Reglamento DORA: qué es, a quién aplica y cómo prepararse

Qué es el Reglamento DORA

DORA son las siglas en inglés de Digital Operational Resilience Act, el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. Se publicó en diciembre de 2022 y es de aplicación directa en todos los Estados miembros desde el 17 de enero de 2025, sin necesidad de transposición nacional. Eso significa que las obligaciones son las mismas en Madrid, Lisboa o Fráncfort, aunque cada país designe sus propias autoridades de supervisión.

El objetivo es sencillo de enunciar y complejo de cumplir: que las entidades financieras gestionen el riesgo tecnológico con el mismo rigor con el que gestionan el riesgo de crédito o de liquidez. Hasta DORA, las exigencias sobre tecnología estaban dispersas en directrices de la EBA, EIOPA y ESMA. DORA las unifica en un único marco vinculante y añade un régimen de supervisión directa a nivel europeo para los proveedores TIC considerados críticos.

El Reglamento se complementa con normas técnicas (RTS e ITS) de las tres autoridades europeas de supervisión, que concretan el marco de gestión del riesgo, la clasificación de incidentes, las plantillas de notificación y el registro de información sobre proveedores.

A quién aplica DORA en España

El artículo 2 del Reglamento enumera una lista larga de entidades financieras. En la práctica, en España afecta a casi cualquier empresa que opere bajo licencia financiera, con independencia de su tamaño, aunque se prevé un principio de proporcionalidad y regímenes simplificados para algunas categorías pequeñas.

Además de las entidades financieras, DORA alcanza a los terceros proveedores de servicios TIC. Cualquier empresa de software, alojamiento, nube, ciberseguridad o análisis de datos que preste servicios a una entidad financiera verá reflejadas las exigencias del Reglamento en sus contratos, aunque no esté regulada directamente. Un subconjunto de proveedores, los designados como críticos por las autoridades europeas, queda bajo supervisión directa de un supervisor principal a nivel de la UE.

• Entidades de crédito, entidades de pago y entidades de dinero electrónico.
• Empresas de servicios de inversión, gestoras de fondos (UCITS y FIA) y proveedores de servicios de criptoactivos.
• Empresas de seguros y reaseguros, intermediarios de seguros y fondos de pensiones de empleo, con exclusiones para los más pequeños.
• Centros de negociación, depositarios centrales de valores, entidades de contrapartida central y agencias de calificación.
• Proveedores de servicios de suministro de información (PSD2) y proveedores de servicios de financiación participativa.
• Terceros proveedores de servicios TIC del sector financiero, con un régimen específico para los designados como críticos.

Los cinco pilares del Reglamento

DORA se estructura en cinco bloques de obligaciones. Entender esta estructura ayuda a organizar el proyecto de cumplimiento, porque cada pilar suele recaer en equipos distintos: tecnología, seguridad, compras, jurídico y dirección.

El primer pilar, la gestión del riesgo TIC (artículos 5 a 16), exige un marco documentado, aprobado y revisado por el órgano de dirección, que cubra identificación de activos, protección, detección, respuesta, recuperación y aprendizaje. La responsabilidad final recae de forma expresa en el consejo o el órgano de administración, que debe recibir formación y aprobar la estrategia de resiliencia digital.

El segundo pilar es la gestión, clasificación y notificación de incidentes relacionados con las TIC (artículos 17 a 23). Las entidades deben clasificar los incidentes según criterios armonizados y notificar los graves a su autoridad competente con una notificación inicial, un informe intermedio y un informe final en plazos concretos definidos en las normas técnicas. También pueden notificar de forma voluntaria las ciberamenazas significativas.

El tercer pilar son las pruebas de resiliencia operativa digital (artículos 24 a 27). Todas las entidades deben tener un programa de pruebas proporcional a su tamaño: análisis de vulnerabilidades, pruebas de seguridad de red, revisiones de código o pruebas de escenarios. Las entidades más significativas deben además realizar pruebas avanzadas de penetración guiadas por amenazas (TLPT) al menos cada tres años, siguiendo el marco TIBER-EU.

El cuarto pilar, la gestión del riesgo de terceros (artículos 28 a 44), es probablemente el que más trabajo genera. Obliga a mantener un registro de información con todos los acuerdos contractuales sobre servicios TIC, a evaluar a los proveedores antes de contratar, a incluir cláusulas contractuales mínimas (niveles de servicio, acceso y auditoría, ubicación de datos, salida ordenada) y a contar con estrategias de salida para los servicios que sustentan funciones esenciales.

El quinto pilar es el intercambio de información e inteligencia sobre ciberamenazas (artículo 45). Es voluntario, pero el Reglamento anima a las entidades a participar en acuerdos de intercambio y exige que quien lo haga notifique su participación a la autoridad competente.

Quién supervisa DORA en España

El Reglamento no crea un supervisor nuevo. Cada entidad depende de la autoridad que ya la supervisa en su sector, y esa autoridad asume las competencias de DORA. En España el reparto sigue la estructura habitual del sistema financiero.

El Banco de España supervisa a las entidades de crédito, entidades de pago, entidades de dinero electrónico y proveedores de servicios de información sobre cuentas, en coordinación con el Banco Central Europeo para las entidades significativas del Mecanismo Único de Supervisión. La Comisión Nacional del Mercado de Valores (CNMV) es la autoridad competente para empresas de servicios de inversión, gestoras, centros de negociación, depositarios y proveedores de servicios de criptoactivos. La Dirección General de Seguros y Fondos de Pensiones (DGSFP) supervisa a aseguradoras, reaseguradoras, mediadores y fondos de pensiones.

Los tres supervisores han publicado guías, preguntas frecuentes y canales de notificación de incidentes en sus sedes electrónicas. Conviene comprobar directamente en la web del supervisor correspondiente los formularios y plazos vigentes, porque las normas técnicas se han ido actualizando desde 2025. Para los proveedores TIC críticos, la supervisión la ejerce una de las autoridades europeas (EBA, ESMA o EIOPA) designada como supervisor principal.

En cuanto a plazos, DORA es plenamente aplicable desde el 17 de enero de 2025, sin periodo transitorio general. El marco de gestión del riesgo debe revisarse al menos una vez al año y tras cada incidente grave, el registro de información se remite al supervisor con la periodicidad que este fije, y las pruebas TLPT siguen un ciclo de tres años para las entidades designadas.

Carencias típicas en entidades medianas y proveedores

Las entidades grandes llevan años trabajando con las directrices de la EBA y suelen tener estructuras de riesgo tecnológico maduras. El problema está en las entidades medianas y pequeñas y, sobre todo, en los proveedores TIC, que descubren DORA cuando un cliente financiero les envía un anexo contractual de treinta páginas.

En las revisiones internas y en las autoevaluaciones aparecen una y otra vez las mismas carencias. La mayoría no son problemas técnicos, sino de gobierno, documentación y contratos.

• El órgano de dirección no ha aprobado formalmente el marco de gestión del riesgo TIC ni ha recibido formación sobre resiliencia digital.
• No existe un inventario completo de activos, funciones esenciales y dependencias entre sistemas, proveedores y procesos de negocio.
• El registro de información sobre proveedores está incompleto o no sigue la estructura de la norma técnica correspondiente.
• Los contratos con proveedores TIC no incluyen derechos de auditoría, ubicación de datos, obligaciones de notificación de incidentes ni condiciones de salida.
• Los procedimientos de gestión de incidentes no permiten clasificar y notificar en los plazos exigidos, sobre todo fuera del horario laboral.
• El programa de pruebas se limita a un análisis de vulnerabilidades anual, sin pruebas basadas en escenarios ni verificación de los planes de continuidad.
• No hay estrategias de salida documentadas para los servicios en la nube que sustentan funciones esenciales.

Cómo prepararse paso a paso

Un plan de adecuación realista para una entidad mediana suele organizarse en cuatro fases. La primera es un diagnóstico: comparar lo que ya existe (políticas de seguridad, continuidad de negocio, gestión de proveedores) con los artículos de DORA y sus normas técnicas, y priorizar las diferencias según el impacto en funciones esenciales.

La segunda fase es el gobierno. Hay que asignar responsables por pilar, aprobar en el consejo la estrategia de resiliencia digital y definir el apetito de riesgo tecnológico. Sin este paso, el resto del proyecto se queda en el departamento de tecnología y no supera una inspección.

La tercera fase es la ejecución: completar el inventario de activos y el registro de proveedores, renegociar contratos, actualizar los procedimientos de incidentes y diseñar el programa de pruebas. La cuarta es la operación continua, con revisiones anuales, indicadores para el consejo y evidencias ordenadas para atender un requerimiento del supervisor.

Si su empresa es un proveedor TIC y no una entidad financiera, el enfoque es parecido pero desde el otro lado del contrato: prepare de antemano la documentación que sus clientes van a pedirle (medidas de seguridad, subcontratistas, ubicación de datos, plan de continuidad, procedimiento de notificación de incidentes) y revise su capacidad de aceptar derechos de auditoría y condiciones de salida. Una autoevaluación gratuita en baltum.ai muestra en pocos minutos en qué pilares está más lejos del nivel esperado y por dónde empezar.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.