Respuesta cortaDORA, aplicable desde enero de 2025, obliga a las entidades financieras a gestionar el riesgo de sus proveedores de servicios TIC. Una agencia de marketing no siempre es un proveedor TIC relevante, pero las herramientas, integraciones y accesos que usa sí pueden serlo. Pide inventario de accesos, mínimo privilegio, credenciales en la entidad, registro de acciones y un plan de salida.
El Reglamento (UE) 2022/2554, conocido como DORA, se aplica desde el 17 de enero de 2025 a bancos, entidades de pago, aseguradoras, empresas de servicios de inversión, proveedores de criptoactivos y otras entidades financieras. Regula la resiliencia operativa digital, incluida la gestión del riesgo de terceros TIC.
¿Es tu agencia un proveedor TIC?
Depende de lo que haga. Una agencia que solo diseña creatividades probablemente no lo es en un sentido relevante. Pero muchas agencias:
- Tienen acceso a cuentas publicitarias y de analítica.
- Instalan etiquetas y scripts en la web o la app.
- Conectan el CRM con Google Ads y Meta.
- Usan herramientas de terceros que procesan datos de la entidad.
- Montan integraciones de IA con acceso a datos.
Esos servicios pueden entrar en el perímetro de servicios TIC y en el registro de información de proveedores que exige DORA. La calificación concreta es cosa de tu equipo de riesgos y cumplimiento.
Qué pedir a tu agencia en la práctica
- Inventario de accesos: qué cuentas, con qué rol y qué personas.
- Mínimo privilegio: solo lectura salvo cuando haga falta editar; nada de administradores por defecto.
- Credenciales en la entidad: tokens de API, cuentas de servicio y claves en sistemas de la entidad, no en el portátil de la agencia.
- Registro de acciones: qué se cambió, cuándo y quién.
- Subproveedores: qué herramientas usa la agencia y dónde tratan los datos.
- Gestión de incidentes: cómo avisa la agencia si hay una brecha o un acceso indebido.
- Plan de salida: cómo se devuelven los accesos y los activos si termina la relación.
Etiquetas y scripts
El gestor de etiquetas es una vía de entrada de código de terceros en tu web. Limita quién puede publicar, revisa los cambios y documenta qué etiquetas hay y para qué.
Integraciones de IA
Si conectas Claude u otros modelos a tus cuentas publicitarias, aplica los mismos principios: permisos mínimos, aprobación humana para cambios con impacto, registro de cada acción y credenciales en tu infraestructura. Así lo montamos en la integración de IA con plataformas de paid.
Preguntas frecuentes
¿Tengo que firmar un contrato DORA con mi agencia?
Si tu equipo de riesgos considera que presta servicios TIC en el ámbito de DORA, el contrato debe incluir las cláusulas que exige el reglamento. Si no, igualmente conviene recoger los controles anteriores.
¿Afecta a los intermediarios de seguros pequeños?
DORA prevé un régimen más ligero para algunas entidades pequeñas, y excluye a ciertos intermediarios de seguros por tamaño. Revisa tu caso.
¿Las plataformas publicitarias son proveedores TIC?
Esa calificación la decide cada entidad con su análisis de riesgos. En la práctica, conviene documentar su uso y los datos que se comparten.
Este artículo es divulgativo y no sustituye al asesoramiento jurídico. La normativa y las políticas de las plataformas cambian: revisa siempre la versión vigente antes de lanzar una campaña. Revisado en octubre de 2026.
Sergi Morancho Díaz · Fundador y consultor de paid media y visibilidad local · LinkedIn
Especialista en Google Ads, Meta, Microsoft Ads y publicidad programática con más de 17 millones de euros de inversión gestionada. Ha llevado cuentas de seguros, banca y viajes, y hoy se centra en tres sectores: seguros (corredurías, agentes y aseguradoras con red), fintech y financieras, y turismo.