¿Qué es DORA? Definición, obligaciones y plazos

Qué significa DORA en concreto

DORA crea un marco único de la UE para la resiliencia digital del sector financiero. Antes de DORA, la gestión de riesgos de TIC se repartía entre numerosas normas nacionales y requisitos de supervisión. El reglamento reúne estos requisitos y los hace igualmente vinculantes en todos los Estados miembros. Como reglamento, DORA es de aplicación directa, sin que una ley nacional deba ponerlo en vigor.

DORA es aplicable desde el 17 de enero de 2025. Las entidades financieras afectadas deben cumplir íntegramente los requisitos desde esa fecha. El reglamento se concreta mediante normas técnicas de regulación y de ejecución (RTS e ITS) de las autoridades europeas de supervisión, que detallan las obligaciones concretas.

El marco se asienta en cinco ámbitos. Primero, una gestión de riesgos de TIC con un marco de gobernanza del que responden los órganos de dirección. Segundo, un procedimiento para clasificar incidentes relacionados con las TIC y notificar los graves a la autoridad competente. Tercero, pruebas periódicas de la resiliencia digital. Cuarto, la gestión del riesgo de proveedores terceros de TIC, con un registro y requisitos contractuales mínimos. Quinto, el intercambio voluntario de información sobre ciberamenazas entre entidades financieras.

Quiénes se ven afectados

DORA se aplica a un amplio abanico de entidades financieras y va mucho más allá de los bancos. Quedan cubiertos, entre otros, entidades de crédito, aseguradoras y reaseguradoras, empresas de servicios de inversión, entidades de pago y de dinero electrónico, prestadores de servicios de criptoactivos, gestores de fondos y otros participantes de mercado regulados. Para las empresas pequeñas y no interconectadas, el reglamento contempla en algunos puntos requisitos aliviados.

Una particularidad de DORA es la mirada más allá de la entidad financiera individual. Los prestadores críticos de servicios de TIC de terceros, como grandes proveedores de nube o de infraestructura, pueden someterse a una supervisión directa a escala de la UE. La clasificación de estos prestadores críticos se realiza mediante un procedimiento formal de las autoridades europeas de supervisión, aún en construcción. El proceso está en marcha; aún no existe una lista pública definitiva.

En Alemania, la aplicación corresponde principalmente a la BaFin (Autoridad Federal de Supervisión Financiera) y, en el caso de entidades bajo supervisión europea común, al Deutsche Bundesbank. A escala de la UE, las tres autoridades europeas de supervisión -EBA, ESMA y EIOPA- colaboran en el Joint Committee y son responsables del marco de supervisión (Oversight Framework) de los prestadores críticos de servicios de TIC de terceros.

Qué deben revisar ahora las empresas

Las entidades financieras afectadas deben examinar primero su marco de gobernanza de riesgos de TIC. El órgano de dirección asume la responsabilidad y debe aprobar y supervisar la estrategia de resiliencia digital. A continuación se inventarían los propios sistemas, procesos y dependencias de TIC.

Un punto central es el registro de proveedores de TIC. Las empresas deben documentar qué proveedores respaldan qué funciones y adaptar sus contratos a los requisitos mínimos del reglamento. En paralelo hay que establecer un proceso de clasificación y notificación de incidentes graves de TIC, con vías claras de escalado interno hacia la autoridad competente.

El registro de los contratos de información no es un documento puntual, sino una prueba exigida por la supervisión. La BaFin (Autoridad Federal de Supervisión Financiera) y las autoridades europeas recaban estos registros para detectar riesgos de concentración en el mercado, por ejemplo la dependencia de muchas entidades de pocos grandes proveedores cloud. Quien lleve un registro incompleto no solo se expone a una objeción, sino que pierde la visión de sus dependencias críticas. También gana peso el riesgo de subcontratación: un proveedor que ceda partes esenciales a cuartas partes debe revelar esa cadena.

En las pruebas, DORA distingue entre tests básicos periódicos para todas las entidades afectadas y pruebas de penetración basadas en amenazas, el Threat-Led Penetration Testing (TLPT). Estos tests exigentes no son obligatorios para todas las empresas. Aplican a entidades clasificadas como significativas y se realizan allí de forma periódica, aproximadamente cada tres años. Las empresas deben aclarar pronto si entran en esta categoría.

Delimitación respecto a conceptos afines

DORA y la Directiva NIS2 se citan a menudo juntas, pero tienen enfoques distintos. NIS2 es una directiva de amplia cobertura sectorial que se aplica mediante leyes nacionales. DORA es un reglamento de aplicación directa centrado exclusivamente en el sector financiero y que regula en detalle su resiliencia digital.

Para el sector financiero, DORA es la norma más específica. Las entidades financieras sujetas a DORA quedan exentas de las obligaciones de NIS2 en ese ámbito. Por tanto, no hay doble obligación por ambos marcos. Fuera del sector financiero, NIS2 sigue siendo el instrumento de referencia.

Un malentendido frecuente es equiparar DORA a meras cláusulas contractuales para proveedores cloud. El riesgo de terceros es solo uno de cinco ámbitos. DORA abarca toda la gestión del riesgo TIC, la notificación de incidentes, las pruebas y la gobernanza. Además, DORA se aplica a un amplio círculo de entidades financieras, desde bancos y aseguradoras hasta prestadores de servicios de pago.

Preguntas frecuentes

Cada pregunta está cerrada. Un toque revela la respuesta.

¿Desde cuándo se aplica DORA?

DORA es aplicable desde el 17 de enero de 2025. Las entidades financieras afectadas deben cumplir plenamente los requisitos desde esa fecha.

¿DORA es una directiva o un reglamento?

DORA es un reglamento. Se aplica de forma directa en todos los Estados miembros de la UE y no requiere transposición mediante leyes nacionales.

¿Debe toda entidad financiera realizar un TLPT?

No. Las pruebas de penetración guiadas por amenazas (TLPT) se aplican a entidades clasificadas como significativas y suelen realizarse aproximadamente cada tres años. Todas las entidades afectadas deben, no obstante, realizar pruebas básicas periódicas.

¿Se aplica DORA además de NIS2?

Para las entidades financieras, DORA prevalece como norma más específica. En esa medida quedan exentas de las obligaciones de NIS2; no surge una doble obligación de ambos marcos.

¿Quién supervisa DORA en Alemania?

En Alemania son competentes sobre todo la BaFin (Autoridad Federal de Supervisión Financiera) y, en entidades bajo supervisión europea conjunta, el Deutsche Bundesbank. Los proveedores críticos de servicios TIC de terceros pueden quedar sujetos además a supervisión a escala de la UE.

Recomendaciones de la redacción

RecomendaciónDORA en la práctica: lo que quiere ver la supervisiónRecomendaciónCuándo empieza realmente a correr el plazo de notificaciónRecomendaciónCinco partidas que necesitan presupuesto antes del SIEM

Más de la red MBF Media

cloudmagazinKRITIS en la nube: qué asegura la migraciónMyBusinessFutureLa supervisión de la IA en Alemania ya tiene una direcciónDigital ChiefsLa IA escribe el código. ¿Quién responde por ello?