DORA y KYC: Los Proveedores de Identidad Son Terceros ICT

Cuando el Reglamento de Resiliencia Operativa Digital (DORA) entró en plena aplicación el 17 de enero de 2025, los equipos de cumplimiento estaban centrados en lo evidente: plazos de notificación de incidentes, programas de pruebas de penetración y marcos de gestión de riesgos TIC. Los proveedores de verificación de identidad apenas aparecían en las conversaciones de implementación.

Esa brecha se está cerrando rápidamente. Dieciocho meses después de la aplicación de DORA, los reguladores y los equipos de auditoría interna están escrutando los proveedores externos de los que dependen las entidades financieras para sus operaciones continuas — y las plataformas KYC están plenamente encuadradas en esa categoría. Para cualquier CASP, banco, entidad de pago o empresa de inversión que utilice un proveedor externo de verificación de identidad, DORA ya ha cambiado cómo debe ser esa relación desde el punto de vista contractual, operativo y de gestión de riesgos.

Qué Exige Realmente DORA

DORA (Reglamento UE 2022/2554) establece un marco armonizado para el riesgo TIC en el sector financiero europeo. Se aplica a bancos, aseguradoras, empresas de inversión, proveedores de servicios de criptoactivos (CASPs) bajo MiCA, entidades de pago e instituciones de dinero electrónico — además de los proveedores TIC que les dan soporte.

El reglamento se basa en cinco pilares:

1. Gestión del riesgo TIC — marcos de riesgo documentados, registros de activos y planes de recuperación
2. Notificación de incidentes TIC — clasificación y comunicación a las autoridades competentes nacionales (ACN) en plazos definidos
3. Pruebas de resiliencia operativa digital — pruebas periódicas incluyendo Pruebas de Penetración Guiadas por Amenazas (TLPT)
4. Gestión del riesgo de terceros TIC — evaluación estructurada de todos los proveedores de servicios
5. Intercambio de información — intercambio voluntario de inteligencia sobre amenazas

Para el KYC, el cuarto pilar es determinante. El artículo 28 de DORA exige a las entidades financieras mantener un registro completo de proveedores de servicios TIC de terceros. El artículo 30 establece los elementos contractuales obligatorios para cada acuerdo con esos proveedores. Y los artículos 31 a 44 instauran un proceso de designación para los proveedores considerados "críticos" — aquellos cuyo fallo tendría efectos sistémicos en el sector financiero.

Por Qué los Proveedores de KYC Quedan Bajo las Normas de Terceros TIC

Una plataforma de verificación de identidad no es un procesador de pagos ni un proveedor de banca core en el sentido tradicional. Pero sí es un proveedor de servicios TIC de terceros bajo la definición de DORA: cualquier empresa que preste servicios digitales y de datos de forma continua a entidades financieras, incluidas plataformas en la nube, análisis de datos, software como servicio y cualquier componente de servicio que soporte procesos de negocio.

Esa definición cubre prácticamente todas las soluciones KYC alojadas externamente.

La prueba operativa es sencilla: si tu proveedor de verificación de identidad se cayera el lunes a las 09:00, ¿podrías seguir incorporando clientes, completar verificaciones de actualización o procesar transacciones que requieran confirmación de identidad? Para la mayoría de las entidades financieras, la respuesta es no — o no sin una interrupción operativa significativa. Esa dependencia convierte al proveedor en crítico para la postura de resiliencia de la entidad.

Bajo el artículo 30, todo contrato con ese proveedor debe incluir ahora:

Requisito Contractual	Finalidad Bajo DORA
Descripción completa de servicios y ubicaciones de datos	Conocer dónde se produce el procesamiento y qué jurisdicciones aplican
Acuerdos de nivel de servicio con métricas de rendimiento definidas	Base para el seguimiento y la escalada de incidentes
Accesibilidad a los datos en caso de rescisión	Soporte para la estrategia de salida
Participación en pruebas de resiliencia DORA (donde proceda)	Derechos de inclusión en TLPT
Divulgación de subprocesadores	Visibilidad del riesgo de terceros y cuartos
Derechos de auditoría y derecho de inspección	Supervisión directa por la entidad financiera o tercero designado
Plazos de notificación de incidentes	Notificación coordinada a las ACN
Disposiciones de continuidad de negocio	Obligaciones de recuperación del lado del proveedor

Si el contrato actual con tu proveedor KYC se firmó antes de enero de 2025 y no ha sido renegociado, casi con certeza no contiene todos estos elementos. Eso supone ahora una brecha de cumplimiento.

La Designación Crítica de PSTTIC — Qué Significa para los Proveedores de Identidad

Bajo los artículos 31 a 44, el Comité Mixto de las Autoridades Europeas de Supervisión (AES — ABE, AESPJ y AEVM) designa a ciertos proveedores TIC como "proveedores terceros críticos de servicios TIC" (PSTTIC críticos). Estos proveedores están sujetos a supervisión directa por un Supervisor Principal designado de una de las AES.

Los criterios de designación incluyen el riesgo de concentración (cuántas entidades financieras dependen del proveedor), la relevancia sistémica transfronteriza y la criticidad para las funciones reguladas. Las grandes plataformas de verificación de identidad que prestan servicio a cientos de bancos y CASPs en la UE son candidatas plausibles a la designación.

La designación tiene consecuencias operativas reales:

• Acceso del Supervisor Principal: la AES designada puede solicitar documentos, realizar inspecciones in situ y emitir recomendaciones
• Obligaciones de remediación: las entidades financieras deben garantizar que sus proveedores críticos cumplan las recomendaciones de las AES en plazos definidos
• Requisitos de estrategia de salida: las entidades financieras deben mantener planes creíbles para migrar a otro proveedor si fuera necesario

Para los equipos de cumplimiento, esto significa que la diligencia debida con proveedores ya no es un ejercicio puntual de contratación. Es una obligación continua. El mismo cambio del monitoreo periódico al continuo que define el KYC perpetuo aplica igualmente a la gestión del riesgo de proveedores bajo DORA.

Los CASPs Tienen una Doble Exposición

Los proveedores de servicios de criptoactivos bajo MiCA ya operan bajo un denso stack regulatorio. Las obligaciones de la Norma de Viaje de MiCA exigen a los CASPs transmitir información sobre ordenante y beneficiario en cada transferencia de criptoactivos. Cumplir esas obligaciones depende del acceso continuo a datos de identidad — lo que en la mayoría de los casos significa una plataforma KYC externa.

DORA añade una segunda capa. Los CASPs están en el ámbito de aplicación como entidades financieras bajo DORA. Sus proveedores de verificación de identidad están en el ámbito como terceros TIC. La intersección crea obligaciones compuestas: el CASP debe cumplir los requisitos KYC de MiCA, y también debe asegurarse de que la plataforma KYC que entrega ese cumplimiento satisface los estándares de resiliencia de DORA.

El entorno de aplicación post-MiCA ya ha elevado el listón para la calidad del KYC en criptomonedas. DORA eleva el listón para la resiliencia del KYC en criptomonedas. Los CASPs que han marcado la casilla de MiCA pero no han revisado sus contratos con proveedores KYC bajo el marco del artículo 30 de DORA están sentados sobre una segunda exposición de cumplimiento.

Qué Deben Hacer las Entidades Financieras Antes de Fin de Año

Las AES publicaron su guía final sobre el marco de gestión del riesgo de terceros de DORA a mediados de 2025. En agosto de 2026, la mayoría de las grandes entidades financieras deberían haber completado sus evaluaciones iniciales de riesgo de terceros TIC y renegociado los contratos. Las entidades más pequeñas — particularmente entidades de pago e instituciones de dinero electrónico — han ido más despacio, y las brechas están apareciendo en los diálogos supervisores.

Una lista de verificación práctica para los equipos de cumplimiento que revisan sus acuerdos con proveedores KYC:

Inventario y clasificación

• ¿Está el proveedor de verificación de identidad en tu registro de terceros DORA?
• ¿Se ha clasificado por nivel de criticidad (crítico, importante o estándar)?
• ¿Están documentados todos los subprocesadores y gestores de datos intermedios?

Revisión contractual

• ¿Incluye el contrato los elementos obligatorios del artículo 30?
• ¿Son los derechos de auditoría explícitos y ejercibles?
• ¿Hay una estrategia de salida documentada con términos definidos de portabilidad de datos?

Monitoreo continuo

• ¿Se están rastreando y notificando los KPIs y SLAs?
• ¿Existe un proceso para escalar la degradación del rendimiento del proveedor al comité de riesgos?
• ¿Ha proporcionado el proveedor evidencia de su propio marco de gestión del riesgo TIC?

Respuesta a incidentes

• ¿Tiene el proveedor la obligación de notificarle dentro de los plazos compatibles con DORA?
• ¿Existe un protocolo conjunto de respuesta a incidentes probado al menos anualmente?

El Argumento para el Monitoreo Agentico

La gestión manual del riesgo de proveedores no escala. Un equipo de cumplimiento que gestiona diez proveedores TIC con ciclos de revisión trimestrales encontrará imposible mantener visibilidad en tiempo real sobre el estado operativo, la postura de seguridad y el rendimiento de SLA de cada proveedor. Aquí es exactamente donde los agentes de IA en el cumplimiento ofrecen una ventaja estructural.

Los sistemas agenticos pueden monitorizar el rendimiento de los SLA de los proveedores de forma continua, detectar anomalías en los tiempos de procesamiento o las tasas de fallo, rastrear las divulgaciones públicas y los expedientes regulatorios de los proveedores externos, y activar flujos de escalada cuando se superen umbrales predefinidos. La misma lógica de IA que hace efectivo el KYC agentico en el monitoreo continuo de clientes aplica directamente al monitoreo continuo de proveedores.

DORA no exige herramientas específicas. Pero sí exige procesos continuos — y los procesos continuos, a escala, requieren automatización.

La Aplicación Está en Camino

El primer ciclo de supervisión DORA por parte de las ACN en toda la UE está ahora en marcha. Las AES están consolidando los registros de terceros para identificar patrones de riesgo de concentración. Las entidades que no han renegociado sus contratos con proveedores KYC, mantenido sus registros de terceros o establecido programas de monitoreo continuo son cada vez más visibles para los supervisores.

Las consecuencias de la aplicación no son triviales. DORA otorga a las ACN la facultad de imponer:

• Penalizaciones periódicas de hasta el 1% del promedio diario de la facturación mundial por incumplimiento de las entidades financieras
• Prohibiciones temporales del uso de servicios TIC de proveedores críticos no conformes
• Divulgación pública de las infracciones

Para las fintechs más pequeñas y los CASPs, el daño reputacional de la divulgación pública puede superar la sanción económica. Los requisitos de cumplimiento del KYC bajo la Ley de IA ya han centrado la atención de los consejos de administración en la gobernanza tecnológica en los sistemas de identidad. DORA añade la resiliencia operativa a esa agenda de gobernanza.

Qué Preguntarle a Tu Proveedor KYC Ahora

La acción más directa que pueden tomar las entidades financieras es dirigirse a sus proveedores de verificación de identidad con un conjunto estructurado de preguntas relacionadas con DORA. Las respuestas del proveedor revelan tanto la postura de cumplimiento del propio proveedor como las brechas en tu marco contractual existente:

• ¿Tienen un marco documentado de gestión del riesgo TIC alineado con DORA?
• ¿Cuál es su clasificación de incidentes TIC graves y el plazo de notificación?
• ¿Han sido objeto, o anticipan ser objeto, de revisión de designación como PSTTIC?
• ¿Pueden proporcionar un registro de sus subprocesadores materiales y sus ubicaciones geográficas?
• ¿Qué derechos de auditoría pueden ofrecer — documentales, remotos o in situ?
• ¿Qué compromisos de continuidad de negocio pueden asumir para la disponibilidad de la verificación de identidad?
• ¿Tienen un programa publicado de pruebas de penetración?

Los proveedores que no puedan responder a estas preguntas con claridad no están preparados para DORA. Y si tu proveedor no está preparado, la dependencia de tu entidad hacia ellos es un riesgo documentado que los supervisores encontrarán.

---

Preguntas Frecuentes

¿Aplica DORA a proveedores KYC fuera de la UE que prestan servicio a entidades financieras europeas?

Sí. Las normas de riesgo de terceros de DORA se aplican según dónde esté regulada la entidad financiera, no donde tenga su sede el proveedor. Un banco de la UE que utilice una plataforma de verificación de identidad con sede en EE.UU. debe igualmente garantizar que esa plataforma cumple los requisitos contractuales del artículo 30 de DORA y participa en los regímenes de prueba aplicables.

¿Cuándo afecta la designación crítica de PSTTIC a mi entidad?

Una vez que un proveedor es designado crítico, las entidades financieras que lo utilicen deben garantizar el cumplimiento de las recomendaciones del Supervisor Principal. La lista inicial de designaciones fue publicada por las AES en 2025. Las entidades financieras deben verificar si alguno de sus proveedores TIC aparece en esa lista.

¿Es siempre una plataforma KYC un "proveedor de servicios TIC de terceros" bajo DORA?

La definición de DORA es amplia: cualquier empresa que preste servicios TIC a una entidad financiera de forma continua. Una plataforma de verificación de identidad que presta servicios vía API o modelo SaaS cae dentro de esta definición. Las soluciones en local donde la entidad financiera controla toda la infraestructura pueden tratarse de forma diferente, pero los despliegues alojados en la nube o híbridos están generalmente en el ámbito.

¿Qué ocurre si el proveedor KYC de una entidad financiera sufre una interrupción grave?

Bajo DORA, una interrupción grave de un proveedor tercero TIC crítico que cause perturbaciones operativas en las actividades reguladas de una entidad financiera activa las obligaciones de notificación de incidentes. La entidad financiera debe notificar a su ACN dentro del plazo definido (notificación inicial en 4 horas desde la clasificación, informe intermedio en 72 horas, informe final en un mes). El incumplimiento de la notificación es en sí mismo una infracción de DORA.

¿Puede un agente de IA ayudar con el monitoreo de proveedores bajo DORA?

Sí. Los sistemas agenticos pueden monitorizar el rendimiento de los SLA, detectar degradación en los tiempos de respuesta del proveedor, rastrear divulgaciones públicas de incidentes de terceros y activar escaladas automatizadas. Esto no reemplaza las obligaciones de gobernanza humana bajo DORA — la supervisión del comité de riesgos y los derechos de auditoría siguen siendo procesos dirigidos por personas — pero mejora significativamente la postura de monitoreo continuo que exige DORA.

¿Interactúa DORA con el RGPD para los datos KYC procesados por terceros?

Sí, y la interacción crea obligaciones dobles. Bajo el RGPD, los datos de identidad procesados por un proveedor KYC están sujetos a los requisitos de acuerdo de procesamiento de datos y a las normas de transferencia de datos. Bajo DORA, la misma relación con el proveedor está sujeta a las obligaciones de gestión del riesgo de terceros TIC. Ambos marcos deben satisfacerse simultáneamente, lo que típicamente significa un acuerdo combinado con el proveedor que cubra los términos DPA del artículo 28 del RGPD y los elementos contractuales del artículo 30 de DORA.