Un proveedor comunica que trasladará a otro subcontratista una parte de su servicio. El cambio puede ser operativo, contractual y relevante para el riesgo; no basta con actualizar un nombre en el registro. La entidad financiera necesita decidir si afecta a la prestación que sostiene una función crítica o importante, qué exposición cambia y si aprueba, formula objeciones o solicita modificaciones dentro del plazo contractual. Esta guía produce una ficha de evaluación y decisión para ese caso concreto.
El Reglamento Delegado (UE) 2025/532, en particular su artículo 5, se refiere a cambios materiales en acuerdos de subcontratación de servicios TIC que apoyan funciones críticas o importantes, o partes significativas de ellas. El Reglamento DORA 2022/2554 establece el marco principal de riesgo de terceros TIC. Esta ficha no convierte cualquier cambio de cualquier proveedor en un procedimiento obligatorio bajo el artículo 5; primero hay que comprobar el ámbito de la entidad, del servicio, de la función y del acuerdo.
Comprobar el ámbito antes de calificar el cambio
Identifique la entidad financiera que contrata, el proveedor TIC, el servicio y la función empresarial apoyada. Consulte la clasificación de funciones críticas o importantes y la cadena de prestación documentada. Si el servicio no sostiene tal función, puede seguir existiendo un riesgo que merezca revisión conforme a la política general de proveedores; eso no autoriza a presentar el artículo 5 del reglamento delegado como aplicable sin más. Tampoco basta con que el proveedor sea «importante» para otra entidad del grupo.
Recupere el contrato y los anexos sobre subcontratación. Compruebe qué actividades puede subcontratarse, cómo se informa un cambio, qué plazo de preaviso se acordó y qué consecuencias se pactaron. El texto europeo exige que el acuerdo contemple la información con antelación suficiente para valorar el impacto de riesgos y la capacidad del proveedor de cumplir sus obligaciones, así como un plazo razonable para aprobar u objetar. La duración concreta debe buscarse en el contrato aplicable; no existe en esta ficha un número universal de días.
La guía de DORA para entidades financieras españolas explica el marco de aplicación. Aquí el resultado es más estrecho: una decisión trazable sobre una modificación propuesta, vinculada a un servicio y una función determinados.
Describir qué cambia realmente
Pida una descripción anterior y posterior, no una nota que solo diga «nuevo subprocesador». Anote el nombre jurídico y la función del subcontratista, el lugar donde se realiza la actividad, los datos o sistemas accesibles, las medidas de continuidad, los controles de seguridad y las interfaces con otros participantes. Algunas piezas no cambiarán. Esa comparación permite centrar la evaluación en las diferencias verificables, en vez de repetir una diligencia debida genérica.
Distinga subcontratación nueva de una modificación de un acuerdo existente. Un cambio de propietario legal sin alteración de operación, ubicación o control no tiene necesariamente el mismo perfil que trasladar la administración de sistemas a otra entidad. No convierta «material» en una etiqueta automática: documente por qué la modificación podría alterar riesgos o la capacidad de cumplir obligaciones contractuales. Si faltan datos esenciales, marque la evaluación como pendiente y solicite información antes de pronunciarse.
El registro de información DORA puede necesitar actualización tras el cambio, según los campos y la situación aplicable. Actualizarlo no sustituye la valoración previa del cambio; son evidencias de fases distintas. Guarde una referencia al registro y a su versión, sin hacer depender la decisión únicamente de que una fila se haya editado.
Comparar exposición y capacidad de cumplimiento
Evalúe confidencialidad, integridad, disponibilidad y capacidad de recuperación en la parte modificada del servicio. Pregunte qué subcontratista controla credenciales, infraestructura, soporte, datos, copias o respuesta a incidentes. Revise si el cambio añade concentración geográfica o dependencia de un cuarto participante. Una actividad técnicamente pequeña puede ser material si es un punto único de fallo para una función crítica. En cambio, un cambio de recurso interno sin efectos plausibles sobre control o continuidad puede concluirse no material, con fundamento.
Examine también la capacidad del proveedor principal para seguir cumpliendo el contrato: niveles de servicio, derechos de acceso y auditoría, asistencia ante incidentes, continuidad, devolución de información y obligaciones de notificación. La responsabilidad contractual del proveedor no desaparece porque ejecute otra empresa. Pregunte cómo supervisará al subcontratista y qué evidencia recibirá la entidad. Distinga una promesa comercial de una obligación verificable en el acuerdo.
Para situar el riesgo de terceros, consulte la guía de proveedores TIC bajo DORA. La ficha de cambio debe conservar hallazgos propios del servicio modificado, no copiar una lista genérica de riesgo de cadena de suministro.
Registrar una evaluación comparable
Una tabla de una página facilita la revisión por seguridad, compras, negocio y asesoría jurídica:
| Campo | Contenido que debe quedar claro |
|---|---|
| Identificador | Contrato, servicio, entidad y versión de la notificación |
| Función apoyada | Función crítica o importante y parte significativa afectada |
| Cambio anterior/posterior | Subcontratista, actividad, ubicación, acceso y dependencia |
| Riesgo | Escenarios nuevos o agravados y evidencia disponible |
| Contrato | Cláusula, plazo de preaviso y fecha límite de respuesta |
| Tolerancia | Umbral interno pertinente y responsable de su aplicación |
| Decisión | Aprobar, no objetar, objetar, pedir modificación o aplazar |
| Seguimiento | Condiciones, responsable, fecha y comprobación posterior |
La ficha no necesita incorporar secretos ni documentación contractual completa en un archivo abierto. Use referencias a documentos controlados. Anote quién redactó cada evaluación y quién tenía autoridad para tomar la decisión, porque no siempre son la misma persona. La forma de la ficha es una propuesta editorial; el reglamento no impone este formato de tabla.
Trabajar con el plazo de preaviso
Registre tres fechas distintas: recepción de la comunicación, límite contractual para aprobar u objetar y fecha prevista de implementación. El artículo 5 prevé que el proveedor implemente el cambio material después de que la entidad haya aprobado o no haya objetado al terminar el plazo. Por tanto, la ausencia de respuesta puede tener consecuencias conforme al acuerdo. La entidad no debe esperar hasta el último día para pedir la información indispensable.
Envíe una confirmación de recepción que identifique preguntas abiertas. Si la notificación es incompleta, determine con asesoría contractual cómo afecta eso al plazo pactado; no suponga que una solicitud de aclaración suspende automáticamente el cómputo. Prepare una ruta de escalamiento interna si negocio y seguridad discrepan. El expediente debe mostrar que se consideraron los riesgos antes de la implementación, no una justificación escrita después para una decisión tácita.
Si el cambio supera la tolerancia al riesgo de la entidad, el artículo 5 contempla informar al proveedor, objetar y solicitar modificaciones antes de que venza el plazo. La comparación entre DORA y NIS2 puede evitar mezclar obligaciones de regímenes diferentes al escalar la cuestión.
Ejemplo trabajado: nueva operación de copias
Suponga una entidad financiera ficticia cuyo proveedor de plataforma de pagos propone que un tercero administre las copias y la restauración de un componente usado por una función crítica. El proveedor envía nombre del tercero y fecha prevista, pero no explica dónde se guardarán las copias ni quién tendrá permisos para restaurarlas. La ficha registra la cadena actual, la propuesta y la información faltante. No se califica el cambio solo por el nombre del tercero: la capacidad de restauración, las credenciales y la localización son elementos decisivos.
El equipo de continuidad compara los objetivos de recuperación acordados con el procedimiento nuevo. Seguridad solicita evidencia de segregación de accesos; compras revisa si el contrato permite esa subcontratación y qué preaviso exige. La respuesta del proveedor muestra que el tercero operará en otra región y que parte de la prueba de restauración todavía no existe. La decisión puede ser solicitar una modificación de la fecha o condiciones concretas antes de aprobar. Si el riesgo excede la tolerancia establecida, se formula objeción dentro del plazo, con referencia al apartado contractual.
Este ejemplo no afirma que todo traslado geográfico sea material ni que un criterio concreto de tolerancia venga fijado por DORA. Muestra cómo una entidad puede justificar el juicio con hechos observables, obligación contractual y decisión de su órgano competente.
Distinguir aprobación de aceptación residual
Aprobar el cambio no significa que se haya eliminado todo riesgo. Registre las condiciones de aceptación: pruebas de restauración, información pendiente, límites de acceso, revisión posterior o cláusulas actualizadas. Asigne un propietario y una fecha para verificar cada condición. Si el proveedor no puede cumplir una condición esencial, la decisión debe volver al responsable competente; no debe quedar como una aprobación sin seguimiento.
Si se decide no objetar, preserve también el razonamiento. La ausencia de objeción puede ser deliberada o puede deberse a un fallo del circuito interno. Una ficha que solo dice «sin respuesta» no permite distinguir ambas situaciones. El expediente puede registrar que la evaluación concluyó que el impacto era limitado, qué evidencia se revisó y quién asumió la decisión antes del vencimiento.
El artículo 6 del reglamento delegado aborda supuestos contractuales relacionados con terminación, entre ellos la implementación de cambios materiales pese a una objeción y solicitud de modificación, o antes de finalizar el preaviso sin aprobación. La posible salida debe revisarse con el contrato y los hechos; no convierta esta guía en una recomendación automática de rescisión.
Verificar después de la implementación
Cuando el proveedor comunica la ejecución, confirme que la realidad coincide con el cambio evaluado. Pida evidencia de la subcontratación acordada, actualice el mapa de dependencias y revise controles comprometidos. Si apareció otro subcontratista, ubicación o servicio, determine si se trata de una variación nueva que requiere evaluación. Una aprobación condicionada no se cierra por recibir un correo de «implantado» sin comprobar las condiciones.
Vincule la decisión con el registro de proveedores, el registro de información y el plan de continuidad cuando corresponda. Mantenga versiones: propuesta, evaluación, respuesta, implementación y comprobación. Si el cambio afecta datos personales, analice por separado los acuerdos y transferencias pertinentes; la conclusión DORA no resuelve automáticamente el análisis RGPD. La guía sobre brechas de seguridad trata otra fase, cuando existe un incidente y no una simple modificación contractual.
Reevalúe si hay incidentes, cambios de alcance o evidencia nueva que desmienta las premisas de la aprobación. Una decisión válida para un servicio limitado no autoriza futuras ampliaciones silenciosas. El objetivo de la ficha es precisamente dejar visibles esas premisas para poder reconocer cuándo han dejado de cumplirse.
Preparar una decisión que pueda auditarse
Antes de cerrar, una persona revisora debería poder contestar: qué función y servicio estaban en el ámbito, cuál era el cambio concreto, qué riesgos y obligaciones se compararon, qué plazo regía, quién decidió y qué ocurrió después. Si falta la función apoyada, se corre el riesgo de aplicar indiscriminadamente el procedimiento especial. Si falta la comparación anterior/posterior, «material» queda como una opinión imposible de comprobar. Si falta la fecha límite, una objeción fundamentada puede llegar demasiado tarde.
Conserve tanto las preguntas dirigidas al proveedor como sus respuestas y los puntos sin resolver. Una versión posterior del contrato o del servicio no debe sobrescribir el expediente original. La trazabilidad permite explicar una aprobación, una objeción o una solicitud de modificación sin presentar el mero mantenimiento del registro como prueba de supervisión del riesgo de subcontratación.
Valorar cambios encadenados y no solo una comunicación aislada
Un proveedor puede comunicar varias modificaciones pequeñas en meses sucesivos: primero cambia el centro de soporte, después la infraestructura de copia y finalmente el operador de seguridad. Cada nota aislada puede parecer limitada, pero su efecto combinado sobre visibilidad, continuidad y capacidad de auditoría puede ser relevante. Mantenga una cronología de cambios del mismo servicio y compare la situación propuesta con la cadena que se evaluó originalmente. No invente un umbral aritmético de materialidad; explique qué dependencia o control cambia al considerar el conjunto.
También conviene distinguir una propuesta futura de una alteración ya ejecutada. El artículo 5 se construye sobre la comunicación previa de cambios materiales y una oportunidad real de aprobar u objetar. Si el proveedor informa después de ejecutar, documente fecha de conocimiento, evidencia de implementación, impacto observado y cláusulas pertinentes. Escale el incumplimiento potencial por el circuito contractual y de riesgo; una aprobación retroactiva sin explicación no recrea la oportunidad de evaluación previa. Al mismo tiempo, la urgencia de preservar el servicio puede requerir medidas temporales mientras se resuelve la discrepancia.
Pregunte si la modificación afecta subcontratistas intragrupo. El reglamento delegado aclara que los subcontratistas TIC dentro del grupo que prestan servicios de este ámbito también se consideran subcontratistas. La pertenencia al mismo grupo puede facilitar cierta supervisión, pero no sustituye la descripción de la función, los accesos y las dependencias. Del mismo modo, que una actividad se realice en un país ya conocido no prueba que la configuración de seguridad o continuidad sea idéntica.
Documentar el desacuerdo de forma operativa
Seguridad puede estimar que el cambio eleva el riesgo mientras el propietario del negocio considera imprescindible mantener la prestación. La ficha debe mostrar las dos perspectivas y la decisión final del órgano autorizado, con las medidas para reducir el riesgo. Evite que una marca genérica «aceptado» oculte que faltaban pruebas o que el contrato ofrecía una posibilidad de objeción. Si la decisión depende de una prueba futura, especifique qué resultado se aceptará y qué ocurrirá si falla.
El intercambio con el proveedor debe referirse a hechos: actividad que se subcontratará, alcance de sistemas y datos, ubicaciones, controles, periodo de transición y evidencia. Una objeción vaga es difícil de resolver. Una solicitud de modificación bien delimitada permite al proveedor proponer alternativas, por ejemplo limitar accesos del nuevo operador o posponer el cambio hasta completar una prueba de restauración. Registre el texto enviado, el destinatario, la fecha y la respuesta, porque esas piezas conectan el análisis interno con la oportunidad contractual de actuar.