Cumplimiento DORA: demuestra que resistes cuando algo falla

Es el inventario estructurado de todos los acuerdos contractuales con proveedores de servicios TIC que la entidad debe mantener actualizado y remitir a su autoridad supervisora. Incluye, por cada acuerdo, la identificación del proveedor, el servicio prestado, si soporta una función crítica o importante, la ubicación de los datos, la cadena de subcontratación y las condiciones de salida. En la práctica es la obligación más concreta y la que más entidades tienen a medias, porque exige un dato que casi nadie tenía centralizado: quién depende de quién.

Cláusulas contractuales específicas de DORA, y son bastante exigentes: descripción completa del servicio, niveles de servicio medibles, ubicación de los datos, notificación de incidentes en plazos cortos, derechos de acceso, inspección y auditoría —incluidas auditorías in situ—, condiciones de subcontratación y un plan de salida que permita al cliente migrar sin interrumpir su operación. Además, si tu servicio soporta una función crítica, pueden pedirte participar en sus pruebas de resiliencia. Nada de esto se improvisa cuando llega el cuestionario: se prepara antes.

No, y confundirlo es el error más caro. El primer informe anual de las ESAs, publicado el 3 de junio de 2026, contabilizó 3.383 incidentes graves notificados por entidades financieras de la UE en 2025, y solo el 10 % estaba relacionado con ciberseguridad: el resto fueron fallos de sistemas y eventos externos. DORA es un reglamento de resiliencia operativa: continuidad, dependencias, recuperación y control de terceros. La seguridad es una parte, no el todo.

Mucha, y eso juega a tu favor. Si ya tienes un sistema de gestión de continuidad bajo ISO 22301, buena parte del trabajo de procesos, análisis de impacto y pruebas está hecho, y el proyecto avanza más rápido. Lo que DORA añade sobre eso es el foco en riesgo TIC, la notificación reglada de incidentes graves, el registro de información y unas exigencias de control de terceros bastante más detalladas de lo que pide la norma. Nuestro trabajo empieza midiendo lo que ya tienes, no ignorándolo.

Probablemente sí. No hay exención total por tamaño: hay proporcionalidad en cómo se cumplen algunas obligaciones, no una exclusión del ámbito. Y hay un punto que se conoce poco: es la propia entidad la que debe determinar de forma proactiva si le aplica el reglamento. Nadie te va a mandar una carta. No haberlo determinado no es una defensa.

En noviembre de 2025 las autoridades europeas designaron los primeros proveedores TIC críticos (CTPP), que quedan bajo supervisión europea directa. Entre ellos están los grandes de cloud y servicios: AWS, Microsoft, Google Cloud, IBM, Oracle, SAP y Accenture. Para una entidad financiera esto tiene una lectura práctica inmediata: si tu operación depende de forma crítica de alguno de ellos, tu riesgo de concentración ya está identificado por el supervisor. La pregunta que te van a hacer es si lo has identificado tú y qué has hecho al respecto.

Depende de la modalidad y del tamaño del perímetro. Un diagnóstico de resiliencia —perímetro, madurez y BIA— se resuelve en unas semanas. La homologación de proveedores, que es el servicio acotado para proveedores TIC con un cuestionario encima de la mesa, es la vía más corta. Un DORA Ready completo, hasta testing y evidencias operativas, se planifica por fases y su calendario suele venir marcado por una fecha externa: una auditoría, una renovación de contrato o un requerimiento del supervisor. En la fase 0 fijamos el plan contra esa fecha.

El TLPT (Threat-Led Penetration Testing) son pruebas de penetración guiadas por inteligencia de amenazas, alineadas con el marco TIBER-EU. No aplican a todas las entidades: las exige el supervisor a aquellas cuyo tamaño, perfil de riesgo e importancia sistémica lo justifican. Si te toca, es un ejercicio exigente que conviene preparar con antelación. Si no te toca, seguirás necesitando pruebas de resiliencia —simulacros, tabletop y pruebas de recuperación—, que es donde casi todo el mundo tiene el hueco.

Depende de una pregunta: ¿cuándo fue la última vez que lo probasteis y quedó documentado? Un plan sin pruebas fechadas no acredita nada ante un supervisor, y es el hallazgo más frecuente que encontramos. Si el plan existe y está vivo, el proyecto se centra en el riesgo TIC, el registro de información y el control de terceros. Si lleva dos años sin tocarse, conviene revisarlo entero antes de comprometer RTO y RPO por contrato.

PENDIENTE: rango de precio o «desde X €» por modalidad (Diagnóstico, DORA Ready completo, Homologación de proveedores, Resiliencia gestionada). En el segmento de proveedores TIC, publicar el precio de la homologación es especialmente útil: es una compra rápida con urgencia contractual.