Lo m\u00e1s importante en resumen<\/p>\n
- \n
- El auditor\u00eda individual no percibe el patr\u00f3n.<\/strong> La gesti\u00f3n de terceros eval\u00faa a cada proveedor por separado. El riesgo de concentraci\u00f3n solo se hace evidente a nivel de portafolio, donde m\u00faltiples rutas convergen en un mismo proveedor.<\/li>\n
- La cuarta parte falta en el contrato.<\/strong> El proveedor de su proveedor, cuyo centro de datos, cuyo proveedor de servicios de red, extiende la cadena de componentes, que nadie ha firmado.<\/li>\n
- DORA lo plantea.<\/strong> El sector financiero debe evaluar su dependencia de pocos proveedores irreemplazables y gestionar toda la cadena de subcontratistas. Este patr\u00f3n se extiende mucho m\u00e1s all\u00e1 del sector bancario.<\/li>\n
- El consejo manda, no la lista de verificaci\u00f3n.<\/strong> La concentraci\u00f3n debe ser visible a nivel de portafolio: sustituibilidad, capacidad de salida, estrategia multi\u2011proveedor, pruebas de estr\u00e9s ante la ca\u00edda de un nodo.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Cinco m\u00e9tricas que el consejo realmente entiende<\/a> · La Ley de IA es en realidad una ley de seguridad<\/a><\/p>\n
Por qu\u00e9 los auditor\u00edas individuales pasan por alto el riesgo de concentraci\u00f3n<\/h2>\n
La gesti\u00f3n del riesgo de terceros eval\u00faa a cada proveedor de forma aislada: certificados, cuestionarios, una puntuaci\u00f3n. Al final aparece una luz de sem\u00e1foro. En el caso ideal, todas est\u00e1n en verde. Pero el riesgo no est\u00e1 en el proveedor individual, sino en la suma. Si veinte proveedores evaluados en verde comparten el mismo proveedor de nube, el mismo servicio de identidad o la misma regi\u00f3n, una falla all\u00ed afecta a los veinte simult\u00e1neamente. La evaluaci\u00f3n individual no puede mostrar esto estructuralmente.<\/p>\n
La supervisi\u00f3n ha detectado exactamente esta brecha. Para DORA exige la evaluaci\u00f3n de concentraci\u00f3n a nivel de cartera. No acepta expl\u00edcitamente puntuaciones de proveedores individuales. La postura para 2026 es de car\u00e1cter de ejecuci\u00f3n, no m\u00e1s asesoramiento.<\/p>\n
La reciente historia ha demostrado este patr\u00f3n sin necesidad de se\u00f1alar con el dedo. Grandes fallos de nube y CDN han demostrado en m\u00faltiples ocasiones c\u00f3mo la ca\u00edda de un \u00fanico proveedor deja fuera a cientos de servicios que aparentan ser independientes al mismo tiempo, desde la aplicaci\u00f3n de pagos hasta el sitio web de la autoridad. Ninguno de esos servicios ten\u00eda un mal proveedor. Todos compart\u00edan el mismo.<\/p>\n
\nDefinici\u00f3n · Riesgo de terceros<\/p>\n
El riesgo proveniente de los subproveedores del propio proveedor. El proveedor de nube del prestador, cuyo centro de datos, cuya red, forman una cadena que a menudo no aparece en el contrato, pero que se manifiesta totalmente en caso de fallo.<\/p>\n<\/div>\n
\n\n30 Proveedores<\/div>\nagrupan la mitad de los gastos cr\u00edticos de externalizaci\u00f3n de bancos europeos importantes (EZB 2024)<\/p>\n<\/div>\n
\n19<\/div>\nproveedores cr\u00edticos de TI nombraron las autoridades de supervisi\u00f3n de la UE en noviembre 2025<\/p>\n<\/div>\n
\nArt. 30(5)<\/div>\nDORA regula expl\u00edcitamente la cadena de subcontratistas<\/p>\n<\/div>\n<\/div>\n
La cuarta parte: el elemento que falta en el contrato<\/h2>\n
El proveedor directo es la tercera parte. Su proveedor de nube, su centro de datos, su proveedor de servicios de red son la cuarta, quinta, sexta. Esta cadena rara vez aparece en el contrato y a\u00fan menos en el registro de riesgos. DORA aborda exactamente esta profundidad oculta: para funciones cr\u00edticas, el proveedor necesita el consentimiento escrito del cliente antes de seguir subcontratando partes esenciales. Cambios en la pila de subcontratistas deben notificarse con antelaci\u00f3n.<\/p>\n
Para la pr\u00e1ctica eso significa solo una cosa: la auditor\u00eda no puede terminar con el contratista. Quien no conozca la cuarta parte, no conoce su verdadero riesgo de fallo. La frase amable \u00abUtilizamos un proveedor l\u00edder de nube\u00bb puede, en el mejor de los casos, describir un punto \u00fanico de fallo compartido.<\/p>\n
\n> 30 %<\/div>\ndel total de los presupuestos de externalizaci\u00f3n de los principales bancos de la UE fluyen a solo diez proveedores<\/p>\n
Fuente: An\u00e1lisis del BCE 2024<\/p>\n<\/div>\n
Qu\u00e9 DORA implica para el resto de la econom\u00eda<\/h2>\n
DORA, el Acta de Resiliencia Operacional Digital, se aplica al sector financiero. La mayor parte de la normativa se centra en la gesti\u00f3n de terceros de TI. Dos obligaciones derivadas son \u00fatiles para cualquier sector. En primer lugar, la evaluaci\u00f3n expl\u00edcita de si una empresa depende peligrosamente de pocos o proveedores no sustituibles. En segundo lugar, un registro de todos los contratos con proveedores de servicios inform\u00e1ticos, incluida toda la cadena de subcontratistas. Con base en esta informaci\u00f3n, las autoridades europeas identifican a los proveedores cr\u00edticos y los someten a supervisi\u00f3n directa.<\/p>\n
El registro no es solo burocracia. Es el \u00fanico instrumento que hace calculable la concentraci\u00f3n en s\u00ed misma. Solo cuando todos los contratos, funciones y subproveedores convergen en un solo lugar, se puede responder a la cuesti\u00f3n de cu\u00e1ntos procesos cr\u00edticos dependen realmente de un \u00fanico proveedor. Sin esta visi\u00f3n, cualquier afirmaci\u00f3n sobre concentraci\u00f3n es una suposici\u00f3n.<\/p>\n
El sector financiero es el precursor aqu\u00ed, no una excepci\u00f3n. La concentraci\u00f3n en la nube, un servicio de identidad dominante, una regi\u00f3n sobrecargada: el mismo patr\u00f3n afecta a la industria, al comercio y a la administraci\u00f3n p\u00fablica. DORA, sobre todo, ofrece una hoja de ruta para hacer visible la concentraci\u00f3n antes de que se convierta en un fallo.<\/p>\n
Lo que ahora debe dirigir la junta<\/h2>\n
Riesgo de concentraci\u00f3n es una responsabilidad de la direcci\u00f3n, no un detalle de compras. Cuatro palancas deben estar en la agenda del consejo. Ninguna de ellas puede delegarse en una lista de proveedores.<\/p>\n
- \n
- Cartografiar la concentraci\u00f3n.<\/strong> Hacer visible a lo largo del portafolio d\u00f3nde muchos proveedores dependen del mismo proveedor, de la misma regi\u00f3n o del mismo servicio.<\/li>\n
- Comprobar la sustituci\u00f3n.<\/strong> Para cada funci\u00f3n cr\u00edtica responder cu\u00e1n r\u00e1pido podr\u00eda tomar el relevo un proveedor alternativo.<\/li>\n
- Preparar la salida.<\/strong> Dise\u00f1ar contratos y arquitectura de modo que un cambio de proveedor sea posible antes de que sea necesario.<\/li>\n
- Estrategia de m\u00faltiples proveedores.<\/strong> Distribuir conscientemente funciones cr\u00edticas entre varios proveedores, en lugar de centrarse en una cultura de eficiencia monol\u00edtica.<\/li>\n
- Simular fallos.<\/strong> La prueba de estr\u00e9s no pregunta si un proveedor falla. Pregunta qu\u00e9 ocurre si se cae un nodo de concentraci\u00f3n.<\/li>\n<\/ul>\n
Un portafolio verde no es lo mismo que uno resiliente.<\/p>\n
El riesgo de concentraci\u00f3n no desaparece solo porque cada sem\u00e1foro individual est\u00e1 en verde. Solo se hace visible cuando alguien formula la pregunta que ning\u00fan audit de proveedores plantea: \u00bfQu\u00e9 de lo que hemos comprado depende en verdad del mismo hilo?<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfQu\u00e9 es el riesgo de concentraci\u00f3n en la cadena de suministro?<\/strong><\/summary>\n
La peligrosa dependencia de pocos o proveedores insustituibles. No surge de un solo proveedor, sino a lo largo de todo el portafolio, cuando muchos clientes se basan en el mismo proveedor, regi\u00f3n o servicio.<\/p>\n<\/details>\n
\n\u00bfEn qu\u00e9 se diferencia de la auditor\u00eda cl\u00e1sica al proveedor?<\/strong><\/summary>\n
La auditor\u00eda eval\u00faa a cada proveedor por separado. El riesgo de concentraci\u00f3n solo se manifiesta en conjunto. Por eso, la supervisi\u00f3n bajo DORA (Reglamento de Resiliencia Operacional Digital) exige la valoraci\u00f3n a nivel de cartera y rechaza expl\u00edcitamente las puntuaciones individuales de proveedores.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 significa el riesgo de cuarta parte?<\/strong><\/summary>\n
El riesgo proveniente de los subcontratistas del propio proveedor. Si el proveedor se apoya en un hyperscaler, un centro de datos o un operador de red, la cadena se extiende con miembros que normalmente no aparecen en el contrato propio.<\/p>\n<\/details>\n
\n\u00bfAplica DORA tambi\u00e9n fuera del sector financiero?<\/strong><\/summary>\n
Legalmente, DORA obliga al sector financiero. El principio de evaluar la concentraci\u00f3n a nivel de cartera y gestionar la cadena de subcontrataci\u00f3n es aplicable a la industria, el comercio y la administraci\u00f3n. DORA ofrece la hoja de ruta, no el l\u00edmite.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1l es el primer paso para una junta?<\/strong><\/summary>\n
En el entorno DACH (Alemania, Austria y Suiza), una tabla de concentraci\u00f3n del proveedor completo muestra d\u00f3nde convergen m\u00faltiples rutas hacia el mismo suministrador. Solo a partir de ah\u00ed se pueden gestionar adecuadamente la sustituibilidad, la salida y la estrategia de m\u00faltiples proveedores.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>El riesgo de la cadena de suministro es un programa, no una lista de auditor\u00eda<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-dora-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>\u00bfQu\u00e9 es DORA? Definici\u00f3n, obligaciones y plazos<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/kritis-lieferkette-zulieferer-resilienz-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>El proveedor m\u00e1s d\u00e9bil abre la instalaci\u00f3n cr\u00edtica<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Geopol?tica y datacenters: lo que los CIO deben asegurar<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Reglamento de IA de la UE a partir de agosto de 2026: lo que las pymes deben etiquetar ahora<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>cloudmagazin<\/span>XFS4IoT se encuentra con la nube: El cajero autom\u00e1tico se convierte en plataforma<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Por qu\u00e9 los auditor\u00edas individuales pasan por alto el riesgo de agrupaci\u00f3n y c\u00f3mo un consejo de administraci\u00f3n controla el riesgo de concentraci\u00f3n y de terceros. DORA y lo que el consejo debe hacer.","protected":false},"author":55,"featured_media":22060,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"riesgo de concentraci\u00f3n en la cadena de suministro","_yoast_wpseo_title":"Riesgo de agrupaci\u00f3n que ning\u00fan auditor de proveedores ve","_yoast_wpseo_metadesc":"Diez proveedores verificados, un fallo: el riesgo de concentraci\u00f3n y de terceros no es detectado por un auditor individual. \u00bfQu\u00e9 cambia DORA y qu\u00e9 debe controlar el consejo?","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[261],"tags":[],"class_list":["post-22551","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es"],"evm_reading_time_minutes":8,"wpml_language":"es","wpml_translation_of":22059,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22551","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22551"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22551\/revisions"}],"predecessor-version":[{"id":22556,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22551\/revisions\/22556"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22060"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22551"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22551"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22551"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Comprobar la sustituci\u00f3n.<\/strong> Para cada funci\u00f3n cr\u00edtica responder cu\u00e1n r\u00e1pido podr\u00eda tomar el relevo un proveedor alternativo.<\/li>\n
- La cuarta parte falta en el contrato.<\/strong> El proveedor de su proveedor, cuyo centro de datos, cuyo proveedor de servicios de red, extiende la cadena de componentes, que nadie ha firmado.<\/li>\n