Vuestro plan de salida DORA se presupuestó, no se planificó. El precio desaparece en enero.

Dentro de cinco meses, la factura que hacía impensable la salida de la nube queda legislada a cero, y con ella se va la excusa más duradera de la gestión del riesgo de terceros. DORA exige estrategias de salida para los servicios TIC que soportan funciones críticas o importantes desde que resulta aplicable. La mayoría de los bancos las redactó. Muchos menos las costearon, y menos aún las ensayaron, porque la respuesta honesta a «¿qué haría falta para marcharse?» implicaba una factura de egreso que nadie quería poner delante de un comité de costes. Desde el 12 de enero de 2027, el Reglamento europeo de Datos abole por completo las tarifas de cambio de proveedor, egreso de datos incluido. Eso no hace fácil la migración. Retira el único obstáculo que podía calificarse de insalvable sin que nadie tuviera que comprobar si lo era — y una vez levantada la barrera comercial, queda una cuestión de ingeniería que un supervisor tiene derecho a ver respondida.

Resumen ejecutivo

Una fecha, no una tendencia. Las tarifas de cambio terminan el 12 de enero de 2027. El derecho legal a cambiar de proveedor, y a recibir asistencia técnica para hacerlo, está vigente desde el 12 de septiembre de 2025.

Se retira la excusa, no la dificultad. La tarificación del egreso nunca fue la única razón por la que los planes de salida seguían siendo teóricos. Era la razón que no obligaba a nadie a admitir un problema de arquitectura.

DORA ya pedía más que un documento. El artículo 28, apartado 8, exige estrategias de salida exhaustivas, documentadas, suficientemente probadas y revisadas periódicamente.

La pregunta supervisora cambia de forma. Ya no «¿tenéis un plan de salida?», sino «nos dijisteis que el coste era la restricción — ha desaparecido, enseñadnos el ensayo».

Qué cambia realmente el 12 de enero de 2027

El Reglamento europeo de Datos es el Reglamento (UE) 2023/2854. Sus disposiciones sobre cambio de proveedor han llegado por fases, y merece la pena enunciarlas con precisión porque el estado final es inusualmente contundente.

Desde el 12 de septiembre de 2025, los clientes de los servicios de tratamiento de datos incluidos tienen un derecho legal a cambiar de proveedor, y los proveedores deben cooperación técnica para que la portabilidad funcione, no solo permitirla en teoría.

Desde la entrada en vigor del Reglamento, un régimen transitorio ha limitado lo que los proveedores pueden cobrar. Durante esa ventana, las tarifas de cambio y egreso no podían exceder los costes realmente soportados por el proveedor y directamente vinculados al proceso de cambio en cuestión. Sin margen, sin precios estratégicos.

Desde el 12 de enero de 2027, en virtud de la disposición de retirada gradual del artículo 29, las tarifas de cambio quedan prohibidas por completo. Eso incluye las tarifas de egreso de datos — el precio por gigabyte que ha hecho casi todo el trabajo para que modelar una salida pareciera prohibitivo.

De ello se siguen de inmediato tres consecuencias, y solo una tiene que ver con el dinero.

El argumento comercial de quedarse pierde una partida que a menudo cargaba con mucho peso retórico. Las cláusulas contractuales redactadas en torno a un régimen tarifario que dejará de existir hay que revisarlas. Y la pregunta analítica pasa de cuánto costaría esto a qué haría falta, una pregunta mucho más difícil de dejar sin respuesta en un informe de consejo.

Por qué los planes de salida se quedaron en el papel

Conviene ser justos. Los planes de salida no se descuidaron porque nadie los considerara importantes. Se quedaron en teoría porque una prueba real era cara de un modo fácil de cuantificar y difícil de justificar.

Sacar una carga de trabajo significativa de un hiperescalar suponía pagar por mover los datos, levantar capacidad paralela y absorber el coste de operar dos parques durante una conmutación. La línea de egreso era la que un director financiero veía, y era invariablemente la línea que terminaba la conversación. Eso lo convertía en un obstáculo insólitamente cómodo: aplazaba el programa sin obligar a nadie a decir que el problema era la arquitectura.

Debajo, tres restricciones más duras hacían el trabajo real, y ninguna se ve afectada por el Reglamento.

Los servicios gestionados no son portables por naturaleza. Una carga construida sobre la base de datos gestionada de un proveedor, su modelo de identidad, su bus de eventos y su ejecución sin servidor no es una carga que se mueva. Es una carga que se reescribe. La portabilidad se cambió deliberadamente, normalmente por buenas razones de velocidad y coste operativo, y la factura de ese canje se denomina en trimestres de ingeniería, no en euros por gigabyte.

La gravedad de los datos sobrevive a la transferencia de datos. El parque analítico, los almacenes de características, los archivos de auditoría y todo lo que ha crecido alrededor no se reubican limpiamente aunque los bytes viajen gratis.

Nadie lo ha ensayado. Un plan que nunca se ha ejecutado es una hipótesis. Los redactores de DORA lo entendieron claramente, y por eso el artículo 28, apartado 8, no se detiene en exigir un plan.

Tabla 1: qué retira y qué no retira el Reglamento

Obstáculo a la salida	¿Retirado el 12 de enero de 2027?
Tarifas de egreso y de cambio	Sí — prohibidas por completo
Cláusulas contractuales construidas sobre esas tarifas	No — hay que renegociarlas
Acoplamiento a servicios gestionados	No — rearquitectura, no transferencia
Gravedad de los datos en el parque analítico	No
Ausencia de una conmutación ensayada	No — ese es el trabajo

La columna derecha es la cuestión. Cambia una fila, y es la que venía haciendo de sustituta de todas las demás.

Qué exige realmente DORA

La obligación que aquí queda al descubierto no es nueva, y es más exigente de lo que suele tratarse.

El artículo 28, apartado 8, exige a las entidades financieras establecer estrategias de salida para los servicios TIC que soportan funciones críticas o importantes. Esas estrategias deben contemplar el fallo del proveedor, el deterioro de la calidad del servicio, la interrupción del negocio derivada de una prestación inadecuada y los riesgos materiales para el despliegue continuo del servicio. Los planes deben ser exhaustivos, documentados y — la expresión que importa — suficientemente probados y revisados periódicamente.

«Suficientemente probados» siempre fue la cláusula dura. Un documento que describe una migración no es prueba de que la migración sea posible en un plazo tolerable. La expectativa supervisora recae sobre la capacidad, no sobre el artefacto.

Durante dos años, el coste ha sido la razón por la que la cláusula de prueba quedó insatisfecha en la práctica. Era una razón que un supervisor podía escuchar sin escalar de inmediato, porque era cierta y cuantificable. Desde enero deja de estar disponible, y queda la respuesta a una pregunta que nunca ha tenido una buena: ¿cuánto tardaría esto realmente, y cómo lo sabéis?

El trabajo contractual que nadie ha programado

El entregable de corto plazo es ingrato y acotado en el tiempo, combinación rara en este terreno.

Los contratos cloud redactados en los últimos años contienen economías de cambio y egreso que será ilícito cobrar. Algunos contienen preavisos, obligaciones de asistencia y cláusulas de devolución de datos calibradas para un mundo en el que se esperaba que el cliente pagara el privilegio. Esas cláusulas no se autocorrigen el 12 de enero de 2027; simplemente pasan a ser estipulaciones inaplicables tal como están redactadas, alojadas en contratos que siguen rigiendo todo lo demás.

Eso produce una pieza de trabajo discreta con un plazo natural: identificar los contratos afectados, establecer qué cláusulas quedan desplazadas e incorporar las correcciones en la próxima renovación, en vez de descubrir el desajuste durante un incidente.

Tabla 2: qué establecer antes del ciclo de renovación

Pregunta	Qué determina en vuestra exposición
¿Qué contratos tarifican el cambio o el egreso?	Esas cláusulas quedan inaplicables; el resto del contrato no
¿A qué asistencia está realmente obligado el proveedor?	El deber legal está vigente desde septiembre de 2025
Por cada función crítica o importante, ¿cuál es la ventana de salida objetivo?	«Suficientemente probado» necesita una cifra contra la que probar
¿Se ha ensayado alguna salida de extremo a extremo, aunque sea a escala reducida?	Un plan que nunca se ha ejecutado es una hipótesis
¿Qué habría que reescribir en lugar de mover?	Separa un problema de transferencia de uno de arquitectura
¿Quién es dueño de la capacidad de salida entre pruebas?	La capacidad de salida se degrada en silencio según evoluciona el parque

La pregunta que esto deja al descubierto

Hay una posibilidad incómoda que conviene nombrar, porque la fecha de enero la sacará a la luz.

Si el cambio es gratuito y la salida sigue sin ser creíble, entonces el coste nunca fue la restricción determinante. La restricción determinante era la concentración — una función crítica alojada en un proveedor que no puede abandonar en la práctica, que es exactamente la condición que el régimen de terceros de DORA existe para sacar a la superficie, y la razón por la que los proveedores terceros críticos de servicios TIC se designan y se supervisan.

No es un argumento para repatriar cargas de trabajo. La nube sigue siendo la respuesta correcta para casi todo lo que los bancos ejecutan, y una salida mal ejecutada es peor que una dependencia bien gestionada. Es un argumento para saber en cuál de las dos situaciones estáis, y poder demostrarlo. La entidad que puede decir «probamos una salida parcial de este servicio, tardó once semanas, esto es lo que se rompió» está en una conversación supervisora materialmente distinta de la que produce un documento de cuarenta páginas y una estimación.

El Reglamento ha retirado la excusa. No ha retirado el problema, y nunca iba a hacerlo.

El manual operativo

Cinco movimientos, y el primero no es una revisión contractual.

Elegid una función crítica o importante y costead la salida con honestidad — ahora, a los precios antiguos. Queréis la cifra mientras el egreso todavía tiene precio, porque os dice cuánta de vuestra reticencia fue alguna vez financiera. Con frecuencia la respuesta es: menos de lo que todos suponían.
Ensayad una salida parcial. No todo el parque. Un servicio, una dependencia, una restauración en un segundo proveedor o una huella propia, con el reloj en marcha. El resultado es una duración y una lista de defectos, que es lo que «suficientemente probado» está pidiendo.
Inventariad las cláusulas que mueren en enero. Tarifas de cambio, precios de egreso, obligaciones de asistencia calibradas sobre ellas. Incorporad las correcciones al ciclo de renovación en lugar de dejar en vigor por inercia estipulaciones inaplicables.
Separad transferencia de reescritura, carga por carga. Dos columnas. Lo que podría moverse con egreso gratuito, y lo que habría que reconstruir. La segunda columna es vuestro horizonte real de salida, y es la cifra que el consejo nunca ha recibido.
Asignad un dueño a la capacidad entre pruebas. La capacidad de salida es una propiedad de la arquitectura actual, no un documento con fecha de revisión. Sin un responsable nombrado se degrada calladamente con cada sprint que añade una dependencia gestionada.

El alivio regulatorio suele llegar como algo que se retira. Este retira una cifra que venía haciendo de argumento. Las entidades que peor quedarán en 2027 no son las que sigan con un único proveedor — la mayoría lo estará. Son las que pasaron dos años diciendo a los supervisores que el coste era el obstáculo, y no tienen nada que decir en enero cuando deja de serlo.

Preguntas frecuentes

¿Significa esto que la salida de la nube se vuelve fácil?
No. Se vuelve libre de tarifas de cambio, que es una afirmación distinta. El Reglamento retira el coste de transferencia; no hace portable una carga construida sobre servicios gestionados. Eso sigue siendo una rearquitectura, y se mide en trimestres de ingeniería, no en euros.

¿Qué queda exactamente prohibido desde el 12 de enero de 2027?
Las tarifas de cambio, incluidas las de egreso de datos. Durante el período transitorio los proveedores solo podían recuperar los costes directamente vinculados al proceso de cambio, sin margen; desde esa fecha no pueden cobrar nada.

¿Ya hay algo en vigor?
Sí. Desde el 12 de septiembre de 2025 los clientes tienen derecho legal a cambiar de proveedor y a recibir cooperación técnica para portar sus datos. La fecha de enero cierra específicamente la cuestión tarifaria.

¿Dónde entra DORA?
El artículo 28, apartado 8, exige estrategias de salida para los servicios TIC que soportan funciones críticas o importantes, y exige que sean exhaustivas, documentadas, suficientemente probadas y revisadas periódicamente. El coste ha sido la razón práctica por la que el requisito de prueba quedó incumplido. Esa razón caduca.

Estamos en un solo hiperescalar y seguiremos ahí. ¿Nos afecta algo de esto?
Sí, y probablemente más. La obligación es tener una capacidad de salida probada, no ejercerla. Quedarse es una decisión; no poder marcharse es un riesgo de concentración, y después de enero ya no podréis atribuir lo segundo al precio del egreso.

¿Qué es lo más útil que se puede hacer este trimestre?
Ensayar una salida parcial de una función crítica o importante y registrar cuánto tardó y qué falló. Ese artefacto responde a la pregunta supervisora, dimensiona el problema real y vale más que cualquier cantidad de planificación adicional.

Referencias

Parlamento Europeo y Consejo de la Unión Europea, 2023. Reglamento (UE) 2023/2854 sobre normas armonizadas para un acceso justo a los datos y su utilización (Reglamento de Datos). Bruselas: Diario Oficial de la Unión Europea. Disponible en: Parlamento Europeo y Consejo de la Unión Europea, 2023..
Comisión Europea, 2026. El Reglamento de Datos explicado. Bruselas: Dirección General de Redes de Comunicación, Contenido y Tecnologías. Disponible en: Comisión Europea, 2026..
Parlamento Europeo y Consejo de la Unión Europea, 2022. Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero (DORA). Bruselas: Diario Oficial de la Unión Europea. Disponible en: Parlamento Europeo y Consejo de la Unión Europea, 2022..
Autoridad Bancaria Europea, 2025. Directrices sobre acuerdos de externalización. París: Autoridad Bancaria Europea. Disponible en: Autoridad Bancaria Europea, 2025..

Última revisión 2026-08-18.

Volver a publicar este artículo

Vuestro plan de salida DORA se presupuestó, no se planificó. El precio desaparece en enero. — Sebastien Rousseau

Desde el 12 de enero de 2027 se abolen las tarifas de cambio de nube, egreso incluido. Con ellas caduca el argumento del coste que mantenía teóricos los planes de salida.

Este artículo se publica bajo Creative Commons Attribution 4.0 International. La republicación requiere atribución a la URL canónica.

Vuestro plan de salida DORA se presupuestó, no se planificó. El precio desaparece en enero. — Sebastien Rousseau

Desde el 12 de enero de 2027 se abolen las tarifas de cambio de nube, egreso incluido. Con ellas caduca el argumento del coste que mantenía teóricos los planes de salida.

Originally published at https://sebastienrousseau.com/es/2026-08-04-data-act-cloud-switching-dora-exit-strategies-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER