DORA explicado para quien no es del mundo financiero
El reglamento DORA es la norma europea que obliga a bancos, aseguradoras y demás entidades financieras a resistir, responder y recuperarse de los fallos tecnológicos. Sin embargo, no es solo «cosa de bancos». De hecho, si tu empresa presta servicios tecnológicos a una entidad financiera, sus exigencias te llegarán por contrato.
En 30 segundos: el reglamento DORA se aplica desde el 17 de enero de 2025 a 20 tipos de entidades financieras. Además, descansa en cinco pilares: riesgo TIC, incidentes, pruebas, terceros e intercambio de información. Por eso, si eres proveedor TIC, tu cliente te exigirá las cláusulas del artículo 30. Por último, los proveedores más críticos quedan bajo supervisión europea directa.
Qué es el reglamento DORA, sin jerga
DORA son las siglas de Digital Operational Resilience Act, es decir, Ley de Resiliencia Operativa Digital. Hoy el sistema financiero depende tanto de la tecnología que un fallo informático grave puede hacer tanto daño como una crisis de liquidez. Por eso la norma obliga a las entidades a demostrar que su tecnología aguanta.
Hablamos del Reglamento (UE) 2022/2554, que entró en vigor el 16 de enero de 2023. Al tratarse de un reglamento, no necesita ley de transposición: obliga directamente en toda la UE. En España lo supervisan el Banco de España, la CNMV y la DGSFP, cada uno en su ámbito. Además, el reglamento DORA se completa con normas técnicas sobre notificación, registro de proveedores y pruebas.
A quién aplica el reglamento DORA: los 20 tipos de entidades
El artículo 2 enumera 21 categorías. Las 20 primeras, de la letra a) a la t), forman las «entidades financieras». En cambio, la última, la letra u), corresponde a los proveedores terceros de servicios TIC. Así quedan agrupadas por sector:
| Sector | Entidades incluidas (art. 2.1) |
|---|---|
| Banca y pagos (4) | Entidades de crédito, entidades de pago, proveedores de información sobre cuentas y entidades de dinero electrónico |
| Inversión y mercados (7) | Empresas de servicios de inversión, depositarios centrales de valores, entidades de contrapartida central, centros de negociación, registros de operaciones, proveedores de suministro de datos y registros de titulizaciones |
| Gestión de activos (2) | Gestoras de fondos de inversión alternativos y sociedades de gestión |
| Seguros y pensiones (3) | Aseguradoras y reaseguradoras, intermediarios de seguros y fondos de pensiones de empleo |
| Cripto y financiación participativa (2) | Proveedores de servicios de criptoactivos y emisores de fichas referenciadas a activos; proveedores de financiación participativa |
| Calificación e índices (2) | Agencias de calificación crediticia y administradores de índices de referencia cruciales |
También hay exclusiones. Por ejemplo, el artículo 2.3 deja fuera a los intermediarios de seguros que sean pymes y a los fondos de pensiones de empleo con 15 miembros o menos. A su vez, el principio de proporcionalidad del artículo 4 adapta las exigencias al tamaño y al riesgo de cada entidad.
Por qué afecta a empresas tecnológicas que no son financieras
El reglamento DORA regula a las entidades financieras, pero las hace responsables del riesgo TIC que externalizan. De hecho, según el artículo 28, la entidad sigue siendo plenamente responsable aunque contrate el servicio fuera. Por eso tu cliente necesita trasladarte, por contrato, buena parte de sus obligaciones.
Qué cambia si das servicio a un banco o una aseguradora
En la práctica, notarás cuatro cosas. Primero, cuestionarios de seguridad más largos y auditorías antes de firmar o renovar. Segundo, contratos nuevos o anexos con las cláusulas del artículo 30. Tercero, aparecerás en el registro de información que tu cliente entrega a su supervisor. Por último, si tu servicio soporta una función crítica o importante, la exigencia sube mucho.
También lo explicamos en cómo funciona el registro de información de terceros TIC. Si tus clientes son bancos o aseguradoras, revisa además lo que se exige a banca y fintech y a las aseguradoras.
Los cinco pilares del reglamento DORA
- Gestión del riesgo TIC (artículos 5 a 16): un marco para identificar, proteger, detectar, responder y recuperar, que aprueba y supervisa la dirección.
- Incidentes (artículos 17 a 23): clasificarlos y notificar los graves al supervisor.
- Pruebas de resiliencia (artículos 24 a 27): un programa anual y, para las entidades que elija el supervisor, pruebas TLPT cada tres años como mínimo.
- Riesgo de terceros TIC (artículos 28 a 44): política de proveedores, registro, cláusulas mínimas, salida y supervisión de proveedores críticos.
- Intercambio de información (artículo 45): acuerdos voluntarios para compartir información sobre ciberamenazas.
En cuanto a los plazos de notificación, los fija el Reglamento Delegado (UE) 2025/301. Así, la notificación inicial va en las 4 horas siguientes a calificar el incidente como grave, y nunca después de 24 horas desde que se conoce. Luego llegan el informe intermedio, a las 72 horas, y el final, un mes después.
Para un proveedor tecnológico, los pilares del reglamento DORA que más pesan son el cuarto y el tercero. Además, el segundo te afecta si un fallo tuyo provoca un incidente grave, porque tu cliente te pedirá datos en horas. Por último, si te interesan las pruebas avanzadas, mira cómo funcionan las pruebas TLPT.
Qué te pedirá tu cliente: las cláusulas del artículo 30
El artículo 30 fija el contenido mínimo de cualquier contrato de servicios TIC con una entidad financiera. Además, todo el contrato, con los niveles de servicio, debe constar en un único documento escrito.
Cláusulas para todos los contratos TIC
- Descripción de los servicios y de si se permite subcontratar.
- Ubicaciones donde se presta el servicio y se tratan los datos, con aviso previo si cambian.
- Protección de los datos: disponibilidad, integridad y confidencialidad.
- Devolución de los datos si cierras o termina el contrato.
- Niveles de servicio descritos.
- Asistencia en incidentes sin coste o con coste fijado de antemano.
- Cooperación con las autoridades del cliente.
- Derechos de terminación y preavisos mínimos.
- Participación en la formación en resiliencia digital del cliente.
Cláusulas extra para funciones críticas o importantes
- Objetivos de servicio cuantitativos y cualitativos precisos.
- Aviso de cualquier novedad que afecte a tu capacidad de servicio.
- Planes de contingencia probados y medidas de seguridad adecuadas.
- Colaboración en las pruebas TLPT del cliente.
- Derechos de acceso, inspección y auditoría para el cliente y el supervisor.
- Estrategia de salida con un periodo de transición obligatorio.
Además, el Reglamento Delegado (UE) 2025/532, en vigor desde julio de 2025, detalla qué debe evaluar tu cliente si subcontratas parte de un servicio crítico. Si ya tienes ISO 27001, buena parte de las evidencias estará hecha; lo contamos en por qué ISO 27001 sirve de atajo para varias normas.
Proveedores críticos (CTPP): supervisión europea directa
Algunos proveedores pesan tanto en el sector que las autoridades europeas los supervisan directamente. La EBA, EIOPA y ESMA los designan como proveedores terceros críticos (CTPP) según el artículo 31. Para ello valoran, sobre todo, su impacto sistémico y lo difícil que resulta sustituirlos.
Las autoridades publicaron la primera lista de CTPP el 18 de noviembre de 2025. Cada uno tiene un supervisor principal, que puede pedir información, inspeccionar y emitir recomendaciones. Si el proveedor no colabora, le puede imponer multas coercitivas diarias de hasta el 1 % de su facturación diaria media mundial, durante seis meses como máximo.
En cambio, si eres una pyme tecnológica, lo normal es que no te designen. De hecho, el artículo 31.8 excluye a quien solo presta servicios en un Estado miembro a entidades que solo operan allí. Aun así, las cláusulas del artículo 30 te afectan igual.
Preguntas frecuentes sobre el reglamento DORA
¿Desde cuándo se aplica el reglamento DORA?
Desde el 17 de enero de 2025. Entró en vigor en enero de 2023, pero las entidades tuvieron dos años para adaptarse.
¿DORA solo afecta a los bancos?
No. Alcanza a 20 tipos de entidades financieras, como aseguradoras, gestoras, entidades de pago o proveedores de criptoactivos. También llega, de forma indirecta, a sus proveedores TIC.
Si soy proveedor de una aseguradora, ¿tengo que cumplir DORA?
La obligación legal recae en tu cliente. Sin embargo, solo puede cumplir si aceptas las cláusulas del artículo 30, facilitas auditorías y colaboras en los incidentes. En la práctica, o te adaptas o te costará seguir siendo su proveedor.
¿En qué se diferencia el reglamento DORA de NIS2?
NIS2 es una directiva de ciberseguridad para muchos sectores, mientras que el reglamento DORA es específico del sector financiero: se aplica a las entidades financieras y alcanza a sus proveedores TIC. Por eso, para las entidades financieras, DORA funciona como norma específica en riesgos e incidentes.
¿Qué pasa si mi entidad es pequeña?
Se aplica la proporcionalidad. Por ejemplo, algunas entidades pequeñas, como las empresas de servicios de inversión pequeñas y no interconectadas, tienen un marco simplificado (artículo 16). Otras, como los intermediarios de seguros que son pymes, quedan fuera.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con el reglamento DORA
Atalaya GRC sirve tanto a entidades financieras como a sus proveedores tecnológicos. La plataforma te muestra qué exige la norma servicio por servicio, mantiene el registro de terceros TIC y guarda las evidencias. Además, con «un control, varias normas» reutilizas lo hecho para ISO 27001, NIS2 o RGPD. El reloj regulatorio te avisa de cada plazo y la gestión de incidentes te guía en las notificaciones. Consulta nuestra ficha sobre DORA o pide una demo.
