DORA: Qué Es y a Quién Obliga en el Sector Financiero
El reglamento DORA obliga desde el 17 de enero de 2025 a todo el sector financiero de la Unión Europea a demostrar que puede resistir, responder y recuperarse ante cualquier incidente digital sin comprometer la estabilidad del sistema. No es una recomendación ni una guía de buenas prácticas: es una norma de obligado cumplimiento con aplicación directa. Si diriges, supervisas o das soporte tecnológico a un banco, una aseguradora o una gestora, esto te afecta de lleno. En este artículo te explicamos con rigor qué es y, sobre todo, a quién obliga exactamente.
¿Qué es el reglamento DORA?
DORA (Digital Operational Resilience Act) es el Reglamento (UE) 2022/2554, la norma europea sobre resiliencia operativa digital del sector financiero. Su objetivo es sencillo de enunciar y exigente de cumplir: que las entidades financieras y sus proveedores tecnológicos sean capaces de mantener la actividad, contener el daño y recuperarse con rapidez ante incidentes relacionados con las tecnologías de la información y la comunicación (TIC), ya sean ciberataques, fallos de sistemas o caídas de terceros.
Al tratarse de un reglamento y no de una directiva, su aplicación es directa en los 27 Estados miembros: no necesita trasposición a la legislación nacional para ser exigible. Esto marca una diferencia práctica importante frente a otras normas. Desde el 17 de enero de 2025, las obligaciones son plenamente aplicables y los supervisores europeos y nacionales pueden requerir su cumplimiento. Puedes consultar el texto íntegro y consolidado en el portal oficial EUR-Lex.
DORA parte de una constatación: el negocio financiero es ya, en esencia, digital. Un incidente en un sistema crítico o en un proveedor de nube puede paralizar pagos, mercados o pólizas en cuestión de minutos y propagarse por todo el sistema. Por eso el reglamento eleva la resiliencia operativa digital a la misma categoría que el riesgo de crédito o de liquidez.
A quién obliga el reglamento DORA: ámbito de aplicación
Esta es la pregunta que más importa a tu organización, y la respuesta es amplia: DORA cubre a prácticamente todo el ecosistema financiero de la UE y a las empresas tecnológicas que le dan servicio. El ámbito de aplicación es una de las señas de identidad de esta norma, porque va mucho más allá de la banca tradicional.
Entidades financieras
El reglamento enumera de forma expresa un catálogo muy extenso de sujetos obligados. Entre ellos se encuentran:
- Entidades de crédito (bancos) y entidades de dinero electrónico.
- Empresas de servicios de inversión y entidades de pago.
- Compañías de seguros y reaseguros, y mediadores de seguros.
- Gestoras de fondos, sociedades de inversión y fondos de pensiones de empleo.
- Proveedores de servicios de criptoactivos y emisores de fichas.
- Agencias de calificación crediticia, plataformas de financiación participativa y depositarios centrales de valores.
En la práctica, si tu entidad está supervisada por el Banco de España, la CNMV o la Dirección General de Seguros, o por sus equivalentes europeos, el reglamento DORA te aplica. La norma introduce, eso sí, un principio de proporcionalidad: las exigencias se modulan según el tamaño, el perfil de riesgo y la complejidad de cada entidad, de modo que una gran entidad sistémica y una pequeña gestora no afrontan la misma carga.
Proveedores terceros de servicios TIC
Aquí está la gran novedad y el punto que muchas empresas tecnológicas pasan por alto. DORA extiende su alcance a los proveedores externos de servicios TIC del sector financiero: proveedores de nube, centros de datos, software como servicio, desarrolladores, integradores, empresas de ciberseguridad y de soporte. Si prestas servicios tecnológicos a una entidad financiera, el reglamento DORA te afecta, aunque tu empresa no esté regulada como entidad financiera.
El impacto llega por dos vías. La primera, contractual e indirecta: tus clientes financieros están obligados a supervisar y auditar a sus proveedores TIC, a exigir cláusulas específicas y a evaluar el riesgo de concentración, de modo que trasladarán esas exigencias a tus contratos y a tus procesos. La segunda, directa: los proveedores designados como críticos a escala europea quedan sometidos a la supervisión directa de las Autoridades Europeas de Supervisión (EBA, ESMA y EIOPA), con capacidad de emitir recomendaciones e imponer medidas.
¿Afecta a las fintech y a las pequeñas entidades?
Sí. Las fintech reguladas (pagos, dinero electrónico, criptoactivos, financiación participativa) entran de lleno en el ámbito de aplicación. Lo que cambia es la intensidad de las obligaciones, no la sujeción a la norma. El citado principio de proporcionalidad permite que una entidad pequeña adopte un marco de gestión del riesgo TIC simplificado, pero no la exime de tenerlo, de notificar incidentes graves ni de controlar a sus proveedores.
Los 4 pilares de DORA
El reglamento estructura sus obligaciones en cuatro grandes bloques. Entender estos pilares es imprescindible para situar dónde encaja cada requisito y qué capacidades debe construir tu organización.
| Pilar | Qué exige | Qué implica para tu organización |
|---|---|---|
| 1. Gestión del riesgo TIC | Un marco interno de gobierno y control del riesgo tecnológico, con responsabilidad del órgano de dirección. | Identificar activos críticos, protegerlos, detectar amenazas y disponer de planes de continuidad y recuperación. |
| 2. Notificación de incidentes | Clasificar y notificar a la autoridad competente los incidentes graves relacionados con las TIC en plazos tasados. | Procesos de detección, clasificación y reporte, con informes inicial, intermedio y final. |
| 3. Pruebas de resiliencia | Programa periódico de pruebas de resiliencia operativa digital; para las mayores entidades, pruebas de penetración dirigidas por amenazas (TLPT). | Análisis de vulnerabilidades, escaneos y pentesting avanzado sobre sistemas en producción. |
| 4. Riesgo de terceros TIC | Gestión y supervisión de los proveedores tecnológicos, con registro de contratos y control de la concentración. | Due diligence, cláusulas contractuales específicas y vigilancia continua de proveedores críticos. |
El tercer pilar es especialmente exigente. Las entidades deben realizar un análisis de vulnerabilidades periódico y, en el caso de las entidades más significativas, pruebas de penetración basadas en amenazas reales. Aquí es donde el pentesting avanzado deja de ser una opción para convertirse en una obligación regulatoria verificable.
DORA y NIS2: cómo conviven
Una duda recurrente en los equipos de compliance es la relación entre DORA y la Directiva NIS2. Ambas persiguen elevar la ciberresiliencia en Europa, pero operan en planos distintos. NIS2 es la norma general de ciberseguridad para sectores esenciales e importantes; DORA es lex specialis para el sector financiero. Esto significa que, en aquello que DORA regula de forma específica, sus disposiciones prevalecen sobre las de NIS2 para las entidades financieras. No se anulan entre sí: conviven, y tu entidad debe entender qué marco le aplica en cada materia para evitar solapamientos o vacíos.
Cómo prepararte para el reglamento DORA
Conocer el qué y el a quién es el primer paso; el segundo es actuar. En términos generales, la preparación pasa por un diagnóstico de madurez frente a los cuatro pilares, el refuerzo de la gestión del riesgo TIC, la detección continua de vulnerabilidades, un plan sólido de respuesta a incidentes y el control de tu cadena de proveedores. Coordinar todo eso exige liderazgo técnico: un CISO como servicio permite orquestar el cumplimiento sin tener que crear una estructura interna desde cero.
Si quieres el detalle operativo, paso a paso, de cómo alcanzar el cumplimiento, lo hemos desarrollado en nuestra guía DORA: todo lo que necesitas saber para cumplir. Para material formativo y recursos de referencia sobre ciberseguridad para empresas, también resulta útil el área de empresas de INCIBE.
Preguntas frecuentes
¿El reglamento DORA sustituye a NIS2?
No. DORA no sustituye a NIS2. Es una norma específica del sector financiero que, en las materias que regula, prevalece sobre NIS2 por su condición de lex specialis. Ambas conviven y una entidad financiera debe delimitar qué obligaciones le corresponden bajo cada marco.
¿Afecta DORA a las fintech pequeñas?
Sí, siempre que sean entidades reguladas. La sujeción a la norma no depende del tamaño, aunque el principio de proporcionalidad permite un marco simplificado de gestión del riesgo TIC para las entidades de menor tamaño y complejidad.
Soy proveedor tecnológico, no una entidad financiera. ¿Me aplica?
Muy probablemente. Si prestas servicios TIC a entidades financieras, DORA te alcanza de forma indirecta a través de las exigencias contractuales y de auditoría de tus clientes, y de forma directa si eres designado proveedor crítico bajo supervisión europea.
¿Desde cuándo es obligatorio el reglamento DORA?
El Reglamento (UE) 2022/2554 es plenamente aplicable desde el 17 de enero de 2025 en toda la Unión Europea, sin necesidad de trasposición nacional.
Prepara tu entidad para DORA con Auditech
El cumplimiento de DORA no se improvisa: exige análisis técnico, evidencia verificable y una hoja de ruta realista. En Auditech ayudamos a entidades financieras y a sus proveedores TIC a diagnosticar su madurez, reforzar la resiliencia y demostrar el cumplimiento ante el supervisor. Habla con nuestro equipo y damos el primer paso juntos.