Índice de contenidos
Hay un malentendido extendido sobre DORA que queremos aclararte: no es una norma que solo mira hacia dentro del sector financiero. Mira también hacia todos los proveedores tecnológicos que dan servicio a ese sector, y muchos de ellos todavía no saben que están dentro.
Si tu empresa desarrolla software, aloja infraestructura, gestiona ciberseguridad o presta cualquier servicio TIC a un banco, una aseguradora o una gestora de fondos, esta norma probablemente ya te afecta a ti también, aunque tu empresa no sea, ni de lejos, una entidad financiera.
Qué es DORA y a quién obliga realmente
DORA (Digital Operational Resilience Act, Reglamento UE 2022/2554) es el marco europeo de resiliencia operativa digital para el sector financiero. Es aplicable de forma directa desde el 17 de enero de 2025, sin necesidad de que cada país apruebe primero una ley propia, y cubre más de veinte tipos distintos de entidades:
- bancos,
- aseguradoras,
- gestoras de fondos,
- entidades de pago,
- proveedores de servicios de criptoactivos,
- y, de forma explícita, los proveedores críticos de servicios TIC que dan soporte a todas ellas.
Esa última categoría es la que más suele sorprender. Una empresa de desarrollo de software, un proveedor cloud o una consultora de ciberseguridad que trabaje con clientes del sector financiero puede encontrarse, sin haberlo buscado, dentro del perímetro de DORA.
Y no solo eso. La propia entidad financiera está obligada a evaluar a ese proveedor y a reportarlo como proveedor crítico ante el supervisor, lo que en la práctica traslada la exigencia de cumplimiento hacia toda la cadena de suministro tecnológico.
Los cinco pilares que estructuran el reglamento DORA
DORA es un marco con cinco áreas muy concretas:
| Nº | Nombre del pilar | Descripción |
|---|---|---|
| 1 | Gestión de riesgo TIC | Estrategias, políticas y protocolos documentados para identificar y proteger las funciones críticas del negocio. |
| 2 | Gestión y notificación de incidentes | Procesos para detectar, clasificar y reportar incidentes graves relacionados con TIC dentro de plazos estrictos, con informes iniciales, intermedios y finales. |
| 3 | Pruebas de resiliencia operativa digital | Incluye TLPT (Threat-Led Penetration Testing), pruebas de penetración basadas en amenazas reales, obligatorias para las entidades designadas al menos cada tres años según el marco TIBER-EU. |
| 4 | Gestión de riesgo de terceros | Evaluación, homologación y supervisión continua de los proveedores TIC que soportan funciones críticas o importantes. |
| 5 | Intercambio de información sobre amenazas | Colaboración entre entidades para compartir inteligencia sobre ciberamenazas de forma voluntaria. |
El órgano de dirección de cada entidad es responsable directo de aprobar la estrategia de riesgo TIC y de revisarla al menos una vez al año. Y aquí hay un matiz que suele sorprender:
la falta de conocimiento técnico de un directivo no le exime de responsabilidad si algo falla, puede incluso agravar la situación si se demuestra que no tenía la competencia mínima para supervisar el riesgo que estaba aprobando.
Qué pasa si no se cumple el reglamento DORA
Las consecuencias de un incumplimiento de DORA van más allá de la multa económica, aunque esta también es severa: en los casos más graves puede alcanzar hasta el 10% de la facturación anual de la entidad. A eso se suman posibles órdenes de cese de actividad, prohibiciones temporales de ejercer funciones directivas, y en situaciones extremas, el nombramiento de un administrador temporal hasta que la entidad recupere el cumplimiento.
Para un proveedor TIC que no es entidad financiera pero da servicio a una, el riesgo más inmediato no suele ser la sanción regulatoria directa, sino la pérdida del contrato. Las entidades financieras son cada vez más exigentes a la hora de auditar a sus proveedores críticos, y un proveedor que no pueda demostrar su propia resiliencia operativa se convierte en un problema para el cliente que lo contrató.
Cómo se construye la resiliencia operativa en la práctica
Cumplir DORA empieza por entender dónde está la dependencia crítica. Y un diagnóstico serio de resiliencia parte de una pregunta sencilla: si mañana fallara un sistema clave, ¿la empresa podría seguir operando, o el negocio se detendría con él?
A partir de ahí, el trabajo se construye en capas: un análisis de impacto (BIA) que prioriza qué procesos proteger primero, planes de continuidad con tiempos de recuperación (RTO y RPO) definidos y realistas, un registro de proveedores TIC críticos evaluado y actualizado, y pruebas de resiliencia que demuestren, con evidencias reales, que el sistema aguanta bajo presión y es fiable.
En Bluak acompañamos este proceso completo a través de DORA Ready, desde el diagnóstico inicial hasta la preparación de la documentación y las pruebas que exige el supervisor.
Demuestra tu resiliencia operativa y cumple con el reglamento DORA.
