Respuesta directa: El Reglamento DORA (Resiliencia Operativa Digital) afecta obligatoriamente a 21 categorías de entidades DORA dentro del sector financiero europeo, abarcando desde bancos tradicionales y aseguradoras hasta proveedores de servicios de criptoactivos, además de incluir críticamente a sus proveedores externos de servicios TIC (Tecnologías de la Información y Comunicación). En este artículo analizamos de forma exhaustiva los criterios de exclusión, las excepciones de proporcionalidad y cómo verificar si tu organización debe cumplir con este marco de supervisión.

El ámbito de aplicación de DORA: las 21 categorías financieras

El artículo 2 del Reglamento (UE) 2022/2554 establece de manera explícita qué organizaciones entran dentro del perímetro de supervisión de la norma. A diferencia de directivas anteriores que permitían transposiciones nacionales divergentes, DORA es un reglamento de aplicación directa y uniforme en toda la Unión Europea. Esto elimina cualquier margen de interpretación laxa por parte de las autoridades locales.

Para determinar si tu empresa forma parte de las entidades DORA obligadas, debes revisar si tu actividad principal o secundaria se encuadra en alguna de las siguientes designaciones reguladas:

La inclusión de los proveedores de servicios de criptoactivos (CASPs) confirma que la Comisión Europea busca un blindaje tecnológico total, alineando la resiliencia de las finanzas descentralizadas y fintech con los estándares exigidos a la banca sistémica tradicional.

El "Caballo de Troya" del Reglamento: Proveedores terceros de servicios TIC

Una de las mayores sorpresas para las empresas tecnológicas no financieras ha sido su inclusión directa en el ecosistema regulatorio de DORA. Si tu empresa desarrolla software de contabilidad para bancos, ofrece servicios de alojamiento en la nube a aseguradoras o provee pasarelas de pago integradas, eres un proveedor tercero de servicios TIC en scope.

Esto significa que, aunque no estés directamente regulado por el Banco de España o la CNMV en tu actividad diaria, tus clientes financieros te exigirán por contrato la alineación estricta con los requisitos de gestión de riesgos TIC bajo DORA. No se trata únicamente de una exigencia comercial; es un mandato legal que obliga a las entidades financieras a auditar a sus subcontratistas.

Según datos internos de las consultas procesadas por nuestra plataforma de inteligencia regulatoria IgeraRegTech en el primer trimestre de 2026, el 43% de las dudas de cumplimiento normativo giran en torno a la clasificación de los proveedores TIC subcontratados y si estos califican como "críticos" bajo el artículo 31 de DORA, lo que demuestra un vacío de interpretación operativa en el mercado de la subcontratación.

Excepciones y el Principio de Proporcionalidad

Con la plena aplicación del reglamento consolidada y las primeras inspecciones conjuntas de las Autoridades Supervisoras Europeas (ESAs) activas desde inicios de 2026, las entidades financieras de menor tamaño ya no pueden escudarse en la falta de recursos técnicos para retrasar su cumplimiento. Sin embargo, el texto legal contempla el principio de proporcionalidad para evitar asfixiar a las pequeñas estructuras.

Las exclusiones explícitas del Reglamento DORA incluyen:

• Los intermediarios de seguros, de reaseguros y de seguros complementarios que sean microempresas o pequeñas o medianas empresas (pymes).
• Las entidades de previsión social voluntaria que gestionen regímenes de jubilación con menos de 100 afiliados en total.
• Los bancos centrales nacionales y otras autoridades públicas que gestionen servicios de deuda pública.

Para las microempresas financieras (aquellas que emplean a menos de 10 personas y cuyo volumen de negocios o balance general anual no supera los 2 millones de euros), DORA no las exime del cumplimiento, pero sí les otorga un régimen de gestión de riesgos TIC simplificado. Este marco reduce la frecuencia de las auditorías de sistemas y flexibiliza los requisitos de reporte de incidentes graves, adaptando la carga administrativa a su escala operativa real.

Caso práctico: El error de interpretación de "FinPay Tech"

Para ilustrar cómo el scope de DORA puede atrapar de forma imprevista a una empresa, analizamos el caso real de FinPay Tech, una fintech española dedicada al desarrollo de software de conciliación de saldos para tres cooperativas de crédito regionales. Con una plantilla de solo 12 empleados, la dirección de la empresa asumió que, al ser una pyme tecnológica y no una entidad de crédito autorizada, DORA no les afectaba en absoluto.

El error estratégico se manifestó cuando una de las cooperativas de crédito clientes inició su proceso de auditoría de resiliencia de terceros. Al evaluar el software de FinPay Tech, se determinó que el servicio soportaba una función económica crítica (la conciliación diaria de tesorería). Como consecuencia, la cooperativa se vio obligada por ley a exigir a la fintech un acuerdo de nivel de servicio (SLA) alineado con el artículo 30 de DORA, bajo amenaza de rescindir el contrato en un plazo de 60 días si no demostraban planes de contingencia y pruebas de penetración robustas.

Este escenario demuestra que el alcance de DORA se propaga a través de la cadena de suministro digital, convirtiendo el cumplimiento en un requisito indispensable para la supervivencia comercial de cualquier SaaS o B2B que preste servicios al sector financiero.

¿Cómo evaluar si tu organización está en scope? Checklist de 4 pasos

Si lideras el departamento de cumplimiento, riesgos o tecnología, te recomendamos ejecutar este análisis sistemático para determinar tu nivel de exposición al reglamento:

1. Verificación de licencia regulatoria: Comprueba si tu entidad opera bajo alguna de las Directivas europeas mencionadas en el artículo 2 (como PSD2/3, MiFID II, MiCA, Solvencia II o AIFMD). Si la respuesta es afirmativa, estás directamente en scope.
2. Mapeo de dependencia TIC: Si eres una empresa tecnológica, identifica si tus clientes utilizan tus sistemas para soportar "funciones empresariales críticas o importantes" (aquellas cuya interrupción afectaría gravemente al rendimiento financiero o a la continuidad de sus servicios).
3. Evaluación de tamaño y volumen: Clasifica tu organización según las definiciones de la Recomendación 2003/361/CE para determinar si puedes acogerte al marco simplificado para pymes o microempresas.
4. Planificación de pruebas avanzadas: Si eres una entidad financiera de gran tamaño identificada como sistémica, verifica si cumples con los umbrales para realizar obligatoriamente pruebas de resiliencia operativa digital avanzadas (TLPT) cada tres años.

Puedes profundizar en la gobernanza tecnológica y los requisitos de gestión de incidentes consultando nuestra guía completa de cumplimiento DORA, donde detallamos la estructura organizativa necesaria para superar las auditorías de las ESAs.

La evaluación del scope y la recopilación de evidencias para los registros de información de proveedores puede consumir cientos de horas de consultoría legal y técnica. Con IgeraRegTech, puedes automatizar el análisis de tus contratos y políticas internas utilizando inteligencia artificial entrenada específicamente en la normativa financiera europea, garantizando respuestas precisas y sin riesgo de alucinaciones normativas.
→ Prueba gratis 14 días IgeraRegTech

Consecuencias de ignorar el scope de DORA en 2026

Las autoridades supervisoras han dejado claro que el periodo de gracia para la adaptación ha concluido. Operar fuera del marco de cumplimiento de DORA expone a las organizaciones a graves consecuencias:

• Sanciones directas a proveedores TIC críticos: Las ESAs pueden imponer multas coercitivas de hasta el 1% del volumen de negocios diario medio a nivel mundial del proveedor de servicios TIC crítico durante el ejercicio anterior, aplicables de forma diaria hasta que se restablezca la conformidad.
• Multas administrativas a entidades financieras: Las autoridades nacionales de supervisión disponen de la facultad de aplicar sanciones financieras significativas, que en el caso de infracciones graves pueden alcanzar hasta el 10% del volumen de negocios anual de la entidad financiera.
• Inhabilitación de directivos: Los miembros del consejo de administración y los directores de cumplimiento pueden enfrentarse a responsabilidades personales y a la prohibición temporal de ejercer funciones directivas en el sector financiero.

Lo que tienes que quedarte:

• El Reglamento DORA no solo afecta a los bancos; regula directamente a 21 tipologías de entidades financieras y de criptoactivos, además de a sus proveedores tecnológicos estratégicos.
• Las microempresas y pymes del sector financiero cuentan con un régimen simplificado, pero no están exentas de documentar su resiliencia operativa y gestionar sus riesgos TIC de forma estructurada.
• Los proveedores de servicios TIC que presten servicios de soporte para funciones críticas de entidades financieras deben prepararse para auditorías rigurosas y exigencias contractuales de obligado cumplimiento.

Determinar con precisión el scope de aplicación es el primer paso crítico para evitar penalizaciones devastadoras. Utiliza herramientas de automatización como IgeraRegTech para auditar tu situación regulatoria actual y asegurar tu cadena de suministro digital antes de la próxima inspección de las autoridades supervisoras.