Una cláusula que nadie en la empresa mexicana reconoce

Pensemos en una situación hipotética, aunque cada vez más plausible para cualquier proveedor mexicano de desarrollo de software, servicios en la nube o monitoreo de ciberseguridad que trabaja para un cliente financiero con sede en la Unión Europea: durante la renovación de un contrato de servicios vigente desde hace años, el cliente envía un anexo con exigencias que nadie en el equipo legal mexicano reconoce como parte de ninguna ley local. Se piden objetivos de desempeño cuantificados con precisión inusual, derechos de auditoría sin restricciones, un plan de continuidad documentado, participación en pruebas de penetración coordinadas por el cliente, y una estrategia de salida con plazos de transición definidos para el caso de que el contrato termine. La empresa mexicana, que no tiene ninguna sede ni operación en Europa, se pregunta con razón qué ley exige todo esto. La respuesta no está en ningún boletín del Diario Oficial de la Federación: está en un reglamento europeo que nunca la obliga directamente, pero cuyo contenido le llega, de todas formas, a través del contrato que firmó.


Qué es DORA, y a quién obliga de manera directa

El Reglamento de Resiliencia Operativa Digital, conocido por sus siglas en inglés como DORA, es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, aplicable desde el 17 de enero de 2025. Su ámbito de aplicación directo comprende a un universo amplio de entidades financieras que operan dentro de la Unión Europea —bancos, aseguradoras, gestoras de fondos, infraestructuras de mercado, entre otras— y, de manera más acotada, a los llamados proveedores terceros esenciales de servicios de TIC: un conjunto limitado de proveedores que las Autoridades Europeas de Supervisión designan formalmente, conforme al artículo 31 del reglamento, y que quedan sujetos a partir de esa designación a un régimen de supervisión directa. Esa designación está pensada, sobre todo, para proveedores de infraestructura tecnológica de escala global —cómputo en la nube a gran escala es el ejemplo más citado—, no para la inmensa mayoría de las empresas de software, nearshoring o servicios tecnológicos que operan desde México. DORA no es, en ningún sentido, legislación mexicana, y ninguna empresa constituida y operando exclusivamente en México queda sujeta a él por el simple hecho de prestar servicios tecnológicos a un cliente europeo.


El mecanismo por el que, de todas formas, llega hasta aquí

Lo que sí hace DORA, y de manera bastante precisa, es obligar a la entidad financiera europea —no al proveedor— a incorporar determinadas cláusulas en cualquier contrato que celebre con un proveedor de servicios de TIC, sin que la ubicación geográfica de ese proveedor sea, en principio, un factor que lo exima. El artículo 30 del reglamento exige que esos contratos definan por escrito, entre otros elementos, la descripción completa de las funciones y servicios prestados, las ubicaciones donde se presta el servicio y se procesan los datos, los mecanismos de protección de la disponibilidad, integridad y confidencialidad de la información, y los derechos de la entidad financiera para acceder y recuperar sus datos ante una eventual insolvencia del proveedor. Cuando el servicio contratado sostiene una función crítica o importante para la entidad financiera, el artículo 30 añade exigencias más estrictas: objetivos de desempeño cuantitativos y cualitativos precisos, planes de contingencia, participación del proveedor en pruebas de penetración dirigidas por amenazas, derechos de auditoría sin restricciones y estrategias de salida con períodos de transición definidos. El concepto de "proveedor externo de servicios de TIC" que utiliza DORA es, además, amplio: no hay ningún motivo para pensar que excluye a quien pertenece al mismo grupo empresarial que la entidad financiera, lo que vuelve especialmente relevante un dato concreto y verificable sobre el sector financiero español: tanto BBVA como Banco Santander, dos de los grupos bancarios con sede en España y alcanzados directamente por DORA, mantienen centros de desarrollo tecnológico y de operaciones que incluyen a México entre sus ubicaciones —BBVA incorporó a México dentro de la estructura de su área global de desarrollo de software, y Santander opera, como parte de su infraestructura tecnológica internacional, un centro de monitoreo de ciberseguridad en México—, lo que ilustra, con nombres y casos reales, por qué la cadena tecnológica de una entidad financiera europea puede extenderse de manera concreta hasta territorio mexicano, sea a través de una filial propia o de un proveedor contratado.


Lo que México ya regula por su cuenta, y que no es DORA

Conviene no confundir dos regímenes que resuelven problemas parecidos desde lugares distintos. México cuenta, desde hace años, con su propio marco regulatorio sobre la contratación de servicios tecnológicos de terceros por parte de sus propias instituciones de crédito: la Comisión Nacional Bancaria y de Valores, con fundamento en el artículo 46 de la Ley de Instituciones de Crédito, exige a los bancos mexicanos que notifiquen y, en ciertos casos, obtengan autorización previa para contratar servicios de cómputo en la nube con proveedores ubicados en el extranjero, que acrediten que los servidores se encuentran en países con un nivel de protección de datos equivalente al mexicano o con acuerdos internacionales aplicables, y que cumplan con requisitos técnicos de redundancia geográfica, continuidad operativa, cifrado y auditoría, conforme a las disposiciones correspondientes de la Circular Única de Bancos. Este régimen mexicano protege la operación de los bancos que operan en México cuando ellos mismos contratan terceros; no tiene ninguna relación jurídica con DORA, no deriva de él, y no convierte a un proveedor tecnológico mexicano en sujeto obligado de la norma europea. Son dos sistemas de gestión de riesgo de terceros que persiguen un propósito similar —asegurar que la dependencia de un proveedor tecnológico no comprometa la resiliencia de una entidad financiera—, pero que operan bajo soberanías distintas y no se sustituyen entre sí.


Proporcionalidad: el criterio no es la nacionalidad del proveedor

Human Risk Management, entendido como la gestión estructurada del riesgo asociado a personas, funciones, accesos y decisiones, incluye también, en el nivel organizacional, la gestión del riesgo asociado a los terceros de los que una empresa depende para sostener funciones sensibles, y ese razonamiento aplica igual de bien para pensar la posición de una empresa mexicana dentro de la cadena de un cliente financiero europeo. El criterio relevante no es dónde está constituido el proveedor, sino si el servicio que presta sostiene una función crítica o importante para su cliente: ese es el factor que, conforme a DORA, determina cuánta exigencia contractual corresponde, y es también el criterio que debería guiar, del lado mexicano, la revisión de cualquier contrato vigente con un cliente financiero europeo antes de que ese cliente lo exija de manera unilateral en la próxima renovación. "Que DORA no sea una ley mexicana no significa que sea irrelevante para una empresa mexicana: si esa empresa sostiene una función crítica para un cliente financiero europeo, las exigencias de DORA ya están, de hecho, dentro de ese contrato, o deberían estarlo", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos de verificación de terceros como estructurados en función del rol, el riesgo y la exposición de cada vínculo comercial, sin que esto implique que la compañía certifique el cumplimiento de DORA de ninguna empresa ni sustituya el análisis legal específico que cada contrato con un cliente financiero europeo requiere.


La pregunta que conviene resolver antes de la próxima renovación

DORA no es, y no se convertirá por sí sola, en legislación mexicana. Pero el crecimiento de México como proveedor regional de servicios de desarrollo de software, infraestructura en la nube y operaciones tecnológicas para clientes internacionales, incluidos grupos financieros europeos con presencia documentada en el país, hace que cada vez más empresas mexicanas sostengan, sin saberlo con precisión, funciones que su cliente europeo califica como críticas o importantes bajo ese reglamento. Para Legal, Compliance y Tecnología en esas empresas, la pregunta que vale la pena instalar no es si DORA aplica en México —no aplica—, sino si el contrato vigente con ese cliente europeo ya refleja lo que DORA obliga a exigir, o si esa conversación todavía está pendiente.


Fuentes y marco normativo consultado

  1. Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo sobre la resiliencia operativa digital del sector financiero (DORA), aplicable desde el 17 de enero de 2025, arts. 28 a 44 (gestión del riesgo de terceros de TIC), art. 30 (disposiciones contractuales clave con proveedores de servicios de TIC) y art. 31 (designación de proveedores terceros esenciales de servicios de TIC y régimen de supervisión directa por las Autoridades Europeas de Supervisión)
  2. Ley de Instituciones de Crédito, art. 46 (facultad de la Comisión Nacional Bancaria y de Valores para regular la contratación de servicios con terceros, incluidos los de tecnología de la información, por parte de instituciones de crédito mexicanas)
  3. Circular Única de Bancos (Disposiciones de Carácter General Aplicables a las Instituciones de Crédito), Capítulo XI y Anexo 52, sobre requisitos de notificación, autorización, residencia de la información, redundancia geográfica y auditoría para la contratación de cómputo en la nube con proveedores ubicados en el extranjero, según el análisis publicado por el Instituto Mexicano para la Competitividad (IMCO), "Cómputo en la nube para el sector financiero"
  4. CIO España, reportaje sobre la creación del área global de desarrollo de software de BBVA, que incluye a México entre sus ubicaciones de operación
  5. Santander Digital Services, descripción pública de su red internacional de centros tecnológicos, que incluye un centro de monitoreo de ciberseguridad ("Fusion Center") en México como parte de su infraestructura global
  6. Instituto Nacional de Estadística y Geografía (INEGI), Encuesta de Comercio Internacional de Servicios (ECIS), como fuente oficial de medición del comercio internacional de servicios de México, incluidos los de tecnología de la información
  7. Validato, descripción de servicios de Background Screening y Human Risk Management con presencia en México: https://validato.ch/mx-es/human-risk