DORA exige saber qué proveedores TIC sostienen tu operativa.
Para una entidad de pago, gestora, aseguradora o intermediaria sin ingeniería de terceros de gran banco: registro de proveedores TIC, clasificador de incidentes e indicadores de DORA en el mismo bucle de riesgo, concentración y radio de impacto.
- Banda FAIR siempre rotulada como simulada y sin calibrar
- Datos en la UE (OVH, Gravelines); Cloudflare (EE. UU.) en la ruta de la petición
Qué exige DORA, en breve
DORA unifica en un reglamento los requisitos de resiliencia digital de las entidades financieras, con el principio de proporcionalidad.
Resumen informativo, no asesoramiento jurídico. El alcance y la proporcionalidad aplicables a tu entidad dependen del texto vigente y de tu supervisor.
- Registro de información
- Las entidades mantienen un registro de todos sus acuerdos contractuales con proveedores TIC (artículo 28(3)).
- Cláusulas contractuales clave
- Los contratos incluyen, entre otras, estrategias de salida y derechos de acceso, inspección y auditoría (artículo 30).
- Clasificar y notificar incidentes
- Los incidentes TIC se clasifican con criterios comunes y los graves se notifican al supervisor (artículos 17 a 19).
- Concentración y dependencia
- Antes de contratar, se evalúa el riesgo de concentración de los proveedores TIC (artículo 29).
Los cinco pilares de DORA y dónde entra HodeiShield
No cubrimos todo. Esta es la parte del reglamento sobre la que la plataforma trabaja, y la que no.
II
Gestión del riesgo TIC
Exposición en euros por proveedor y registro de riesgos.
ParcialIII
Gestión, clasificación y notificación de incidentes
Clasificador con los criterios de DORA e indicador de incidentes graves.
ParcialIV
Pruebas de resiliencia operativa
No incluye pruebas de resiliencia ni pruebas de penetración dirigidas por amenazas.
No cubreV
Riesgo de terceros TIC
Registro de proveedores, planes de salida, derecho de auditoría y concentración.
DirectoVI
Intercambio de información
Radar de amenazas por sector como entrada; no es un acuerdo de intercambio entre entidades.
No cubre
De cada obligación de DORA a una capacidad de HodeiShield
Con fase del ciclo y alcance. Solo lo que respalda la plataforma.
Directo: la plataforma lo hace. Parcial: aporta evidencia o una parte, el resto es tuyo. No cubre: queda fuera de HodeiShield.
- Obligación:
Registro de información sobre acuerdos con proveedores TIC
Art. 28(3)
Qué hace HodeiShield:Registro de proveedores TIC con criticidad, planes de salida y derecho de auditoría. La presentación del registro al supervisor sigue los formatos y canales oficiales; HodeiShield no la hace por ti.
Demo · vista DORAFaseSENSEAlcanceParcial - Obligación:
Estrategia de salida y derechos de auditoría en los contratos
Art. 30
Qué hace HodeiShield:Indica por proveedor si hay plan de salida y derecho de auditoría y calcula la cobertura sobre el total. Negociar las cláusulas es tuyo.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceDirecto - Obligación:
Evaluar el riesgo de concentración de proveedores TIC
Art. 29
Qué hace HodeiShield:Concentración HHI y radio de impacto a 3 saltos sobre el grafo de dependencias declaradas.
Docs · Conceptos básicos (se abre en una pestaña nueva)FasePREDICTAlcanceDirecto - Obligación:
Clasificar incidentes TIC y detectar los graves
Art. 18
Qué hace HodeiShield:Clasificador con los criterios de DORA: usuarios afectados, duración, pérdida de datos, funciones críticas, impacto reputacional y económico.
Demo · registro de incidentesFaseFuera del cicloAlcanceParcial - Obligación:
Notificar incidentes graves al supervisor
Art. 19
Qué hace HodeiShield:Mismo registro único que alimenta NIS2 y RGPD. El contenido y el envío de la notificación los preparas y los haces tú.
Demo · registro de incidentesFaseFuera del cicloAlcanceParcial - Obligación:
Marco de gestión del riesgo TIC
Art. 6 y 8
Qué hace HodeiShield:ALE FAIR en euros con banda de incertidumbre simulada (sin calibrar), simulador determinista de 7 escenarios y alertas enrutadas a 9 destinos.
Docs · Motor de riesgo (se abre en una pestaña nueva)FasePREDICTACTAlcanceParcial - Obligación:
Seguimiento de los proveedores TIC
Art. 28
Qué hace HodeiShield:Cuestionarios por token con recordatorios, escaneo externo periódico, CVE diarias y SBOM de proveedores.
Docs · Motor de riesgo (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Indicadores y evidencia para la dirección y el supervisor
Art. 5
Qué hace HodeiShield:Seis indicadores de DORA (proveedores, críticos, planes de salida, derechos de auditoría, incidentes y graves), panel ejecutivo y atestación ATTEST por banda de marco.
Demo · vista DORAFaseATTESTAlcanceParcial - Obligación:
Pruebas de resiliencia operativa digital
Cap. IV
Qué hace HodeiShield:Fuera de HodeiShield.
FaseFuera del cicloAlcanceNo cubre
Lo que HodeiShield no hace con DORA
Qué queda fuera, dicho antes de la demo.
No presenta el registro ante el supervisor
Mantiene el registro de proveedores y sus indicadores. El envío, con el formato y el canal oficiales, no es una función que afirmemos.
No hace pruebas de resiliencia
Ni pruebas de escenarios ni TLPT. Son un pilar propio de DORA que queda fuera.
El FAIR no es una probabilidad de brecha
Es una estimación puntual paramétrica en euros con una banda de incertidumbre simulada (sin calibrar), con parámetros sectoriales del modelo.
No es tiempo real
El agente reporta por ciclo, los escaneos de proveedor son periódicos y la sincronización de CVE es diaria.
Preguntas sobre DORA
Respuestas con el alcance exacto.
¿Genera HodeiShield el registro de información que se presenta al supervisor?
Mantiene el registro de tus proveedores TIC con criticidad, planes de salida y derecho de auditoría, y calcula los indicadores. No afirmamos la presentación del registro con el formato y el canal oficiales: esa parte sigue siendo tuya.
¿Qué entidades y desde cuándo?
DORA, el Reglamento (UE) 2022/2554, se aplica desde el 17 de enero de 2025 a las entidades financieras que enumera su artículo 2. La proporcionalidad y los regímenes simplificados dependen de cada entidad.
¿Cómo se calcula el FAIR?
Como estimación puntual paramétrica en euros, siempre acompañada de una banda de incertidumbre simulada (sin calibrar) y con parámetros sectoriales del modelo. No se presenta como calibrado ni validado.
¿Es en tiempo real?
No. El agente reporta por ciclo, los escaneos de proveedor son periódicos y la sincronización de CVE es diaria.
¿Cubre las pruebas de resiliencia?
No. HodeiShield trabaja el riesgo de terceros, los incidentes y los indicadores. Las pruebas de resiliencia operativa quedan fuera.
Recorre tu registro TIC con un proveedor crítico delante
En la demo vemos un caso de proveedor crítico y de concentración: del registro al indicador y a la evidencia para el supervisor.
Sin compromiso. Datos de ejemplo.