Cláusulas en Contratos TIC para Cumplir con DORA

Aspectos Clave para Incorporar en los Acuerdos Contractuales según el Reglamento 2024/1772

financial data center technology hardware

Highlights

Descripción y Alcance de los Servicios: Detallado listado de servicios, localización y funciones específicas.
Gestión de Riesgos y Seguridad: Cláusulas sobre notificación de incidentes, evaluaciones de riesgo, niveles de seguridad y continuidad operativa.
Derechos y Auditorías: Disposiciones para auditorías, acceso a datos en situaciones críticas y estrategias de salida.

Introducción

La normativa DORA (Digital Operational Resilience Act) y el Reglamento Delegado 2024/1772 establecen exigencias estrictas para garantizar la resiliencia operativa digital en el sector financiero. Una parte fundamental de este cumplimiento es la redacción de contratos sólidos con proveedores de servicios de Tecnologías de la Información y Comunicación (TIC). Estos contratos deben incluir cláusulas específicas que no solo aseguren la calidad y continuidad de los servicios, sino que también resguarden el acceso, la recuperación y la protección de los datos en situaciones de crisis o interrupciones.

Cláusulas Esenciales y Detalladas

1. Descripción y Alcance de los Servicios

Definición de Servicios y Funciones

El contrato debe incluir un apartado detallado que describa todas las funciones y servicios que prestará el proveedor. Este apartado debe especificar:

Las actividades concretas, como desarrollo, mantenimiento, gestión de redes, servicios en la nube y ciberseguridad.
El alcance técnico y operativo de cada servicio, definiendo claramente qué espera la entidad financiera y en qué consiste la prestación.
Detallar también las ubicaciones físicas o geográficas donde se prestarán los servicios y donde se procesarán los datos, ya sea dentro de la Unión Europea o fuera de ella.

2. Seguridad de la Información y Protección de Datos

Requisitos de Seguridad y Rendimiento

La seguridad es un pilar fundamental en los contratos TIC bajo DORA. Las cláusulas deben abarcar:

Objetivos claros sobre la integridad, disponibilidad y confidencialidad de la información.
Medidas para garantizar la protección de datos personales y sensibles, acorde a las directrices de protección de datos vigentes.
Definición de niveles de desempeño, tiempos de respuesta y estándares de accesibilidad y rendimiento.
Mecanismos y protocolos para realizar pruebas periódicas de resiliencia, incluida la realización de pruebas de penetración y simulacros de incidentes.

Notificación y Gestión de Incidentes

Es imprescindible que el contrato contemple un protocolo de gestión y notificación de incidentes de seguridad cibernética. Las cláusulas deben precisar:

Plazos específicos en los que el proveedor debe informar sobre incidentes detectados.
Procedimientos para la clasificación y escalación de incidentes, según su impacto en la seguridad operativa.
Cooperación obligatoria con la entidad contratante y las autoridades competentes en situaciones de crisis.

3. Gestión de Riesgos y Evaluación Continua

Evaluaciones Periódicas y Monitorización

La gestión de riesgos en el ámbito TIC es crucial para anticipar y mitigar vulnerabilidades. El contrato debe incluir:

Obligaciones para que el proveedor realice evaluaciones periódicas de riesgos, identificando potenciales vulnerabilidades en sus sistemas.
Criterios y metodologías para dichas evaluaciones, asegurando la transparencia y el rigor en el proceso.
La obligación de proporcionar informes regulares que permitan a la entidad financiera monitorear el estado de seguridad y la eficacia de las medidas implementadas.

Seguimiento del Riesgo TIC

Además de las evaluaciones, el contrato debe establecer un mecanismo de seguimiento continuo del riesgo asociado a la prestación de servicios. Esto incluye:

La elaboración de informes periódicos sobre el estado de la seguridad de la infraestructura.
La integración de tecnologías que permitan la supervisión en tiempo real y la detección de anomalías en el servicio.
La adaptación y actualización de las medidas de seguridad conforme evolucionen las amenazas y los riesgos tecnológicos.

4. Acceso, Recuperación y Continuidad Operativa

Gestión en Caso de Incidentes Críticos

Los contratos deben prever escenarios en los que el proveedor enfrente problemas serios que puedan afectar la continuidad operativa. Es necesario incluir cláusulas que contemplen:

Procedimientos claros para asegurar el acceso, recuperación y, en su caso, la devolución de datos en situaciones como insolvencia, interrupción de operaciones o terminación del contrato.
Planes de continuidad del negocio que especifiquen las responsabilidades y acciones a seguir para minimizar interrupciones en el servicio.
Acuerdos sobre asistencia técnica sin coste adicional o con costes previamente establecidos, en situaciones emergentes.

5. Derechos de Auditoría y Transparencia

Facultades de Supervisión

Para garantizar el cumplimiento del reglamento DORA, es fundamental que los contratos otorguen a la entidad contratante poderes de auditoría y supervisión del proveedor. Estas cláusulas deben incluir:

El derecho a realizar auditorías independientes, ya sea internamente o mediante terceros, para verificar la conformidad con las cláusulas contractuales y las normativas vigentes.
La posibilidad de realizar pruebas de penetración y evaluaciones de seguridad de forma regular.
Mecanismos para que, en caso de hallazgos críticos, se ejecuten medidas correctivas de manera inmediata.

Cláusulas de Responsabilidad y Sanciones

Es imprescindible definir claramente la responsabilidad en caso de incumplimiento de las disposiciones relativas a la seguridad y resiliencia operativa:

Acuerdos sobre limitaciones de responsabilidad, determinando en qué condiciones y en qué medida se aplicarán indemnizaciones a la entidad en caso de incidentes o incumplimientos graves.
Condiciones que especifican las consecuencias contractuales derivadas de la falta de conformidad, incluyendo la posibilidad de rescisión del contrato y la aplicación de sanciones administrativas.

6. Estrategias de Terminación y de Salida

Continuidad en el Cambio de Proveedor

Los contratos también deben prever estrategias claras para la finalización de la relación contractual, en situaciones ya previstas o imprevistas. En este sentido, se deben incluir cláusulas que:

Definan los procedimientos y condiciones para la terminación anticipada del contrato, incluyendo los plazos de preaviso y las condiciones que activarían dicha terminación.
Establezcan un plan de transición que permita la continuidad de las operaciones, garantizando la devolución o transferencia ordenada de datos sin que se interrumpa la actividad crítica.
Detallen responsabilidades respecto a la migración de servicios a un nuevo proveedor o a la internalización de funciones, minimizando riesgos y asegurando la integridad de la información.

7. Gestión de la Subcontratación

Extensión del Cumplimiento a Terceros

Frecuentemente, los proveedores TIC optan por subcontratar ciertas funciones o servicios. En estos casos, el contrato debe:

Establecer que cualquier subcontratista o tercero involucrado cumpla con las mismas normas y estándares que rigen al proveedor principal.
Incorporar cláusulas que permitan la verificación y auditoría de subcontratistas, extendiendo los mecanismos de supervisión y control.
Garantizar que la subcontratación no diluya la responsabilidad ni genere brechas en la cadena de cumplimiento normativo.

8. Cooperación y Colaboración con Autoridades

Obligaciones Regulatorias

El compromiso de cooperar con las autoridades es otro aspecto clave en el marco de DORA. Por ello, es esencial que los contratos incluyan cláusulas que:

Exijan al proveedor colaborar de forma plena y transparente con las autoridades nacionales o europeas en investigaciones relacionadas con incidentes de seguridad o evaluaciones de riesgo.
Establezcan los términos y condiciones bajo los cuales se suministrará la información requerida, garantizando la confidencialidad y el correcto uso de dichos datos.

Tabla Resumen de Cláusulas Contractuales

Cláusula	Descripción
Descripción y Alcance de los Servicios	Definir funciones, servicios, localización y alcance técnico de las prestaciones.
Seguridad y Protección de Datos	Establecer medidas, objetivos y protocolos de seguridad y rendimiento, incluyendo pruebas periódicas y notificaciones de incidentes.
Gestión de Riesgos y Evaluaciones	Incluir evaluaciones periódicas de riesgos y seguimiento continuo de la seguridad operativa.
Acceso y Recuperación de Datos	Garantizar mecanismos para acceder, recuperar y transferir datos en emergencias o transiciones contractuales.
Derechos de Auditoría	Permitir auditorías, pruebas de penetración y evaluaciones independientes para verificar el cumplimiento normativo.
Responsabilidad y Sanciones	Definir responsabilidades, condiciones de indemnización y sanciones en caso de incumplimiento.
Estrategias de Terminación	Establecer condiciones y procedimientos para la rescisión del contrato y la transición de servicios.
Subcontratación	Extender obligaciones de cumplimiento a terceros y asegurar mecanismos de control y auditoría.
Cooperación Regulatoria	Obligar al proveedor a colaborar con las autoridades en investigaciones y notificaciones de incidentes.

Aspectos Operativos y Consideraciones Adicionales

La aplicación práctica de la normativa DORA en los contratos con proveedores TIC exige la integración de cláusulas que van más allá de la mera documentación legal. Es fundamental que la entidad financiera, en coordinación con su departamento jurídico y de tecnología, revise de forma periódica estos acuerdos para asegurar su adecuación a las realidades cambiantes del sector tecnológico.

Integración de Estándares de Seguridad Reconocidos

Además de las cláusulas específicas descritas, es importante que los contratos hagan referencia a estándares internacionales y certificaciones reconocidas en materia de ciberseguridad. Esto no solo garantiza un nivel homogéneo de protección, sino que también ofrece una base de comparación para auditorías y evaluaciones futuras.

Flexibilidad y Adaptabilidad Contractual

La naturaleza dinámica del entorno tecnológico exige que los contratos sean flexibles y permitan actualizaciones periódicas. Por ello, se incluye la posibilidad de revisar y modificar cláusulas en función de nuevas amenazas o cambios en la legislación, siempre en consenso con el proveedor y bajo protocolos predefinidos.

Estrategias de Transición y Continuidad del Negocio

En escenarios en los cuales se requiera cambiar de proveedor o internalizar funciones críticas, los contratos deben asegurar una transición suave y sin pérdida de datos ni interrupciones operativas. Esto implica:

Planes de contingencia detallados que aborden todas las fases del proceso de transición.
Definición de hitos y criterios de éxito para la migración de servicios.
Acuerdos que prevean el soporte técnico y la asistencia por parte del proveedor hasta la completa estabilización del nuevo esquema operativo.