El problema de tu proveedor ahora es tuyo: lo que realmente cambia la designación de tercero crítico

Introducción

Cuando los reguladores europeos empezaron a designar a ciertos proveedores de TIC como críticos bajo la DORA, algunas organizaciones lo interpretaron como una buena noticia: que un proveedor estuviera bajo supervisión directa sonaba a que alguien más se encargaría del cumplimiento. Pero es justo lo contrario. La designación pone al proveedor bajo la lupa del regulador, pero no traslada la responsabilidad de la entidad financiera a ningún otro lugar.

Esa diferencia es más importante de lo que la mayoría de las organizaciones supone al principio. La supervisión directa de un proveedor crítico da a los reguladores visibilidad sobre la administración de riesgos de ese proveedor, pero no cambia quién es responsable si los servicios de ese proveedor fallan y una entidad financiera no puede demostrar que gestionó correctamente la relación. Este artículo analiza qué cambia realmente la designación de terceros críticos, qué aspectos permanecen igual y qué implica esto para la gestión del riesgo de proveedores en el futuro.

• Conclusión 1: La designación de un tercero crítico pone al proveedor bajo supervisión regulatoria directa, pero no transfiere la responsabilidad de la entidad financiera de gestionar esa relación.
• Conclusión 2: La lista de proveedores críticos designados cambia con el tiempo. Se agregan proveedores a medida que su presencia crece y pueden ser eliminados si disminuye, por lo que una evaluación estática del riesgo de proveedores se vuelve obsoleta.
• Conclusión 3: El riesgo de concentración aplica tanto a proveedores no designados como a los designados. Un proveedor que aún no está en la lista crítica puede seguir siendo un punto único de fallo para las operaciones de una organización.
• Conclusión 4: Los reguladores esperan evidencia de gestión continua del riesgo de terceros, no una evaluación puntual. Debe mantenerse de forma continua un registro de los acuerdos contractuales y de las actividades de monitoreo, no solo producirse una vez.
• Conclusión 5: La designación cambia la supervisión sobre el proveedor, no la obligación de la organización de demostrar control. Las entidades financieras siguen teniendo que demostrar, con su propia evidencia, que comprenden y gestionan el riesgo que introduce un tercero.

Resumen Ejecutivo

La supervisión regulatoria directa de proveedores críticos de TIC es uno de los desarrollos más visibles bajo DORA, y a menudo se interpreta erróneamente como una reducción de la carga de cumplimiento para las entidades financieras que los utilizan. No es así. El mecanismo de designación existe para administrar el riesgo de concentración sistémica en todo el sector financiero, mediante la interacción continua entre los reguladores y los proveedores más grandes e interconectados. No dice nada sobre si una entidad financiera individual ha evaluado, documentado y monitoreado adecuadamente su propio uso de ese proveedor, o de los muchos proveedores que nunca alcanzan el estatus de críticos. Para los líderes de riesgo y cumplimiento, la conclusión práctica es que la gestión del riesgo de terceros sigue siendo, en su totalidad, responsabilidad de la organización, independientemente de quién más supervise al proveedor.

Qué Cambia Realmente la Designación de Terceros Críticos

El mecanismo de designación existe para dar a los reguladores visibilidad sobre proveedores cuya falla podría tener consecuencias para muchas entidades financieras a la vez, en función de factores como el impacto sistémico, la concentración de dependencia en ese proveedor y la facilidad con la que sus servicios podrían ser sustituidos.

La Designación Trata Sobre la Concentración Sistémica, No Sobre el Riesgo Individual de Proveedor

Un proveedor es designado como crítico porque muchas entidades financieras dependen de él de formas que podrían causar una disrupción sectorial si fallara, no porque el contrato de una organización en particular con ese proveedor sea especialmente riesgoso. La evaluación se realiza a nivel del sistema financiero en su conjunto. La exposición individual de una organización a ese mismo proveedor, según cómo utilice realmente el servicio y qué alternativas tenga, es una cuestión aparte que la designación no responde.

La Lista Cambia, Por lo Que la Evaluación de Riesgo de Proveedores No Puede Ser Estática

Los proveedores designados se reevalúan y la lista se publica periódicamente, con proveedores añadidos a medida que crecen y eliminados si cambian las circunstancias. Los proveedores también pueden solicitar voluntariamente ser incluidos. Una organización que trate «¿está nuestro proveedor en la lista crítica?» como una verificación única descubrirá que esa respuesta se vuelve obsoleta, a veces en cualquier dirección, sin que nadie le avise del cambio.

Por Qué Tu Propia Responsabilidad No Se Traslada

La supervisión de un proveedor crítico por parte de los reguladores y la obligación de una organización de gestionar su relación con ese proveedor son dos obligaciones completamente separadas que solo coinciden en el mismo proveedor.

La Supervisión Directa del Proveedor No Es Supervisión de Tu Contrato

Cuando los reguladores interactúan directamente con un proveedor crítico, evalúan la administración de riesgos, la gobernanza y las prácticas de resiliencia de ese proveedor a nivel general. No revisan el contrato específico de una entidad financiera, su plan de salida para ese proveedor ni si la organización ha mapeado adecuadamente qué pasaría si el servicio del proveedor se degradara. Ese trabajo sigue siendo responsabilidad exclusiva de la entidad financiera y es lo que los reguladores esperan ver evidenciado cuando examinan directamente a la entidad.

Los Proveedores No Designados También Implican Riesgo de Concentración Para Ti

Como la designación opera a nivel del sector financiero, un proveedor que no alcance los umbrales sistémicos que activan la designación puede seguir representando un grave punto único de fallo para la organización que depende de él. Tratar «no está en la lista crítica» como equivalente a «bajo riesgo» confunde una evaluación sectorial con una específica de la organización. El riesgo de concentración relevante para una entidad financiera es de lo que esa entidad depende, no de lo que depende el sector en su conjunto.

Qué Esperan Realmente los Reguladores Que Demuestre una Organización

Independientemente de si un proveedor específico está designado como crítico, se espera que las entidades financieras mantengan un entendimiento continuo y evidenciado de los terceros de TIC en los que confían.

Un Registro de Información Es un Documento Vivo, No una Foto Fija

Mantener un registro preciso de los acuerdos contractuales con proveedores de TIC, incluyendo qué funciones soporta cada proveedor y cuán críticas son esas funciones, es una obligación continua, no un documento que se produce solo una vez para una auditoría. A medida que cambian las relaciones con proveedores, se agregan subcontratistas o se expanden a nuevos servicios, el registro debe mantenerse actualizado, ya que es la principal evidencia que los reguladores esperan que una organización presente sobre su panorama de terceros.

El Monitoreo Debe Ser Continuo Para Que Cuente Como Evidencia

Un ejercicio de debida diligencia realizado solo al firmar el contrato no demuestra gestión continua del riesgo. Los reguladores esperan ver monitoreo continuo de las relaciones con terceros, lo que significa que la organización necesita un registro de lo que realmente ha observado sobre el desempeño y la postura de seguridad del proveedor a lo largo del tiempo, no solo una evaluación puntual archivada y nunca revisitada.

Cómo Construir una Gestión de Riesgo de Terceros Que Resista el Escrutinio

La respuesta práctica a la designación de terceros críticos no es relajar la supervisión de proveedores no designados ni asumir que los designados son ahora responsabilidad de otro. Es construir una capacidad interna que rastree continuamente qué proveedores soportan qué funciones, cuán concentrada está esa dependencia y qué evidencia existe de monitoreo continuo, para que cuando un regulador pregunte por cualquier relación con un proveedor, designado o no, la respuesta ya exista y no tenga que armarse bajo presión.

Cómo un Plano de Control de Datos Apoya la Evidencia Continua de Riesgo de Terceros

Demostrar control sobre el riesgo de terceros TIC depende de poder mostrar, de forma continua, qué datos pasan por qué proveedores y canales, quién accedió a ellos y bajo qué condiciones, en lugar de depender solo de las garantías del proveedor o de revisiones manuales periódicas. Una capa de gobernanza que abarque todos los canales por los que circulan datos sensibles, incluyendo correo electrónico, uso compartido de archivos, APIs y agentes de IA, se convierte en la base de evidencia para la supervisión de terceros de la organización, independientemente de qué proveedores estén designados como críticos en un año determinado.

El Data Control Plane de Kiteworks aplica controles de confianza cero basados en los datos a cada envío, compartición y acceso a través de todos los canales, y captura cada acción en un registro de auditoría inalterable y sin restricciones que se integra directamente con las herramientas de SIEM. Para una organización que gestiona el riesgo de terceros TIC bajo la DORA, esto significa un registro continuo y consultable de cómo circulan exactamente los datos sensibles por los proveedores y canales que realmente utiliza, una evidencia que se sostiene por sí sola sin importar el estatus de designación de ningún proveedor. La arquitectura de tenencia única y las claves de cifrado propiedad del cliente refuerzan que el control de la organización sobre sus intercambios más sensibles tampoco depende del estatus de supervisión de terceros.

Las organizaciones que quieran ver cómo la evidencia continua y multicanal respalda sus obligaciones de riesgo TIC con terceros pueden agendar una demo personalizada para recorrer cómo se aplica a su panorama actual de proveedores.