Reglamento DORA: qué es, a quién afecta y cómo cumplirlo

El Reglamento DORA (Reglamento (UE) 2022/2554) es la regulación europea sobre resiliencia operativa digital del sector financiero. DORA obliga a entidades bancarias, aseguradoras, empresas de servicios de inversión y al resto de entidades financieras. Además alcanza también a los proveedores de servicios TIC que trabajan directamente con instituciones y empresas financieras. En este post te explicamos qué exige exactamente, a quién afecta, qué sanciones prevé y cómo adaptarte paso a paso.

¿Qué es el Reglamento DORA?

DORA responde a las siglas de Digital Operational Resilience Act. Su finalidad es garantizar que las entidades financieras de la Unión Europea puedan resistir, responder y recuperarse ante cualquier incidente relacionado con las tecnologías de la información y la comunicación (TIC), desde un ciberataque hasta la caída de un proveedor cloud.

La lógica de es sencilla: el sector financiero ya gestionaba muy bien el riesgo de crédito o de mercado, pero su dependencia tecnológica había crecido mucho más rápido que su regulación. DORA unifica en un único texto todas las obligaciones de riesgo digital que antes estaban dispersas en guías y normativas sectoriales. Pero es importante señalar que no sustituye a las normativas existentes, sino que la complementa proporcionando un marco para la gestión del riesgo operativo en un entorno digital.

Un matiz jurídico importante: DORA es un reglamento, no una directiva. Es de aplicación directa y uniforme en toda la Unión Europea, sin necesidad de transposición nacional: las mismas reglas para una entidad en Madrid o París. Lo que sí corresponde a cada Estado es designar autoridades y completar el régimen sancionador; en España, el proyecto de ley de digitalización del sistema financiero aprobado en julio de 2026 termina de engranar el Reglamento en nuestro ordenamiento.

¿A qué empresas afecta DORA? Entidades financieras y proveedores TIC

DORA tiene una aplicación muy amplia y abarca a las entidades financieras europeas autorizadas. En concreto:

• Entidades de crédito.
• Entidades de pago.
• Proveedores de servicios de información sobre cuentas.
• Entidades de dinero electrónico.
• Empresas de servicios de inversión.
• Proveedores de servicios de criptoactivos.
• Depositarios centrales de valores.
• Entidades de contrapartida central.
• Centros de negociación.
• Registros de operaciones.
• Gestores de fondos de inversión alternativos.
• Sociedades de gestión.
• Proveedores de servicios de suministro de datos.
• Empresas intermediarias de seguros, reaseguros y seguros complementarios.
• Fondos de pensiones de empleo.
• Agencias de calificación crediticia.
• Administradores de índices de referencias cruciales.
• Proveedores de servicios de financiación participativa.
• Registros de titulaciones.

DORA también alcanza a los proveedores TIC que prestan servicios al sector financiero, aunque no sean entidades financieras. Lo hace por dos vías. La primera vía implica que las entidades financieras están obligadas a trasladar a sus contratos con proveedores tecnológicos un paquete de cláusulas obligatorias (niveles de servicio, derechos de auditoría, continuidad, estrategias de salida), de modo que si eres un proveedor de software, cloud o servicios gestionados, DORA es aplicable para tí. La segunda, directa: los proveedores designados como críticos (CTPP, por sus siglas en inglés), cuya lista ya han publicado las autoridades europeas de supervisión (AES o ESA), quedan sometidos a un marco de supervisión directa a nivel europeo. Entre estos proveedores se encuentra Amazon Web Services EMEA, NTT DATA, Inc, Microsoft Ireland Operations Limited, etc.

En todo caso, DORA proporciona algunos elementos de proporcionalidad, las entidades financieras deben cumplir DORA teniendo en cuenta su tamaño y perfil de riesgo, así como la naturaleza, escala y complejidad de servicios, actividades y operaciones.

Cuándo entra en vigor DORA? Fechas y plazos clave

Las fechas clave de DORA son las siguientes:

• 27 de diciembre de 2022: Publicación del Reglamento (UE) 2022/2554 en el Diario Oficial de la UE.
• 16 de enero de 2023: Entrada en vigor formal y arranque del periodo de adaptación de dos años.
• 17 de enero de 2025: Fecha de plena aplicación. Desde ese día, todas las obligaciones de DORA son exigibles.
• 2025-2026: Despliegue supervisor: designación de los primeros proveedores TIC críticos (CTPP) por las autoridades europeas, registros de información contractual remitidos a los supervisores y, en España, tramitación de la ley que completa el régimen sancionador.

En consecuencia el periodo de adaptación ha finalizado. Una entidad dentro del ámbito de DORA que hoy no cumpla está en incumplimiento una norma exigible y supervisada.

Los cinco pilares del Reglamento DORA

DORA se estructura en cinco pilares fundamentales, cada uno abordando una dimensión crítica de la resiliencia operativa digital:

1. Gobernanza y gestión del riesgo TIC: Establece que la dirección de la entidad (no solo el departamento de sistemas) es responsable de definir, aprobar y supervisar un marco integral de gestión de riesgos tecnológicos.
2. Gestión y notificación de incidentes: Obliga a registrar, clasificar y notificar todos los incidentes TIC según criterios armonizados, con plazos estrictos para informar a las autoridades supervisoras.
3. Pruebas de resiliencia: Exige un programa continuo de pruebas (vulnerabilidades, continuidad, seguridad) y, para entidades significativas, pruebas avanzadas de penetración cada tres años sobre sistemas en producción.
4. Riesgo de terceros proveedores: Requiere un registro de todos los contratos TIC, evaluación de riesgos antes de contratar, cláusulas obligatorias y estrategias de salida, con supervisión directa europea para proveedores críticos.
5. Intercambio de inteligencia sobre ciberamenazas: Fomenta el intercambio voluntario de información sobre amenazas entre entidades financieras para fortalecer la resiliencia colectiva del sector.

En conjunto, estos pilares transforman la ciberseguridad de una función técnica a una prioridad estratégica supervisada, con responsabilidad directa del órgano de dirección.

¿Y qué tienes que hacer si eres proveedor tecnológico de una entidad financiera? Aunque DORA no te imponga obligaciones directas (salvo que seas designado proveedor crítico), tu cliente está obligado a trasladarte las suyas por contrato. En la práctica, debes hacer tres cosas. Primero, incorporar las cláusulas del artículo 30 del Reglamento: descripción de los servicios y sus niveles (SLA), ubicaciones de tratamiento de los datos, derechos de auditoría, asistencia en caso de incidente, condiciones de subcontratación y estrategia de salida. Segundo, prepararte operativamente: notificar sin demora a tu cliente los incidentes que afecten a su servicio (él responde ante su supervisor en plazos de horas), participar en sus pruebas de resiliencia y acreditar tus medidas de seguridad y continuidad — una ISO 27001 o una ISO 22301 certificadas evitan someterse a una auditoría distinta por cada cliente. Y tercero, anticiparte: si trabajas con varias entidades financieras, estandariza estas garantías en tu oferta, porque todas las renovaciones de contrato incluirán ya las cláusulas DORA.

Notificación de incidentes graves: plazos y procedimiento

El Reglamento DORA impone a todas las entidades financieras la obligación de notificar los incidentes graves relacionados con las TIC a la autoridad supervisora competente siguiendo un esquema de reportes escalonado y con plazos estrictos.

Antes de notificar cualquier incidente a la autoridad supervisora (Banco de España para entidades de crédito, CNMV para empresas de servicios de inversión y DGSFP para aseguradoras), la entidad no puede decidir arbitrariamente si es grave o no. DORA establece criterios de clasificación armonizados que todas las entidades financieras de la UE deben aplicar de forma uniforme, garantizando así que incidentes similares se traten de manera consistente en todos los Estados miembros.

Estos criterios incluyen:

• Número de clientes o contrapartes afectados: Un umbral cuantitativo que determina la magnitud del impacto.
• Duración de la interrupción del servicio: Tiempo de inactividad de sistemas críticos.
• Extensión geográfica: Si el incidente afecta a una sola región o a múltiples jurisdicciones.
• Pérdidas económicas estimadas: Impacto financiero directo e indirecto.
• Impacto en servicios críticos: Afectación a funciones esenciales del mercado financiero.
• Repercusión reputacional: Daño potencial a la confianza del mercado.

La entidad debe evaluar el incidente contra estos umbrales y, si supera los límites establecidos para «incidente grave», activar obligatoriamente el esquema de notificación en tres fases (inicial, intermedio y final). Esta clasificación previa es crucial: notificar de menos puede considerarse incumplimiento, mientras que notificar de más genera cargas administrativas innecesarias tanto para la entidad como para el supervisor

El esquema de reportes comprende tres fases: la notificación inicial debe presentarse dentro de las 4 horas desde la clasificación del incidente como grave (y como máximo 24 horas desde su detección), incluyendo los hechos básicos y la clasificación preliminar. El informe intermedio se entrega a las 72 horas, detallando la causa raíz, el impacto actualizado y una estimación económica preliminar. Finalmente, el informe final se remite un mes después, con el análisis completo de causas, lecciones aprendidas y medidas correctivas implementadas.

La autoridad supervisora competente (CNMV, Banco de España, DGSFP u otra según el tipo de entidad) recibe estos reportes y puede solicitar información adicional. El incumplimiento de estos plazos constituye una infracción sancionable bajo DORA.

Régimen sancionador: qué ocurre si no se cumple DORA

El incumplimiento de DORA desencadena consecuencias graves que van más allá de las meras sanciones económicas. Las autoridades supervisoras competentes —Banco de España para entidades de crédito, CNMV para empresas de servicios de inversión y DGSFP para aseguradoras— disponen de un amplio arsenal de medidas correctivas y sancionadoras.

En primer lugar, pueden imponerse medidas correctivas: órdenes de cese inmediato de prácticas infractoras, planes de remediación obligatorios con plazos definidos, restricciones temporales de actividades comerciales e incluso la suspensión de operaciones hasta lograr la conformidad. En casos extremos, procede la retirada de la autorización para ejercer la actividad.

Las sanciones económicas varían según la legislación nacional de cada Estado miembro, ya que DORA no establece un techo uniforme para entidades financieras. No obstante, las multas pueden alcanzar hasta el 2% del volumen de negocios anual mundial o 10 millones de euros (lo que sea mayor) para infracciones graves, más penalizaciones diarias del 1% del volumen diario por incumplimientos continuados. Los miembros del órgano de dirección también enfrentan responsabilidad personal, con multas individuales de hasta 1 millón de euros.

El daño reputacional constituye otra consecuencia crítica: las autoridades pueden publicar notices públicos identificando a la entidad infractora y la naturaleza de la violación, erosionando la confianza de clientes, inversores y contrapartes.

DORA frente a NIS2: en qué se diferencian

Aunque ambos marcos persiguen fortalecer la resiliencia digital en Europa, DORA y la Directiva NIS2 difieren en alcance, forma jurídica y requisitos específicos. La clave para entender su relación es el principio de lex specialis: DORA, como normativa sectorial específica para el sector financiero, prevalece sobre NIS2 en las materias que ambos regulan.

DORA, ISO 27001 e ISO 22301: cómo las certificaciones facilitan el cumplimiento

DORA es obligatoria para todas las entidades financieras de la UE, mientras que las normas ISO 27001 e ISO 22301 son voluntarias. No obstante, implementarlas de manera integrada constituye una de las estrategias más eficaces para abordar el cumplimiento de DORA de forma estructurada y escalable.

La clave reside en que DORA establece el «qué» (objetivos regulatorios obligatorios): gestión del riesgo TIC, notificación de incidentes, pruebas de resiliencia, supervisión de proveedores), mientras que las ISO proporcionan el «cómo» (metodologías, procesos documentados y ciclos de mejora continua). Un sistema de gestión de seguridad de la información basado en ISO 27001 cubre los controles técnicos y organizativos de gestión del riesgo TIC. Un sistema de continuidad de negocio conforme a ISO 22301 aborda los requisitos de planes de continuidad TIC, backup y recuperación.

Implementar ambas ISO de forma integrada permite:

• Evitar duplicidades: Un único marco documental para auditorías múltiples
• Aprovechar sinergias: Análisis de riesgos, revisiones por la dirección y acciones correctivas compartidas
• Demostrar madurez: Las certificaciones ISO sirven como evidencia de diligencia debida ante el supervisor
• Reducir costes: Hasta un 40-50% menos de esfuerzo que implementar DORA desde cero

Las ISO no sustituyen a DORA, pero lo hacen alcanzable.

Cómo adaptarse a DORA: hoja de ruta paso a paso

Adaptarse a DORA requiere un enfoque estructurado. Esta hoja de ruta en siete pasos permite a las entidades financieras abordar el cumplimiento de forma progresiva y documentada.

1. Determinar si DORA aplica: Identificar si la entidad pertenece a las 21 categorías de entidades financieras sujetas a DORA: bancos, aseguradoras, empresas de servicios de inversión, fondos de inversión, plataformas de criptoactivos, entidades de pago, etc. Si la respuesta es afirmativa, DORA es de aplicación obligatoria desde el 17 de enero de 2025.Si eres proveedor de estas entidades también te aplica DORA.
2. Diagnóstico de madurez y análisis de brechas: Realizar un análisis de brechas exhaustivo frente a los cinco pilares de DORA. Evaluar el estado actual de la gestión del riesgo TIC, los procedimientos de notificación de incidentes, los programas de pruebas de resiliencia, la gestión de proveedores y los mecanismos de intercambio de información. Este diagnóstico identifica las prioridades de inversión y los plazos de implementación.
3. Reforzar la gobernanza y el marco de gestión del riesgo TIC: El órgano de dirección debe aprobar formalmente el marco de gestión del riesgo TIC, definiendo roles, responsabilidades y políticas de seguridad. Establecer comités de supervisión, asignar presupuesto específico y garantizar que la dirección recibe formación adecuada en riesgos digitales. La gobernanza es el pilar que más scrutinizan los supervisores.
4. Inventariar activos TIC y contratos con proveedores: Crear un inventario de activos TIC críticos (hardware, software, datos, servicios en la nube) y un Registro de Información con todos los contratos de proveedores TIC. Revisar cada contrato para incorporar las cláusulas contractuales obligatorias de DORA: derechos de auditoría, acceso a información, notificación de subcontratación y estrategias de salida para servicios esenciales.
5. Definir el plan de continuidad y las pruebas de resiliencia: Desarrollar un plan de continuidad TIC alineado con ISO 22301, identificando funciones críticas, tiempos máximos de recuperación (RTO) y puntos de recuperación (RPO). Diseñar un programa anual de pruebas que incluya análisis de vulnerabilidades, simulacros de continuidad y, para entidades significativas, planificar las TLPT cada tres años.
6. Establecer el procedimiento de notificación de incidentes: Documentar un procedimiento operativo para la clasificación y notificación de incidentes graves, con responsables designados, plantillas preaprobadas y canales de comunicación con la autoridad supervisora competente. Integrar este procedimiento con los sistemas de monitorización y respuesta a incidentes existentes.
7. Auditoría, evidencias y mejora continua: Preparar un plan de auditoría interna que genere evidencias documentales de cumplimiento: actas de aprobación del órgano de dirección, registros de pruebas, informes de incidentes, evaluaciones de proveedores. Establecer revisiones periódicas (al menos anuales) y mecanismos de mejora continua basados en lecciones.

Cómo te ayudamos en Applicalia a cumplir con DORA

En Applicalia acompañamos a entidades financieras y a sus proveedores tecnológicos en todo el proceso. Conoce nuestra consultoría del Reglamento DORA y pide una primera consulta sin compromiso: llámanos al 911 528 859 o escríbenos desde el formulario de nuestra página web web.

Preguntas frecuentes sobre el Reglamento DORA

¿Qué es el Reglamento DORA en pocas palabras?

DORA (Digital Operational Resilience Act) es el Reglamento europeo que establece requisitos uniformes de ciberseguridad y resiliencia operativa digital para el sector financiero de la UE. Su objetivo es garantizar que bancos, aseguradoras y otras entidades financieras puedan resistir, responder y recuperarse de perturbaciones tecnológicas graves, desde ciberataques hasta fallos de infraestructura crítica.

¿A qué empresas obliga DORA?

DORA se aplica a 21 categorías de entidades financieras: bancos, aseguradoras, reaseguradoras, empresas de servicios de inversión, fondos de inversión, gestoras de activos, plataformas de criptoactivos, entidades de pago, instituciones de dinero electrónico, agencias de rating, administradores de índices de referencia y proveedores de servicios de crowdfunding. También afecta a sus proveedores TIC críticos bajo supervisión directa europea.

¿Desde cuándo es obligatorio cumplir DORA?

DORA entró en vigor el 17 de enero de 2025 y es de aplicación directa en todos los Estados miembros de la UE desde esa fecha. No requiere transposición nacional al ser un Reglamento (no una Directiva). Las entidades ya deberían estar cumpliendo; el incumplimiento desde esa fecha constituye infracción sancionable por las autoridades supervisoras competentes.

¿Mi empresa está obligada si solo es proveedor tecnológico de un banco o aseguradora?

Depende. Si es proveedor TIC crítico (CTPP) designado por las autoridades europeas (EBA, EIOPA, ESMA), sí está sujeto a supervisión directa y debe cumplir requisitos específicos de DORA. Si es un proveedor TIC ordinario, no cumple DORA directamente, pero sus contratos con entidades financieras deben incluir las cláusulas obligatorias del Reglamento (auditoría, acceso a información, notificación de subcontratación).

¿Qué sanciones tiene el incumplimiento de DORA?

Las sanciones varían según la legislación nacional, pero pueden incluir multas de hasta el 2% del volumen de negocios anual mundial o 10 millones de euros (lo que sea mayor), más penalizaciones diarias del 1% por incumplimientos continuados. Los miembros del órgano de dirección enfrentan multas individuales de hasta 1 millón de euros. También proceden medidas correctivas, restricciones de actividad, publicación de notices públicos y, en casos extremos, retirada de autorización.

¿Cuál es la diferencia entre DORA y NIS2?

DORA es un Reglamento sectorial específico para el sector financiero, mientras que NIS2 es una Directiva horizontal que abarca múltiples sectores esenciales (energía, transporte, salud, administración pública). Para entidades financieras, DORA prevalece como lex specialis sobre NIS2 en materias que ambos regulan. NIS2 solo aplica residualmente en aspectos no cubiertos por DORA. Además, DORA tiene requisitos más estrictos en notificación de incidentes y pruebas de penetración.

¿Tener la ISO 27001 implica cumplir DORA?

No. La ISO 27001 es voluntaria y cubre principalmente el sistema de gestión de seguridad de la información, pero DORA incluye requisitos adicionales obligatorios que ISO 27001 no aborda: notificación regulatoria de incidentes en plazos tasados, registro de proveedores TIC, pruebas TLPT cada tres años, y supervisión de terceros. Sin embargo, ISO 27001 proporciona una base sólida que cubre aproximadamente el 60-75% de los controles de gestión del riesgo TIC de DORA.

¿DORA obliga a formar a los empleados?

Sí, implícitamente. Aunque DORA no establece un artículo específico sobre formación, el artículo 6 sobre el marco de gestión del riesgo TIC exige que las entidades dispongan de políticas, procedimientos y controles adecuados, lo que incluye programas de concienciación y formación en ciberseguridad para todo el personal. El órgano de dirección debe asegurarse de que los empleados comprenden sus responsabilidades en la gestión del riesgo TIC.