DORA.
El Reglamento de la UE sobre resiliencia operativa digital del sector financiero: ámbito de aplicación, obligaciones principales y acreditación continua.
- Reglamento (UE) 2022/2554
- Por Derya Altinay
- Actualizado: 22/10/2026
- Tiempo de lectura: 9 min.
Respuesta breve.
DORA es el Reglamento de la UE sobre resiliencia operativa digital del sector financiero. Desde el 17 de enero de 2025, exige a las entidades financieras comprendidas gestionar de forma sólida riesgos de TIC, incidentes, pruebas de resiliencia y dependencias de proveedores. Las obligaciones dependen de la función y el ámbito; un certificado general no sustituye su cumplimiento continuo.
El Reglamento DORA regula la operación continua.
DORA significa Digital Operational Resilience Act y designa el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. El Reglamento se aplica desde el 17 de enero de 2025. Su objetivo es poder mantener y recuperar los servicios financieros incluso ante perturbaciones importantes de TIC. La Comisión Europea considera conjuntamente la prevención, la limitación de los efectos y la recuperación como una tarea de resiliencia.
DORA va más allá de la defensa frente a ciberataques. Los fallos técnicos, los procedimientos de recuperación inservibles y las dependencias de servicios externos también pueden perjudicar los servicios financieros. Por ello, resulta decisiva la colaboración entre los responsables de negocio, la tecnología y los proveedores. Una colección de políticas de seguridad por sí sola todavía no demuestra si un proceso de pago vuelve a funcionar realmente tras una perturbación.
Las normas técnicas de regulación y de ejecución complementarias concretan el Reglamento. El registro oficial de la Comisión incluye, por ejemplo, actos jurídicos sobre notificación de incidentes y subcontratación. Por ello, la implantación requiere las reglas definitivas aplicables en cada caso y las disposiciones de la autoridad supervisora competente. Una lista de comprobación antigua o un calendario general de notificaciones no sustituye ese examen.
A qué entidades financieras y proveedores afecta DORA.
DORA comprende determinadas entidades jurídicas del sector financiero conforme al art. 2 del Reglamento (UE) 2022/2554. Entre ellas figuran, por ejemplo, entidades de crédito, entidades de pago, empresas de servicios de inversión y aseguradoras, respetando en cada caso las excepciones legales. Las denominaciones fintech, empresa emergente o pyme no resuelven la cuestión. En su respuesta definitiva DORA 136–3193, EIOPA explica que la clasificación parte del tipo de entidad y que las TIC compartidas no pueden excluirse únicamente en función de actividades individuales.
Un proveedor tercero ordinario de servicios de TIC tiene una función distinta de la de una entidad financiera comprendida. Los clientes financieros pueden exigir compromisos contractuales, apoyo en caso de incidentes y evidencias sólidas. Debe distinguirse de ello la designación expresa como proveedor tercero esencial de servicios de TIC por las autoridades europeas de supervisión conforme al art. 31 DORA. El mero apoyo a una función esencial del cliente no produce esa designación, como explica la información de ESMA sobre el marco de supervisión.
La proporcionalidad implica concretar de forma justificada las obligaciones según la empresa y sus riesgos. No constituye una exención general para las pequeñas empresas. El marco simplificado de gestión del riesgo de TIC del art. 16 DORA debe examinarse por separado. Documente conjuntamente la función, las posibles excepciones, la autoridad competente y las razones de su clasificación antes de determinar el alcance de la implantación.
Los requisitos de DORA conectan seis ámbitos de trabajo.
Los requisitos de DORA vinculan dirección, gestión de riesgos y operación verificable. La siguiente orientación reúne las áreas principales del Reglamento; el intercambio de información sobre ciberamenazas es voluntario. ESMA describe estos temas y remite a las normas técnicas correspondientes para concretarlos.
Dirección y responsabilidad.
El órgano de dirección es responsable de la gestión del riesgo de TIC conforme al art. 5 DORA. Esto incluye un marco en el que encajen las decisiones, las responsabilidades y los recursos necesarios. Contratar servicios externos no elimina la responsabilidad de la entidad financiera. La dirección debe poder identificar los riesgos significativos existentes y las decisiones todavía pendientes.
Gestión del riesgo de TIC y continuidad.
Los arts. 5 a 16 DORA regulan el marco de gestión del riesgo de TIC, incluidas las reglas particulares del marco simplificado. Identificación, protección, detección, respuesta, recuperación y aprendizaje están conectados. El punto de referencia es la función financiera afectada, con sus sistemas y dependencias. Un objetivo de recuperación documentado requiere capacidades técnicas y organizativas acordes.
Gestionar y notificar incidentes.
Los arts. 17 a 23 DORA regulan los incidentes relacionados con las TIC y su notificación. Los responsables deben evaluar los efectos, efectuar la clasificación pertinente y organizar las notificaciones necesarias. Los detalles se desprenden también de las normas técnicas aplicables. Por ello, una interrupción de un proveedor debe clasificarse primero atendiendo a sus características, en lugar de asignarle automáticamente el mismo estado de notificación en todos los marcos normativos.
Probar la resiliencia operativa digital.
Los arts. 24 a 27 DORA abordan las pruebas de resiliencia. Los distintos tipos de pruebas responden a preguntas diferentes: un simulacro de crisis examina decisiones, mientras que una prueba de recuperación verifica supuestos técnicos. Las pruebas de penetración basadas en amenazas, o TLPT, afectan a determinadas entidades financieras. No constituyen una exigencia general para todos los prestadores de servicios financieros ni para todos sus proveedores.
Gestionar el riesgo de terceros de TIC.
Los arts. 28 a 30 DORA conectan los riesgos de proveedores, los requisitos contractuales y la propia responsabilidad de la entidad financiera. El registro de información sobre acuerdos contractuales de TIC debe distinguirse de una lista cualquiera de proveedores. Requieren especial atención el apoyo a funciones esenciales o importantes, las dependencias, la cooperación contractual y las opciones viables de salida. Los arts. 31 y siguientes DORA abordan la supervisión separada de los proveedores esenciales.
Intercambiar información sobre amenazas de forma selectiva.
El art. 45 DORA permite acuerdos de intercambio de información sobre ciberamenazas. La participación es voluntaria y requiere reglas claras de confidencialidad y uso. El intercambio complementa la propia operación de seguridad; no sustituye ni la evaluación de un incidente ni una notificación necesaria a la autoridad competente.
Implantar DORA: de la función a la capacidad comprobada.
Aclarar la función y las competencias.
Documente para la entidad jurídica pertinente el ámbito de aplicación, las excepciones, la relación de supervisión y las personas responsables, para que el trabajo posterior se base en una clasificación fundamentada.
Identificar las funciones financieras y las dependencias.
Conecte las funciones importantes con los sistemas, la información y los servicios externos realmente utilizados para identificar posibles efectos de perturbaciones y dependencias comunes.
Evaluar los riesgos y los acuerdos.
Examine con las áreas funcionales, tecnología y compras si las medidas, los compromisos de los proveedores y los contratos apoyan la continuidad necesaria y dónde hacen falta decisiones de la dirección.
Ensayar la gestión de incidentes y la recuperación.
Practique con escenarios adecuados la detección, la evaluación, el escalado y la recuperación, incluida la colaboración necesaria con proveedores, y documente los resultados.
Mantener actualizadas las evidencias y los cambios.
Tras cambios sustanciales y nuevos hallazgos, revise si las responsabilidades, los registros, los procedimientos y las pruebas siguen encajando y si se han corregido realmente las debilidades detectadas.
Las evidencias de DORA se generan en la operación continua.
DORA se acredita mediante decisiones trazables e implantación verificable. Según la obligación aplicable, esto incluye valoraciones de riesgos, disposiciones de continuidad, registros de incidentes, resultados de pruebas y documentos sobre acuerdos de TIC. Una evidencia debe permitir identificar a qué entidad y función se refiere y qué se examinó realmente. Un acta de prueba con problemas pendientes no confirma que estos ya se hayan resuelto.
Las autoridades competentes supervisan a las entidades financieras dentro del marco legal, entre otros, conforme a los arts. 46 y siguientes DORA. De ello se distingue la supervisión europea de proveedores terceros esenciales de servicios de TIC expresamente designados conforme a los arts. 31 a 44. ESMA describe esta supervisión como complemento de la responsabilidad propia y la supervisión existente de las entidades financieras. Un certificado general DORA con vigencia uniforme no sustituye esas relaciones ni obligaciones.
Más información en el blog.
DORA y otros marcos.
Para las entidades financieras comprendidas, DORA es, en las áreas pertinentes, un acto jurídico sectorial de la Unión respecto de NIS2; de ello no se deriva una exención general de todas las obligaciones de la BSIG para cualquier grupo financiero o su cadena de suministro. ISO 27001 puede estructurar organizativamente un SGSI, pero no sustituye los requisitos de DORA ni sus evidencias. Las obligaciones del RGPD deben evaluarse por separado, especialmente si una perturbación también afecta a datos personales.
En Secani.
Secani incluye un catálogo editorial DORA basado en el Reglamento (UE) 2022/2554 con actos jurídicos complementarios seleccionados. Los datos del perfil distinguen, entre otros aspectos, las entidades financieras confirmadas y los marcos completo y simplificado. Estos datos apoyan un trabajo documentado; no realizan una clasificación jurídica automática. El catálogo no es una traducción oficial ni una confirmación de conformidad con DORA.
Empezar con una entidad jurídica y una función.
Elija primero una entidad jurídica relevante y una función financiera concreta. Reúna su clasificación, responsabilidades, dependencias de sistemas, acuerdos de servicios y últimos resultados de pruebas. Examine después con las personas competentes qué afirmaciones ya están acreditadas y qué decisión hace falta a continuación. La guía detallada del blog desarrolla este punto de partida.
Fuentes.
- Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero
- Comisión Europea: ciberresiliencia
- Comisión Europea: actos delegados y de ejecución de DORA
- ESMA: DORA, áreas principales y normas técnicas
- ESMA: supervisión de proveedores terceros esenciales de servicios de TIC
- EIOPA: DORA Q&A 136–3193 sobre el art. 2
- Directrices de la Comisión sobre el art. 4 NIS2, 2023/C 328/02
Preguntas frecuentes.
No. Son decisivos la entidad jurídica, su categoría legal y las posibles excepciones del art. 2 DORA. Una denominación comercial o un tamaño reducido por sí solos no determinan ni la aplicabilidad ni una exención.
No. La designación como proveedor tercero esencial de servicios de TIC se produce dentro del marco europeo de supervisión conforme al art. 31 DORA. Una relación comercial o el apoyo a una función esencial del cliente por sí solos no sustituyen esa designación.
No. Las pruebas de penetración basadas en amenazas del art. 26 DORA afectan a determinadas entidades financieras. Los demás requisitos aplicables de pruebas de resiliencia deben examinarse por separado.
No. Un certificado ISO 27001 confirma un SGSI dentro del ámbito indicado y no sustituye las obligaciones legales de DORA. Para estas siguen siendo determinantes los requisitos aplicables, la implantación real y sus evidencias.
Conectar responsabilidades y evidencias.
Vea cómo Secani apoya el trabajo con requisitos regulatorios.
Esta página explica DORA en términos generales y no sustituye una evaluación jurídica del caso concreto. Son determinantes los actos jurídicos vigentes y las disposiciones de la autoridad supervisora competente.