Reglamento DORA 2025: Guía de Cumplimiento para Entidades Financieras y Fintech

El Reglamento DORA (Digital Operational Resilience Act, UE 2022/2554) es aplicable desde el 17 de enero de 2025 para bancos, entidades de pago, gestoras de inversión, aseguradoras y proveedores de criptoactivos en toda la UE. Afecta a unas 22.000 entidades. Los cinco pilares de DORA —gestión de riesgos TIC, notificación de incidentes, tests de resiliencia, gestión de terceros TIC e intercambio de información— son obligatorios y están siendo inspeccionados activamente por el Banco de España, la CNMV y la DGSFP desde 2025.

¿Qué entidades están obligadas por DORA?

El art. 2 DORA define el ámbito de aplicación. Las entidades obligadas incluyen: entidades de crédito (bancos, cooperativas de crédito, cajas), entidades de pago y de dinero electrónico, empresas de servicios de inversión, organismos de inversión colectiva en valores mobiliarios (OICVM) y sus gestoras, fondos de inversión alternativos y sus gestoras (SGEIC), empresas de seguros y reaseguros supervisadas por la DGSFP, plataformas de financiación participativa (crowdfunding y crowdlending) supervisadas por la CNMV, proveedores de servicios de criptoactivos (CASP) bajo el Reglamento MiCA, y agencias de calificación crediticia. También están sujetos los proveedores TIC críticos que prestan servicios a estas entidades, bajo un régimen de supervisión directa europeo.

DORA distingue entre entidades "importantes" y "esenciales" (sistémicas). Las entidades esenciales tienen obligaciones adicionales, especialmente en materia de tests TLPT (Threat-Led Penetration Testing) cada 3 años. El principio de proporcionalidad del art. 4 permite que microempresas y entidades pequeñas y no complejas apliquen el régimen simplificado del art. 16 para algunos requisitos de gestión de riesgos TIC.

¿Cuáles son los 5 pilares de DORA?

1. Gestión del riesgo TIC (Capítulo II, Arts. 5–15): Marco de gestión del riesgo TIC documentado, aprobado por el órgano de administración. Incluye inventario de activos TIC clasificados por criticidad, política de seguridad de la información, controles de protección (MFA para sistemas críticos, cifrado, gestión de parches con SLA), detección continua (SIEM), continuidad del negocio (BCP/DRP con RTO/RPO probados anualmente) y revisión independiente al menos anual.
2. Gestión y notificación de incidentes TIC (Capítulo III, Arts. 17–23): Registro de todos los incidentes TIC, clasificación de incidentes importantes según criterios de los RTS, y notificación obligatoria de incidentes mayores al supervisor competente: alerta inicial en 4 horas, informe intermedio en 72 horas, informe final en 1 mes.
3. Pruebas de resiliencia operativa digital (Capítulo IV, Arts. 24–27): Pruebas básicas anuales (vulnerability assessments, penetration tests, análisis de escenarios) para todas las entidades. Para entidades sistémicas identificadas por el supervisor: TLPT (Threat-Led Penetration Testing) cada 3 años.
4. Gestión del riesgo de terceros proveedores TIC (Capítulo V, Arts. 28–44): Registro de todos los contratos con proveedores TIC. Cláusulas contractuales obligatorias (art. 30) para proveedores de funciones importantes o críticas. Supervisión reforzada de proveedores TIC críticos designados por las ESA.
5. Acuerdos de intercambio de información (Capítulo VI, Art. 45): Participación voluntaria en plataformas sectoriales de inteligencia compartida sobre ciberamenazas.

¿Cuáles son los plazos de notificación de incidentes bajo DORA?

¿Qué diferencia hay entre entidades "esenciales" e "importantes" bajo DORA?

DORA aplica el principio de proporcionalidad a través de la clasificación de entidades. Las entidades sistémicamente importantes —determinadas por el supervisor competente en función de tamaño, interconexión y perfil de riesgo— están sujetas a requisitos adicionales, principalmente la obligación de realizar TLPT (Threat-Led Penetration Testing) cada 3 años con equipos certificados externos. Las entidades medianas y grandes sin calificación sistémica deben cumplir todos los pilares de DORA pero con cierta flexibilidad en la implementación. Las entidades pequeñas y no complejas, así como microempresas de determinadas categorías, pueden acogerse al régimen simplificado del art. 16 para los requisitos del Capítulo II de gestión de riesgos TIC.

¿Qué necesita hacer una fintech para cumplir DORA en 2026?

Una fintech española sujeta a DORA (entidad de pago, gestora de fondos, plataforma de crowdfunding o CASP) debe completar los siguientes pasos:

1. Determinar si aplica el régimen general o simplificado (art. 16 DORA / RTS 2024/1773).
2. Elaborar y aprobar en consejo el marco de gestión de riesgos TIC con inventario de activos, política de seguridad y BCP/DRP.
3. Revisar todos los contratos cloud y SaaS para incorporar las cláusulas obligatorias del art. 30 DORA.
4. Establecer el proceso de clasificación y notificación de incidentes TIC al supervisor competente.
5. Programar los tests de resiliencia anuales (vulnerability assessment + penetration test básico).
6. Documentar el registro de proveedores TIC con el formato del ITS 2024/2956 para entrega al supervisor.

Preguntas frecuentes sobre el Reglamento DORA

¿El Reglamento DORA reemplaza NIS2 para el sector financiero?

En gran medida, sí. DORA es lex specialis para el sector financiero y prevalece sobre NIS2 en todo lo referente a resiliencia operativa digital para las entidades en su ámbito de aplicación. Sin embargo, la Directiva NIS2 transpuesta sigue siendo relevante para aquellas entidades financieras que también operan infraestructuras críticas o servicios digitales no financieros.

¿Desde cuándo están inspeccionando activamente los supervisores españoles?

Las autoridades supervisoras iniciaron las evaluaciones DORA desde el Q1 de 2025. El Banco de España y la CNMV han publicado guías de expectativas supervisoras. Las entidades de mayor tamaño y las sistémicas recibieron primero los requerimientos de información. Se esperan inspecciones in situ para 2026 en entidades que no hayan acreditado cumplimiento documental.

¿Cómo se definen los incidentes "importantes" o "mayores" que hay que notificar?

Los criterios de clasificación de incidentes "mayores" están definidos en los RTS conjuntos de EBA/EIOPA/ESMA. Los criterios incluyen: número de clientes afectados, impacto económico (pérdidas directas e indirectas), duración de la interrupción del servicio, extensión geográfica, tipo y sensibilidad de los datos comprometidos, y si se trata de un servicio crítico. La entidad debe documentar su proceso interno de clasificación en tiempo real.

¿Qué son los RTS de DORA y por qué son importantes?

Los Regulatory Technical Standards (RTS) son los reglamentos delegados que desarrollan los requisitos técnicos de DORA. Los principales son: RTS 2024/1774 (herramientas de gestión de riesgos TIC), RTS 2024/1773 (marco simplificado para pequeñas entidades), e ITS 2024/2956 (plantillas del registro de proveedores TIC). Son vinculantes y de aplicación directa desde enero de 2025.

¿Un proveedor cloud como AWS o Azure puede ser designado como proveedor TIC crítico?

Sí. Las ESA (EBA, ESMA, EIOPA) tienen competencia para designar a proveedores TIC como críticos (CTPP) si su importancia sistémica para el sector financiero europeo supera determinados umbrales de concentración. Una vez designados, quedan sujetos a supervisión directa por las ESA con posibilidad de inspección en sus instalaciones y multas recurrentes de hasta €5 millones al mes.

¿Cómo ayuda IgeraLegal al cumplimiento de DORA?

IgeraLegal es un asistente de compliance que responde preguntas sobre DORA citando el artículo exacto del Reglamento y de los RTS aplicables. Genera checklists de implementación para los 5 pilares adaptados al tipo y tamaño de entidad, plantillas de política de gestión de riesgos TIC, modelos de cláusulas contractuales para proveedores TIC, y el registro de terceros TIC en el formato del ITS 2024/2956. Todo en menos de 5 segundos por consulta, sin alucinaciones.