El Reglamento DORA (Digital Operational Resilience Act) entró en vigor en enero de 2025 y obliga a entidades financieras y proveedores TIC críticos a notificar incidentes graves en menos de 24 horas, además de certificar la resiliencia operativa de terceros. Sin embargo, el verdadero desafío no radica en el cumplimiento formal de la norma, sino en un punto que muchas organizaciones apenas estaban mirando: la cadena de suministro tecnológica.
Responsabilidad trasladada, capacidad pendiente
DORA traslada responsabilidad de resiliencia a lo largo de toda la cadena TIC, pero no siempre transfiere capacidad real de respuesta. Muchas organizaciones afectadas descubren ahora que sus proveedores de cloud, conectividad o servicios gestionados carecen de trazabilidad documental suficiente para superar una auditoría, y que sus SLAs de seguridad no están redactados con el nivel de detalle que exige quien está dentro del perímetro regulado.
El problema se agrava cuando el proveedor no tiene capacidad técnica ni procesos internos para notificar, contener y documentar un incidente en los plazos que DORA impone. La entidad regulada puede cumplir sobre el papel, pero sigue expuesta operativamente si un eslabón intermedio falla sin visibilidad ni control.
El caso de las administraciones públicas
Aunque DORA está pensado para el sector financiero, su lógica de resiliencia operativa aplica con igual fuerza a administraciones públicas que gestionan infraestructura crítica o prestan servicios digitales a ciudadanos. En Andalucía, ayuntamientos y organismos autonómicos dependen de operadores y proveedores tecnológicos que no siempre documentan compromisos de seguridad con el rigor que requeriría un análisis de riesgo de terceros.
Esta brecha entre responsabilidad formal y capacidad real convierte la cadena de suministro en un punto ciego: un fallo no controlado puede propagarse sin que la organización principal tenga margen de reacción dentro de ventana normativa.
Qué hacer desde la consultoría técnica
Desde la ingeniería de telecomunicaciones y ciberseguridad, el enfoque pasa por tres ejes:
- Mapeo de dependencias críticas: identificar qué proveedores sostienen servicios esenciales y cuál es su capacidad real de respuesta ante incidente.
- Revisión contractual de SLAs: verificar que los acuerdos incluyen cláusulas de notificación, tiempos de respuesta, auditoría y trazabilidad documental alineadas con marcos como ENS o ISO 27001.
- Planes de contingencia con alternativas técnicas: diseñar escenarios de fallo de proveedor y preparar respuestas operativas que no dependan exclusivamente de la reacción del tercero.
DORA ha puesto sobre la mesa un riesgo que siempre estuvo ahí pero que pocas organizaciones gestionaban de forma explícita: la resiliencia operativa no termina en el perímetro propio, sino que se extiende a cada proveedor del que se depende técnicamente. Y esa extensión requiere visibilidad, capacidad y contrato, no solo confianza.