Quins són els terminis exactes de notificació d'incidents?

Només aplica a incidents classificats com a "importants" segons els criteris dels RTS de l'EBA/EIOPA/ESMA: nombre de clients afectats, impacte en ingressos, durada del servei, abast geogràfic i tipus de dades compromeses. L'entitat ha de disposar d'un procés intern documentat per classificar incidents en temps real.

Quines clàusules contractuals són obligatòries amb els proveïdors TIC?

L'art. 30 DORA exigeix que tots els contractes amb proveïdors TIC que suportin funcions importants o crítiques incloguin obligatòriament: descripció detallada dels serveis i SLA amb penalitzacions, dret d'auditoria i inspecció de l'entitat financera sobre el proveïdor, clàusules de subcontractació amb restriccions i dret d'objecció, localització geogràfica del processament de dades, plans de continuïtat del servei i procediments de sortida (exit plans), notificació d'incidents de seguretat que afectin l'entitat, i cooperació amb les autoritats supervisores. Els contractes signats abans de gener de 2025 han de revisar-se i adaptar-se.

Quines sancions preveu DORA per l'incompliment?

Les sancions sota DORA s'articulen en dos nivells. Per a entitats financeres, el BCE, el Banc d'Espanya, la CNMV i la DGSFP poden imposar multes de fins a 10 milions d'euros o el 2% de la facturació anual total del grup, la xifra que sigui major. Per als proveïdors TIC crítics designats supervisant directament per les Autoritats Europees de Supervisió (EBA, ESMA, EIOPA), les multes poden arribar a 5 milions d'euros al mes amb caràcter recurrent. A més, la responsabilitat no és sols institucional: els membres de l'òrgan de gestió poden ser sancionats individualment si es demostra incompliment de les seves obligacions de supervisió sota l'art. 5 DORA.

Preguntes freqüents sobre DORA per a entitats financeres

DORA substitueix la normativa sectorial de ciberseguretat espanyola?

No completament. DORA és lex specialis per al sector financer i preval sobre normatives nacionals equivalents per a entitats en el seu àmbit. No obstant, l'Esquema Nacional de Seguretat (ENS) continua aplicant a entitats que prestin serveis a les administracions públiques. NIS2, transposada a Espanya, aplica a entitats financeres com a operadors essencials però DORA és la norma específica que preval en matèria de resiliència operativa digital financera.

Una fintech petita ha de complir els mateixos requisits que un banc sistèmic?

No. DORA incorpora el principi de proporcionalitat. Les microempreses i les entitats "petites i no complexes" poden acollir-se al règim simplificat de l'art. 16. No obstant, els pilars de notificació d'incidents i gestió de tercers TIC (contractes art. 30) apliquen a totes les entitats sense excepció.

Què són els TLPT i quines entitats els han de realitzar?

Els Threat-Led Penetration Tests (TLPT) són proves de penetració avançades basades en intel·ligència d'amenaces reals, executades per equips externs certificats. S'han de realitzar cada 3 anys. Els requisits TLPT apliquen a entitats que el supervisor competent identifiqui com a sistèmicament rellevants per la seva mida, interconnexió o perfil de risc. El marc europeu de referència és TIBER-EU.

Què és un proveïdor TIC crític sota DORA?

Les Autoritats Europees de Supervisió (EBA, ESMA, EIOPA) designen anualment els proveïdors TIC crítics (CTPP) basant-se en criteris de concentració sistèmica, nombre d'entitats que en depenen i caràcter substituïble. Proveïdors com AWS, Microsoft Azure o Google Cloud poden ser designats com a crítics. Un cop designats, queden subjectes a supervisió directa europea amb possibilitat d'inspecció a les seves instal·lacions.

Com ajuda IgeraLegal a complir DORA?

IgeraLegal és un assistent de compliance que respon preguntes sobre DORA citant l'article exacte del Reglament i els RTS de les ESA. Genera checklists d'implementació per a cadascun dels 5 pilars, plantilles de polítiques de gestió de riscos TIC, models de clàusules contractuals per a proveïdors, i registres de proveïdors TIC preformats segons els ITS. Tot en menys de 5 segons per consulta.

Quan van començar les inspeccions DORA a Espanya?

Les autoritats supervisores van iniciar les avaluacions DORA des del primer trimestre de 2025. El Banc d'Espanya i la CNMV han publicat guies d'expectatives supervisores. Les entitats sistèmiques i de major mida han estat les primeres a rebre requeriments d'informació. Per al 2026, s'espera que les inspeccions in situ comencin a materialitzar-se per a entitats que no hagin acreditat el compliment documental.

Article elaborat per l'equip editorial d'Igera Solutions. Basat en el Reglament (UE) 2022/2554 (DORA) i normativa de desenvolupament vigent al juny 2026. No constitueix assessorament jurídic.