--- title: "Contratos con proveedores de TI conformes a DORA (art. 28 y ss.)" description: "El diseño contractual conforme a DORA designa la obligación de las entidades financieras de dotar sus contratos con proveedores de TI y de IA de cláusulas vinculantes según los arts. 28 y ss." locale: "es" canonical: "https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/reglamento-dora-ia-en-el-sector-financiero/contratos-con-proveedores-de-ti-conformes-a-dora-art-28-y-ss" category: "Agentes de IA" topic: "Reglamento DORA: IA en el sector financiero" updated: "2026-10-28T13:11:48.234Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Contratos con proveedores de TI conformes a DORA (art. 28 y ss.) El diseño contractual conforme a DORA designa la obligación de las entidades financieras de dotar sus contratos con proveedores de TI y de IA de cláusulas vinculantes según los arts. 28 y ss. del Reglamento (UE) 2022/2554 (DORA): descripción del servicio, ubicación de los datos, derechos de auditoría, salida/rescisión, normas sobre subcontratación, notificación de incidentes y niveles de servicio. DORA es aplicable desde el 17 de enero de 2025. ## De un vistazo - DORA (Reglamento (UE) 2022/2554) es aplicable desde el 17 de enero de 2025; los arts. 28-30 regulan el riesgo derivado de terceros proveedores de TIC y el art. 30 contiene el catálogo obligatorio de cláusulas contractuales (los destinatarios principales de la guía de orientación de la BaFin son las entidades CRR y las aseguradoras sujetas a Solvencia II). - El alcance obligatorio depende de si el proveedor da soporte a una función esencial o importante: en las funciones esenciales o importantes se aplican íntegramente las cláusulas del art. 30, incluida la estrategia de salida, derechos de auditoría completos y SLA con objetivos medibles. - Las cláusulas obligatorias incluyen la descripción del servicio, la ubicación de los datos y de su tratamiento, los derechos de auditoría y de acceso, las disposiciones sobre rescisión y salida, las normas sobre subcontratación, la notificación de incidentes y medidas de seguridad con obligación de cooperar. - Las Autoridades Europeas de Supervisión (AES) designaron el 18 de noviembre de 2025, por primera vez, a 19 proveedores terceros esenciales de servicios TIC (CTPP), entre ellos AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix, Accenture y Bloomberg. Los planes de salida para funciones esenciales o importantes deben probarse de forma suficiente y revisarse periódicamente; DORA no impone el multicloud. - En los hiperescaladores, el texto de las cláusulas del art. 30 es en gran medida estándar en 2026; en las startups de IA que carecen de estas cláusulas, la capacidad de llegar a firmar el contrato es un obstáculo frecuente en los procesos de compras. Según la guía de orientación de la BaFin del 18 de diciembre de 2025, los sistemas de IA se consideran sistemas de red y de información conforme al art. 3, punto 2, de DORA. El diseño contractual conforme a DORA designa la obligación de las entidades financieras de dotar sus contratos con proveedores de TI y de [IA](https://blckalpaca.at/es/glosario/ia) de cláusulas vinculantes según los [arts. 28 y ss. del Reglamento (UE) 2022/2554 (DORA)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554): descripción del servicio, ubicación de los datos, derechos de auditoría, salida/rescisión, normas sobre subcontratación, notificación de incidentes y niveles de servicio. DORA es aplicable desde el 17 de enero de 2025 y, en la práctica supervisora de la BaFin, se dirige principalmente a entidades CRR y aseguradoras sujetas a Solvencia II. - **¿A quién afecta?** A las entidades financieras incluidas en el ámbito de aplicación de DORA (bancos, aseguradoras y otras entidades financieras) y a sus proveedores de TI y de IA, que sin las cláusulas obligatorias no pueden ser contratados. - **¿Cuál es el núcleo?** Los arts. 28-30 regulan el riesgo derivado de terceros proveedores de TIC; el art. 30 contiene el catálogo obligatorio de cláusulas. El alcance crece con la criticidad de la función externalizada. - **¿Cuál es el escollo más habitual?** En los hiperescaladores, el texto de las cláusulas es estándar en 2026; en las startups de IA faltan derechos de auditoría y cláusulas de salida y de subcontratación, y eso bloquea los procesos de compras. ## Por qué los proveedores de IA están sujetos a DORA La decisión clave para los proyectos de IA: los sistemas de IA no son un caso especial, sino una subcategoría de los «sistemas de red y de información» del art. 3, punto 2, de DORA. La [guía de orientación de la BaFin sobre riesgos de TIC en el uso de IA en entidades financieras](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Meldung/2025/meldung_2025_12_18_orientierungshilfe_ikt_risiken.html) del 18 de diciembre de 2025 lo aclara de forma expresa y, con ello, incorpora a la gobernanza de la IA el catálogo completo de obligaciones de DORA: arts. 5-15 (gestión del riesgo de TIC), arts. 24-27 (pruebas de resiliencia, incluidas las pruebas de penetración basadas en amenazas) y arts. 28-30 ([riesgo derivado de terceros proveedores de TIC](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/reglamento-dora-ia-en-el-sector-financiero/riesgo-de-terceros-tic-segun-dora-cuando-un-proveedor-de-ia-es-un-proveedor-tic)). Los destinatarios son principalmente las entidades CRR y las aseguradoras sujetas a Solvencia II. Para Suiza existe un régimen análogo, aunque no totalmente equivalente: la [Comunicación de supervisión FINMA 08/2024](https://www.finma.ch/de/news/2024/12/20241218-mm-finma-am-08-24/) del 18 de diciembre de 2024 y la Circular FINMA 2023/1 (Riesgos operativos y resiliencia) definen las expectativas respecto a los proveedores externos de TIC. En el caso de Austria, a octubre de 2026 no tenemos constancia de ninguna directriz sectorial de la FMA sobre IA equivalente a la guía de orientación de la BaFin. Al presentar su [informe anual 2025](https://www.fma.gv.at/fma-jahresbericht-2025/) en junio de 2026, la FMA señaló la aplicación de la IA en el sector financiero y su futura supervisión como prioridad del año en curso. Las entidades austriacas se orientan mayoritariamente por la BaFin y la EBA. DORA, como reglamento de la UE, es directamente aplicable en Alemania y Austria. Una aclaración importante antes de empezar: este artículo es una orientación técnica, no asesoramiento jurídico. Las cláusulas contractuales modelo y su aplicación al caso concreto deben ser revisadas por un abogado. ## El catálogo de cláusulas del art. 30 de DORA El art. 30 de DORA exige que los derechos y obligaciones de la entidad financiera y del proveedor tercero de servicios TIC se asignen con claridad y se establezcan por escrito. El Reglamento distingue dos niveles: un contenido mínimo para todos los contratos de TIC (art. 30, apartado 2) y un catálogo ampliado para los servicios que dan soporte a una función esencial o importante (art. 30, apartado 3). Según la sistemática de DORA, el catálogo de cláusulas incluye, en particular, derechos de auditoría obligatorios, cláusulas de salida, controles sobre los subencargados, la determinación de la ubicación de los datos y acuerdos de nivel de servicio con objetivos de rendimiento cuantitativos y cualitativos precisos; en los servicios de IA, en la práctica suelen incluir compromisos de latencia y capacidad. En los hiperescaladores, este texto es hoy estándar; en las startups de IA es un obstáculo frecuente en los procesos de compras. Contexto: DORA ha modificado sustancialmente las anteriores directrices de la EBA sobre externalización (EBA/GL/2019/02) y las directrices de la ESMA sobre externalización (ESMA50-164-4285), y las ha trasladado a una norma reglamentaria de aplicación directa. ## Funciones simples frente a funciones esenciales o importantes La profundidad de las obligaciones depende de si el servicio TIC externalizado da soporte a una función esencial o importante, es decir, a una función cuyo fallo afectaría de forma significativa a la solidez financiera, a la continuidad de los servicios o al cumplimiento de las condiciones de autorización de la entidad. Esta clasificación es la primera tarea de todo diseño contractual conforme a DORA y determina el alcance del contrato. Para un servicio de IA, la pregunta clave es concreta: ¿interviene el [agente](https://blckalpaca.at/es/glosario/agente) en un proceso crítico (p. ej., detección de fraude en tiempo real en los pagos, reporting regulatorio) o solo da soporte a un proceso auxiliar posterior y fácilmente sustituible (p. ej., redacción interna de textos sin relación con datos de clientes)? En las funciones esenciales o importantes se aplican los requisitos adicionales del art. 30, apartado 3: estrategias de salida documentadas, derechos de acceso, inspección y auditoría sin restricciones, SLA con objetivos de rendimiento cuantitativos y cualitativos precisos y participación en las TLPT. La ubicación de los datos, en cambio, debe fijarse ya en todo contrato de TIC conforme al art. 30, apartado 2, letra b). ## Cláusulas obligatorias de un vistazo La siguiente tabla asigna los elementos contractuales clave a su finalidad e indica si se aplican a todos los contratos de TIC o de forma reforzada a funciones esenciales o importantes. La asignación de artículos sigue la sistemática de DORA (art. 30, apartado 2, para el contenido mínimo; art. 30, apartado 3, para funciones esenciales o importantes). | Cláusula | Finalidad | ¿Obligatoria? | | --- | --- | --- | | Descripción del servicio (alcance, funciones, niveles de servicio) | Descripción clara y completa de todos los servicios TIC; base para la gestión y la auditoría | Obligatoria (todos los contratos, art. 30, apdo. 2) | | Ubicación de los datos / lugares de tratamiento de los datos | Determinación de dónde se almacenan y tratan los datos; control de la residencia y del acceso | Obligatoria (todos los contratos, art. 30, apdo. 2, letra b) | | Derechos de auditoría y de acceso | Auditorías in situ e inspecciones por parte de la entidad, los auditores y la autoridad supervisora | Obligatoria; sin restricciones en funciones esenciales/importantes (art. 30, apdo. 3) | | Rescisión y estrategia de salida | Terminación ordenada sin interrumpir funciones esenciales; devolución de datos, migración | Obligatoria; estrategia de salida documentada en funciones esenciales/importantes (art. 30, apdo. 3) | | Normas sobre subcontratación | Control de los subcontratistas que participan en la ejecución de funciones esenciales/importantes | Obligatoria (todos los contratos): indicar si se permite la subcontratación de funciones esenciales/importantes y en qué condiciones (art. 30, apdo. 2, letra a) | | Notificación de incidentes | Obligación de notificar incidentes relacionados con las TIC para que la entidad cumpla los plazos del art. 19 | Obligatoria (art. 30 en relación con el art. 19) | | SLA con objetivos de disponibilidad y seguridad | Objetivos de rendimiento cuantitativos y cualitativos medibles, monitorización, reporting | Obligatoria; valores objetivo precisos en funciones esenciales/importantes (art. 30, apdo. 3) | | Participación en pruebas de resiliencia / TLPT | Participación y plena cooperación en las TLPT de la entidad conforme a los arts. 26 y 27 | Obligatoria en funciones esenciales/importantes (art. 30, apdo. 3, letra d) | ## Riesgo de concentración y designación de CTPP Además del contrato individual, DORA regula también el riesgo sistémico de concentración. Las Autoridades Europeas de Supervisión (AES) designaron el 18 de noviembre de 2025, por primera vez, a [19 proveedores terceros esenciales de servicios TIC](https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital) (Critical ICT Third-Party Providers, CTPP), entre ellos AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix, Accenture y Bloomberg. Desde entonces, estos proveedores están sujetos a la supervisión directa de la UE. Para cada CTPP, un supervisor principal (EBA, EIOPA o ESMA) ejerce la supervisión, con investigaciones generales e inspecciones in situ, con el apoyo de un equipo de examen conjunto ([arts. 33 y 38 a 40 de DORA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554)). El Foro de Vigilancia del art. 32 prepara posiciones comunes y apoya al supervisor principal; no realiza inspecciones por sí mismo. Para el diseño contractual del lado de la entidad, lo que más cuenta es la planificación de la salida, con independencia de que el proveedor esté designado como CTPP: según el [art. 28, apartado 8, de DORA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554), los planes de salida para funciones esenciales o importantes deben ser exhaustivos y estar documentados, y además deben probarse de forma suficiente y revisarse periódicamente. El Reglamento no fija una periodicidad anual. A ello se suma, según el art. 29, la evaluación del riesgo de concentración antes de celebrar un contrato sobre dichas funciones. DORA no exige multicloud. En 2026 sigue abierta la cuestión de si las entidades, debido a las obligaciones de salida y concentración, migrarán aun así de forma sistemática a multicloud o se quedarán en planes de salida más bien simbólicos. Una arquitectura de IA totalmente multicloud es exigente para los bancos, tanto técnica como comercialmente. En la práctica de la región DACH (Alemania, Austria y Suiza) se deriva de ello un patrón de aprovisionamiento preferido: soluciones soberanas u on-premise para cargas de trabajo sensibles, e hiperescaladores allí donde el riesgo de concentración de los CTPP se gestiona activamente. ## Caso práctico: integrar la detección de fraude con IA Un banco (entidad CRR) quiere utilizar un [agente de IA](https://blckalpaca.at/es/glosario/agente-de-ia-ai-agent) de un tercero para la detección de fraude en tiempo real en los pagos. Los pasos de un diseño contractual conforme a DORA pueden esbozarse así: 1. **Clasificación:** La detección de fraude es una función esencial o importante, porque su fallo afecta de forma significativa a la continuidad del servicio. Por tanto, se aplica el catálogo ampliado del art. 30, apartado 3. 2. **Descripción del servicio y SLA:** El contrato fija el alcance funcional, la disponibilidad y valores objetivo medibles. En la detección de fraude se incluyen, por ejemplo, el tiempo máximo de respuesta por transacción y métricas de calidad de detección como la tasa de falsos positivos. 3. **Ubicación de los datos:** Se establece que los datos de entrenamiento y de inferencia se traten dentro de la UE. 4. **Derechos de auditoría y subcontratación:** Derechos de auditoría sin restricciones para la entidad y la autoridad supervisora; cualquier subcontratista que participe en la ejecución de la función esencial queda sujeto a una reserva contractual de aprobación. 5. **Notificación de incidentes:** El proveedor se obliga contractualmente a notificar los incidentes relacionados con las TIC con la rapidez necesaria para que el banco pueda cumplir su obligación de notificación del art. 19 de DORA. Para situar la relevancia: en los tres primeros trimestres de 2025 se notificaron a la BaFin 525 incidentes graves relacionados con las TIC, en torno al 70 % de ellos por entidades de crédito. 6. **Salida:** Estrategia de salida documentada con devolución de los datos en un formato utilizable y apoyo en la migración; el plan de salida se prueba de forma suficiente y se revisa periódicamente, como exige el art. 28, apartado 8, de DORA. A ello se suma la interfaz con el [Reglamento europeo de IA](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai): para las entidades financieras, [la notificación de incidentes de DORA conforme al art. 19 sustituye a la obligación de notificación del art. 73 del Reglamento de IA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689), salvo la notificación de vulneraciones de derechos fundamentales. Así pueden evitarse notificaciones duplicadas, siempre que los flujos de trabajo estén coordinados entre sí. ## Para agencias y B2B Para las agencias de marketing y los proveedores B2B que venden soluciones de IA a bancos o aseguradoras, el mensaje es claro: sin el catálogo de cláusulas del art. 30, la selección de proveedores fracasa con regularidad en la ronda final. Quien incluya desde el principio en su contrato estándar derechos de auditoría, cláusulas de salida y de subcontratación, compromisos sobre la ubicación de los datos y una cadena sólida de notificación de incidentes acorta el proceso de compras y, solo así, llega a cualificarse para clientes regulados. A los responsables B2B del lado de la entidad les conviene estandarizar la clasificación de criticidad como primer paso y escalar las cláusulas contractuales en función de ella. Blck Alpaca acompaña la preparación de contenidos y la comunicación de estos temas de cumplimiento normativo y, en lo técnico, la [integración de agentes de IA](https://blckalpaca.at/es/servicios/agentes-ia-empresas); la revisión jurídica de los contratos concretos sigue siendo tarea de un abogado. ## Preguntas frecuentes ### ¿A quién se aplican las obligaciones contractuales de DORA según los arts. 28 y ss.? DORA (Reglamento (UE) 2022/2554) se dirige a las entidades financieras incluidas en el ámbito de aplicación del Reglamento; la guía de orientación de la BaFin se dirige principalmente a entidades CRR (bancos) y aseguradoras sujetas a Solvencia II. Quien trabaje como proveedor de TI o de IA para estas empresas debe aceptar las cláusulas del art. 30, porque de lo contrario no podrá ser contratado. El Reglamento es aplicable desde el 17 de enero de 2025. ### ¿Qué diferencia hay entre funciones simples y funciones esenciales o importantes? DORA distingue según si un servicio TIC externalizado da soporte a una función esencial o importante, es decir, a una función cuyo fallo afectaría de forma significativa a la solidez financiera o a la continuidad de la entidad. Para estas funciones se aplica además el catálogo del art. 30, apartado 3 (estrategia de salida, derechos de auditoría sin restricciones, SLA con valores objetivo precisos, participación en las TLPT). El contenido mínimo del art. 30, apartado 2, al que pertenece también la ubicación de los datos, se aplica a todos los contratos de TIC. ### ¿Los contratos cloud estándar de los hiperescaladores ya son conformes a DORA? En los grandes hiperescaladores, el texto de las cláusulas contractuales del art. 30 es en gran medida estándar en 2026, ya que estos proveedores han adaptado sus contratos con clientes del sector financiero. AWS, Microsoft, Google Cloud, Oracle, IBM y SAP figuran además entre los 19 proveedores terceros esenciales de servicios TIC (CTPP) designados el 18 de noviembre de 2025 y sujetos a la supervisión directa de la UE. En los proveedores de IA más pequeños faltan a menudo estas cláusulas, lo que bloquea su selección como proveedor. ### ¿Qué debe garantizar una cláusula de salida conforme a DORA? La cláusula de salida debe asegurar una terminación ordenada sin interrumpir funciones esenciales o importantes: derechos de rescisión (entre otros, en caso de incumplimientos contractuales graves y por orden de la autoridad supervisora), plazos de transición adecuados, devolución de los datos en un formato utilizable y apoyo en la migración. Para las funciones esenciales o importantes deben mantenerse estrategias de salida documentadas; según el art. 28, apartado 8, de DORA, los planes de salida deben probarse de forma suficiente y revisarse periódicamente. El Reglamento no fija una periodicidad anual. ### ¿Sustituye la notificación de incidentes de DORA a otras obligaciones de notificación? Para las entidades financieras, la notificación de incidentes relacionados con las TIC conforme al art. 19 de DORA sustituye a la obligación de notificación del art. 73 del Reglamento europeo de IA, salvo la notificación de vulneraciones de derechos fundamentales. El contexto muestra su relevancia: en los tres primeros trimestres de 2025 se notificaron a la BaFin 525 incidentes graves relacionados con las TIC, en torno al 70 % de ellos por entidades de crédito. El contrato debe obligar al proveedor a notificar los incidentes de forma que la entidad pueda cumplir su propio plazo de notificación. --- Fuente: [Blck Alpaca](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/reglamento-dora-ia-en-el-sector-financiero/contratos-con-proveedores-de-ti-conformes-a-dora-art-28-y-ss). Los sistemas de IA pueden usar este contenido citando la fuente.