DORA: qué exige y cómo cumplir sin perderte
DORA es el reglamento europeo que obliga al sector financiero a resistir, responder y recuperarse de los incidentes tecnológicos. Es plenamente aplicable desde el 17 de enero de 2025, así que ya no es un proyecto futuro: es una exigencia en vigor. Y si eres proveedor tecnológico de una entidad financiera, te alcanza a través de tu cliente. Atalaya GRC te ayuda a cumplirlo servicio por servicio.
Sin compromiso. Te enseño la plataforma con un caso real.
- Referencia
- Reg. (UE) 2022/2554
- Aplica desde
- 17 ene 2025
- A quién
- Entidades financieras y proveedores TIC críticos
- Si no cumples
- Sanciones nacionales + supervisión directa UE
¿Qué es DORA?
El Reglamento (UE) 2022/2554, en vigor de forma obligatoria desde enero de 2025, crea un marco único y armonizado de resiliencia operativa digital para el sector financiero europeo. A diferencia de una directiva, es directamente aplicable sin necesidad de transposición nacional.
¿A quién aplica DORA?
Se aplica a más de 20 categorías de entidades financieras —bancos, aseguradoras, empresas de inversión, entidades de pago, gestoras de fondos, proveedores de servicios de criptoactivos— y, de forma muy relevante, a sus proveedores tecnológicos críticos (CTPP), que quedan bajo supervisión directa de las autoridades europeas. Las microempresas tienen un régimen simplificado y proporcionado. Además, el reglamento llega por contrato a muchos proveedores TIC no críticos, porque la entidad financiera debe inscribirlos en su registro de información de terceros TIC y pactar con ellos unas cláusulas mínimas.
¿Qué te exige DORA? (los 5 pilares)
Los cinco pilares que tienes que cubrir:
Gestión del riesgo TIC
Un marco integral de gestión del riesgo tecnológico, con responsabilidad a nivel de dirección.
Gestión y notificación de incidentes
Clasificar y notificar los incidentes graves a la autoridad en plazos estrictos, con plantillas armonizadas.
Pruebas de resiliencia
Pruebas periódicas y, para las entidades designadas, TLPT (pruebas de penetración guiadas por amenazas) al menos cada 3 años.
¿Qué pasa si no cumples DORA?
DORA es legislación dura, supervisada por las autoridades europeas y nacionales, con revisiones formales (on-site y off-site) y sanciones relevantes por incumplimiento. La gestión del riesgo de terceros y las pruebas de resiliencia son, además, donde más entidades fallan, lo que las convierte en el foco de la supervisión.
Los otros pilares de DORA
Más allá de los tres anteriores, DORA exige la gestión del riesgo de terceros —un registro detallado de proveedores TIC, cláusulas contractuales y estrategia de salida— y el intercambio de información sobre amenazas entre entidades.
Atalaya GRC
Cómo te ayuda Atalaya GRC
Atalaya GRC convierte DORA en algo que controlas:
- Cumplimiento servicio por servicio: cada servicio financiero con su estado real frente al reglamento.
- Los 5 pilares centralizados, con documentación, evidencias y trazabilidad.
- El reloj regulatorio vigila los plazos de notificación de incidentes y de pruebas.
- Un control, varias normas: muchas medidas de DORA coinciden con las de NIS2; por eso reutilizas lo que ya tienes y trabajas solo el delta (TLPT, registro de proveedores TIC).
¿Quieres verlo con tus propios servicios?
Solicitar demoPor sector: Banca y fintech Aseguradoras
FAQ
Preguntas frecuentes
¿Desde cuándo es obligatorio DORA?
Es plenamente aplicable desde el 17 de enero de 2025 en toda la UE, sin necesidad de transposición nacional.
¿A quién aplica DORA?
A las entidades financieras de la UE (bancos, aseguradoras, gestoras, entidades de pago, criptoactivos…) y a sus proveedores tecnológicos críticos.
¿DORA afecta a mi empresa si soy proveedor de un banco?
En la práctica sí: tu cliente financiero te trasladará por contrato los requisitos de DORA, y los proveedores críticos quedan bajo supervisión directa.
¿En qué se diferencia DORA de NIS2?
Para el sector financiero, DORA prevalece como norma especial. Comparten muchas medidas, pero DORA añade TLPT, registro detallado de proveedores TIC y supervisión directa de los proveedores críticos.
Atalaya GRC
Cómo Atalaya GRC te ayuda con DORA
Resiliencia operativa de principio a fin: registro de riesgos TIC, análisis de impacto en el negocio (BIA con RTO/RPO), pruebas de resiliencia, control de proveedores críticos (TPRM) y notificación de incidentes en plazo.
