Cumplimiento DORA: resiliencia operativa digital para el sector financiero

DORA es de obligado cumplimiento desde enero de 2025 para bancos, aseguradoras, gestoras de fondos y un largo listado de entidades financieras en la UE. Evaluamos tu situación actual, identificamos las brechas y te acompañamos en el proceso de adecuación.

Dimensiona tu proyecto · Evaluar mi adecuación a DORA

¿Prefieres hablarlo? Llámanos al +34 960 730 013

DORA no es opcional para el sector financiero

El Reglamento DORA (Digital Operational Resilience Act) entró en aplicación en enero de 2025. Afecta a miles de entidades financieras en la UE: bancos, aseguradoras, empresas de inversión, gestoras de fondos, proveedores de servicios de pago y sus proveedores tecnológicos críticos. El incumplimiento puede conllevar sanciones significativas y, sobre todo, puede dejar en evidencia la incapacidad de la entidad para gestionar una crisis digital.

Qué cubre DORA y cómo te ayudamos

Gobernanza y responsabilidad del órgano de dirección en riesgos TIC
Marco de gestión de riesgos TIC: identificación, protección, detección y recuperación
Gestión y notificación de incidentes TIC graves
Pruebas de resiliencia operativa digital (TLPT - Threat-Led Penetration Testing)
Gestión de riesgos de terceros TIC (cadena de suministro tecnológica)
Acuerdos contractuales con proveedores TIC: cláusulas DORA obligatorias

Proceso de adecuación a DORA

Evaluación inicial: Analizamos el tipo de entidad, el ámbito de aplicación y el estado actual de los cinco pilares de DORA.
Gap analysis: Comparamos la situación actual con los requisitos del Reglamento, incluyendo los RTS y las guías de EIOPA/EBA/ESMA.
Plan de adecuación: Diseñamos un plan de acción con prioridades, plazos y responsables para cada brecha identificada.
Implementación técnica: Apoyamos en la implementación de las pruebas de resiliencia, el marco de gestión de riesgos TIC y los protocolos de respuesta a incidentes.
Documentación regulatoria: Redactamos la documentación exigida por DORA: registros, políticas, procedimientos y contratos con proveedores.

Entregables

Informe de análisis de aplicabilidad y clasificación de entidad
Gap analysis frente a los cinco pilares de DORA (gestión de riesgos, incidentes, pruebas, terceros, información)
Plan de adecuación con cronograma y estimación de recursos
Marco de gestión de riesgos TIC documentado
Apoyo en el diseño y ejecución de las pruebas TLPT si son exigibles

¿A qué entidades afecta DORA?

Entidades de crédito (bancos)
Empresas de servicios de inversión y gestoras de fondos
Entidades de pago y dinero electrónico
Aseguradoras y reaseguradoras
Proveedores de servicios de criptoactivos
Proveedores TIC críticos de entidades financieras

Preguntas frecuentes sobre DORA

¿En qué se diferencia DORA de NIS2?

NIS2 es una directiva horizontal que afecta a múltiples sectores. DORA es un reglamento sectorial específico para el sector financiero, con requisitos más detallados y técnicos, especialmente en lo relativo a las pruebas de resiliencia (TLPT) y la gestión de proveedores TIC.

¿Qué son las pruebas TLPT y quién debe realizarlas?

Las pruebas TLPT (Threat-Led Penetration Testing) son pruebas avanzadas de intrusión basadas en inteligencia de amenazas reales, dirigidas a los sistemas más críticos de la entidad. Solo son obligatorias para las entidades significativas designadas por las autoridades competentes. Nosotros podemos ejecutarlas con metodología TIBER-EU.

¿DORA afecta también a los proveedores tecnológicos de entidades financieras?

Sí. DORA establece un régimen de supervisión directa para los proveedores TIC críticos. Y aunque no seas un proveedor TIC crítico, si eres proveedor tecnológico de una entidad financiera, esta te exigirá que incluyas cláusulas contractuales DORA en el acuerdo de servicio.

¿A partir de cuándo es exigible DORA?

Es de aplicación desde enero de 2025, así que no hay periodo de gracia por delante: las obligaciones ya son exigibles para las entidades en ámbito. Lo que sigue en marcha es el despliegue supervisor y la designación de entidades para pruebas avanzadas, que llega por comunicación de la autoridad competente. No haber recibido esa comunicación no te exime del resto del reglamento.

¿Qué pasa con nuestros proveedores TIC?

Entran por vía contractual. DORA exige mantener un registro de información de proveedores TIC, incluir cláusulas mínimas en los contratos —derechos de auditoría, niveles de servicio, notificación de incidentes, cooperación con el supervisor— y tener una estrategia de salida documentada para los que soporten funciones críticas. Los designados como proveedores críticos pasan además a supervisión directa europea, pero eso es decisión de las autoridades, no tuya.

¿Nos aplica el TLPT o basta con el programa general de pruebas?

El programa general de pruebas lo debe tener toda entidad en ámbito. El TLPT —red team dirigido por inteligencia de amenazas, al menos cada tres años— solo lo exige la autoridad competente a las entidades que designa por tamaño, perfil de riesgo y relevancia sistémica. En España la autoridad es el Banco de España, la CNMV o la DGSFP según el tipo de entidad, y el marco de referencia es TIBER-ES.

Recursos relacionados

Fuentes

¿Listo para proteger tu empresa?

Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.

Dimensiona tu proyecto · Evaluar mi adecuación a DORA