¿Cuáles son los plazos exactos de notificación de incidentes?

Solo aplica a incidentes clasificados como "importantes" según los criterios de los RTS de la EBA/EIOPA/ESMA: número de clientes afectados, impacto en ingresos, duración del servicio, alcance geográfico y tipo de datos comprometidos. La entidad debe contar con un proceso interno documentado para clasificar incidentes en tiempo real.

¿Qué cláusulas contractuales son obligatorias con los proveedores TIC?

El art. 30 DORA exige que todos los contratos con proveedores TIC que soporten funciones importantes o críticas incluyan obligatoriamente: descripción detallada de los servicios y SLA con penalizaciones, derecho de auditoría e inspección de la entidad financiera sobre el proveedor, cláusulas de subcontratación (con restricciones y derecho de objeción), localización geográfica del procesamiento de datos, planes de continuidad del servicio y procedimientos de salida (exit plans), notificación de incidentes de seguridad que afecten a la entidad, y cooperación con las autoridades supervisoras. Los contratos firmados antes de enero de 2025 deben revisarse y adaptarse cuando se renueven o en todo caso antes de que el supervisor lo requiera.

¿Qué sanciones contempla DORA para el incumplimiento?

Las sanciones bajo DORA se articulan en dos niveles. Para entidades financieras, el BCE, el Banco de España, la CNMV y la DGSFP pueden imponer multas de hasta 10 millones de euros o el 2% de la facturación anual total del grupo, la cifra que sea mayor. Para proveedores TIC críticos designados directamente supervisados por las Autoridades Europeas de Supervisión (EBA, ESMA, EIOPA), las multas pueden alcanzar 5 millones de euros al mes con carácter recurrente. Además, la responsabilidad no es solo institucional: los miembros del órgano de gestión pueden ser sancionados individualmente si se demuestra incumplimiento de sus obligaciones de supervisión bajo el art. 5 DORA.

Preguntas frecuentes sobre DORA para entidades financieras

¿DORA reemplaza la normativa sectorial de ciberseguridad española?

No completamente. DORA es lex specialis para el sector financiero y prevalece sobre normativas nacionales equivalentes para entidades en su ámbito. No obstante, el Esquema Nacional de Seguridad (ENS) sigue aplicando a entidades que presten servicios a las administraciones públicas. NIS2, transpuesta en España, aplica a entidades financieras como operadores esenciales pero DORA es la norma específica que prevalece en materia de resiliencia operativa digital financiera.

¿Una fintech pequeña tiene que cumplir los mismos requisitos que un banco sistémico?

No. DORA incorpora el principio de proporcionalidad. Las microempresas y las entidades "pequeñas y no complejas" pueden acogerse al régimen simplificado del art. 16, que reduce requisitos en gestión de riesgo TIC. Sin embargo, los pilares de notificación de incidentes y gestión de terceros TIC (contratos art. 30) aplican a todas las entidades sin excepción.

¿Qué son los TLPT y qué entidades deben realizarlos?

Los Threat-Led Penetration Tests (TLPT) son pruebas de penetración avanzadas basadas en inteligencia de amenazas reales, ejecutadas por equipos externos certificados. Deben realizarse cada 3 años. Los requisitos TLPT aplican a entidades que el supervisor competente identifique como sistémicamente relevantes por su tamaño, interconexión o perfil de riesgo. El marco europeo de referencia es TIBER-EU, aunque los Estados miembro pueden adaptarlo.

¿Qué es un proveedor TIC crítico bajo DORA?

Las Autoridades Europeas de Supervisión (EBA, ESMA, EIOPA) designan anualmente a los proveedores TIC críticos (CTPP) basándose en criterios de concentración sistémica, número de entidades que dependen de ellos y carácter sustituible. Proveedores como AWS, Microsoft Azure o Google Cloud pueden ser designados como críticos para determinados segmentos. Una vez designados, quedan sujetos a supervisión directa europea con posibilidad de inspección en sus instalaciones.

¿Cómo ayuda IgeraLegal a cumplir DORA?

IgeraLegal es un asistente de compliance que responde preguntas sobre DORA citando el artículo exacto del Reglamento y los RTS de las ESA. Genera checklists de implementación para cada uno de los 5 pilares, plantillas de políticas de gestión de riesgos TIC, modelos de cláusulas contractuales para proveedores, y registros de proveeedores TIC pre-formateados según los ITS. Todo en menos de 5 segundos por consulta.

¿Cuándo comenzaron las inspecciones DORA en España?

Las autoridades supervisoras iniciaron las evaluaciones DORA desde el primer trimestre de 2025. El Banco de España y la CNMV han publicado guías de expectativas supervisoras. Las entidades sistémicas y de mayor tamaño han sido las primeras en recibir requerimientos de información. Para 2026, se espera que las inspecciones in situ comiencen a materializarse para entidades que no hayan acreditado el cumplimiento documental.

Artículo elaborado por el equipo editorial de Igera Solutions. Basado en el Reglamento (UE) 2022/2554 (DORA) y normativa de desarrollo vigente a junio 2026. No constituye asesoramiento jurídico.