A quines entitats s'aplica el Reglament DORA?

DORA s'aplica a un ampli espectre d'entitats financeres supervisades a la UE (art. 2 DORA):

DORA s'aplica a les fintech petites?

Sí, si estan supervisades sota algun dels règims financers de la UE (PSD2, MiCA, UCITS, etc.). DORA preveu un principi de proporcionalitat (art. 4): les entitats petites i no interconnectades poden aplicar un marc simplificat. Però no n'estan exemptes. Les fintech sota MiCA, per exemple, han de complir els requisits bàsics de gestió de riscos TIC i notificació d'incidents des del moment en que reben la llicència.

Quines sancions preveu DORA per a l'incompliment?

DORA no fixa sancions directes — les estableix cada Estat membre en la seva legislació de transposició. La Directiva indica que han de ser efectives, proporcionades i dissuasives, incloent multes pecuniàries de fins al 2% de la facturació anual global, sancions personals als membres de l'òrgan de govern, i mesures de supervisió com la limitació d'activitats. A Espanya, la Circular 2/2025 del Banc d'Espanya i les normes de la CNMV detallen el règim sancionador aplicable.

Com es relaciona DORA amb el RGPD?

DORA i el RGPD són normatives complementàries. DORA cobreix la resiliència operacional i la gestió de riscos TIC; el RGPD regula la protecció de dades personals. En cas d'incident TIC que comporti una bretxa de dades personals, l'entitat ha de notificar simultàniament: al supervisor financer (DORA, en 4 hores) i a l'autoritat de protecció de dades (RGPD, art. 33, en 72 hores). Els requisits de contracte amb proveïdors TIC (DORA art. 28-30) han d'incorporar també les clàusules de DPA del RGPD.

Quins proveïdors TIC estan designats com a crítics per les AES?

Les AES (EBA, ESMA, EIOPA) van publicar la primera llista de Proveïdors TIC Crítics (CTPP) a finals de 2024. La llista inclou grans proveïdors de cloud (Microsoft Azure, AWS, Google Cloud, IBM Cloud), proveïdors de software bancari core i processadors de pagaments amb presència sistèmica al sector financer europeu. La designació com a CTPP implica supervisió directa per part de les AES i la obligació d'acceptar auditories.

Cal un TLPT (Threat-Led Penetration Test) cada any?

No. El TLPT és obligatori cada 3 anys per a les entitats significatives (art. 26 DORA). Les entitats menys significatives han de realitzar proves bàsiques de resiliència (escaneig de vulnerabilitats, proves de penetració estàndard) amb caràcter anual. El TLPT és un test avançat de penetració basat en intel·ligència d'amenaces reals, executat per proveïdors especialitzats certificats per les AES i el supervisor nacional.

Com gestionar un contracte amb un proveïdor TIC que no vol acceptar els requisits DORA?

DORA estableix clàusules contractuals mínimes obligatòries per a tots els proveïdors TIC que suportin funcions crítiques o importants (art. 30): drets d'auditoria, SLAs de disponibilitat, plans de continuïtat, drets de sortida i portabilitat de dades. Si un proveïdor es nega a acceptar aquestes clàusules, l'entitat financera hauria de considerar la substitució del proveïdor, ja que operar amb un proveïdor no conforme és en si mateix un risc regulatori per a l'entitat. L'EBA ha publicat Guidelines sobre clàusules contractuals estàndard (EBA/GL/2023/xx) per facilitar les negociacions.

RegTech

DORA para Entidades Financieras: Guía Práctica de Cumplimiento 2026

Equip IgeraSolutions

15 de junio de 2026

9 min read

Entitat financera catalana implementant el Reglament DORA per a la resiliència operacional digital

#DORA entitats financeres compliment 2026#Reglament DORA Reg UE 2022 2554#DORA gestió riscos TIC#DORA proveidors TIC crítics#TLPT DORA proves resiliencia

COMPARTIR

Comparte el conocimiento con tu red

DORA para Entidades Financieras: Guía Práctica de Cumplimiento 2026

COMPARTIR

Artículos relacionados

NIS2 Notificación de Incidentes: La Regla de 24 Horas Explicada (2026)

NIS2 y Seguridad de la Cadena de Suministro: Obligaciones para Empresas EU