DORA para Entidades Financieras: Guía de Cumplimiento en Cataluña 2026

El Reglamento (UE) 2022/2554 (DORA) es obligatorio desde el 17 de enero de 2025 para todas las entidades financieras de la UE. Bancos, aseguradoras, gestoras de inversión, entidades de pago, corredores de bolsa, plataformas de financiación participativa y proveedores de criptoactivos deben cumplir cinco pilares de resiliencia operativa digital. El incumplimiento expone a la dirección a sanciones personales y a la entidad a multas de hasta el 10% de la facturación anual del grupo.

¿Qué entidades están obligadas por DORA en Cataluña?

DORA aplica a más de 20 categorías de entidades definidas en el art. 2 del Reglamento. En Cataluña, las principales son: entidades de crédito (bancos, cooperativas de crédito), entidades de pago y de dinero electrónico (fintech barcelonesas), empresas de servicios de inversión y gestoras de instituciones de inversión colectiva (gestoras de patrimonio catalanas), compañías de seguros y reaseguros supervisadas por la DGSFP, plataformas de financiación participativa (crowdfunding y crowdlending), y proveedores de servicios de criptoactivos (CASP) bajo MiCA. Las microempresas de determinadas categorías tienen acceso a un régimen simplificado en algunos artículos, pero no quedan exentas del cumplimiento general.

¿Cuáles son los 5 pilares obligatorios de DORA?

1. Gestión del riesgo TIC (Capítulo II, Arts. 5–15): Marco documentado de gestión del riesgo TIC aprobado por el órgano de gestión. Incluye inventario de activos TIC, política de seguridad de la información, gestión de vulnerabilidades y parches, controles de acceso (MFA obligatoria para sistemas críticos), continuidad del negocio (BCP/DRP con RTO y RPO definidos), y revisión independiente anual.
2. Gestión, clasificación y notificación de incidentes TIC (Capítulo III, Arts. 17–23): Registro de todos los incidentes TIC. Clasificación de incidentes según criterios de los RTS. Notificación obligatoria de incidentes "importantes" a las autoridades supervisoras (Banco de España, CNMV o DGSFP) en tres fases: alerta inicial en 4 horas, informe intermedio en 72 horas e informe final en 1 mes.
3. Pruebas de resiliencia operativa digital (Capítulo IV, Arts. 24–27): Pruebas básicas anuales para todas las entidades (vulnerability assessments, tests de penetración). Para entidades sistémicas significativas: Threat-Led Penetration Testing (TLPT) cada 3 años, ejecutado por equipipo certificado externo.
4. Gestión del riesgo de terceros proveedores TIC (Capítulo V, Arts. 28–44): Registro de todos los contratos con proveedores TIC. Cláusulas contractuales obligatorias (art. 30) para todos los proveedores. Para proveedores críticos designados por las ESA: supervisión reforzada con posibilidad de inspección directa por el regulador europeo.
5. Acuerdos de intercambio de información (Capítulo VI, Art. 45): Participación voluntaria en plataformas de inteligencia compartida sobre ciberamenazas con otras entidades del sector financiero.

¿Cuáles son los plazos exactos de notificación de incidentes?

Solo aplica a incidentes clasificados como "importantes" según los criterios de los RTS de la EBA/EIOPA/ESMA: número de clientes afectados, impacto en ingresos, duración del servicio, alcance geográfico y tipo de datos comprometidos. La entidad debe contar con un proceso interno documentado para clasificar incidentes en tiempo real.

¿Qué cláusulas contractuales son obligatorias con los proveedores TIC?

El art. 30 DORA exige que todos los contratos con proveedores TIC que soporten funciones importantes o críticas incluyan obligatoriamente: descripción detallada de los servicios y SLA con penalizaciones, derecho de auditoría e inspección de la entidad financiera sobre el proveedor, cláusulas de subcontratación (con restricciones y derecho de objeción), localización geográfica del procesamiento de datos, planes de continuidad del servicio y procedimientos de salida (exit plans), notificación de incidentes de seguridad que afecten a la entidad, y cooperación con las autoridades supervisoras. Los contratos firmados antes de enero de 2025 deben revisarse y adaptarse cuando se renueven o en todo caso antes de que el supervisor lo requiera.

¿Qué sanciones contempla DORA para el incumplimiento?

Las sanciones bajo DORA se articulan en dos niveles. Para entidades financieras, el BCE, el Banco de España, la CNMV y la DGSFP pueden imponer multas de hasta 10 millones de euros o el 2% de la facturación anual total del grupo, la cifra que sea mayor. Para proveedores TIC críticos designados directamente supervisados por las Autoridades Europeas de Supervisión (EBA, ESMA, EIOPA), las multas pueden alcanzar 5 millones de euros al mes con carácter recurrente. Además, la responsabilidad no es solo institucional: los miembros del órgano de gestión pueden ser sancionados individualmente si se demuestra incumplimiento de sus obligaciones de supervisión bajo el art. 5 DORA.

Preguntas frecuentes sobre DORA para entidades financieras

¿DORA reemplaza la normativa sectorial de ciberseguridad española?

No completamente. DORA es lex specialis para el sector financiero y prevalece sobre normativas nacionales equivalentes para entidades en su ámbito. No obstante, el Esquema Nacional de Seguridad (ENS) sigue aplicando a entidades que presten servicios a las administraciones públicas. NIS2, transpuesta en España, aplica a entidades financieras como operadores esenciales pero DORA es la norma específica que prevalece en materia de resiliencia operativa digital financiera.

¿Una fintech pequeña tiene que cumplir los mismos requisitos que un banco sistémico?

No. DORA incorpora el principio de proporcionalidad. Las microempresas y las entidades "pequeñas y no complejas" pueden acogerse al régimen simplificado del art. 16, que reduce requisitos en gestión de riesgo TIC. Sin embargo, los pilares de notificación de incidentes y gestión de terceros TIC (contratos art. 30) aplican a todas las entidades sin excepción.

¿Qué son los TLPT y qué entidades deben realizarlos?

Los Threat-Led Penetration Tests (TLPT) son pruebas de penetración avanzadas basadas en inteligencia de amenazas reales, ejecutadas por equipos externos certificados. Deben realizarse cada 3 años. Los requisitos TLPT aplican a entidades que el supervisor competente identifique como sistémicamente relevantes por su tamaño, interconexión o perfil de riesgo. El marco europeo de referencia es TIBER-EU, aunque los Estados miembro pueden adaptarlo.

¿Qué es un proveedor TIC crítico bajo DORA?

Las Autoridades Europeas de Supervisión (EBA, ESMA, EIOPA) designan anualmente a los proveedores TIC críticos (CTPP) basándose en criterios de concentración sistémica, número de entidades que dependen de ellos y carácter sustituible. Proveedores como AWS, Microsoft Azure o Google Cloud pueden ser designados como críticos para determinados segmentos. Una vez designados, quedan sujetos a supervisión directa europea con posibilidad de inspección en sus instalaciones.

¿Cómo ayuda IgeraLegal a cumplir DORA?

IgeraLegal es un asistente de compliance que responde preguntas sobre DORA citando el artículo exacto del Reglamento y los RTS de las ESA. Genera checklists de implementación para cada uno de los 5 pilares, plantillas de políticas de gestión de riesgos TIC, modelos de cláusulas contractuales para proveedores, y registros de proveeedores TIC pre-formateados según los ITS. Todo en menos de 5 segundos por consulta.

¿Cuándo comenzaron las inspecciones DORA en España?

Las autoridades supervisoras iniciaron las evaluaciones DORA desde el primer trimestre de 2025. El Banco de España y la CNMV han publicado guías de expectativas supervisoras. Las entidades sistémicas y de mayor tamaño han sido las primeras en recibir requerimientos de información. Para 2026, se espera que las inspecciones in situ comiencen a materializarse para entidades que no hayan acreditado el cumplimiento documental.

Artículo elaborado por el equipo editorial de Igera Solutions. Basado en el Reglamento (UE) 2022/2554 (DORA) y normativa de desarrollo vigente a junio 2026. No constituye asesoramiento jurídico.