Proveedor tercero esencial · multa coercitiva · único importe del Reglamento

Conducta

Proveedor tercero esencial de servicios de TIC que no cumple, total o parcialmente, las medidas exigidas por el supervisor principal, pasados al menos treinta días naturales desde que se le notificaron

Importe

Multa coercitiva diaria de hasta el 1 % del volumen de negocios diario medio a escala mundial del ejercicio precedente, durante un máximo de seis meses

Art. 35.6 a 35.8

Persona jurídica · muy grave · techo en España, solo mercado de valores

Conducta

Persona jurídica del ámbito del mercado de valores que comete una infracción muy grave de DORA en España: ausencia o grave deficiencia del marco de gobernanza, del marco de gestión del riesgo TIC, de los sistemas y herramientas, del proceso de gestión de incidentes, o incumplimiento de la notificación de incidentes graves

Importe

Hasta la mayor de estas tres: 5 000 000 EUR, el 5 % del volumen de negocios anual total, o el quíntuplo de los beneficios obtenidos o las pérdidas evitadas

Ley 6/2023, arts. 308.1 y 324.1.a)

Persona física · muy grave · techo en España, solo mercado de valores

Conducta

Persona física responsable de una infracción muy grave de DORA en el ámbito del mercado de valores en España

Importe

Hasta la mayor de estas dos: 1 000 000 EUR, o el quíntuplo de los beneficios obtenidos o las pérdidas evitadas

Ley 6/2023, art. 324.1.b)

Persona jurídica · grave · techo en España, solo mercado de valores

Conducta

Persona jurídica del ámbito del mercado de valores que comete una infracción grave: inadecuación (no ausencia) de los marcos y procesos anteriores, o fallos en identificación, protección, detección, continuidad o plan de comunicación

Importe

Hasta la mayor de estas tres: 2 500 000 EUR, el 3 % del volumen de negocios anual total, o el doble de los beneficios obtenidos o las pérdidas evitadas

Ley 6/2023, arts. 308.2 y 324.2.a)

Persona física · grave · techo en España, solo mercado de valores

Conducta

Persona física responsable de una infracción grave de DORA en el ámbito del mercado de valores en España

Importe

Hasta la mayor de estas dos: 500 000 EUR, o el doble de los beneficios obtenidos o las pérdidas evitadas

Ley 6/2023, art. 324.2.b)

El Reglamento no fija ningún plazo de notificación. El artículo 19.4 dice que se notifica «dentro de los plazos que se establezcan de conformidad con el artículo 20», y quien los establece es el Reglamento Delegado (UE) 2025/301. Y su reloj tiene dos manecillas a la vez: cuatro horas desde que la entidad clasifica el incidente como grave, pero nunca más de veinticuatro horas desde que tuvo conocimiento de él. Es decir, tardar en clasificar no alarga el plazo. El momento de la clasificación conviene dejarlo registrado: es el hecho del que depende si se cumplió.

Notificación inicial

Plazo

Lo antes posible y, en todo caso, cuatro horas desde la clasificación del incidente como grave, y a más tardar veinticuatro horas desde que se tuvo conocimiento de él

Desde cuándo corre

Dos relojes simultáneos: la clasificación como grave y el conocimiento del incidente. Vence el primero que llegue

RD (UE) 2025/301, art. 5.1.a) · DORA art. 19.4.a)

Notificación inicial cuando la clasificación llega tarde

Plazo

Cuatro horas desde la clasificación como grave

Desde cuándo corre

Cuando la entidad no clasificó el incidente como grave dentro de las 24 horas siguientes a conocerlo, pero lo clasifica después

RD (UE) 2025/301, art. 5.2

Informe intermedio

Plazo

72 horas desde la presentación de la notificación inicial, incluso si la situación o la gestión del incidente no han cambiado

Desde cuándo corre

Desde que se presentó la notificación inicial, no desde el conocimiento del incidente

RD (UE) 2025/301, art. 5.1.b) · DORA art. 19.4.b)

Informe intermedio actualizado

Plazo

Sin demora indebida y, en cualquier caso, cuando se hayan recuperado las actividades regulares

Desde cuándo corre

La recuperación de las actividades regulares. No hay una cifra de horas asociada

RD (UE) 2025/301, art. 5.1.b)

Informe final

Plazo

1 mes desde la presentación del informe intermedio o, si los hubo, del último informe intermedio actualizado

Desde cuándo corre

Desde el informe intermedio, no desde el cierre del incidente ni desde la notificación inicial

RD (UE) 2025/301, art. 5.1.c) · DORA art. 19.4.c)

Información a los clientes afectados

Plazo

Sin demora indebida, tan pronto como se tenga conocimiento del incidente

Desde cuándo corre

Que el incidente grave tenga consecuencias para los intereses financieros de los clientes

Art. 19.3

Notificación voluntaria de una ciberamenaza importante

Plazo

Sin plazo: la notificación es voluntaria

Desde cuándo corre

Que la entidad considere la amenaza pertinente para el sistema financiero, los usuarios o los clientes

Art. 19.2 · contenido en el RD (UE) 2025/301, art. 6

Aviso de que no se va a llegar al plazo

Plazo

Antes de que venza el plazo de la notificación o informe que se va a incumplir, explicando los motivos

Desde cuándo corre

Prever que no se podrá presentar en plazo. Es una obligación propia, no una excusa automática

RD (UE) 2025/301, art. 5.3

La autoridad competente pertinente del artículo 46

Cuándo

La notificación inicial y todos los informes del artículo 19.4. Si a la entidad la supervisa más de una autoridad nacional, el Estado designa una sola como interlocutor para esto

En España

DORA no nombra autoridades nacionales: el artículo 46 remite, letra por letra, a la autoridad que designa la norma sectorial de cada tipo de entidad. Recorrida esa cadena contra el texto español, los supervisores son tres. El Banco de España supervisa a las entidades de crédito, porque la letra a) del artículo 46 remite al artículo 4 de la Directiva 2013/36/UE, esa Directiva se incorporó por la Ley 10/2014 y su artículo 50.1 declara al Banco de España autoridad responsable de la supervisión de las entidades de crédito. También supervisa a las entidades de pago, a las de dinero electrónico y a los proveedores de información sobre cuentas, porque la letra b) remite al artículo 22 de la Directiva (UE) 2015/2366 y el Real Decreto-ley 19/2018 lo designa por su nombre en el artículo 71.2. La CNMV supervisa el mercado de valores, y ahí la Ley 6/2023 va más lejos: tipifica los incumplimientos de DORA y le atribuye la potestad de sancionarlos, en sus artículos 268.4.ñ, 308 y 324. La Dirección General de Seguros y Fondos de Pensiones supervisa a las empresas de seguros y reaseguros, porque la letra k) remite al artículo 30 de la Directiva 2009/138/CE y la Ley 20/2015 la nombra autoridad de supervisión nacional en su artículo 7, y también a los fondos de pensiones de empleo por la letra m), con el artículo 24.1 del texto refundido aprobado por el Real Decreto Legislativo 1/2002. Ya ha actuado como autoridad competente de DORA: por resolución de 17 de diciembre de 2024 hizo suyas las directrices conjuntas de las Autoridades Europeas de Supervisión dictadas al amparo del artículo 32.7 del Reglamento.

BdE Banco de España ↗ Comisión Nacional del Mercado de Valores ↗ DGSFP Dirección General de Seguros y Fondos de Pensiones ↗

Art. 19.1 · art. 46

El Banco Central Europeo, por conducto de la autoridad nacional

Cuándo

Cuando la notificante es una entidad de crédito clasificada como significativa. Notifica a la autoridad nacional, y esta transmite el informe al BCE de forma inmediata

En España

Afecta a los grupos bancarios españoles bajo supervisión directa del Mecanismo Único de Supervisión. La autoridad nacional que hace de intermediaria es el Banco de España, que es la designada conforme al artículo 4 de la Directiva 2013/36/UE, al que remite la letra a) del artículo 46 del Reglamento. Esa misma letra a) atribuye además la competencia al Banco Central Europeo cuando la entidad de crédito es significativa.

Art. 19.1, párr. 3

Los CSIRT o autoridades competentes designados conforme a NIS2

Cuándo

Solo si el Estado miembro lo determina. DORA lo permite pero no lo impone, y no está verificado si España lo ha hecho

En España

Pendiente. No se ha verificado que España haya ejercido esta opción, ni a qué CSIRT apuntaría.

Art. 19.1, párr. 6 · art. 19.2, párr. 3

Los clientes

Cuándo

Cuando el incidente grave tenga consecuencias para sus intereses financieros. Hay que decirles además qué se ha hecho para mitigar los efectos

Art. 19.3

El público, a través del plan de comunicación de crisis

Cuándo

Según proceda. La entidad debe tener planes que permitan divulgar de forma responsable al menos los incidentes graves y las vulnerabilidades importantes, y una persona designada como portavoz

Art. 14.1 y 14.3

La propia entidad, desde su proveedor tercero de servicios de TIC

Cuándo

Es la pata de la cadena que se olvida. DORA no fija el plazo: obliga a que el contrato lo fije, junto con el deber del proveedor de avisar de cualquier hecho que afecte a su capacidad de prestar el servicio

Art. 30.3.b)

Veinte tipos de entidad financiera

Las veinte categorías de entidad financiera del artículo 2.1, letras a) a t): entidades de crédito, de pago y de dinero electrónico, proveedores de servicios de información sobre cuentas, empresas de servicios de inversión, proveedores de servicios de criptoactivos y emisores de fichas referenciadas a activos, depositarios centrales de valores, entidades de contrapartida central, centros de negociación, registros de operaciones, gestores de fondos de inversión alternativos, sociedades de gestión, proveedores de servicios de suministro de datos, empresas de seguros y reaseguros, intermediarios, fondos de pensiones de empleo, agencias de calificación crediticia, administradores de índices de referencia cruciales, proveedores de financiación participativa y registros de titulizaciones (art. 2.1)

Proveedores terceros de servicios de TIC

Los proveedores terceros de servicios de TIC, que son la letra u) del artículo 2.1 y quedan expresamente fuera de la denominación colectiva «entidades financieras» del artículo 2.2 (art. 2.1.u y 2.2)

Designación como proveedor esencial

Bajo supervisión directa de una Autoridad Europea de Supervisión, los proveedores terceros de servicios de TIC designados esenciales por su impacto sistémico, la importancia de las entidades que dependen de ellos y su grado de sustituibilidad (art. 31)

Sin umbral de tamaño

Sin umbral de tamaño: el artículo 2 no condiciona la sujeción al número de empleados ni al volumen de negocios. El tamaño gradúa la exigencia por la vía del principio de proporcionalidad, no la entrada (art. 2 · art. 4)

Marco simplificado para cinco tipos

Con obligaciones aligeradas por el marco simplificado del artículo 16, que sustituye a los artículos 5 a 15: empresas de servicios de inversión pequeñas y no interconectadas, entidades de pago exentas, entidades exentas de la Directiva 2013/36/UE cuando el Estado no haya usado la exclusión del art. 2.4, entidades de dinero electrónico exentas y fondos de pensiones de empleo pequeños (art. 16.1)

Exclusiones

Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 y (UE) 2016/1011

Identificador

CELEX 32022R2554

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

La resiliencia operativa digital es su único objeto: gestión del riesgo TIC de la primera a la última página, pruebas de penetración obligatorias (TLPT), registro contractual de proveedores TIC y un régimen de notificación con reloj doble. Todo el reglamento es ciber aplicado al sector financiero.

Valoración del curador · nivel 5 de 5

Responsabilidad del órgano de dirección Ciber

El órgano de dirección define, aprueba y supervisa el marco de gestión del riesgo TIC, y responde de su aplicación. La responsabilidad última es suya y el artículo la desglosa en nueve actos concretos, del presupuesto a la política de proveedores.

Literal de la norma El órgano de dirección de la entidad financiera definirá, aprobará y supervisará todas las disposiciones relacionadas con el marco de gestión del riesgo relacionado con las TIC a que se refiere el artículo 6, apartado 1, y será responsable de su aplicación.

Art. 5.2

Formación del órgano de dirección Ciber

Los consejeros tienen que formarse de verdad y de forma periódica en riesgo TIC, con un nivel acorde al riesgo que gestionan. No basta con recibir informes.

Art. 5.4

Marco de gestión del riesgo TIC Ciber

Tener un marco de gestión del riesgo TIC sólido, completo y documentado, integrado en la gestión global de riesgos, y revisarlo al menos una vez al año y también después de cada incidente grave. Quien no sea microempresa necesita además una función de control independiente y auditoría interna por auditores con competencia específica en riesgo TIC.

Art. 6

Estrategia de resiliencia operativa digital Ciber

Documento propio dentro del marco, con tolerancia al riesgo, objetivos de seguridad medibles, arquitectura de referencia, mecanismos de detección y estrategia de comunicación. Es lo que convierte el marco en algo evaluable.

Art. 6.8

Identificar, proteger, detectar, responder y aprender Ciber

El ciclo completo: inventario y clasificación de activos y funciones, políticas de protección y prevención, mecanismos de detección de actividad anómala, política de continuidad con planes de respuesta y recuperación, respaldo y restablecimiento, y revisión posterior al incidente para incorporar el aprendizaje.

Arts. 8 a 13

Plan de comunicación de crisis y portavoz Ciber

Planes que permitan divulgar de forma responsable los incidentes graves y las vulnerabilidades importantes a clientes, contrapartes y público, políticas de comunicación interna diferenciadas, y al menos una persona designada como portavoz ante el público y los medios.

Art. 14

Marco simplificado para entidades pequeñas Ciber

Las entidades pequeñas tasadas en el artículo 16 no cumplen los artículos 5 a 15, sino un marco simplificado de ocho obligaciones. Simplificado no es exento: sigue habiendo marco documentado, continuidad, pruebas y formación.

Art. 16.1

Proceso de gestión de incidentes Ciber

Montar un proceso de gestión de incidentes con alerta temprana, clasificación por prioridad y gravedad, roles asignados y traslado garantizado de los incidentes graves a la alta dirección y al órgano de dirección.

Art. 17

Registro de incidentes y ciberamenazas Ciber

Registrar todos los incidentes TIC y todas las ciberamenazas importantes, no solo los que se acaban notificando, y llegar a la causa subyacente para que no se repitan.

Art. 17.2

Clasificación de incidentes contra seis criterios Ciber

Clientes o contrapartes afectados, duración, extensión geográfica, pérdida de datos, carácter esencial de los servicios afectados y consecuencias económicas. Los umbrales que convierten estos criterios en un «sí es grave» están en el Reglamento Delegado (UE) 2024/1772, y la regla es de recuento: servicios esenciales afectados y, además, o bien pérdida de datos por acceso malintencionado, o bien dos o más de los demás umbrales (más del 10 % de los clientes o cien mil, más del 30 % de contrapartes, más del 10 % de las operaciones, más de 24 horas de incidente o 2 de interrupción esencial, dos Estados miembros, más de 100 000 euros). Dos incidentes en seis meses con la misma causa subyacente aparente cuentan juntos como uno grave.

Art. 18.1

Notificación de incidentes graves Ciber

Notificar los incidentes graves a la autoridad competente usando la plantilla oficial. Los plazos no están en el Reglamento: los fija el Reglamento Delegado (UE) 2025/301, y son cuatro horas desde clasificarlo como grave con tope de veinticuatro desde conocerlo.

Art. 19.1

Aviso a los clientes afectados Ciber

Avisar a los clientes sin demora indebida cuando el incidente afecte a sus intereses financieros, y contarles qué se ha hecho para mitigarlo.

Art. 19.3

Externalizar la notificación, no la responsabilidad Ciber

Se puede externalizar la tarea de notificar, pero no la responsabilidad: la entidad sigue respondiendo íntegramente del cumplimiento.

Literal de la norma En el caso de tal externalización, la entidad financiera seguirá siendo plenamente responsable del cumplimiento de los requisitos en materia de notificación de incidentes.

Art. 19.5

Incidentes relacionados con los pagos Ciber

Bancos, entidades de pago, de dinero electrónico y proveedores de información sobre cuentas aplican todo el capítulo de incidentes también a los incidentes de pagos, sean graves o no.

Art. 23

Programa de pruebas de resiliencia Ciber

Quien no sea microempresa mantiene un programa de pruebas de resiliencia, ejecutado por partes independientes, internas o externas, y prueba al menos una vez al año todos los sistemas que sustenten funciones esenciales o importantes.

Art. 24

Pruebas de penetración basadas en amenazas Ciber

Las entidades que designe la autoridad competente hacen pruebas de penetración basadas en amenazas al menos cada tres años, sobre sistemas de producción activos y con el alcance validado por la autoridad. El artículo 26.8 añade que, si se usan probadores internos, cada tercera prueba tiene que ser con probadores externos, y que las entidades de crédito significativas solo pueden usar externos. Quién entra por defecto lo fija el Reglamento Delegado (UE) 2025/1190: entidades de crédito significativas, las de pago y dinero electrónico por encima de volumen, depositarios y contrapartidas centrales, los centros de negociación con mayor cuota y las grandes aseguradoras.

Art. 26.1

Registro de información de acuerdos con proveedores Ciber

Mantener un registro de información con todos los acuerdos de servicios TIC a nivel de entidad, subconsolidado y consolidado, distinguiendo los que sustentan funciones esenciales o importantes, informar anualmente a la autoridad y avisarla antes de contratar algo esencial. La política que gobierna esos acuerdos la detalla el Reglamento Delegado (UE) 2024/1773 (gobernanza, ciclo de vida completo, diligencia debida, conflictos de interés y salida), y las plantillas normalizadas del registro, el Reglamento de Ejecución (UE) 2024/2956.

Art. 28.3

Cláusulas contractuales obligatorias Ciber

Renegociar los contratos de TIC: el Reglamento impone nueve cláusulas mínimas en todos y seis más en los que sustenten funciones esenciales o importantes, incluidos derechos ilimitados de auditoría, la participación del proveedor en las pruebas de penetración y estrategias de salida.

Art. 30

Estrategias de salida probadas Ciber

Tener estrategias de salida documentadas y probadas para cada servicio TIC que sustente funciones esenciales o importantes, capaces de migrar a otro proveedor o reinternalizar sin romper el servicio al cliente.

Art. 28.8

Cooperación del proveedor esencial con el supervisor Ciber

El proveedor designado esencial coopera de buena fe con el supervisor principal. Si no cumple las medidas que se le exigen, se expone a una multa coercitiva diaria de hasta el 1 % de su facturación diaria mundial durante seis meses.

Art. 35.5

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Art. 5.2 · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Art. 5.4 · art. 13.6 · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Arts. 6.1, 6.2, 6.4, 6.5 y 6.8 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Arts. 5.2 y 9.4 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Art. 8 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 9.4 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 9.4 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Art. 9.4 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Arts. 9.4 y 14.1 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 10 · art. 25 · art. 9.2 · RD (UE) 2024/1774, arts. 12 y 34.f) · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Arts. 11 y 14 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Arts. 11.6, 12.2 y 12.3 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Arts. 17, 17.2, 18.1 y 23 · art. 13 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Arts. 19.1, 19.3 y 19.5 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Arts. 6.5 a 6.7 · categorización del curador, no de la norma

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

Arts. 24 y 25 · categorización del curador, no de la norma

Pruebas de penetración basadas en amenazas (TLPT)

Una prueba de intrusión guiada por inteligencia de amenazas contra sistemas de producción activos, no contra un entorno de pruebas, solo para las entidades que designe la autoridad competente. Se planifica con meses de antelación: alcance pactado con el supervisor, probadores acreditados y asegurados, y los proveedores de TIC dentro del ejercicio.

Arts. 26.1, 26.8 y 27 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Arts. 28.3, 28.4, 28.8, 29 y 30 · categorización del curador, no de la norma

Entidad financiera

La denominación colectiva de las veinte primeras categorías del artículo 2.1, de la letra a) a la t): de bancos y aseguradoras a gestoras, fondos de pensiones de empleo y proveedores de servicios de criptoactivos. Se es entidad financiera por ser uno de esos tipos, sin umbral de plantilla ni de facturación. Engloba a las entidades de crédito, de pago y de dinero electrónico, que son tres de esas letras y arrastran además deberes propios. Y deja fuera a propósito a los proveedores terceros de servicios de TIC, que son la letra u).

Literal de la norma A efectos del presente Reglamento, las entidades a que se refiere el apartado 1, letras a) a t), se denominarán colectivamente «entidades financieras».

Art. 2.1 y 2.2

Entidad de crédito

Los bancos, que son una de las categorías de entidad financiera del artículo 2.1. No es un régimen aparte: todo lo que obliga a una entidad financiera les obliga. Lo que añade el tipo son tres cosas: el capítulo de incidentes se extiende a los incidentes relacionados con los pagos aunque no sean graves (art. 23), las entidades de crédito significativas solo pueden usar probadores externos en las pruebas de penetración (art. 26.8), y su notificación de incidentes llega al Banco Central Europeo por conducto de la autoridad nacional (art. 19.1).

Art. 2.1 · art. 23

Entidad de pago

Otra de las categorías de entidad financiera del artículo 2.1, que el Reglamento incluye expresamente incluso cuando están exentas en virtud de la Directiva (UE) 2015/2366. Como entidad financiera cumple todo el Reglamento; como entidad de pago aplica además el capítulo de incidentes a los incidentes relacionados con los pagos, sean graves o no (art. 23). Las exentas son uno de los cinco tipos que cumplen el marco simplificado del artículo 16 en lugar de los artículos 5 a 15.

Art. 2.1 · art. 23

Entidad de dinero electrónico

Categoría de entidad financiera del artículo 2.1, incluidas las exentas en virtud de la Directiva 2009/110/CE. Comparte con las entidades de crédito y de pago la extensión del capítulo de incidentes a los incidentes relacionados con los pagos, graves o no (art. 23), y las exentas están entre los cinco tipos que cumplen el marco simplificado del artículo 16.

Art. 2.1 · art. 23

Proveedor tercero de servicios de TIC

La letra u) del artículo 2.1: la empresa que presta servicios de TIC a entidades financieras. Está dentro del Reglamento pero fuera de la denominación colectiva «entidades financieras», y la asimetría es deliberada. Como el grueso del articulado se dirige a las entidades financieras, al proveedor no le aplican los capítulos de gestión del riesgo, notificación de incidentes ni pruebas: le aplica lo que se le dirige nominalmente, es decir las obligaciones contractuales del artículo 30 y, si lo designan esencial, el marco de supervisión del capítulo V.

Art. 2.1.u) · art. 2.2

Proveedor tercero esencial de servicios de TIC

No es un tipo de empresa, es una designación. Las Autoridades Europeas de Supervisión declaran esencial a un proveedor tercero de servicios de TIC por su impacto sistémico, la importancia sistémica de las entidades que dependen de él, el carácter esencial de las funciones que sustenta y su grado de sustituibilidad, y le asignan un supervisor principal. Todo proveedor esencial es antes proveedor tercero de servicios de TIC; lo que añade la designación es supervisión europea directa, la multa coercitiva del artículo 35 y la posibilidad de que se le prohíba subcontratar.

Art. 31 · art. 35

Órgano de dirección

El consejo de administración u órgano equivalente de la entidad financiera. No es un sujeto distinto de ella, pero el artículo 5.2 le atribuye en persona la definición, la aprobación y la supervisión del marco de gestión del riesgo TIC, la responsabilidad de su aplicación y nueve actos concretos, entre ellos asignar el presupuesto y aprobar la política sobre proveedores. El artículo 5.4 le añade el deber de formarse, y sus miembros pueden ser sancionados personalmente (art. 50.5).

Art. 5.2 y 5.4