El Reglamento de Resiliencia Operativa Digital armoniza la gestión del riesgo TIC del sector financiero europeo. Se aplica directamente en todos los Estados miembros y se apoya en normas técnicas que concretan plantillas, criterios y plazos.
DORA descansa sobre cinco pilares: gestión del riesgo TIC, gestión y notificación de incidentes, pruebas de resiliencia, riesgo de terceros e intercambio de información. Los requisitos son proporcionales al tamaño, el perfil de riesgo y la complejidad de cada entidad, y la responsabilidad última es siempre del órgano de dirección.
A quién se aplica
Banca y pagos
Entidades de crédito, entidades de pago, entidades de dinero electrónico y proveedores de servicios de información sobre cuentas.
Inversión y mercados
Empresas de servicios de inversión, gestoras de fondos, centros de negociación, entidades de contrapartida central, depositarios centrales de valores y registros de operaciones.
Seguros y pensiones
Aseguradoras y reaseguradoras, mediadores de seguros y fondos de pensiones de empleo, con ciertas exclusiones.
Nuevos actores financieros
Proveedores de servicios de criptoactivos y de financiación participativa y agencias de calificación crediticia, entre otros del artículo 2.
Proveedores de servicios TIC
Sus contratos con entidades financieras deben incluir las cláusulas de DORA, y los designados como críticos quedan bajo vigilancia directa de una Autoridad Europea de Supervisión.
Obligaciones clave
Marco de gestión del riesgo TIC
Un marco documentado, revisado al menos una vez al año, con una estrategia de resiliencia operativa digital que define, aprueba y supervisa el órgano de dirección. Algunas entidades pequeñas pueden aplicar un marco simplificado.
Clasificación y notificación de incidentes
Clasificar los incidentes TIC con criterios comunes y notificar los graves en plazos breves y escalonados: notificación inicial, informe intermedio e informe final.
Pruebas de resiliencia
Un programa basado en el riesgo con evaluaciones de vulnerabilidades, escaneos y pruebas de penetración. Las entidades que identifique la autoridad deben hacer pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años.
Riesgo de terceros TIC
Diligencia debida previa, estrategias de salida, cláusulas contractuales obligatorias y un registro de información de los acuerdos TIC, con información anual a la autoridad.
Intercambio de información
Las entidades pueden compartir inteligencia sobre ciberamenazas en comunidades de confianza, informando a la autoridad.
Cómo te ayudamos
Análisis de brechas
Evaluamos tu marco frente a DORA y sus normas técnicas, con la proporcionalidad que corresponde a tu tamaño y perfil de riesgo.
Plan priorizado
Una hoja de ruta ordenada por exposición supervisora y riesgo operativo, con responsables y evidencias claras.
Implantación
Documentación del marco, procedimientos de clasificación y notificación, programa de pruebas, registro de información y revisión de contratos. Nuestro equipo de seguridad ofensiva hace evaluaciones de vulnerabilidades y pruebas de penetración, y te prepara para las TLPT.
Resiliencia continua
Revisión anual del marco, registro al día, ejercicios e informes al consejo. Nuestro SOC 24/7, con un tiempo objetivo de menos de 15 minutos en incidentes críticos, agiliza la detección.
Señales de que debes actuar
- Tu registro de información está incompleto o vive en hojas de cálculo sin responsable.
- Tus contratos TIC clave no incluyen las cláusulas obligatorias de DORA, como derechos de auditoría o planes de salida.
- No podrías clasificar un incidente como grave y notificarlo a tiempo.
- Tu programa de pruebas se limita a un único test de intrusión al año.
- Eres proveedor TIC y tus clientes financieros te envían anexos contractuales de DORA.
Preguntas frecuentes
¿Desde cuándo se aplica DORA?
Desde el 17 de enero de 2025. Es un reglamento: se aplica directamente en toda la UE, sin trasposición, y se completa con normas técnicas de la Comisión Europea.
¿Cuáles son los plazos de notificación de incidentes en DORA?
Para incidentes graves relacionados con las TIC: notificación inicial en cuatro horas desde su clasificación y como máximo 24 horas desde que se conocen, informe intermedio en 72 horas desde la notificación inicial e informe final en el mes siguiente al último informe intermedio. También debes informar a los clientes afectados en sus intereses financieros.
¿Qué son las TLPT y las necesitamos?
Pruebas de penetración basadas en amenazas que simulan atacantes reales sobre sistemas en producción. Solo son obligatorias, al menos cada tres años, para las entidades que identifique la autoridad; las demás necesitan igualmente un programa de pruebas.
¿Qué es el registro de información?
El inventario de todos los acuerdos con proveedores de servicios TIC, a nivel de entidad y de grupo, que distingue los que sustentan funciones críticas o importantes. La autoridad puede pedirlo completo.
Si me aplica DORA, ¿también me aplica NIS2?
Para las entidades financieras, NIS2 considera DORA el acto sectorial específico, así que prevalecen sus normas de riesgo TIC e incidentes; las actividades no financieras del grupo en sectores NIS2 sí pueden quedar bajo NIS2.