Cumplimiento normativo · Banca y fintech
Cumplimiento normativo para banca y fintech: DORA, NIS2 y RGPD
El cumplimiento normativo en banca y fintech gira en torno a DORA, que marca el ritmo desde enero de 2025. Así, bancos, entidades de pago y de dinero electrónico, empresas de inversión y proveedores de criptoactivos deben demostrar al supervisor su resiliencia operativa digital. Además, el RGPD y el EU AI Act completan el mapa.
Las normas que más pesan en el cumplimiento normativo de la banca
Qué te exige DORA
El Reglamento (UE) 2022/2554 se aplica desde el 17 de enero de 2025 a la mayoría de entidades financieras de la UE. Por eso es la pieza central del cumplimiento normativo en banca. En concreto, se organiza en cinco pilares:
- Gestión del riesgo TIC: un marco aprobado y supervisado por el órgano de dirección, que cubre identificación, protección, detección, respuesta y recuperación.
- Notificación de incidentes graves: notificación inicial en las 4 horas siguientes a clasificarlo como grave (y no más tarde de 24 horas desde que se detecta). A continuación, informe intermedio en 72 horas e informe final un mes después.
- Pruebas de resiliencia: un programa anual de pruebas. Además, las entidades que designe el supervisor deben hacer pruebas de penetración guiadas por amenazas (TLPT) al menos cada tres años.
- Riesgo de terceros TIC: cláusulas contractuales mínimas, estrategias de salida y, además, un registro de información con todos los acuerdos con proveedores TIC.
- Intercambio de información sobre ciberamenazas entre entidades, aunque de forma voluntaria.
Plazos clave del cumplimiento normativo en banca
| Cuándo | Qué |
|---|---|
| 17 de enero de 2025 | DORA plenamente aplicable. |
| 4 h · 72 h · 1 mes | Notificación inicial, intermedia y final de los incidentes graves. |
| Cada 3 años | TLPT para las entidades designadas por el supervisor. |
| 2 de diciembre de 2027 | Obligaciones del EU AI Act para los sistemas de alto riesgo, como la evaluación de solvencia y la puntuación de crédito. |
¿Y la NIS2?
La banca y las infraestructuras de los mercados financieros figuran en la NIS2. Sin embargo, DORA es la norma específica del sector financiero, así que prevalece en gestión del riesgo TIC y notificación de incidentes. Aun así, la NIS2 sigue siendo relevante para tus proveedores y para las sociedades del grupo que no son entidades financieras.
RGPD y EU AI Act en el cumplimiento normativo de la banca
Los datos de clientes también forman parte del cumplimiento normativo en banca. En concreto, exigen bases de licitud claras, registro de actividades, evaluaciones de impacto y notificación de brechas a la AEPD en 72 horas. Además, los sistemas de IA que evalúan la solvencia de personas físicas o calculan su puntuación de crédito son de alto riesgo en el EU AI Act. Sin embargo, sus obligaciones se aplican desde el 2 de diciembre de 2027.
Si eres una fintech que da servicio a bancos
Si no eres entidad financiera pero prestas servicios TIC a bancos, DORA no te aplica directamente. Sin embargo, te llega por contrato: tu cliente debe incluirte en su registro de información de terceros TIC, exigirte cláusulas mínimas y, si el servicio es crítico, auditarte. Por eso conviene que prepares el cumplimiento normativo que la banca te pedirá.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo te ayuda Atalaya GRC en el cumplimiento normativo de la banca
- El registro de información de terceros TIC, conectado con tus contratos y también con la evaluación de cada proveedor.
- La clasificación de incidentes con los criterios de DORA y el reloj de 4 horas, 72 horas y un mes; así no se te pasa ningún plazo.
- El programa de pruebas de resiliencia y el seguimiento de los hallazgos de las TLPT.
- Un control, varias normas: por ejemplo, los controles de ISO 27001 reutilizados para DORA, NIS2 y el RGPD.
FAQ
Preguntas frecuentes
¿A quién aplica DORA?
A bancos, entidades de pago y de dinero electrónico, empresas de inversión, proveedores de servicios de criptoactivos, aseguradoras y otras entidades financieras de la UE, con un régimen simplificado para algunas de menor tamaño. También alcanza a los proveedores TIC críticos que designen las autoridades europeas.
¿Mi fintech está obligada por DORA?
Si tienes licencia como entidad financiera (de pago, de dinero electrónico, de inversión o de criptoactivos), sí. En cambio, si solo prestas servicios tecnológicos a entidades financieras, no te aplica directamente, pero tus clientes te exigirán sus requisitos por contrato.
¿Qué es el registro de información?
Un inventario estructurado de todos los acuerdos contractuales con proveedores de servicios TIC, que la entidad debe mantener actualizado y poner a disposición del supervisor.
Otros sectores: AseguradorasProveedores de la AdministraciónEnergía y servicios esencialesFabricantes de producto conectado
¿Lo vemos con tus propios servicios?
Te enseñamos la plataforma con un caso real de tu sector. Así lo ves sin compromiso y sin guion comercial.
