NIS2 y DORA pueden afectar a un proveedor latinoamericano sin convertirlo automáticamente en sujeto regulado. El mecanismo habitual es contractual: la entidad europea alcanzada debe gobernar su cadena o su riesgo TIC y traslada parte de esa exigencia al proveedor mediante información, controles, notificación, continuidad, auditoría y salida. Alcance jurídico y exigencia contractual son dos planos distintos. Confundirlos exagera la norma y debilita la conversación con el cliente.
Ciberseguridad: la entidad alcanzada debe mirar a sus proveedores directos
NIS2 es una directiva. Su aplicación concreta depende de su texto y de la transposición de cada Estado miembro. Las entidades esenciales e importantes dentro de su alcance deben adoptar medidas proporcionadas de gestión de riesgo de ciberseguridad. El artículo 21 incluye la seguridad de la cadena, con atención a la relación entre cada entidad y sus proveedores directos o prestadores de servicios.
La directiva alienta que esas medidas se incorporen a los acuerdos contractuales con proveedores directos. Por eso un proveedor latinoamericano puede recibir un cuestionario, una cláusula de notificación, requisitos de continuidad o una evaluación de seguridad. El requerimiento deriva del deber del cliente; no demuestra por sí solo que el proveedor esté sometido directamente a NIS2.
Una regulación europea de ciberseguridad no necesita aplicar directamente a una empresa latinoamericana para afectar sus contratos. Le basta con aplicar a los clientes europeos de esa empresa.
DORA · el contrato forma parte del control del riesgo TIC
DORA se aplica desde el 17 de enero de 2025 a las entidades financieras comprendidas en su alcance. Sus artículos 28 a 30 ordenan la gestión del riesgo de terceros TIC: estrategia, registro de acuerdos, evaluación previa, concentración, subcontratación, contenidos contractuales y salida.
Cuando el servicio TIC sostiene una función crítica o importante, el contrato debe incorporar obligaciones reforzadas, entre ellas cooperación, medidas de seguridad, continuidad, pruebas, acceso, inspección y auditoría, además de estrategia de salida. Esos derechos pertenecen a la entidad financiera, al tercero que designe o a la autoridad competente según el caso. El proveedor los asume porque firma el contrato.
DORA también crea supervisión directa para proveedores TIC que sean formalmente designados críticos conforme al artículo 31. Esa designación es específica; no alcanza a todo proveedor por prestar servicios a una entidad financiera. Un proveedor de un tercer país designado crítico queda sujeto además a las condiciones previstas para mantener presencia en la Unión.
NIS2 · DORA
Ciberseguridad y resiliencia financiera, lado a lado
| Dimensión | NIS2 | DORA |
|---|---|---|
| Naturaleza jurídica | Directiva · requiere transposición nacional en cada Estado miembro | Reglamento · aplicación directa e idéntica en toda la UE |
| Destinatario directo | Entidades esenciales o importantes según directiva y transposición nacional | Entidades financieras incluidas en el reglamento; régimen adicional para terceros TIC designados críticos |
| Relación con terceros | Seguridad de cadena, incluida la relación con proveedores directos y prestadores de servicios | Gestión completa del riesgo de terceros TIC y cláusulas reforzadas para funciones críticas o importantes |
| Efecto contractual posible | Requisitos de seguridad, evidencia, incidentes y continuidad definidos por la entidad alcanzada | Información, cooperación, pruebas, acceso, auditoría, subcontratación y salida según el servicio |
| Efecto jurídico sobre un proveedor LATAM | No automático; requiere analizar la norma aplicable y la posición concreta del proveedor | No automático; puede existir efecto directo si el tercero es designado crítico y se cumplen las condiciones del reglamento |
ISO/IEC 27001
Seguridad de la información como sistema de control y evidencia
Un sistema útil, con límites claros
ISO/IEC 27001 puede ayudar a organizar responsabilidades, riesgos, controles, auditoría y mejora. Una certificación puede ser evidencia relevante para un cliente, pero no demuestra por sí sola cumplimiento de NIS2, DORA, una transposición nacional ni un contrato. La brecha debe mapearse requisito por requisito.
Qué revisar en los contratos
Si su organización provee servicios tecnológicos, financieros o de infraestructura a clientes europeos, revise los contratos activos e identifique cuáles de esos clientes tienen obligaciones bajo NIS2 o DORA. Si la respuesta es afirmativa, el contrato puede incluir ya — o incluir en la próxima renovación — cláusulas de auditoría de ciberseguridad. Prepararse antes cuesta menos que responder con el contrato en discusión.
La revisión debe separar cuatro preguntas: si el cliente está jurídicamente alcanzado; qué función presta el proveedor; qué obligaciones aparecen en el contrato; y qué evidencia existe hoy. Recién entonces corresponde decidir si un sistema ISO/IEC 27001, controles adicionales o una revisión legal específica cubren la brecha.
Una regulación europea de ciberseguridad no necesita aplicar directamente a una empresa latinoamericana para afectar sus contratos. Le basta con aplicar a los clientes europeos de esa empresa.
Fernando Arrieta
