Artículos de cumplimiento normativo y recursos

DORA exige a las entidades financieras cubiertas gestionar el riesgo de los proveedores de servicios TIC terceros y mantener información sobre sus acuerdos contractuales de TIC, con requisitos reforzados cuando los proveedores respaldan funciones críticas o importantes. NIS2 exige a las entidades esenciales e importantes abordar la seguridad de la cadena de suministro, especialmente los riesgos que involucran a proveedores directos y prestadores de servicios. Ambos regímenes se solapan, pero DORA es más prescriptivo sobre la gestión de riesgos de terceros en el ámbito de las TIC.

La gestión de riesgos de terceros de DORA se comparte entre las entidades financieras y sus proveedores de TIC. Desde el 17 de enero de 2025, el Artículo 13(6) exige a los bancos, aseguradoras y empresas de inversión que realicen formación sobre concienciación en seguridad TIC y resiliencia y, cuando sea apropiado, incluyan a sus proveedores de TIC en ella, y el Artículo 30(2)(i) exige que cada contrato TIC establezca cómo participa el proveedor. Los proveedores que puedan demostrarlo conservan el contrato.

El cribado de PEP identifica si un cliente, proveedor o socio comercial es una persona políticamente expuesta: alguien que ocupa o ha ocupado un cargo público destacado, o un familiar o asociado cercano de dicha persona. La coincidencia de nombre es solo el punto de partida. Un cribado eficaz comprueba el cargo, el nivel de influencia, el país y si la persona sigue en el cargo, y a continuación documenta la decisión de riesgo y repite la comprobación a medida que cambian las circunstancias.

El cumplimiento de sanciones para pymes deja de ser opcional en 2026. La Directiva 2024/1226 tipifica como delito las infracciones graves de las sanciones en toda la UE, establece penas mínimas y amplía la responsabilidad a las empresas, por lo que la aplicación de la ley llega ahora también a las pequeñas empresas que comercian, exportan o se abastecen internacionalmente. Lo que las pymes necesitan es un proceso claro y repetible: cribar a cada contraparte frente a las listas de sanciones, registrar el resultado y monitorizar los cambios a lo largo del tiempo.

El cumplimiento normativo en la cadena de suministro para pymes cambia en 2026 porque las normas de la UE ahora van más allá de la empresa regulada y alcanzan a sus proveedores: las solicitudes de información sobre el origen, la propiedad y el riesgo provienen de clientes y socios, no de reguladores, y llegan con más frecuencia y de forma más estructurada. Las pymes no necesitan un equipo grande, pero sí un proceso claro para saber con quién trabajan, recopilar la información una sola vez y responder a cada solicitud a partir de ella.

Las PYMES pueden cumplir los requisitos de NIS2 para la gestión de vulnerabilidades con un proceso de notificación sencillo y estructurado: un único canal donde empleados, proveedores e investigadores puedan informar de una debilidad de seguridad, tratamiento confidencial, un responsable definido que la evalúe y la corrija, y un registro de lo que se hizo. Un sistema de denuncias ya ofrece ese flujo de trabajo, por lo que el mismo canal puede servir para ambos marcos.

El delito de «Failure to Prevent Fraud» de la ECCTA se aplica a las grandes organizaciones, pero llega a las pymes a través de sus contratos. Dado que la única defensa legal es la demostración de procedimientos razonables, las empresas del Reino Unido ahora exigen a los proveedores que demuestren formación antifraude, mecanismos de denuncia, derechos de auditoría y cláusulas de rescisión. Los proveedores más pequeños están vinculados en la práctica, no por la ley.

En la gestión de la cadena de suministro, la proporcionalidad significa centrar la debida diligencia en los proveedores más grandes y estratégicos, pero esto no debería implicar ignorar a los más pequeños. Los proveedores pequeños conllevan riesgos ocultos de cumplimiento, continuidad y reputación, y también aportan flexibilidad, especialización e innovación. Una estrategia equilibrada evalúa a cada proveedor en un nivel básico y escala el escrutinio en función del riesgo, no del tamaño de la empresa.

La ética en la cadena de suministro ya conlleva requisitos legales. La Directiva sobre diligencia debida de las empresas en materia de sostenibilidad, aprobada por el Parlamento Europeo el 24 de abril de 2024, hace responsables a las grandes empresas de identificar, prevenir y remediar los daños a los derechos humanos y al medio ambiente a lo largo de sus cadenas de valor, y esa obligación se traslada a sus proveedores mediante contratos y cuestionarios. Las empresas que mapean su cadena y documentan las verificaciones de sus proveedores cumplen con esta exigencia y obtienen una ventaja comercial.