Reglamento DORA: qué es, a quién aplica y qué exige

1Qué es DORA

DORA (Digital Operational Resilience Act) es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022. Su objetivo es que las entidades financieras puedan resistir, responder y recuperarse de cualquier incidente relacionado con las tecnologías de la información y la comunicación (TIC): caídas de sistemas, ciberataques o fallos de un proveedor tecnológico.

Es de aplicación desde el 17 de enero de 2025 en toda la Unión Europea. Al ser un reglamento, se aplica directamente sin necesidad de ley nacional. Lo acompaña la Directiva (UE) 2022/2556, que adapta las directivas sectoriales.

Hasta DORA, el riesgo tecnológico se trataba sobre todo a través del capital y de normas dispersas por sector. DORA lo convierte en un marco único y detallado: ya no basta con tener capital para cubrir el riesgo operacional, hay que demostrar que la operativa digital resiste.

2A quién aplica

Se aplica a casi todo el sector financiero de la UE (artículo 2), entre otros:

• Entidades de crédito (bancos y cajas).
• Entidades de pago y de dinero electrónico.
• Empresas de servicios de inversión y gestoras de fondos (UCITS y FIA).
• Empresas de seguros y reaseguros, e intermediarios de seguros y reaseguros.
• Fondos de pensiones de empleo.
• Centros de negociación, entidades de contrapartida central y depositarios centrales de valores.
• Proveedores de servicios de criptoactivos.
• Agencias de calificación crediticia y plataformas de financiación participativa.

También alcanza, de forma indirecta, a los proveedores de servicios TIC de esas entidades: los contratos con ellos deben cumplir requisitos concretos, y los proveedores designados como críticos pasan a estar supervisados por las autoridades europeas.

El reglamento se aplica con proporcionalidad (artículo 4): las exigencias se ajustan al tamaño, la naturaleza y el perfil de riesgo de cada entidad, y algunas entidades pequeñas pueden aplicar un marco simplificado de gestión del riesgo TIC (artículo 16).

3Los cinco pilares

1. Gestión del riesgo TIC

Cada entidad debe tener un marco de gestión del riesgo TIC documentado: identificar sus sistemas y activos, protegerlos, detectar anomalías, responder y recuperarse, con políticas de continuidad y copias de seguridad probadas. El órgano de dirección es el responsable último de ese marco (artículo 5): lo aprueba, lo supervisa y debe formarse para entenderlo.

2. Incidentes TIC

Hay que registrar los incidentes, clasificarlos con los criterios comunes que fija la normativa y notificar los incidentes graves al supervisor en tres fases: un informe inicial, uno intermedio y uno final (artículo 19). Las normas técnicas que desarrollan DORA fijan los plazos: el informe inicial en las 4 horas siguientes a clasificar el incidente como grave, y como máximo 24 horas desde que se conoce; el intermedio en las 72 horas siguientes al inicial; y el final, en el mes siguiente al último intermedio. Las ciberamenazas significativas pueden notificarse de forma voluntaria.

3. Pruebas de resiliencia

Las entidades deben mantener un programa de pruebas proporcional a su tamaño: análisis de vulnerabilidades, pruebas de escenarios, de rendimiento, de continuidad, etc. Las entidades que designe el supervisor deben realizar además pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años (artículo 26).

4. Riesgo de terceros proveedores TIC

Es uno de los cambios de más calado. La entidad sigue siendo plenamente responsable aunque externalice. Debe:

• Tener una estrategia de riesgo de terceros aprobada por la dirección.
• Mantener un registro de información de todos los contratos con proveedores TIC y ponerlo a disposición del supervisor (artículo 28).
• Incluir en los contratos los elementos mínimos del artículo 30: descripción de los servicios, ubicación de los datos, niveles de servicio, acceso y auditoría, cooperación con el supervisor, derechos de resolución y, para funciones críticas o importantes, estrategias de salida.
• Evaluar el riesgo de concentración en pocos proveedores.

Los proveedores que las Autoridades Europeas de Supervisión (ABE, AESPJ y AEVM) designen como críticos quedan bajo un marco de supervisión europeo, con un supervisor principal que puede inspeccionarlos y emitir recomendaciones.

5. Intercambio de información

DORA permite y fomenta que las entidades compartan información sobre ciberamenazas e indicadores de compromiso en acuerdos de confianza, comunicándolo a su supervisor.

4Quién supervisa en España

Cada entidad responde ante su supervisor habitual: el Banco de España (y el BCE para las entidades significativas) en banca y pagos, la CNMV en mercados y servicios de inversión, y la Dirección General de Seguros y Fondos de Pensiones en seguros y planes de pensiones.

5Por dónde empezar

• Inventariar sistemas, procesos y funciones críticas o importantes, y quién depende de qué.
• Revisar la política de gestión del riesgo TIC y que el órgano de dirección la apruebe y la entienda.
• Montar el proceso de clasificación y notificación de incidentes con los plazos de las normas técnicas.
• Completar el registro de información de proveedores TIC y revisar los contratos frente al artículo 30.
• Planificar las pruebas de resiliencia del año.
• Asegurar la trazabilidad: poder explicar al supervisor qué pasó, cuándo y qué se decidió.

6Sobre Quvian

Quvian es software de gestión de riesgo financiero para bancos, aseguradoras y gestores de activos: mide el riesgo de crédito, de liquidez y de mercado en tiempo real y genera informes trazables para auditoría y supervisores. Si quieres verlo con tus propios datos, escríbenos a info@quvian.es.

Esta guía es informativa y no constituye asesoramiento jurídico. Para la aplicación a una entidad concreta, consulta el texto oficial del Reglamento (UE) 2022/2554 en EUR-Lex, las normas técnicas de las Autoridades Europeas de Supervisión y a tu supervisor.