When the print dialog opens: choose "Save as PDF", then uncheck "Headers and footers" under More settings.
La Guía de Cumplimiento DORA para Entidades Financieras Europeas
Resumen Ejecutivo
El Reglamento de Resiliencia Operativa Digital (Reglamento UE 2022/2554, "DORA") es el marco armonizado de la UE en materia de resiliencia operativa digital para el sector financiero. Entró en vigor el 17 de enero de 2025 y establece requisitos uniformes para la gestión del riesgo ICT, notificación de incidentes, pruebas de resiliencia y riesgo de terceros para más de 22.000 entidades financieras y sus proveedores ICT críticos.
Puntos clave
- DORA es la lex specialis para la ciberseguridad del sector financiero. Donde DORA y NIS2 se solapan en la misma entidad, prevalece DORA.
- Cinco pilares: gestión del riesgo ICT, gestión de incidentes ICT, pruebas de resiliencia operativa digital, gestión del riesgo de proveedores ICT y acuerdos de compartición de información.
- La notificación de incidentes mayores sigue una escala de 4 horas (clasificación interna), 24 horas (notificación inicial), 72 horas (informe intermedio) y 1 mes (informe final).
- Las entidades significativas deben realizar pruebas de penetración guiadas por amenaza (TLPT) al menos cada tres años, según el marco TIBER-EU.
- Los proveedores ICT críticos pueden ser designados por las Autoridades Europeas de Supervisión y enfrentan supervisión directa de la UE, con multas de hasta el 1% del volumen de negocio diario mundial.
A quién se dirige esta guía
- CISOs, COOs y responsables de resiliencia en bancos, aseguradoras, ESI, proveedores de criptoactivos y centros de negociación.
- Compliance officers y DPOs que mapean DORA contra NIS2, EBA, ESMA, EIOPA y expectativas de los supervisores nacionales.
- Equipos de compras que negocian contratos ICT bajo las nuevas obligaciones contractuales del Artículo 30.
- Proveedores ICT terceros preocupados por la designación como TPP crítico y la posterior supervisión directa de la UE.
¿Qué es DORA?
DORA armoniza y reemplaza un panorama fragmentado de directrices de EBA, ESMA y EIOPA sobre riesgo ICT para el sector financiero de la UE. Antes de DORA, cada subsector (bancario, mobiliario, asegurador) tenía sus propias reglas superpuestas — con DORA, las entidades financieras operan bajo un único reglamento directamente aplicable en los 27 Estados Miembros.
El reglamento entró en vigor el 17 de enero de 2025, tras un período de transición de dos años. Las Autoridades Europeas de Supervisión (EBA, ESMA, EIOPA) han publicado normas técnicas regulatorias (RTS) y normas técnicas de implementación (ITS) detalladas sobre cada pilar.
DORA reconoce explícitamente que la resiliencia no puede construirse solo en torno al perímetro de la entidad financiera. Incorpora a los proveedores ICT terceros al ámbito mediante requisitos contractuales en cascada y establece un régimen paralelo de supervisión para los proveedores ICT "críticos" con relevancia sistémica a nivel de la UE.
14 dic 2022 — DORA publicado en el Diario Oficial UE · 16 ene 2023 — Entrada en vigor · 17 ene 2025 — Directamente aplicable en toda la UE · 2025-2026 — RTS e ITS publicados por las ESA · En curso — Designaciones de TPP ICT críticos por las ESA.
A Quién Se Aplica DORA
DORA se aplica a una población mucho más amplia que las normas sectoriales anteriores. El Artículo 2(1) enumera 20 categorías de entidades financieras. Los proveedores ICT críticos designados por las ESA caen bajo supervisión directa de la UE independientemente del tamaño.
Los recuentos exactos de entidades varían según la fuente y a lo largo del tiempo. Las cifras anteriores son órdenes de magnitud ilustrativos basados en informes de supervisión europea. La población total dentro del ámbito se cita regularmente alrededor de 22.000 entidades, con las mayores concentraciones en entidades de crédito y empresas de inversión.
Los Cinco Pilares de DORA
DORA organiza sus obligaciones sustantivas en cinco pilares. Cada uno es objeto de uno o más capítulos dedicados en el reglamento, además de normas técnicas detalladas publicadas por las Autoridades Europeas de Supervisión.
Artículos 5–15. Un marco integral de gestión del riesgo ICT aprobado y supervisado por el órgano de gestión, que cubre identificación, protección, detección, respuesta y recuperación.
Artículos 17–23. Detección, clasificación, escalado interno y notificación externa de incidentes ICT según criterios y plazos armonizados.
Artículos 24–27. Un programa de pruebas basado en riesgo que abarca desde evaluaciones de vulnerabilidades hasta TLPT trienales para entidades significativas.
Artículos 28–44. Diligencia debida precontractual, registro de información, cláusulas contractuales obligatorias, monitorización y estrategias de salida para todo outsourcing ICT.
Artículo 45. Participación voluntaria en acuerdos de compartición de confianza sobre amenazas cibernéticas, indicadores de compromiso, tácticas, técnicas y procedimientos.
Pilar 1: Gestión del Riesgo ICT
El pilar de gestión del riesgo exige a las entidades financieras operar un marco de gestión del riesgo ICT documentado y aprobado por el consejo, que cubra todo el ciclo de vida del riesgo ICT, desde la identificación hasta las lecciones aprendidas. El órgano de gestión asume la responsabilidad última — el Artículo 5 asigna explícitamente "responsabilidad plena y última" a la alta dirección.
Estrategia de riesgo ICT aprobada por el consejo con tolerancia y apetito al riesgo definidos, revisión periódica y líneas claras de responsabilidad.
Inventario integral de todos los activos ICT, procesos de negocio y dependencias, clasificados por criticidad y sensibilidad de información.
Políticas de seguridad de la información, gestión de identidades y accesos, controles criptográficos, segmentación de red y seguridad física.
Monitorización continua de sistemas de red e información, con procedimientos de alerta y triaje definidos para actividad anómala.
Procedimientos de respuesta documentados, planes de continuidad del negocio, planes de respuesta y recuperación ICT, con pruebas regulares.
Políticas de backup alineadas con objetivos RTO/RPO, con procedimientos de restauración documentados y verificación de integridad.
Revisiones post-incidente, integración de inteligencia de amenazas, reevaluación periódica y mejora continua del marco.
El Artículo 5 hace al órgano de gestión — no al CISO — responsable de aprobar, supervisar y revisar el marco de gestión del riesgo ICT. Los miembros deben tener conocimiento ICT suficiente para desafiar propuestas y supervisar la ejecución.
Pilar 2: Plazo de Notificación de Incidentes
DORA introduce criterios armonizados de clasificación de incidentes y un plazo de notificación unificado que reemplaza el mosaico de obligaciones nacionales y sectoriales. El cronómetro arranca en el momento en que una entidad tiene conocimiento de un incidente ICT mayor, definido según las normas técnicas publicadas por las ESA.
La entidad financiera debe clasificar el incidente frente a los criterios de severidad armonizados tan pronto como sea posible tras la detección.
Notificar a la autoridad competente de un incidente mayor con descripción de alto nivel, ámbito y evaluación inicial del impacto.
Proporcionar una evaluación actualizada con el estado actual, impacto, hipótesis de causa raíz y las acciones tomadas hasta el momento.
Entregar un análisis completo de causa raíz, lecciones aprendidas, acciones de remediación y actualizaciones al marco de gestión del riesgo.
DORA armoniza la notificación entre bancos, aseguradoras, ESI y centros de negociación en un único plazo. Una simplificación importante respecto al mosaico anterior de directrices de EBA, ESMA y EIOPA, pero el umbral para incidentes "mayores" se establece deliberadamente amplio.
Pilar 3: Pruebas de Resiliencia
DORA exige un programa basado en riesgo de pruebas de resiliencia operativa digital al menos anual, que cubra todos los sistemas ICT críticos. Para entidades consideradas significativas por el supervisor, el programa debe culminar en una Prueba de Penetración Guiada por Amenaza (TLPT) cada tres años, realizada en línea con el marco TIBER-EU.
Escaneo automatizado de vulnerabilidades de red, host y aplicación, con remediación priorizada por exposición.
Reconocimiento externo de la superficie de ataque expuesta de la entidad, incluidas filiales y componentes de la cadena de suministro.
Revisiones de arquitectura, pruebas de segmentación y auditorías de configuración de componentes críticos de red.
Análisis estático y dinámico del código de aplicación interno y subcontratado, incluidas las dependencias.
Pruebas manuales orientadas a objetivos de seguridad de aplicaciones e infraestructura bajo asunciones adversariales realistas.
Pruebas trienales avanzadas para entidades significativas, definidas frente a actores de amenaza reales que apuntan al sector financiero.
Ejercicios tabletop y en vivo que cubren escenarios de interrupción del negocio, fallos de terceros y comunicación de crisis.
TLPT es la cumbre del programa de pruebas. Debe ser realizado por probadores externos independientes, definido frente a inteligencia de amenazas actual e informado al supervisor. El marco TIBER-EU proporciona el modelo operativo, la gobernanza y los estándares del red team.
Pilar 4: Gestión del Riesgo de Terceros ICT
El Artículo 28 en adelante introduce el régimen de riesgo de terceros ICT más exigente de la regulación financiera de la UE hasta la fecha. Las entidades financieras deben aplicar un ciclo de vida estructurado a cada acuerdo de outsourcing ICT, desde la diligencia debida precontractual hasta las estrategias de salida documentadas. Los TPP ICT críticos enfrentan supervisión directa de la UE bajo un marco de oversight paralelo.
Evaluación documentada de la postura de seguridad del proveedor, estabilidad financiera, jurisdicción, sub-outsourcing y riesgo de concentración antes de la firma del contrato.
Un registro completo y estructurado de todos los contratos ICT en un formato prescrito por las ESA, disponible para los supervisores bajo solicitud.
El Artículo 30 obliga a una lista definida de cláusulas que incluye derechos de auditoría, ubicación de los datos, cooperación en incidentes, estrategias de salida y controles sobre el sub-outsourcing.
Vigilancia continua sobre el rendimiento del proveedor, postura de seguridad y cumplimiento de los SLA contractuales, incluidos acuerdos de notificación de incidentes.
Identificación y limitación de las dependencias de un solo proveedor, especialmente para funciones críticas o importantes.
Planes de salida probados y actuales para cada proveedor de una función crítica o importante, incluida la extracción de datos y la transición del proveedor.
El Artículo 31 introduce la designación de Proveedor ICT Tercero Crítico. Los proveedores designados están sujetos a supervisión directa por el supervisor principal de la UE y deben cumplir con inspecciones in situ, recomendaciones obligatorias y sanciones significativas.
Sanciones y Aplicación
DORA establece un régimen sancionador de dos vías. Las entidades financieras son sancionadas por sus autoridades nacionales competentes según el derecho nacional existente y los importes máximos varían por Estado Miembro. Los TPP ICT críticos enfrentan sanciones directas a nivel de la UE.
Responsabilidad personal de los órganos de gestión
El Artículo 5 sitúa la responsabilidad última en los miembros del órgano de gestión. Deben aprobar el marco de gestión del riesgo ICT, aprobar la estrategia de resiliencia operativa digital, supervisar la implementación y poseer conocimiento ICT suficiente para cumplir con estos deberes. El incumplimiento puede dar lugar a sanciones personales bajo el derecho nacional y acción de enforcement directa.
DORA vs NIS2 — Cómo Interactúan
DORA es la lex specialis (ley especializada) para el sector financiero. Cuando DORA y NIS2 se aplicarían ambas a la misma entidad financiera, prevalece DORA. Sin embargo, los grupos financieros frecuentemente incluyen filiales no financieras que permanecen bajo NIS2, y los dos regímenes se solapan fuertemente en sustancia — haciendo esencial un programa de cumplimiento unificado.
| Aspecto | DORA | NIS2 |
|---|---|---|
| Foco sectorial | Solo servicios financieros | 18 sectores críticos incluyendo infraestructura digital |
| Instrumento legal | Reglamento directamente aplicable | Directiva (transposición nacional requerida) |
| Notificación inicial | En 24 horas | En 24 horas |
| Obligación de pruebas | TLPT cada 3 años (entidades significativas) | Pruebas de seguridad periódicas (sin cadencia fija) |
| Régimen de terceros | Lista contractual detallada del Art. 30 | Deber de seguridad de cadena de suministro de alto nivel |
| Supervisión UE directa | Sí — para TPP ICT críticos | No (solo supervisores nacionales) |
| Modelo sancionador | Nacional + sanciones UE directas para TPP | Solo autoridades nacionales |
Para las entidades sujetas a ambos, la respuesta práctica es diseñar un único programa de riesgo ICT que satisfaga el más estricto de los dos en cada tema. DORA es más prescriptivo en contratos, pruebas y clasificación de incidentes; NIS2 tiene mayor aplicabilidad sectorial y sanciones más estrictas para el grupo financiero en su conjunto.
Hoja de Ruta de Implementación
Un enfoque por fases al cumplimiento de DORA es más sostenible que un único programa big-bang. La mayoría de las entidades en el ámbito ya están a dos o tres años en el camino. Las fases siguientes describen lo que debería estar en su sitio hoy, lo que debería estar operativo a finales de 2026, y cómo se ve la práctica continua más allá.
Fase 1 — Ámbito y gap assessment
- Confirmar el ámbito DORA en todas las entidades legales y filiales del grupo.
- Mapear el marco actual de gestión del riesgo ICT contra los cinco pilares.
- Inventariar todos los acuerdos ICT con terceros e identificar funciones críticas/importantes.
- Identificar la aplicabilidad del TLPT y prepararse para las pruebas trienales.
Fase 2 — Marco y contratos
- Documentar el marco de gestión del riesgo ICT, aprobado por el órgano de gestión.
- Renegociar contratos con proveedores ICT críticos para añadir las cláusulas del Artículo 30.
- Construir el registro de información en el formato prescrito por las ESA.
- Definir estrategias de salida documentadas para cada proveedor de función crítica o importante.
Fase 3 — Pruebas y operaciones de incidentes
- Operativizar la clasificación armonizada de incidentes y el plazo 4/24/72h/1 mes.
- Poner en marcha un programa de pruebas continuas que cubra todos los sistemas críticos.
- Realizar el primer ciclo TLPT para entidades designadas como significativas.
- Validar las métricas de riesgo de concentración y documentar planes de mitigación.
Fase 4 — Mejora continua
- Revisión anual del consejo sobre la estrategia de riesgo ICT y tolerancia al riesgo.
- Revisiones trimestrales del rendimiento y la concentración de terceros.
- Integración continua de inteligencia de amenazas y compartición de información.
- Lecciones aprendidas de cada incidente mayor reincorporadas al marco.
Cómo Orizon Apoya el Cumplimiento DORA
La plataforma Orizon fue diseñada en torno al mismo catálogo de controles que DORA armoniza en el sector financiero de la UE. Cada producto Orizon mapea a uno o más pilares y contribuye con evidencia estructurada y auditable que satisface las expectativas del supervisor.
Próximos pasos
- Reserva una evaluación de scoping DORA con nuestro equipo de cumplimiento para validar el estado en el ámbito y los gaps actuales.
- Solicita una gap analysis frente a los cinco pilares basada en tus controles y contratos existentes.
- Inicia un escaneo RECON gratuito para establecer una línea base de tu superficie de ataque externa — incluyendo proveedores críticos.
Contacto: [email protected] · orizon.one/solutions/nis2-compliance · Sede UE, infraestructura soberana.