Directrices EBA Third-Party Risk 2026: Gestionar los proveedores terceros no TIC con la lógica de DORA

Las entidades financieras recurren cada vez más a proveedores terceros de servicios (TPSP), lo que incrementa los riesgos para ellas mismas, para sus clientes y, en determinados casos, para el sistema financiero (p. 4). La EBA extrae dos consecuencias: la externalización pasa a ser un subconjunto del concepto más amplio de acuerdo con terceros (apartado 17) y se cierra la brecha con DORA: DORA regula el riesgo de terceros de TIC y las Directrices el riesgo de terceros no TIC, con la expectativa de un enfoque holístico que abarque ambos ámbitos (apartado 7; Antecedentes, apartado 11).

La base jurídica se encuentra en los mandatos de gobernanza de los actos sectoriales: art. 74(3) de la CRD, art. 26 de la IFD, art. 34 de MiCAR y art. 11 de la PSD2 (Antecedentes, apartado 15; Feedback, p. 67). Formalmente son directrices con arreglo al art. 16 del Reglamento (UE) n.º 1093/2010: las autoridades competentes y las entidades financieras deben hacer todo lo posible por atenerse a ellas, y cada autoridad competente declara en el plazo de dos meses si las aplica (apartados 1–3; Feedback, p. 68).

En el plano internacional, la EBA enlaza con el toolkit del FSB de 4 de diciembre de 2023 y con los Principles for the sound management of third-party risk del BCBS de 10 de diciembre de 2025, a los que sigue la definición de acuerdo con terceros (pp. 55 y 59; Feedback, p. 75); los Principles on third-party risks de ESMA de 12 de junio de 2025 se dirigen únicamente a las autoridades nacionales competentes (Feedback, p. 66).

La consulta sobre EBA/CP/2025/12 estuvo abierta del 8 de julio al 8 de octubre de 2025 y recibió 72 respuestas (Feedback, p. 65). La EBA rechazó las críticas al mandato y las acusaciones de doble regulación (pp. 67–68); en materia de proporcionalidad cedió: foco en las funciones esenciales o importantes, un registro más ligero y criterios de proporcionalidad en el título I (pp. 68–69). A la petición de un plazo previo de nueve a dieciocho meses respondió con el periodo transitorio de dos años; quien no termine a tiempo informa a la autoridad competente (p. 78; apartado 20).

La fecha de aplicación es, en el Final Report, un marcador de posición: las Directrices se aplican desde una fecha que se fijará con la publicación de las traducciones a todos los acuerdos que se celebren, revisen o modifiquen a partir de ese día (apartado 18); los acuerdos existentes deben revisarse y adaptarse (apartado 19).

El objeto son las disposiciones de gobernanza para el caso de que proveedores terceros presten servicios no TIC en apoyo de funciones, con el foco en las funciones esenciales o importantes (apartado 5); el «apoyo» incluye la prestación íntegra de la función (nota 20). Los servicios de TIC según el art. 3(21) de DORA quedan excluidos porque están sujetos al capítulo V de DORA (apartado 7). La autoridad competente examina los acuerdos en el SREP con arreglo al art. 97 de la CRD y a sus equivalentes en la IFD, la PSD2, la EMD y MiCAR (apartado 6).

Lo que no está incluido: las exclusiones del apartado 33

• Servicios que por ley deben ser prestados por un tercero, como la auditoría de cuentas
• Servicios financieros regulados que por ley deben ser prestados por otra entidad financiera regulada por el Derecho de la UE, por ejemplo la custodia o los centros de negociación
• Servicios de información de mercado, añadidos a petición de la consulta (Feedback, p. 79)
• Operaciones financieras entre entidades financieras como contrapartes y con bancos centrales
• Infraestructuras de redes de pago como Visa, Mastercard, Wero o GIE CB, así como acuerdos de compensación y liquidación entre cámaras de compensación, entidades de contrapartida central, agentes de liquidación y sus miembros
• Infraestructuras globales de mensajería financiera bajo supervisión pública, como SWIFT, y la banca corresponsal
• Servicios sin impacto material en el riesgo o la resiliencia: arquitectura, imprenta, dictámenes jurídicos, representación procesal, relaciones públicas, limpieza, mantenimiento de edificios, servicios médicos, flota de vehículos, catering, comedor, servicios de oficina, viajes, correo y recepción
• Adquisición de bienes (tarjetas de plástico, lectores de tarjetas, material de oficina, ordenadores, mobiliario) y suministros (electricidad, gas, agua, telefonía)

Lo excluido es el servicio, no el proveedor: una entidad financiera supervisada que preste otros servicios es un TPSP como cualquier otro; su condición de supervisada se tiene en cuenta en la proporcionalidad y en el análisis de riesgos (pp. 69–71). Y las exclusiones no eximen de la gestión de riesgos: siguen esperándose medidas adecuadas (nota 41).

Los proveedores terceros intragrupo y los proveedores centrales de un sistema institucional de protección (IPS) son TPSP, sin régimen especial, porque los acuerdos intragrupo no entrañan per se un riesgo menor (Antecedentes, apartado 19; Feedback, p. 71); la flexibilidad surge de las funciones centralizadas previstas en los apartados 26–30. Un TPSP intragrupo situado en un tercer país debe tratarse en el análisis de riesgos como TPSP de tercer país (Feedback, p. 75).

El test forma parte de la gestión holística de riesgos que abarca todas las líneas de negocio y unidades internas (apartado 31). Se realiza antes de cada contratación (apartado 68 a) y debe anclarse en la política como paso de planificación (apartado 48 d).

1. 1
   Fase 1¿Se trata de un servicio no TIC?

   Si el servicio es un servicio de TIC según el art. 3(21) de DORA o su componente de TIC es material para la prestación, se aplica DORA (apartados 31 a y 32). Todo lo demás permanece en el test.

2. 2
   Fase 2¿Se da soporte a una función de forma recurrente o continuada?

   Una función es cualquier proceso, servicio o actividad, o una parte de ellos (apartado 17). Los suministros puntuales no constituyen un acuerdo con terceros (apartado 31 b). A continuación se comprueban las exclusiones del apartado 33.

3. 3
   Fase 3¿Es la función esencial o importante?

   Solo entonces se activan la política (apartado 47), los campos adicionales del registro (apartado 62), la diligencia debida reforzada (apartado 79), las cláusulas contractuales ampliadas (apartado 85), los derechos de auditoría sin restricciones (apartado 98) y el plan de salida (apartado 114). Para el resto de acuerdos rige el régimen básico (apartado 31 c).

Una función es esencial o importante cuando su perturbación menoscabaría de forma material los resultados financieros de la entidad financiera, la solidez o la continuidad de sus servicios y actividades, o el cumplimiento continuado de las condiciones de autorización y demás obligaciones de la normativa de supervisión financiera (apartado 17). La redacción coincide con el art. 3(22) de DORA (Antecedentes, apartado 13). No es idéntica a la de las «funciones esenciales» del art. 2(1), punto 35, de la BRRD, pero las engloba (nota 35; Antecedentes, apartado 13).

Un acuerdo que cubra varias funciones, por ejemplo tareas operativas de la gestión de riesgos y la información supervisora, debe evaluarse conjuntamente en todos sus aspectos (apartado 32).

El órgano de dirección define, aprueba y revisa periódicamente una estrategia de riesgo de terceros que incluye la política de la sección 6 y complementa la gestión del riesgo operacional y la resiliencia operativa; se admiten estrategias integradas o separadas para TIC y no TIC (apartado 38; Feedback, p. 83). El recurso a TPSP nunca supone delegar la responsabilidad (apartado 41) y no reduce ni los requisitos de idoneidad del órgano de dirección y la alta dirección ni la necesidad de recursos competentes (apartado 43). El apartado 42 a–h enumera aquello de lo que el órgano de dirección sigue siendo responsable en todo momento: desde las condiciones de autorización, las estrategias, el apetito de riesgo y las políticas de conflictos de intereses hasta la supervisión de todos los riesgos de terceros, la política de continuidad de la actividad y los planes de auditoría interna.

Proporcionalidad y estructuras de grupo

Proporcionalidad significa que las disposiciones de gobernanza deben ajustarse al perfil de riesgo, la naturaleza, el modelo de negocio, la escala y la complejidad de las actividades (apartado 23). La referencia para cada acuerdo son la complejidad de la función, los riesgos, la criticidad y el impacto en la continuidad (apartado 24); los criterios del título I de las Directrices de gobernanza de la EBA en el marco de la CRD, la IFD y MiCAR se aplican por analogía (apartado 25).

La política debe revisarse al menos una vez al año y actualizarse cuando sea necesario; los cambios han de trasladarse a las relaciones contractuales con prontitud y tan pronto como sea posible, y el órgano de dirección garantiza su aplicación a nivel individual, subconsolidado y consolidado (apartado 47). La EBA rechazó la petición de suprimir la periodicidad anual: no resulta gravosa si nada ha cambiado y es coherente con DORA (Feedback, p. 85). Que la política de externalización de 2019 y la nueva política formen un único documento queda a criterio de la entidad financiera.

Además, la política debe recoger los efectos de las funciones esenciales o importantes prestadas por TPSP en cuatro ámbitos e incorporarlos a las decisiones: perfil de riesgo, capacidad de supervisar al TPSP y de gestionar los riesgos, medidas de continuidad de la actividad y desempeño de la actividad empresarial (apartado 50).

Tres secciones colindantes forman parte, por su contenido, de la política. Los conflictos de intereses deben identificarse, evaluarse y gestionarse; con TPSP intragrupo, las condiciones, incluido el precio, han de ser objetivas, y las sinergias pueden repercutirse en el precio siempre que el TPSP siga siendo viable por sí mismo, dentro de un grupo con independencia de la caída de otras entidades del grupo (apartados 51–53). La continuidad de la actividad exige planes probados periódicamente con participación del TPSP y un análisis de impacto en el negocio con criterios cuantitativos y cualitativos, análisis de escenarios y atención a la sustituibilidad (apartados 54–55). La auditoría interna revisa con un enfoque basado en el riesgo, incluye los acuerdos esenciales en el plan de auditoría, evalúa el marco, la evaluación de criticidad y de riesgos, la participación de los órganos de gobierno y el seguimiento, y mantiene un proceso formal de seguimiento de las conclusiones (apartados 56–57).

El registro recoge todos los acuerdos con terceros incluidos en el ámbito de aplicación, a nivel individual, subconsolidado y consolidado, y distingue las funciones esenciales o importantes del resto; deben incluirse los subcontratistas de TIC de un TPSP no TIC que sustenten efectivamente un servicio esencial o importante (apartado 58). Los acuerdos terminados permanecen documentados durante un periodo adecuado; el plazo de cinco años previsto inicialmente se alineó con DORA (apartado 59; Feedback, p. 90). Los grupos y los IPS pueden llevar el registro de forma centralizada, siempre que cada entidad reciba sin demora su registro individual (apartados 60 y 28 d).

Puesta a disposición y notificaciones a la autoridad competente

A petición, la autoridad competente recibe el registro, total o parcialmente, en un formato electrónico procesable —se admite el formato de la ITS de DORA, por ejemplo formato de base de datos o CSV (apartado 63)—, así como toda la información necesaria, hasta copias de los contratos (apartado 64). Los acuerdos previstos sobre funciones esenciales o importantes y el caso de que una función pase a ser esencial o importante deben comunicarse con la debida antelación, cuando proceda en el marco del diálogo supervisor, con al menos los datos de los apartados 61 y 62 (apartado 65); lo mismo se aplica a los cambios materiales y a los incidentes graves (apartado 66). Las evaluaciones y los resultados del seguimiento deben documentarse (apartado 67). Las Directrices no fijan un plazo; son posibles notificaciones centralizadas desde los grupos (Feedback, pp. 77–78 y 92).

Las funciones sujetas a autorización —actividades bancarias, servicios de pago, emisión de ART o servicios de inversión según el art. 4, punto 2, de MiFID II en un volumen que requiera autorización o registro— solo pueden encomendarse a un TPSP que esté autorizado o registrado para ello o que esté facultado de otro modo con arreglo al Derecho nacional (apartado 69; sección 11.1). Si el TPSP está establecido en un tercer país, rigen tres condiciones acumulativas (apartado 70):

1. 1
   Condición 1Autorización y supervisión en el tercer país

   El TPSP está autorizado o registrado en el tercer país para la actividad y está sujeto allí a la supervisión de una autoridad competente (apartado 70 a).

2. 2
   Condición 2Acuerdo de cooperación entre autoridades

   Entre la autoridad competente de la entidad financiera y la autoridad supervisora del tercer país existe un acuerdo de cooperación adecuado, por ejemplo un memorando de entendimiento o un acuerdo de colegio de supervisores (apartado 70 b).

3. 3
   Condición 3Cuatro derechos mínimos del supervisor

   El acuerdo garantiza a la autoridad de la UE, como mínimo: información a petición, acceso a datos, documentos, locales y personal en el tercer país, información lo antes posible sobre presuntas infracciones y cooperación en la ejecución (apartado 70 c).

Análisis de riesgos (sección 11.2)

Diligencia debida (sección 11.3)

• La profundidad del examen es proporcional a la criticidad de la función (apartado 77).
• Para cada TPSP: modelo de negocio, tamaño, complejidad, solidez financiera, estructura de propiedad y de grupo; capacidad operativa y técnica y trayectoria; pertenencia al grupo; supervisión (apartado 78).
• Para funciones esenciales o importantes, además: reputación, experiencia, capacidad y recursos; controles internos y gestión de riesgos, incluidos los riesgos de la cadena de suministro; dependencias geográficas; planes de continuidad, de contingencia y de recuperación ante desastres; autorizaciones necesarias durante toda la vigencia del contrato; auditabilidad efectiva, también in situ, por la entidad, sus mandatarios y la autoridad competente (apartado 79).
• Debe incluirse el uso previsto de subcontratistas para partes materiales (apartado 80); con datos personales o confidenciales, han de examinarse las medidas técnicas y organizativas del TPSP (apartado 81).

El quinto paso de comprobación, los conflictos de intereses, sigue la sección 7 (apartados 51–53) y debe documentarse con especial cuidado en el caso de TPSP intragrupo.

El apartado 83 exige asignar con claridad los derechos y obligaciones de la entidad financiera y del proveedor tercero de servicios (TPSP) y fijarlos por escrito. Consecuencia: contrato marco, pedidos individuales y hojas de servicio deben cubrir juntos el contenido mínimo del apartado 84 — para cada acuerdo en el ámbito de aplicación, sea cual sea su criticidad.

Diez elementos obligatorios para todo acuerdo (apartado 84 a–j)

Seis cláusulas adicionales para funciones esenciales o importantes (apartado 85 a–f)

El apartado 86 añade, para los TPSP situados sobre todo en terceros países: sin perjuicio del RGPD (Reglamento (UE) 2016/679), deben tenerse en cuenta las diferencias en la legislación nacional de protección de datos. El contrato obliga al TPSP a proteger la información confidencial, personal y de otro modo sensible y a cumplir todas las obligaciones de protección de datos que se aplican a la propia entidad financiera — expresamente incluidos el secreto bancario y los deberes de confidencialidad equivalentes frente a los clientes.

Gestione los elementos a–j y a–f como lista de comprobación de cláusulas por contrato, vinculada a los campos del registro (apartados 61–62). Lo que falte en los contratos antiguos es justo lo que habrá que renegociar en el periodo transitorio de dos años (apartados 19–20).

El apartado 87 fija el marco: el acuerdo establece si la subcontratación está permitida y en qué condiciones. Los subcontratistas no reducen la responsabilidad última del órgano de dirección. Las entidades financieras necesitan una «visión clara y holística» de la cadena y se concentran en los subcontratistas que sustentan de manera efectiva el servicio no TIC — quien lo haga se inscribe en el registro conforme al apartado 88 (apartado 62 c).

Qué debe regular el contrato sobre la subcontratación (apartado 89 a–j)

• a — Actividades excluidas de la subcontratación
• b — Condiciones que deben respetarse en caso de subcontratación
• c — Obligación del TPSP de evaluar y gestionar los riesgos de ubicación de los subcontratistas actuales o potenciales, de su sociedad matriz y del lugar de prestación
• d — Obligación del TPSP de supervisar las funciones subcontratadas para que todas las obligaciones contractuales sigan cumpliéndose de forma continua
• e — Obligaciones de información del TPSP sobre los subcontratistas de funciones esenciales o importantes
• f — Obligación del TPSP de recoger en sus subcontratos deberes de seguimiento e información de los subcontratistas frente a él y, si así se acuerda, frente a la entidad financiera
• g — Deber de continuidad: el TPSP garantiza la función a lo largo de toda la cadena, incluso si un subcontratista incumple sus obligaciones
• h — Derechos en cadena: el subcontratista concede a la entidad financiera y a las autoridades competentes y de resolución los mismos derechos de acceso, inspección y auditoría que el TPSP
• i — El subcontratista aplica sin demora las modificaciones contractuales necesarias para cumplir el Derecho de la UE y estas Directrices
• j — La entidad financiera documenta y comunica el calendario de dichas modificaciones

El procedimiento: notificación, plazo y decisión (apartados 90–94)

1. 1
   Paso 1Notificación por el TPSPapartado 90

   El TPSP notifica los nuevos subcontratos y las modificaciones sustanciales previstas con antelación suficiente para que la entidad financiera pueda evaluar su impacto en sus riesgos y en el cumplimiento contractual del TPSP.

2. 2
   Paso 2Plazo adecuadoapartado 91

   El contrato incluye un plazo de notificación adecuado dentro del cual la entidad financiera puede aprobar u oponerse.

3. 3
   Paso 3Evaluación frente a la tolerancia al riesgoapartado 93

   Si la subcontratación o la modificación excede la tolerancia al riesgo, la entidad financiera informa al TPSP antes de que venza el plazo, se opone y exige ajustes — antes de que se firme el subcontrato o se aplique la modificación.

4. 4
   Paso 4Ejecución solo tras la aprobación o el vencimiento del plazoapartado 92

   El TPSP solo puede firmar el subcontrato o aplicar la modificación cuando la entidad financiera haya dado su aprobación o no se haya opuesto antes de que finalice el plazo.

5. 5
   Paso 5Identificación y seguimiento continuosapartado 94

   El TPSP identifica a todos los subcontratistas y supervisa a aquellos que prestan funciones esenciales o importantes o partes sustanciales de ellas.

La cadena se convierte así en objeto de auditoría. El apartado 75 exige ya en el análisis de riesgos evaluar como riesgo propio a los subcontratistas en terceros países y las cadenas largas y complejas, porque reducen la capacidad de supervisión de las entidades financieras y de las autoridades. En el registro figuran los subcontratistas de partes sustanciales con su posición en la cadena (apartado 62 c; campos en el capítulo 6). Quien no reciba estos datos no tiene un problema de cadena, sino un problema de contrato.

Caso límite con DORA: los subcontratistas TIC de un proveedor no TIC que sustentan de manera efectiva su servicio para una función esencial o importante también deben inscribirse en el registro no TIC conforme al apartado 58 — la frontera discurre por el servicio principal, no por la cadena.

El apartado 96 empieza en la propia casa: el contrato debe permitir a la auditoría interna examinar, con enfoque de riesgo, la función prestada por el TPSP. El apartado 97 rige para las entidades CRD con independencia de la criticidad: cada contrato remite a las facultades de información e investigación de las autoridades competentes y de resolución según el art. 63(1)(a) de la BRRD y el art. 65(3) de la CRD — para TPSP tanto en un Estado miembro como en un tercer país.

Según el apartado 101, las entidades financieras fijan frecuencia y ámbitos de auditoría con enfoque de riesgo y siguen normas de auditoría reconocidas. Para usar los recursos con más eficiencia, el apartado 102 admite dos instrumentos: auditorías conjuntas (pooled audits) con otros clientes del mismo TPSP o mediante un tercero designado en común, y certificaciones e informes de auditoría de terceros o de la auditoría interna del TPSP.

Las ocho condiciones para certificaciones e informes (apartado 104 a–h)

Antes de las inspecciones in situ planificadas, el TPSP recibe un preaviso razonable, salvo en situaciones de emergencia o crisis o cuando el aviso restaría eficacia a la auditoría (apartado 105). En entornos multicliente deben evitarse o mitigarse los riesgos para otros clientes — niveles de servicio, disponibilidad de los datos, confidencialidad (apartado 106). Ante una complejidad elevada, la entidad financiera debe comprobar si su auditoría interna, el grupo de auditoría conjunta o los externos designados disponen de las capacidades necesarias; lo mismo vale para el personal que evalúa certificaciones y auditorías de terceros (apartado 107).

Según el apartado 108, los derechos de rescisión deben existir, de conformidad con el Derecho aplicable, al menos en cinco situaciones. Para las funciones esenciales o importantes, el apartado 109 exige que el contrato facilite la transferencia a otro TPSP o la reinternalización: obligaciones del TPSP saliente en caso de transferencia, incluido el tratamiento de los datos, un periodo de transición adecuado durante el cual siga prestando el servicio tras la rescisión, y el deber de apoyar una transición ordenada.

• Apartado 108 a — infracción grave por el TPSP de leyes, normas o disposiciones contractuales
• Apartado 108 b — circunstancias detectadas en el seguimiento que puedan alterar la prestación del servicio
• Apartado 108 c — cambios sustanciales como la subcontratación o el cambio de subcontratistas
• Apartado 108 d — deficiencias demostradas en la gestión de riesgos o en la seguridad de datos confidenciales, personales, de otro modo sensibles o no personales
• Apartado 108 e — la autoridad competente ya no puede supervisar eficazmente a la entidad financiera a causa de las condiciones del contrato

Según el apartado 110, el seguimiento se basa en el riesgo y es continuo en las funciones esenciales o importantes. El análisis de riesgos de la sección 11.2 se actualiza periódicamente, el órgano de dirección recibe informes de riesgo periódicos y, ante un cambio sustancial del riesgo, la naturaleza o el alcance de una función, se reevalúa su criticidad. El apartado 111 exige vigilar los riesgos de concentración internos — incluidos los subcontratistas. Ante deficiencias reales o potenciales hay que adoptar medidas correctoras o rescindir el contrato (apartado 113).

Según el apartado 114, las estrategias de salida deben documentarse para todas las funciones esenciales o importantes, en coherencia con la estrategia y los planes de continuidad, y contemplar al menos seis escenarios. El apartado 115 exige una salida sin perturbación indebida de la actividad, sin menoscabo del cumplimiento normativo y sin perjuicio para los clientes: los planes de salida son realistas, ejecutables, basados en escenarios plausibles, documentados y, cuando proceda, suficientemente probados — por ejemplo mediante un análisis de costes, impacto, recursos y plazos de un cambio de proveedor. Las soluciones alternativas y los planes de transición tienen en cuenta la ubicación de los datos y aseguran la continuidad durante el periodo de transición.

• Apartado 114 a — terminación del acuerdo con terceros
• Apartado 114 b — quiebra o fallo del TPSP
• Apartado 114 c — riesgo de concentración a nivel de la entidad y una salida potencialmente difícil
• Apartado 114 d — deterioro de la calidad e interrupciones reales o potenciales de la actividad por una prestación fallida
• Apartado 114 e — riesgos sustanciales para la prestación continua de la función
• Apartado 114 f — infracción grave por el TPSP de leyes, normas o condiciones contractuales

El apartado 116 exige además incorporar el análisis de escenarios del apartado 73, definir los objetivos de la estrategia de salida, asignar funciones, responsabilidades y recursos suficientes, y fijar criterios de éxito para la transferencia de los servicios y de los datos que obran en poder del TPSP.

Tres preguntas abren el análisis: ¿supone un acuerdo una modificación sustancial de las condiciones de la autorización inicial (apartado 117)? ¿Puede la autoridad supervisar eficazmente a la entidad financiera — en particular porque los contratos imponen al TPSP derechos de acceso y auditoría conforme a la sección 12.2 (apartado 118)? ¿Y dónde se realiza el análisis? Como mínimo en el SREP; en las entidades de pago, en otros procesos supervisores como solicitudes ad hoc o inspecciones in situ (apartado 119).

El supervisor sigue observando los riesgos de concentración detectados y evalúa su impacto en otras entidades financieras y en la estabilidad del sistema financiero; las nuevas funciones potencialmente críticas en el sentido de la BRRD las comunica a la autoridad de resolución (apartado 125). Si las funciones esenciales o importantes se prestan fuera de la UE/EEE, la autoridad debe estar convencida de su capacidad para ejercer una supervisión eficaz (apartado 127). Las autoridades cooperan estrechamente e intercambian información con prontitud — especialmente sobre la concentración sectorial (apartado 128).

Las facultades de intervención son graduales (apartado 126): si falta una gobernanza sólida o el cumplimiento normativo, el supervisor puede limitar el alcance de los servicios no TIC para funciones esenciales o importantes o exigir la salida de uno o varios acuerdos. Si la supervisión no puede garantizarse de otro modo, cabe la rescisión o la suspensión temporal de los contratos — teniendo en cuenta la necesidad de mantener la actividad.

Para el diálogo del SREP: la EBA ha descartado una autorización previa (análisis coste-beneficio, opción B: principios de alto nivel). En su lugar rigen la información oportuna y, en su caso, el diálogo supervisor sobre los acuerdos esenciales previstos (apartado 65), así como el registro en formato electrónico procesable a petición (apartado 63).

El resumen ejecutivo formula el objetivo: cerrar la brecha con DORA, posibilitar un enfoque holístico y alinear estrechamente ambos marcos — en aras de la igualdad de condiciones y de la convergencia supervisora (p. 4). La definición de función esencial o importante es «fully consistent» con DORA (p. 5, apartado 17). Tres pasajes permiten expresamente la unificación (función responsable, política, registro); otros dos componentes se derivan del paralelismo de ambos regímenes.

En el plano metodológico, ISO/IEC 27001:2022 con los controles A.5.19 a A.5.23 (relaciones con proveedores, seguridad en los acuerdos con proveedores, cadena de suministro TIC, seguimiento y gestión de cambios de los servicios de proveedores, uso de servicios en la nube) e ISO/IEC 27036 (seguridad de la información en las relaciones con proveedores) aportan el armazón de controles para reflejar ambos regímenes en un único sistema de gestión — en plataformas como VamiGRC, como un modelo de datos con dos vistas.

La unificación es una opción, no una obligación (apartados 49, 61). Quien lleve dos registros debe evitar discrepancias (apartado 61) — en la práctica, eso significa una única base de datos.

Desde la fecha de aplicación, las Directrices rigen para todos los acuerdos que se celebren, revisen o modifiquen a partir de esa fecha (apartado 18); los acuerdos existentes deben revisarse y adaptarse (apartado 19). Para las funciones esenciales o importantes rige un periodo transitorio de dos años — quien no haya terminado para entonces informa al supervisor de las medidas previstas o de una posible estrategia de salida (apartado 20). Los acuerdos no esenciales se revisan solo en el momento de su renovación (apartado 21). La EBA eligió deliberadamente esta opción B2 para reducir la presión de renegociación (pp. 58–59).

1. 1
   Fase 0Movilización — antes de la fecha de aplicaciónapartado 38–44

   Mandato del órgano de dirección, función según el apartado 44 c (combinada con la de DORA), inventario de los contratos no TIC, análisis de brechas frente a los apartados 84–85, 61–62 y 48–49, decisión sobre la arquitectura de integración.

2. 2
   Fase 1Los primeros 90 días desde la fecha de aplicaciónapartado 31–37, 61

   Test de tres etapas y criticidad de todos los acuerdos, campos básicos del registro (apartado 61), priorización de los contratos esenciales por fecha de renovación, política aprobada (apartado 47), proceso para nuevos acuerdos — a los que el apartado 18 se aplica de inmediato — y canal de notificación al supervisor (apartado 65).

3. 3
   Fase 2Meses 4–12: contrato y cadenaapartado 84–95, 98

   Renegociación de los acuerdos esenciales: cláusulas de los apartados 84–85, subcontratación (apartados 89–95), derechos de auditoría (apartado 98), datos de subcontratistas (apartado 62 c), diligencia debida actualizada (apartados 77–82), campos adicionales del registro (apartado 62), informes KPI/KCI (apartado 112).

4. 4
   Fase 3Meses 13–24: pruebas de salida y evidenciasapartado 56, 101–104, 115

   Probar los planes de salida cuando proceda (apartado 115), plan de auditoría interna (apartado 56), primeras auditorías propias o conjuntas (apartados 101–104), informes al órgano de dirección (apartado 110) — y, si la revisión no concluye a tiempo, diálogo supervisor antes del mes 24 (apartado 20).

5. 5
   Fase 4A partir del mes 24: régimen ordinarioapartado 21, 47, 110, 119

   Actualizar los acuerdos no esenciales al renovarlos (apartado 21), revisar la política cada año (apartado 47), reevaluar la criticidad ante cambios sustanciales (apartado 110), entregar el registro electrónicamente a petición (apartado 63), preparación para el SREP (apartado 119).

El programa escala con la proporcionalidad: las entidades financieras menos complejas pueden asignar la función a un miembro del órgano de dirección (apartado 44 c), usar análisis de riesgos cualitativos (apartado 73) y llevar el registro centralizado en el grupo o el IPS (apartado 60).

Fecha de aplicación: el Final Report contiene el marcador «[date]» (apartados 18, 20, 22); la EBA cataloga las Directrices como «final and awaiting translation». Hasta que se publiquen las traducciones, el mes 0 es desconocido — planifique en relación con la fecha de aplicación y aproveche el tiempo para la fase 0.