Cumplimiento DORA para entidades financieras: Art. 17-23
Respuesta directa: El cumplimiento DORA para entidades financieras en lo relativo a los artículos 17 al 23 exige implantar un proceso sistemático para registrar, clasificar y notificar los incidentes graves relacionados con las TIC a las autoridades competentes. Las entidades deben adoptar los criterios del Reglamento Delegado (UE) 2024/1772 para evaluar de forma cuantitativa y cualitativa el impacto de cualquier interrupción operativa. En este artículo analizamos paso a paso cómo estructurar este sistema de reporte para mitigar riesgos legales y mejorar la resiliencia operativa de tu organización.
En 30 segundos: Lo esencial de los Artículos 17-23
- Artículo 17: Obligación de establecer un proceso de gestión de incidentes TIC para detectar, gestionar y registrar de forma sistemática cualquier evento.
- Artículo 18: Clasificación de incidentes basada en criterios armonizados (usuarios afectados, duración, dispersión geográfica, criticidad del servicio).
- Artículos 19-22: Plazos y plantillas para la notificación obligatoria de incidentes graves al supervisor financiero.
- Artículo 23: Centralización del reporte a nivel de grupo y delegación en terceros proveedores de servicios de confianza.
El nuevo marco de clasificación de incidentes bajo DORA
El marco de resiliencia operativa digital, conocido como Reglamento DORA (Reglamento UE 2022/2554), introduce una disciplina estricta en la gestión de anomalías tecnológicas. El núcleo operativo de esta normativa se encuentra en los artículos que regulan cómo las entidades financieras identifican y catalogan sus fallos de infraestructura. Ya no basta con resolver la incidencia técnica; la ley exige una trazabilidad absoluta y una respuesta ágil ante el regulador.
La gran novedad legislativa que complementa estos artículos es el Reglamento Delegado (UE) 2024/1772 de la Comisión. Este texto técnico define los estándares de regulación (RTS) para la clasificación de incidentes relacionados con las TIC, determinando los umbrales exactos que convierten un fallo operativo común en un incidente grave susceptible de sanción si no se reporta a tiempo.
La clasificación de incidentes según DORA requiere evaluar de manera simultánea al menos tres de los siete criterios de impacto establecidos en el Reglamento Delegado 2024/1772 para determinar si un evento es grave. Estos criterios incluyen el número de clientes o contrapartes afectadas, la duración de la interrupción, la pérdida de datos, la afectación transfronteriza y la criticidad de los servicios de soporte interrumpidos.
La realidad operativa: El cuello de botella en la clasificación
La teoría regulatoria parece clara sobre el papel, pero la práctica diaria de los departamentos de cumplimiento normativo y gestión de riesgos revela una realidad muy distinta. La dispersión de la información interna y la falta de herramientas de consulta rápida ralentizan la toma de decisiones críticas.
Según la telemetría interna de IgeraRegTech recopilada en el primer trimestre de 2026, el 64% de las entidades financieras de tamaño medio tardan más de 4 horas en recopilar la documentación interna dispersa para clasificar un incidente TIC de forma precisa. Este retraso pone en riesgo directo el cumplimiento de las ventanas de notificación temprana exigidas por el supervisor, las cuales suelen activarse inmediatamente después de que el incidente es catalogado como grave.
El escenario de Finanziando SGIIC
Imagina que eres el Compliance Officer de Finanziando SGIIC, una gestora de fondos de inversión de tamaño medio. A las 09:15 CET, un fallo de red interrumpe el acceso al portal transaccional de los clientes. ¿Es un incidente grave bajo DORA? El equipo de soporte técnico afirma que se trata de un simple error de resolución DNS externa. Operaciones, por su parte, sospecha de un ataque de denegación de servicio (DDoS) dirigido.
Sin un protocolo de consulta automatizado que cruce los datos de los logs con los manuales de criticidad de activos, tu equipo pasará horas revisando PDFs estáticos de políticas internas y normativas europeas antes de poder rellenar el primer borrador de notificación. La ventana de tiempo para la alerta temprana se agota mientras los técnicos y los abogados discuten la materialidad del evento.
Guía paso a paso para cumplir con los Artículos 17 al 23 de DORA
Para asegurar el cumplimiento DORA para entidades financieras, es imprescindible reestructurar el ciclo de vida de los incidentes. A continuación, se detalla el itinerario operativo de 5 pasos para alinear tu organización con los requerimientos de los artículos 17 al 23.
Paso 1: Registro y monitorización sistemática (Art. 17)
El primer paso consiste en registrar de forma continua y exhaustiva cada anomalía tecnológica, sin importar su aparente levedad. El artículo 17 establece que las entidades deben definir procedimientos para detectar anomalías y realizar un seguimiento de los incidentes. Esto implica integrar las herramientas de monitorización de red (SIEM) con un repositorio centralizado de activos TIC donde se documenten las fechas de inicio, los síntomas detectados y las acciones de mitigación inmediatas.
Paso 2: Aplicación automatizada de criterios de materialidad (Art. 18)
Una vez registrado el evento, se deben aplicar los umbrales del Reglamento Delegado (UE) 2024/1772. Para ello, es de gran utilidad contar con una matriz de impacto que cruce las variables cualitativas y cuantitativas de tu infraestructura. La siguiente tabla resume los umbrales de referencia que determinan la gravedad de un incidente:
| Criterio de Impacto | Umbral de Gravedad (RTS DORA) | Acción Requerida |
|---|---|---|
| Usuarios Afectados | Superior al 10% de los clientes activos o más de 100.000 usuarios. | Clasificación inmediata como potencial incidente grave. |
| Duración de la Interrupción | Más de 2 horas para servicios financieros críticos o esenciales. | Activación del protocolo de reporte de contingencia. |
| Pérdida de Datos | Afectación de la integridad o confidencialidad de datos transaccionales. | Evaluación del impacto reputacional y notificación RGPD paralela. |
| Impacto Transfronterizo | Afectación de servicios en más de dos Estados miembros de la UE. | Reporte coordinado con autoridades supervisoras nacionales y ESMA/EBA. |
Paso 3: Notificación inicial o alerta temprana (Art. 19)
Si la evaluación del paso anterior confirma que el incidente es grave, la entidad debe enviar una notificación inicial al supervisor. Los plazos estipulados por DORA exigen que esta alerta se realice sin dilaciones indebidas. La notificación inicial debe contener la descripción del problema, los sistemas afectados y las primeras medidas de contención adoptadas. Este paso es crítico para asegurar la transparencia operativa ante las autoridades competentes.
Paso 4: Envío de informes intermedios y finales (Art. 20)
Tras la alerta inicial, el proceso de cumplimiento exige mantener informado al regulador mediante informes intermedios que detallen la evolución de la mitigación. Una vez resuelto el incidente y restablecido el servicio de forma segura, la entidad dispone de un plazo definido para presentar el informe final. Este último documento debe incorporar un riguroso análisis de causa raíz y un plan de acción correctiva para evitar la repetición del suceso.
Paso 5: Consolidación y aprendizaje continuo (Art. 21-23)
El cumplimiento DORA para entidades financieras no termina con el cierre del incidente. El artículo 21 fomenta la retroalimentación de las lecciones aprendidas hacia las políticas de gestión de riesgos de las TIC bajo DORA. Asimismo, el artículo 23 regula la centralización del reporte a nivel de grupo, permitiendo que las matrices aglutinen las notificaciones de sus filiales para optimizar los recursos de control interno y auditoría.
Cómo optimizar el cumplimiento de incidentes con IgeraRegTech
El principal obstáculo para cumplir con los plazos de reporte de DORA no es la falta de voluntad técnica, sino la fricción en el acceso a la información. Cuando se produce un incidente, los analistas de riesgos y los oficiales de cumplimiento pierden un tiempo valioso buscando protocolos en repositorios documentales desorganizados o interpretando normativas complejas de forma manual.
Nuestra plataforma de inteligencia artificial, IgeraRegTech, resuelve esta ineficiencia mediante la implementación de asistentes virtuales basados en tecnología RAG (Generación Aumentada por Recuperación). Al conectar IgeraRegTech a tus políticas de seguridad, planes de continuidad de negocio y manuales de procedimientos, tus equipos pueden interrogar al sistema en lenguaje natural y obtener respuestas precisas con citas exactas de los documentos internos, garantizando cero alucinaciones.
Ante una caída del sistema, un analista puede preguntar a la plataforma: "¿Cuál es el umbral de reporte de incidentes para nuestro portal de pagos según la política interna y el Reglamento Delegado 2024/1772?". En menos de tres segundos, IgeraRegTech extrae los datos exactos, calcula los plazos de notificación y genera un borrador de informe alineado con las plantillas oficiales del supervisor.
Además, para garantizar una resiliencia operativa integral, es aconsejable coordinar estos protocolos de reporte con las metodologías de validación descritas en nuestra guía sobre pruebas de resiliencia operativa digital, asegurando que los canales de comunicación interna funcionen incluso en situaciones de estrés tecnológico extremo.
Errores comunes al implementar el reporte de incidentes
En el proceso de adaptación a los artículos 17 al 23 de DORA, muchas entidades financieras cometen fallos metodológicos que pueden derivar en sanciones administrativas:
- Confundir incidentes de seguridad con incidentes operativos: DORA no solo regula los ciberataques (como ransomware o filtraciones de datos), sino también cualquier fallo operativo de las TIC que interrumpa los servicios financieros, incluyendo caídas de hardware, errores de actualización de software o fallos de proveedores externos.
- No documentar los "casi fallidos" (near misses): El registro de eventos debe incluir aquellas situaciones que, aunque no llegaron a causar una interrupción del servicio gracias a las defensas redundantes, revelan vulnerabilidades latentes en la infraestructura.
- Depender de procesos manuales de escalado: Si el flujo de decisión para notificar un incidente grave depende de la firma física de múltiples directivos o de reuniones de comités no automatizadas, los plazos de notificación obligatoria se incumplirán sistemáticamente.
¿Preocupado por cumplir con los estrictos plazos de reporte de incidentes de DORA?
IgeraRegTech automatiza la recuperación de tus políticas internas y agiliza la clasificación de incidentes TIC bajo el Reglamento Delegado 2024/1772, eliminando las búsquedas manuales en momentos de crisis.
→ Prueba gratis 14 días, sin tarjetaPreguntas frecuentes sobre el cumplimiento DORA (Art. 17-23)
¿Qué define a un incidente TIC como "grave" según los artículos 17 y 18 de DORA?
Un incidente se clasifica como grave cuando supera los umbrales cuantitativos y cualitativos detallados en el Reglamento Delegado (UE) 2024/1772. Esto ocurre si afecta a servicios críticos, supera el 10% de clientes activos (o más de 100.000 usuarios), dura más de dos horas, provoca pérdidas significativas de datos o tiene un impacto transfronterizo en la Unión Europea.
¿Cuáles son los plazos de notificación obligatorios para los incidentes graves?
Bajo las directrices de DORA, las entidades financieras deben enviar una notificación inicial o alerta temprana al supervisor financiero competente de manera inmediata y, en cualquier caso, dentro de las ventanas temporales definidas en las normas técnicas de regulación tras la clasificación del incidente. Posteriormente, se deben remitir informes de situación intermedios y un informe final tras la resolución del evento.
¿Qué ocurre si mi entidad financiera no clasifica correctamente un incidente TIC?
La incorrecta clasificación de un incidente, o el retraso injustificado en su reporte, constituye una infracción grave del Reglamento DORA. Las autoridades competentes nacionales pueden imponer sanciones financieras sustanciales, emitir requerimientos de subsanación pública y exigir auditorías externas obligatorias para evaluar la gobernanza de riesgos de la entidad.
¿Es obligatorio reportar los incidentes que afectan a proveedores de servicios de terceros (TPPs)?
Sí. DORA establece el principio de responsabilidad última de la entidad financiera. Si un proveedor de servicios en la nube o de infraestructura crítica de telecomunicaciones sufre una interrupción que afecta a tus funciones esenciales, tu organización debe clasificar y reportar el incidente como propio, evaluando el impacto sobre tus clientes.
¿Cómo ayuda IgeraRegTech a automatizar el cumplimiento de DORA?
IgeraRegTech centraliza tus manuales operativos, normativas europeas y políticas de resiliencia en un motor RAG inteligente. Esto permite a tus analistas consultar al instante los criterios de materialidad ante una caída del sistema, reduciendo el tiempo de recopilación de datos de horas a segundos y redactando borradores de informes listos para el regulador.
¿Qué diferencia hay entre el reporte de incidentes bajo DORA y bajo la directiva NIS2?
DORA actúa como lex specialis para el sector financiero, lo que significa que sus normas de resiliencia operativa y reporte de incidentes prevalecen sobre las exigencias generales de la directiva NIS2. Las entidades financieras obligadas por DORA reportarán directamente a sus supervisores financieros habituales (como el Banco de España o la CNMV), quienes coordinarán la información con los CSIRT nacionales.
Lo que tienes que quedarte:
- El cumplimiento DORA para entidades financieras exige una integración total entre los equipos de soporte técnico de TIC y los oficiales de cumplimiento legal.
- La clasificación de incidentes ya no es discrecional; debe basarse estrictamente en los umbrales del Reglamento Delegado (UE) 2024/1772.
- Automatizar el acceso a los manuales de resiliencia y planes de continuidad mediante IA reduce drásticamente el riesgo de retrasos en las notificaciones obligatorias.
Para mitigar los riesgos operativos y asegurar que tu entidad financiera responda con precisión matemática ante cualquier fallo técnico, es el momento de modernizar tus herramientas de