuperación ante desastres. Subcontratistas empleados por el proveedor (por ejemplo, si Azure utiliza centros de datos de Equinix). Duración del contrato y plazos de rescisión. Estrategia de salida: ¿qué ocurre si el proveedor falla o debe sustituirse?

Para proveedores en la nube como AWS, Azure y Google Cloud, esto significa que los equipos de TI no solo deben documentar el contrato principal, sino también comprender qué subcontratistas utiliza el proveedor en qué regiones. En el caso de los hiperscalares, con cientos de centros de datos y decenas de subcontratistas, esta tarea representa una carga documental considerable.

Proveedores Externos Críticos: por qué AWS, Azure y Google Cloud son especialmente relevantes

DORA introduce un nuevo concepto: los Proveedores Externos Críticos (CTPP). Se trata de proveedores externos de TIC calificados como sistemáticamente relevantes para el sector financiero. Desde noviembre de 2025, 19 proveedores han sido designados como CTPP, entre ellos AWS, Microsoft Azure y Google Cloud.

Esto implica lo siguiente: los CTPP están sujetos a una supervisión directa de la UE ejercida por las Autoridades Europeas de Supervisión (ESAs, por sus siglas en inglés). Deben llevar a cabo sus propias pruebas de resistencia, remitir informes sobre incidentes a las ESAs y conceder derechos de auditoría a las autoridades supervisoras. Para las entidades financieras que utilizan CTPP, se aplican obligaciones documentales más estrictas en el registro.

Cada contrato con un CTPP debe incluir cláusulas específicas: derechos de auditoría, acceso para las autoridades supervisoras, transparencia respecto a los subcontratistas y niveles de servicio definidos. Los contratos existentes que no contengan dichas cláusulas deben renegociarse.

La brecha de cumplimiento: por qué la mitad aún no está preparada

Según The Next Web, a finales de 2025 solo el 50 % de las entidades financieras europeas había alcanzado una conformidad completa con DORA. El 38 % ha pospuesto su objetivo de cumplimiento al año 2026. Las razones son múltiples:

Complejidad de la cadena de suministro. Una entidad financiera de tamaño medio suele utilizar típicamente entre 40 y 80 proveedores externos de TIC. Documentar cada uno de ellos con su LEI, ubicación de almacenamiento de datos, cadena de subcontratistas y estrategia de salida constituye una labor manual intensiva que puede tardar meses.

Adaptación de los contratos. Los contratos de nube existentes rara vez incluyen las cláusulas específicas de DORA relativas a los derechos de auditoría y al acceso de las autoridades supervisoras. Renegociarlos con los hiperscalares es una tarea compleja, especialmente porque AWS, Azure y Google Cloud prefieren contratos estandarizados.

Falta de infraestructura de herramientas. La notificación en formato xBRL-CSV requiere software específico. Muchas entidades han adquirido dichas herramientas tarde o todavía trabajan con procesos manuales. Plataformas GRC como ServiceNow, SAP GRC o proveedores especializados de RegTech ofrecen módulos DORA, cuya implementación, sin embargo, requiere tiempo.

Lista de comprobación: en 4 semanas hasta la notificación a la BaFin

Para directores de TI y responsables de cumplimiento que aún quieran cumplir el plazo del 30 de marzo:

Semana 1: Inventario. Registrar todos los proveedores externos de TIC. No solo proveedores en la nube, sino también herramientas SaaS, proveedores de servicios gestionados y socios de externalización. Fuentes: departamento de compras, gestión de activos de TI y registro de contratos.

Semana 2: Complementar los datos. Rellenar para cada proveedor los campos obligatorios: LEI, tipo de servicio, ubicación de almacenamiento de datos, subcontratistas y duración del contrato. En el caso de proveedores en la nube, utilizar como base la documentación sobre la responsabilidad compartida.

Semana 3: Estrategias de salida. Documentar una estrategia de salida para cada proveedor crítico. ¿qué ocurre en caso de fallo? ¿Cuánto tiempo dura la migración? ¿Existe un proveedor alternativo?

Semana 4: Generar y verificar el archivo xBRL-CSV. Convertir los datos al formato xBRL-CSV. Validarlos contra el esquema de la BaFin. Realizar una prueba de notificación antes de proceder a la presentación definitiva.

Desafíos específicos de la nube en el registro DORA

Documentar a los proveedores en la nube en el registro DORA es más complejo que hacerlo con prestadores tradicionales de servicios de TI. Tres factores hacen particularmente exigentes los contratos en la nube.

Infraestructura dinámica. Los proveedores en la nube modifican periódicamente sus ubicaciones de centros de datos, zonas de disponibilidad y subcontratistas. Un registro que refleje la situación al 31 de diciembre de 2025 puede estar obsoleto tres meses después. Los equipos de TI necesitan un proceso que capte continuamente los cambios en la infraestructura en la nube y actualice el registro.

Responsabilidad compartida. En los servicios en la nube, el proveedor y el cliente comparten la responsabilidad. Infrastructure as a Service (IaaS), Platform as a Service (PaaS) y Software as a Service (SaaS) tienen distintos límites de responsabilidad. El registro DORA debe especificar qué funciones TIC asume el proveedor en la nube y cuáles permanecen bajo la responsabilidad de la entidad financiera. Esto exige una comprensión profunda de la propia arquitectura en la nube.

Complejidad multi-nube. Las entidades financieras que utilizan varios proveedores en la nube deben documentar cada uno de ellos por separado. Así surgen dependencias: si un sistema de copias de seguridad funciona en Google Cloud y el sistema primario en AWS, ambos proveedores deben figurar en el registro, incluida la relación de dependencia entre los sistemas.

Qué ocurre tras el 30 de marzo: los siguientes pasos

La primera notificación a la BaFin no es el final, sino el comienzo de un proceso continuo. DORA exige que el registro de proveedores externos de TIC se actualice constantemente y se presente periódicamente a la autoridad supervisora.

Para 2026 se prevén dos desarrollos adicionales:

Pruebas de penetración orientadas a amenazas (TLPT). DORA exige a las entidades financieras sistemáticamente relevantes la realización periódica de pruebas de penetración que abarquen toda la cadena de suministro TIC. Es previsible que la BaFin publique requisitos concretos sobre TLPT en la segunda mitad de 2026.

Notificación de incidentes. Las entidades financieras deben notificar a la BaFin los incidentes TIC graves dentro de las cuatro horas siguientes. Si un incidente ocurre en un proveedor en la nube que presta servicios a la entidad financiera, la obligación de notificación corresponde a la entidad financiera, no al proveedor en la nube. Esto exige acuerdos contractuales sobre plazos de notificación y vías de escalado.

Los equipos de TI que ahora construyan el registro deben tener ya en cuenta estos requisitos posteriores. Un registro que solo contenga los campos obligatorios para la primera notificación deberá ampliarse, de todas formas, para cumplir con los requisitos de TLPT y de notificación de incidentes.

DORA y NIS2: doble carga para los equipos de TI

Muchas entidades financieras están sujetas tanto a DORA como a NIS2. Ambas normativas se solapan parcialmente, pero tienen distintos enfoques. DORA se centra en la resistencia operativa digital del sector financiero, mientras que NIS2 se enfoca en la ciberseguridad general en sectores críticos.

Para los equipos de TI esto significa: dos registros (BaFin para DORA, BSI para NIS2), dos obligaciones de notificación de incidentes y dos conjuntos de requisitos documentales. La buena noticia es que muchas de las medidas se solapan. Un registro de proveedores externos de TIC bien gestionado cumple tanto los requisitos de DORA como los de NIS2 en materia de seguridad de la cadena de suministro.

Conclusión

La obligación de notificación DORA del 30 de marzo de 2026 no es un hito opcional. Las entidades financieras que no hayan documentado completamente a sus proveedores de servicios en la nube corren el riesgo de sanciones regulatorias. El esfuerzo es real, pero manejable si los equipos de TI adoptan un enfoque estructurado. Quienes tengan en cuenta simultáneamente los requisitos de NIS2 evitarán realizar el mismo trabajo dos veces. El camino pragmático para directores de TI y equipos de cumplimiento consiste en crear un inventario, completar los datos, documentar las estrategias de salida y presentar la notificación dentro del plazo.

Preguntas frecuentes

Artículos relacionados

• NIS2 y SaaS – por qué la cadena de suministro se convierte en una brecha de cumplimiento (cloudmagazin)
• Sovereignty-Washing – por qué los centros de datos de la UE no equivalen aún a soberanía de datos (cloudmagazin)
• Confidential Computing – Azure permite aislar a nivel de hardware las cargas de trabajo de inteligencia artificial (cloudmagazin)

Más contenido de la red MBF Media

• DORA y NIS2 simultáneamente – cómo los prestadores de servicios financieros gestionan la doble presión regulatoria (SecurityToday)
• Repatriación a la nube en 2026 – por qué los directores de información están trayendo de vuelta las cargas de trabajo (Digital Chiefs)

Fuente de imagen: Mikael Blomkvist / Pexels