Una aseguradora conoce al proveedor del portal de siniestros, pero no al servicio de nube que sostiene sus expedientes. El contrato promete continuidad; la última restauración probada no cubrió adjuntos ni comunicaciones con peritos. DORA es aplicable desde el 17 de enero de 2025 y convierte esa distancia entre cláusula y operación en una responsabilidad de gobierno. La DGSFP dispone de procedimientos para notificar incidentes graves y comunicar proveedores y acuerdos TIC, y ha incluido DORA en sus prioridades supervisoras 2026–2028. La primera compra útil no es una certificación genérica ni otro cuestionario. Es una revisión pagada de una función aseguradora: alcance de la entidad, servicios que la sostienen, registro de información, contratos y pruebas disponibles. Esta lectura explica cómo acotar ese encargo, qué decisiones debe producir y cómo captar demanda sin afirmar que toda correduría está sometida al mismo régimen.
¿Qué exige DORA a una entidad aseguradora?
DORA exige un marco gobernado para identificar, proteger, detectar, responder y recuperarse del riesgo TIC. Añade gestión y notificación de incidentes, pruebas de resiliencia, control de terceros, registro de acuerdos y obligaciones contractuales. El órgano de dirección define, aprueba y supervisa el marco.
La obligación no se resuelve con una política de ciberseguridad aislada. Debe conectarse con funciones como emitir pólizas, abrir siniestros, pagar prestaciones o atender al mediador. Un fallo se evalúa por su impacto en clientes y operación. DORA aplica proporcionalidad, pero la entidad conserva la responsabilidad aunque externalice tecnología (Reglamento UE 2022/2554, artículos 4–6 y 28).
- 1entidad y perímetro DORA
- 2función esencial o importante
- 3servicios y proveedores TIC
- 4contratos y pruebas operativas
- 5brechas, responsable y nueva comprobación
¿Qué aseguradoras y mediadores entran en el perímetro?
Las empresas de seguros y reaseguros están incluidas, con las exclusiones previstas por DORA. Los intermediarios de seguros, reaseguros y auxiliares que sean microempresas o pequeñas o medianas empresas quedan excluidos. El análisis se hace sobre la entidad jurídica y sus cifras globales.
La Comisión aclaró en 2025 que un intermediario auxiliar no calcula los umbrales solo con su actividad aseguradora: cuenta el conjunto de su actividad (EIOPA, Q&A DORA237). Una marca comercial, pertenecer a un grupo o prestar un servicio al seguro no bastan para concluir. La ficha de alcance recoge licencia, actividad, plantilla, volumen, balance, grupo y autoridad competente; toda exclusión conserva cálculo y fuente.
¿Por qué debe revisarse una función antes que una lista de proveedores?
La criticidad nace del efecto de una interrupción sobre el negocio y el asegurado. La revisión elige una función, define el resultado que debe mantenerse, fija tolerancias y enlaza aplicaciones, datos, personas y terceros. Solo después puede valorar sustitución, concentración y salida.
En siniestros, por ejemplo, no basta con recuperar el servidor: deben estar disponibles expediente, documentos, reservas, contactos y pagos. El mapa distingue servicio directo, subcontratista material y dependencia común. Una ausencia en el registro se marca como brecha; no se completa por inferencia. Este enfoque permite pedir al proveedor un dato concreto en vez de enviarle un cuestionario sin prioridad.
| Relación | Pregunta | Prueba |
|---|---|---|
| función → servicio | ¿qué resultado debe continuar? | mapa aprobado |
| servicio → proveedor | ¿quién presta cada componente? | registro y contrato |
| proveedor → subcontratista | ¿qué dependencia es material? | cadena comunicada |
| cláusula → control | ¿la obligación se ejecuta? | métrica o ejercicio |
| incidente → decisión | ¿qué cambia después? | acción y responsable |
¿Qué debe demostrar el registro de información sobre terceros TIC?
El registro debe mantener todos los acuerdos contractuales de servicios TIC y relacionar entidad, contrato, servicio, función y proveedor. Para servicios que apoyan funciones esenciales o importantes incorpora la subcontratación relevante. Las plantillas normalizadas exigen datos consistentes a nivel individual y, cuando proceda, consolidado.
El Reglamento de Ejecución 2024/2956 fija las plantillas y fue corregido en 2025, por lo que se comprueba la versión vigente. Compras aporta acuerdos; tecnología, servicios; negocio, funciones; legal, derechos y obligaciones. La DGSFP dispone del trámite telemático 247 para la comunicación anual. El entregable no es una hoja «completa» por apariencia: cada relación debe poder rastrearse y actualizarse.
¿Cómo se comprueba que un contrato protege la operación real?
Cada cláusula sensible necesita una prueba equivalente: nivel de servicio medido, restauración ensayada, canal de incidentes, acceso a información, control de subcontratación y salida ejecutable. Una obligación contractual sin responsable, dato o ejercicio no demuestra resiliencia.
El Reglamento Delegado 2024/1773 desarrolla la política para acuerdos que soportan funciones esenciales o importantes. La revisión compara cláusula y realidad: qué datos pueden exportarse, cuánto tarda la recuperación, quién autoriza un cambio de subcontratista y cómo se mantiene el servicio durante la salida. Los estados son probado, parcial, ausente o no aplicable con fundamento.
¿Cómo deben conectarse incidentes, pruebas y dirección?
Un incidente o ejercicio debe terminar en una decisión: aceptar riesgo, corregir un control, financiar continuidad, renegociar o preparar una salida. La dirección recibe función afectada, impacto, duración, recuperación, comunicación y acción pendiente; un informe técnico sin decisión no cierra la brecha.
La entidad clasifica los incidentes conforme a los criterios aplicables y notifica los graves por el canal de la autoridad competente. La DGSFP publica el procedimiento Tel242 para sus entidades supervisadas. Sus prioridades 2026–2028 también recuerdan las pruebas regulares, al menos anuales sobre sistemas que sostienen funciones esenciales o importantes, y el escrutinio de concentración en terceros.
- 1Incidente o prueba
- 2Función e impacto
- 3Evidencia frente a tolerancia
- 4Cierre documentado
- 5Decisión de dirección
- 6Corrección, contrato o salida
- 7Nueva comprobación
- 8¿Brecha material?
¿Qué primera prestación puede entregarse en treinta días?
La primera prestación es una revisión pagada de una entidad, una función y un lote de acuerdos TIC. Entrega nota de alcance, segmento del registro, matriz cláusula–prueba, dependencias, brechas priorizadas y plan de nueva comprobación. No certifica el cumplimiento total de DORA.
La entidad aporta ficha jurídica, mapa de la función, contratos, registro disponible, incidentes y resultados de pruebas. El encargo identifica qué dato falta, quién puede aportarlo y qué decisión es posible. Se excluyen implantación completa, auditoría jurídica general y pruebas técnicas intrusivas. El precio, el plazo real y el margen se determinan después de acotar la función y verificar que el socio puede reunir las competencias necesarias.
La continuidad puede cubrir actualización del registro, seguimiento de cambios de proveedor, ejercicios y cierre de acciones. Solo se propone recurrencia cuando existe una rutina observable y un responsable interno.
¿Cómo se capta demanda sin dramatizar una sanción?
La adquisición parte de desencadenantes verificables: nuevo proveedor, renovación contractual, función reclasificada, incidente, prueba fallida o preparación de la comunicación anual. El mensaje ofrece revisar una función y producir decisiones; no promete una certificación ni presenta a todos los mediadores como obligados.
El contenido de búsqueda resuelve alcance, registro y contratos. Las alianzas con abogados, especialistas de continuidad, integradores y asociaciones transfieren confianza. Correo y teléfono prueban qué señal conduce a una muestra pagada. Cada oportunidad se califica por pagador, función, acceso a contratos, capacidad de decidir y entrega posible en treinta días.
¿Qué límites deben fijarse antes de contratar?
La revisión no sustituye el criterio de la entidad, su función jurídica, una auditoría completa ni la relación con el supervisor. Toda conclusión queda limitada a entidad, función, contratos y pruebas examinados. Los datos ausentes permanecen visibles y ningún resultado comercial o regulatorio está garantizado.
La lectura sobre distribución de seguros ayuda a separar obligaciones de venta y gobierno de producto de la resiliencia TIC. La página de seguros y mediación reúne el resto del recorrido. Ambos enlaces aparecen después del análisis principal para no distraer la decisión inmediata.
¿Qué fuentes oficiales sostienen esta lectura?
La base combina el reglamento DORA, sus normas técnicas sobre contratos, riesgo y registro, la interpretación europea del alcance de intermediarios y las instrucciones de la DGSFP. Cada encargo debe volver a comprobar plantillas, calendarios y canales vigentes.
- Unión Europea, Reglamento 2022/2554, DORA.
- Comisión Europea, Reglamentos Delegados 2024/1773 y 2024/1774.
- Comisión Europea, Reglamento de Ejecución 2024/2956 y corrección de 2025.
- EIOPA, Q&A DORA237 sobre intermediarios de seguros, 2025.
- DGSFP, información DORA y procedimientos Tel242 y 247.
- DGSFP, Prioridades de supervisión 2026–2028.
- BOE, Resolución de 17 de diciembre de 2024 sobre cooperación supervisora.
Todas las lecturas de mercado.
Cette fenêtre est refermée. La vôtre ne l’est pas.
Le rapport identifie celle qui est ouverte pour votre dossier, la chiffre, et dit si elle mérite d’être prise.