A quién aplica DORA: cómo saber si tu entidad está obligada y qué debe entregar
Por Kike Gandia · Co-Fundador y CEO, OSCP
DORA es de aplicación desde enero de 2025 y su ámbito es mucho más amplio de lo que muchas entidades asumen. No cubre solo a bancos: alcanza a aseguradoras, gestoras de fondos, proveedores de criptoactivos, entidades de pago y, a través de la cadena de suministro, a los proveedores TIC que les prestan servicio. Esta guía responde a la pregunta que se hace primero cualquier responsable de seguridad —si le aplica y qué tiene que entregar— antes de entrar en el detalle técnico del reglamento.
Las 20 categorías de entidad que entran en el ámbito
El artículo 2 del Reglamento (UE) 2022/2554 enumera las entidades financieras sujetas. Agrupadas por familia:
Banca y pagos. Entidades de crédito, entidades de pago, entidades de dinero electrónico y proveedores de servicios de información sobre cuentas.
Inversión y mercados. Empresas de servicios de inversión, gestoras de fondos de inversión alternativos, sociedades gestoras de IIC, depositarios centrales de valores, entidades de contrapartida central, centros de negociación y registros de operaciones.
Seguros y pensiones. Empresas de seguros y de reaseguros, intermediarios de seguros y fondos de pensiones de empleo.
Criptoactivos. Proveedores de servicios de criptoactivos autorizados bajo MiCA y emisores de fichas referenciadas a activos.
Otros. Agencias de calificación crediticia, administradores de índices de referencia, proveedores de servicios de financiación participativa y registros de titulizaciones.
Proveedores TIC. Los proveedores terceros de servicios TIC no son entidades financieras, pero quedan alcanzados por vía contractual, y los designados como críticos pasan además a supervisión directa europea.
El error de cálculo más frecuente: creer que el tamaño exime
DORA aplica el principio de proporcionalidad, no de exención por tamaño. Que una entidad sea pequeña no la saca del ámbito: modula qué se le exige, no si se le exige.
Las microempresas y determinadas entidades de menor tamaño pueden acogerse a un marco simplificado de gestión del riesgo TIC, con menos requisitos formales. Pero siguen obligadas a identificar sus funciones críticas, gestionar el riesgo TIC, notificar incidentes graves y mantener un programa de pruebas.
Hay exclusiones concretas y acotadas —ciertos fondos de pensiones de empleo muy pequeños, algunos intermediarios de seguros que son microempresas—, pero son excepciones tasadas, no una regla general de tamaño. Comprobarlas contra el texto es más rápido que asumir que se aplican.
Qué tiene que entregar tu entidad, según el bloque
DORA se estructura en cinco bloques de obligaciones. Todas las entidades del ámbito responden a los cinco, con distinta intensidad.
| Bloque | Qué exige | A quién |
|---|---|---|
| Gestión del riesgo TIC | Marco documentado, funciones críticas identificadas, gobernanza con implicación del órgano de dirección | Todas |
| Notificación de incidentes | Clasificación y reporte de incidentes graves a la autoridad competente en los plazos fijados | Todas |
| Pruebas de resiliencia | Programa de pruebas periódicas sobre sistemas que soportan funciones críticas | Todas |
| Pruebas avanzadas (TLPT) | Red team dirigido por inteligencia de amenazas, al menos cada tres años | Solo entidades designadas |
| Riesgo de terceros | Registro de proveedores TIC, cláusulas contractuales mínimas, estrategia de salida | Todas |
La distinción entre las dos filas de pruebas es donde más entidades se equivocan. El programa general de pruebas lo debe tener todo el mundo; el TLPT solo lo exige la autoridad competente a las entidades que designa por tamaño, perfil de riesgo y relevancia.
Cómo comprobar en una tarde si te aplica
Cuatro preguntas en orden resuelven el caso en la mayoría de entidades.
1. ¿Tu actividad está en la lista del artículo 2? Si tu entidad tiene una autorización financiera en la UE —bancaria, de pagos, de seguros, de inversión o MiCA—, la respuesta casi siempre es sí.
2. ¿Te aplica alguna exclusión tasada? Revisa las excepciones concretas del reglamento en lugar de asumir que ser pequeño basta.
3. ¿Puedes acogerte al marco simplificado? Si eres microempresa o entidad de menor tamaño según los criterios del reglamento, tus obligaciones se aligeran, pero no desaparecen.
4. ¿Te ha designado tu autoridad competente para pruebas avanzadas? Esta designación llega por comunicación de la autoridad. Si no la has recibido, no estás sujeta a TLPT, pero sí al programa general de pruebas.
Si eres proveedor TIC y no entidad financiera, la pregunta cambia: no te aplica DORA directamente, pero tus clientes financieros van a trasladarte sus requisitos por contrato, y eso llega antes que cualquier supervisor.
DORA y NIS2: cuándo se solapan y cuál manda
Es habitual que una entidad financiera se pregunte si le aplican las dos normas a la vez. La regla práctica es que DORA es lex specialis para el sector financiero: en materia de gestión del riesgo TIC y notificación de incidentes, prevalece sobre NIS2 para las entidades que cubre.
Eso no significa que NIS2 desaparezca del mapa. Un grupo empresarial puede tener filiales financieras bajo DORA y filiales de otros sectores bajo NIS2, con marcos de reporte distintos conviviendo. Y los proveedores TIC de esas entidades pueden estar sujetos a NIS2 por su propia actividad, además de a las obligaciones contractuales que les llegan vía DORA.
Si tu organización está en ese solape, conviene mapear una sola vez los controles comunes y documentar por separado solo lo que cada norma exige de forma específica. Duplicar marcos completos multiplica el coste sin añadir cumplimiento.
FAQ
DORA aplica solo a bancos
No. El ámbito cubre unas veinte categorías de entidad financiera, entre ellas aseguradoras, gestoras de fondos, empresas de servicios de inversión, entidades de pago y dinero electrónico, proveedores de servicios de criptoactivos e infraestructuras de mercado. Los bancos son una parte del ámbito, no el ámbito completo.
Mi empresa es pequeña, queda fuera de DORA
El tamaño no exime con carácter general: activa el principio de proporcionalidad. Las microempresas y ciertas entidades pequeñas pueden acogerse a un marco simplificado de gestión del riesgo TIC, pero siguen obligadas a gestionar el riesgo, notificar incidentes graves y probar sus sistemas. Existen exclusiones concretas, pero son tasadas.
Somos proveedor de software de un banco, nos aplica DORA
No de forma directa, salvo que seáis designados proveedor TIC crítico, en cuyo caso pasáis a supervisión europea directa. Lo que sí ocurre siempre es que vuestros clientes financieros os trasladarán por contrato las cláusulas mínimas que DORA les exige: derechos de auditoría, niveles de servicio, notificación de incidentes y estrategia de salida.
Estamos obligados a hacer un TLPT
Solo si vuestra autoridad competente os designa para pruebas avanzadas, atendiendo a tamaño, perfil de riesgo y relevancia. El resto de entidades del ámbito debe mantener un programa de pruebas de resiliencia, pero no necesariamente un TLPT.
Qué pasa si nos aplican DORA y NIS2 a la vez
Para las entidades financieras cubiertas, DORA actúa como norma especial y prevalece sobre NIS2 en gestión del riesgo TIC y notificación de incidentes. En grupos con filiales de varios sectores pueden convivir ambos marcos, y conviene mapear los controles comunes una sola vez en lugar de duplicar programas.
Desde cuándo es exigible DORA
El reglamento es de aplicación desde el 17 de enero de 2025. No hay periodo transitorio adicional: las obligaciones son exigibles y las autoridades competentes ya pueden requerir evidencia del marco de gestión del riesgo TIC y del programa de pruebas.
Servicio relacionado
consultoría de adecuación a DORA