DORA en operación: qué exige la supervisión
DORA es de aplicación directa en toda la UE desde enero de 2025, pero a finales de ese año solo la mitad de las entidades financieras habían implementado plenamente sus requisitos. En 2026, la presión se vuelve operativa: el registro de proveedores terceros de TIC (tecnologías de la información y la comunicación) vence, se avecinan pruebas de penetración basadas en amenazas y los proveedores críticos de servicios en la nube pasan a estar bajo supervisión directa de la UE.
Lo más importante en resumen
- El plazo ya está aquí: El registro de proveedores terceros de TIC debía notificarse a la BaFin (Autoridad Federal de Supervisión Financiera de Alemania) antes del 30 de marzo de 2026 y debe mantenerse actualizado de forma continua. Quienes lo consideren un trámite puntual fracasarán en la próxima auditoría.
- Las pruebas se toman en serio: Para las entidades de importancia sistémica, se exigen pruebas de penetración basadas en amenazas que abarquen toda la cadena de suministro de TIC. La BaFin detallará los requisitos a lo largo del año.
- La nube también está en el punto de mira: 19 proveedores de servicios de TI se consideran críticos y quedan bajo supervisión directa de la UE, entre ellos los grandes *hyperscalers*. Esto redefine responsabilidades y poder de negociación.
Relacionado:Cuándo empieza realmente a contar el reloj de los plazos de notificación / Ley marco KRITIS: cuando la resiliencia se convierte en obligación del CISO
DORA ya está en vigor, pero su aplicación avanza con retraso
¿Qué es DORA? DORA (por sus siglas en inglés, *Digital Operational Resilience Act*) es un reglamento de la UE sobre resiliencia operativa digital en el sector financiero. Entró en vigor el 17 de enero de 2025 y es de aplicación directa, obligando a bancos, aseguradoras y sus proveedores de servicios de TI a implementar una gestión de riesgos demostrable, notificar incidentes en plazos establecidos y realizar pruebas periódicas de resiliencia.
Aunque la normativa ya es derecho vigente, a finales de 2025 su cumplimiento seguía siendo incompleto en muchos casos: según estudios del sector, solo alrededor de la mitad de las entidades financieras europeas habían cumplido todos los requisitos, mientras que una parte significativa pospuso el objetivo de conformidad hasta 2026. Para los equipos de seguridad, esto significa que la demostración de cumplimiento ya no es un proyecto futuro, sino una exigencia en el día a día.
La gestión de riesgos debe ser demostrable
El primer pilar es una gestión de riesgos TIC (Tecnologías de la Información y la Comunicación) documentada. DORA exige sustancia sólida, no planes teóricos: un inventario de activos actualizado, responsabilidades claras y controles que funcionen cuando sea necesario. Quien no tenga inventariados correctamente sus sistemas críticos no podrá evaluar los riesgos ni superar una auditoría.
En la práctica, el error más común es construir el marco sobre el papel y desvincularlo de las operaciones. Un registro de riesgos que nadie revisa después de la auditoría carece de valor. Las autoridades supervisoras exigen procesos que se apliquen en el día a día. Estos se demuestran con registros, incidencias y planes de contingencia probados.
Notificar incidentes antes de que expire el plazo
El segundo pilar es la notificación de incidentes. DORA (Reglamento de Resiliencia Operativa Digital de la UE) exige clasificar los incidentes graves de las TIC (tecnologías de la información y la comunicación) y comunicarlos a las autoridades competentes dentro de los plazos establecidos. Aunque parece sencillo, en la práctica suele fallar por la falta de preparación previa. Quien, en una situación crítica, tenga que aclarar primero quién debe notificar, a quién y en qué plazo, ya habrá perdido horas valiosísimas.
Aquí es donde marca la diferencia una rutina bien ensayada. Un proceso de notificación debe ponerse a prueba como un backup: simulado al menos una vez por trimestre, con roles y vías de escalada claramente definidos. Los plazos de notificación varían según la normativa aplicable, por lo que es fundamental establecer con precisión el momento en que comienza a contar el reloj.
Pruebas que afectan a toda la cadena de suministro
El tercer pilar es el threat-led penetration testing (TLPT), es decir, las pruebas de penetración guiadas por amenazas. Más allá del pentesting clásico, DORA exige a determinadas entidades simulaciones de ataques realistas, basadas en ciberdelincuentes reales e incluyendo la cadena de suministro TIC. Qué entidades deben realizar estas pruebas y con qué frecuencia depende de su tamaño y relevancia sistémica. Es probable que la BaFin -el supervisor financiero alemán- concrete aún más los requisitos detallados.
Estos pilares se traducen en tareas concretas para el equipo de seguridad.
| Pilar de DORA | Qué aporta el equipo de seguridad |
|---|---|
| Gestión de riesgos TIC | Inventario de activos, controles, registro de riesgos actualizado |
| Notificación de incidentes | Clasificar, notificar en plazo y probar el proceso |
| Pruebas de resiliencia (TLPT) | Pentests guiados por amenazas, incluyendo la cadena de suministro |
| Terceros | Mantener un registro, garantizar derechos de auditoría y disponer de un plan de salida |
Cuando el proveedor de cloud está bajo supervisión directa
El cuarto bloque se centra en los proveedores externos. 19 proveedores de servicios TI se consideran proveedores externos críticos y están sujetos directamente a la supervisión europea, entre ellos los grandes *hyperscalers*. Para las instituciones financieras, esto cambia el panorama: la responsabilidad de la resiliencia sigue recayendo en la propia institución, incluso cuando el servicio proviene de la nube.
En la práctica, esto significa registrar cada servicio crítico en el registro correspondiente, equipar los contratos con derechos de auditoría y rescisión, y disponer de un plan de salida para cada proveedor clave. Una caída en el proveedor de cloud no exime a nadie de la obligación de notificación.
Panorama de situaciónQuien trate el reglamento DORA como un mero ejercicio de documentación, lo descubrirá en el primer incidente real. El reglamento exige una resiliencia real y efectiva.
Preguntas frecuentes
Cada pregunta está cerrada. Pulse para desplegar la respuesta.
¿Desde cuándo está en vigor DORA y a quién afecta?
DORA (Reglamento sobre Resiliencia Operativa Digital) es aplicable desde el 17 de enero de 2025 en todos los Estados miembros de la UE. Afecta a bancos, aseguradoras, empresas de servicios de inversión, proveedores de servicios de pago y criptoactivos, así como a sus principales proveedores de servicios TIC. Al tratarse de un reglamento, no requiere transposición nacional y es directamente aplicable en todos los países.
¿Qué hay que tener en cuenta con el registro de proveedores terceros de TIC?
Este registro recoge todos los acuerdos contractuales relativos a servicios TIC y debía notificarse a la BaFin (Autoridad Federal de Supervisión Financiera de Alemania) antes del 30 de marzo de 2026. Debe mantenerse actualizado de forma continua, ya que las autoridades supervisoras exigen que refleje la situación en tiempo real, no una instantánea puntual.
¿Qué implica exactamente TLPT?
TLPT son las siglas en inglés de *Threat-Led Penetration Testing* (pruebas de penetración guiadas por amenazas). Estas simulaciones de ciberataques se basan en tácticas reales de los atacantes e incluyen toda la cadena de suministro TIC. Son obligatorias, sobre todo, para entidades sistémicas, aunque las autoridades supervisoras concretarán los requisitos detallados a lo largo de 2025.
¿Quién asume la responsabilidad si falla un proveedor de cloud?
La responsabilidad última sobre la resiliencia operativa recae siempre en la entidad financiera. Aunque un proveedor crítico de servicios en la nube esté bajo supervisión directa de la UE, la institución debe notificar los incidentes, gestionar los riesgos y disponer de un plan de salida. Externalizar un servicio no exime de las obligaciones regulatorias.
¿Qué consecuencias tiene incumplir DORA?
Las autoridades supervisoras pueden imponer sanciones severas, que en el caso de proveedores terceros críticos pueden llegar a multas coercitivas diarias de hasta el 1 % de su facturación global. Sin embargo, más allá de las penalizaciones económicas, el mayor riesgo suele ser el daño reputacional y la pérdida de confianza tras un incidente notificado públicamente.
Lecturas recomendadas
Lectura recomendada
Cuando la infraestructura hiperconvergente convierte el backup en un vector de ataque
Lectura recomendada
Cuentas zombie: el punto ciego de la gestión de identidades en el offboarding
Lectura recomendada
DNS protector: la capa de seguridad que muchos pasan por alto
Más contenidos del grupo MBF Media
cloudmagazin
Infraestructuras críticas en la nube: claves para una migración segura
