Gobierno y Gestión de Encargados de Tratamiento (TPRM)

Programa de Third Party Risk Management y art. 28 RGPD basado en el esquema de certificación de la CNIL de encargados de tratamientos.

¿Por qué este programa?

Las organizaciones dependen cada vez más de una red compleja de proveedores, socios tecnológicos y servicios cloud. Muchos de los incidentes más graves de seguridad y de protección de datos tienen su origen en un tercero: una brecha en un proveedor de nóminas, una mala configuración en un servicio cloud, una plataforma de marketing que comparte datos más allá de lo previsto.

El RGPD, NIS2, DORA, el ENS y otros marcos regulatorios coinciden en una idea: la gestión de riesgos de terceras partes (TPRM) ya no es opcional. Es una pieza central del gobierno de datos, de la ciberseguridad y de la resiliencia operativa.

Este Programa de Especialización de 45 horas te ofrece una visión avanzada, estratégica y profundamente práctica para diseñar e implantar un marco de gestión de terceros que resista el escrutinio regulatorio y aporte valor real a tu organización.

¿A quién va dirigido?

• DPD/DPO, CPO y responsables de privacidad que deban coordinar la relación con proveedores y encargados.
• CISO, responsables de seguridad de la información, ENS y continuidad de negocio.
• Responsables de riesgos, compliance, auditoría interna y control interno.
• Responsables de compras, contratación y TI con responsabilidad sobre proveedores críticos.
• Consultores/as y auditores/as que diseñan, evalúan o acompañan programas de gestión de riesgos de terceros en organizaciones públicas y privadas.

Qué vas a lograr

Al completar el programa serás capaz de:

• Diseñar un marco integral de gestión de riesgos de terceras partes alineado con RGPD/LOPDGDD, ENS, NIS2 y DORA.
• Traducir obligaciones legales en requisitos concretos para tus proveedores, apoyándote en el referencial de la CNIL, guías de AEPD, EDPB, ICO e ISMS Forum.
• Utilizar marcos técnicos de referencia (NIST SP 800-53, NIST SP 800-161, NIST CSF 2.0, ENISA, CCN-STIC) para definir controles mínimos exigibles a terceros.
• Diseñar procesos de ciclo de vida TPRM: clasificación de proveedores, due diligence, onboarding, monitorización y offboarding.
• Construir indicadores, cuadros de mando y modelos de reporting para comités de riesgo y órganos de gobierno.
• Extraer lecciones de casos reales de AEPD, CNIL, Garante, ICO, EDPS, supervisores financieros y organismos sectoriales.
• Elaborar una política, procedimiento y herramientas básicas de TPRM aplicables a tu organización o a un entorno tipo.

Enfoque y metodología

Este es un programa de especialización, con un enfoque claramente ejecutivo y aplicado:

• Utilizamos el proyecto de referencial de certificación de subcontratistas de la CNIL como esqueleto para ordenar requisitos y evidencias, pero lo integramos con una visión comparada y neutral.
• Conectamos ese esqueleto con RGPD/LOPDGDD, ENS, NIS2, DORA, guías de AEPD, EDPB, ICO, ISMS Forum y marcos técnicos como NIST y ENISA.
• Trabajamos con casos reales de sanciones, incidentes y buenas prácticas, tanto en sector público como privado.
• Cada participante desarrolla un proyecto final orientado a su propia realidad organizativa (o a un caso modelo), que puede servir como base para desplegar o mejorar su programa de TPRM.

Estructura del programa (50 horas)

• Módulo 1 – Gobernanza de datos, accountability y rol de los terceros (11 h)
• Módulo 2 – Referencial CNIL y diseño de requisitos de cumplimiento para encargados (9 h)
• Módulo 3 – Marcos técnicos y regulatorios para TPRM (NIST, ENISA, ENS, NIS2, DORA) (9 h)
• Módulo 4 – Ciclo de vida TPRM y procesos operativos (9 h)
• Módulo 5 – Contratos, métricas, cuadros de mando y reporting (6 h)
• Módulo 6 – Casos reales, auditoría y proyecto final (6 h)

Modalidad, duración y certificación

• Duración: 50 horas lectivas.
• Modalidad: online, en directo, con acceso a grabaciones.
• Trabajo autónomo adicional estimado: 15–20 horas.
• Certificación: certificado de aprovechamiento emitido por GRCx3 – Escuela de Gobierno, Riesgo y Cumplimiento, sujeto a participación activa y superación del proyecto final.