DORA

Relevancia cuántica

La obsolescencia criptográfica y la exposición HNDL son riesgos TIC integrables en el marco de gestión de las entidades financieras. Un proveedor cuántico no es automáticamente «tercero crítico»: requiere la designación prevista por el marco.

Criterios de aplicación (3)

• I

  Identificar y gestionar los riesgos TIC conforme a los arts. 6 y 9 DORA, incluida la exposición criptográfica/HNDL cuando sea material. Un plan PQC en ejecución puede aportar evidencia de gestión del riesgo cuando la obsolescencia, vida útil de la información y dependencias lo justifiquen; se integra en el marco de riesgo y se formula como interpretación por riesgo, no como mandato universal de migración PQC.

  Roles entidades financieras incluidas

• O

  Al contratar plataformas cuánticas como servicio, las entidades financieras deben aplicar el régimen DORA de terceros TIC, incluidas las cláusulas fundamentales del art. 30.2, los requisitos reforzados del art. 30.3 para funciones esenciales o importantes, el registro de información del art. 28.3, el análisis de concentración del art. 29 y el régimen de designación de terceros críticos de los arts. 31 y siguientes cuando proceda.

  Roles entidades financieras

• O

  Las pruebas avanzadas basadas en amenazas o TLPT de DORA se aplican únicamente a las entidades financieras identificadas para ese régimen conforme a los arts. 26 y 27, y no deben presentarse como obligación general de todo cliente financiero ni como regla de designación automática de proveedor cuántico crítico. El régimen TLPT no crea un plazo general de notificación de un día hábil; las notificaciones de incidentes constituyen un régimen separado.

  Roles entidades designadas

Riesgo si se incumple

Aplicación práctica — QT-QMS

Controles propuestos del modelo QT-QMS. Salvo indicación expresa, son propuestas operativas (P) que deben adaptarse al rol, al ámbito y al riesgo de cada organización.

• El plan PQC como evidencia de gestión del riesgo TIC

  Poder exhibir un plan PQC en ejecución, con inventario, prioridades, hitos y presupuesto, puede servir como evidencia de gestión de riesgo tecnológico ante DORA cuando la exposición criptográfica sea material. El Quantum Safe Financial Forum se mantiene únicamente como recomendación o buena práctica sectorial, no como obligación DORA. El plan debe integrarse en los roadmaps tecnológicos y de riesgo existentes, con priorización por datos críticos, HNDL, sistemas difíciles de actualizar, dependencias de terceros y cripto-agilidad.

  Manual QT-QMS §3.1 paso 10, §4.1

  Reglamento (UE)2022/2554 ↗ · Arts.6,9,26–31,28.3,30.2–3

  Reglamento de Ejecución (UE)2024/2956 ↗ · Considerando6,art.5.1.l,plantillaB_05.02

  G7 CEG Quantum Roadmap,enero2026 ↗ · p.1Purpose ypp.3–4Transition Activities/Timelines

  FINMA Guidance05/2026 Quantum computing ↗ · §3.1p.6,§3.2–3.4pp.6–7

• Cláusula 8: contenido contractual mínimo del art. 30 DORA

  Para clientes financieros, el contrato TIC debe incluir el checklist completo del art. 30.2 DORA: descripción clara y completa de funciones y servicios TIC y condiciones de subcontratación; ubicaciones de prestación, tratamiento y almacenamiento y obligación de notificar cambios; disponibilidad, autenticidad, integridad y confidencialidad de datos, incluidos datos personales; acceso, recuperación y devolución de datos en formato accesible ante insolvencia, resolución, discontinuidad o terminación; niveles de servicio; asistencia ante incidentes TIC sin coste adicional o a coste previamente determinado; cooperación con autoridades competentes y de resolución; derechos de terminación y preavisos; y condiciones de participación del proveedor en programas de concienciación y formación en seguridad TIC. Para funciones esenciales o importantes, el art. 30.3 añade objetivos cuantitativos y cualitativos precisos de nivel de servicio, preavisos e informes reforzados, contingencias y planes de continuidad probados, participación y cooperación en TLPT cuando proceda, derechos de seguimiento, acceso, inspección y auditoría con posibilidad de mecanismos alternativos que respeten derechos de otros clientes, y estrategia de salida con periodo transitorio obligatorio. Las auditorías no deben describirse como ilimitadas en sentido absoluto cuando DORA admite enfoques basados en riesgo y alternativas de aseguramiento compatibles con otros derechos afectados.

  Cláusula 8 (texto de inserción), art. 30 DORA

  Reglamento (UE)2022/2554 ↗ · Arts.6,9,26–31,28.3,30.2–3

  Reglamento de Ejecución (UE)2024/2956 ↗ · Considerando6,art.5.1.l,plantillaB_05.02

  G7 CEG Quantum Roadmap,enero2026 ↗ · p.1Purpose ypp.3–4Transition Activities/Timelines

  FINMA Guidance05/2026 Quantum computing ↗ · §3.1p.6,§3.2–3.4pp.6–7

• Registro de información y riesgo de concentración

  La entidad financiera debe mantener y actualizar el registro de información del art. 28.3 DORA sobre todos los acuerdos contractuales de servicios TIC prestados por terceros, y la obligación legal recae sobre la entidad financiera, no sobre el proveedor como tal. La cláusula del manual puede exigir al proveedor que facilite a la firma, al menos anualmente o cuando proceda contractualmente, datos necesarios para que la entidad mantenga y comunique su registro, pero ese deber anual del proveedor es propuesta contractual y debe distinguirse de la obligación legal de mantenimiento y actualización del registro por la entidad financiera. La cadena de suministro debe documentarse conforme a la plantilla B_05.02: proveedores directos, intragrupo, subcontratistas que sustenten funciones esenciales o importantes o partes sustanciales, y al menos el primer subcontratista extragrupo en el supuesto intragrupo previsto, sin universalizar “cadena completa” para cualquier servicio no crítico. La concentración del mercado de hardware y servicios cuánticos puede ser un factor de riesgo de concentración TIC y puede alimentar el análisis de proveedores terceros esenciales, pero no convierte automáticamente al proveedor cuántico en tercero crítico.

  Cláusula 8 (texto de inserción)

  Reglamento (UE)2022/2554 ↗ · Arts.6,9,26–31,28.3,30.2–3

  Reglamento de Ejecución (UE)2024/2956 ↗ · Considerando6,art.5.1.l,plantillaB_05.02

  G7 CEG Quantum Roadmap,enero2026 ↗ · p.1Purpose ypp.3–4Transition Activities/Timelines

  FINMA Guidance05/2026 Quantum computing ↗ · §3.1p.6,§3.2–3.4pp.6–7

• Marco prudencial y expectativas supervisoras

  La dimensión prudencial debe mantenerse como transversal y vinculada a riesgo operacional y de modelo, concentración de terceros TIC, materialidad y divulgación de exposición cuántica, incluso cuando se conecte con MiCA o el régimen piloto DLT, pero la obligación concreta dependerá del régimen sectorial aplicable. FINMA 05/2026 es fuente oficial suiza y recomienda estrategia aprobada por el board, roadmap, inventario, protección de datos críticos y cripto-agilidad, con roadmap PQC a más tardar a mediados de 2027 para entidades supervisadas suizas. El G7 CEG Quantum Roadmap de enero de 2026 sí existe como fuente oficial, pero declara expresamente que no establece guidance ni expectativas regulatorias, por lo que debe clasificarse como R y no como expectativa supervisora. La frase “ambas convierten la migración PQC en expectativa supervisora” debe sustituirse por “FINMA formula una recomendación supervisora suiza; G7 CEG ofrece una hoja de ruta no prescriptiva de apoyo a la planificación”.

  Informes de revisión legal del contenido web (28-07-2026, consejo de modelos) · FINMA Aufsichtsmitteilung 05/2026 · G7 CEG Quantum Roadmap

  Reglamento (UE)2022/2554 ↗ · Arts.6,9,26–31,28.3,30.2–3

  Reglamento de Ejecución (UE)2024/2956 ↗ · Considerando6,art.5.1.l,plantillaB_05.02

  G7 CEG Quantum Roadmap,enero2026 ↗ · p.1Purpose ypp.3–4Transition Activities/Timelines

  FINMA Guidance05/2026 Quantum computing ↗ · §3.1p.6,§3.2–3.4pp.6–7

Historial de cambios

• jul 2026Revisión legal 28-07: bloque «Marco prudencial y expectativas supervisoras» añadido (FINMA 05/2026; hoja de ruta del G7 CEG), vinculado desde MiCA y régimen piloto DLT

Fuentes

Fuentes verificadas

• Reglamento (UE) 2022/2554 — Resiliencia operativa digital del sector financiero ↗
  https://eur-lex.europa.eu/eli/reg/2022/2554/oj