DORA
DORA — Reglamento (UE) 2022/2554
Las obligaciones de resiliencia operativa digital que aplican a una entidad financiera europea desde enero de 2025: marco de riesgo TIC revisado cada año, notificación de incidentes graves en cuatro horas y registro de proveedores TIC.
- A quién aplica
- Las entidades financieras enumeradas en el artículo 2: entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, gestoras de fondos, entidades aseguradoras y reaseguradoras, proveedores de servicios de criptoactivos, depositarios centrales de valores, entidades de contrapartida central, centros de negociación y agencias de calificación, entre otras. También alcanza a los proveedores terceros de servicios TIC que les prestan servicio, con un régimen de vigilancia propio para los designados como críticos.
- Plazo
- Aplicable desde el 17 de enero de 2025, sin periodo transitorio. Los plazos internos que se repiten son anuales: revisión del marco de gestión del riesgo TIC, revisión de la clasificación de activos, prueba de los planes de continuidad y reporte del registro de información. Las pruebas TLPT, al menos cada tres años para las entidades identificadas.
- Referencia oficial
- Reglamento (UE) 2022/2554, de 14 de diciembre de 2022
DORA no es una norma de seguridad, es una norma de continuidad
El Reglamento (UE) 2022/2554 se aplica desde el 17 de enero de 2025 y no tuvo periodo transitorio. Conviene entender su lógica antes de mapear controles: a DORA no le preocupa principalmente que te ataquen, le preocupa que dejes de prestar servicio. Por eso el eje no es el activo sino la función esencial o importante, y por eso la mayor parte de las obligaciones acaban apuntando a la misma pregunta: si esta función cae, ¿cuánto tardas en recuperarla y quién lo ha comprobado?
Esa diferencia explica dos cosas que sorprenden a quien llega desde ISO 27001. La primera, que las pruebas no sean opcionales ni anuales «si da tiempo»: los planes de continuidad se prueban al menos una vez al año y el resultado importa más que la existencia del plan. La segunda, que el proveedor entre de lleno en el perímetro regulado.
Cinco bloques y un hilo conductor
El reglamento se organiza en gestión del riesgo TIC (artículos 5 a 16), gestión y notificación de incidentes (17 a 23), pruebas de resiliencia (24 a 27), riesgo de terceros TIC (28 a 44) e intercambio de información (45). El hilo conductor es documental: casi todas las obligaciones terminan exigiendo un documento con fecha, un responsable nombrado y una revisión periódica.
El artículo 16 establece un marco simplificado para determinadas entidades pequeñas y no interconectadas, y las microempresas quedan exentas de varios requisitos concretos. Antes de dimensionar el esfuerzo, comprueba en qué categoría cae tu entidad, porque la diferencia de carga es grande.
Lo que más se falla en la práctica
Dos puntos concentran los problemas. El primero es el reloj de las cuatro horas. No cuenta desde que sabes que algo va mal, sino desde que clasificas el incidente como grave según los criterios del Reglamento Delegado (UE) 2024/1772, y ese instante tiene que estar registrado con hora y autor. Cuando la clasificación se decide en una reunión sin acta, el plazo pasa a ser indefendible. Si el vencimiento cae en fin de semana o festivo nacional, se puede entregar hasta el mediodía del siguiente día hábil, salvo para las entidades que el propio reglamento delegado excluye de esa flexibilidad.
El segundo es el registro de información de proveedores. No es un inventario de contratos: es una plantilla con estructura fija, identificadores de entidad jurídica y una cadena de subcontratación que hay que poder reconstruir. Las entidades que lo montaron a mano en una hoja de cálculo el primer año descubrieron que la actualización anual cuesta más que la carga inicial.
Qué revisa el supervisor primero
Por experiencia de los primeros ejercicios de supervisión, el orden habitual es: acta de aprobación del marco por el órgano de dirección, fecha de la última revisión anual, registro de información de terceros y expediente del último incidente grave notificado. Si esos cuatro elementos están fechados y son coherentes entre sí, el resto de la revisión transcurre sobre terreno firme.
Obligaciones
-
El órgano de dirección asume la responsabilidad última del riesgo TIC
El artículo 5.2 no delega: el órgano de dirección define, aprueba, supervisa y responde de todos los elementos del marco de gestión del riesgo TIC. En concreto aprueba la estrategia de resiliencia operativa digital y el nivel de tolerancia al riesgo TIC, la política de continuidad y los planes de respuesta y recuperación, los planes de auditoría interna de TIC, el presupuesto de resiliencia y la política de uso de servicios TIC de terceros. El artículo 5.4 añade que sus miembros deben mantenerse actualizados mediante formación periódica.
Evidencia exigible
Actas fechadas de los consejos en los que se aprobó cada uno de esos documentos, con la versión aprobada identificada, más la partida presupuestaria específica de resiliencia y el registro de formación nominal de los consejeros.
-
Marco de gestión del riesgo TIC documentado y revisado al menos una vez al año
El artículo 6.5 exige que el marco esté documentado y se revise al menos anualmente, y además cada vez que ocurra un incidente grave relacionado con las TIC, tras instrucciones del supervisor y tras las conclusiones de las pruebas de resiliencia o de las auditorías. El informe de esa revisión se entrega a la autoridad competente si lo pide. El artículo 6.4 obliga a separar la función de gestión del riesgo TIC, las funciones de control y la auditoría interna según el modelo de tres líneas de defensa.
Evidencia exigible
Documento del marco con control de versiones e historial de cambios, el informe de revisión anual fechado y el acta de aprobación. Si hubo un incidente grave en el ejercicio, la revisión posterior a ese incidente, con fecha visiblemente posterior a la del cierre del incidente.
-
Inventario y clasificación de funciones y activos TIC, revisados cada año
El artículo 8.1 obliga a identificar, clasificar y documentar todas las funciones de negocio soportadas por TIC, los roles y responsabilidades, los activos de información y TIC que las soportan y sus dependencias, y a revisar al menos anualmente la adecuación de esa clasificación. El artículo 8.2 añade la revisión anual de los escenarios de riesgo, y el 8.7 una evaluación específica, al menos anual, de los sistemas heredados.
Evidencia exigible
Exportación fechada del inventario con la marca de la última revisión por activo, el mapa de dependencias entre activos y funciones, y el acta o firma de aprobación de la revisión anual. Un inventario sin fecha de revisión es, para el supervisor, un inventario sin revisar.
-
Notificar el incidente grave en cuatro horas desde su clasificación
El artículo 19 fija la obligación y el Reglamento Delegado (UE) 2025/301 fija el reloj. La notificación inicial se envía lo antes posible y en todo caso dentro de las cuatro horas siguientes a la clasificación del incidente como grave, y nunca más tarde de 24 horas desde que la entidad tuvo conocimiento del incidente. Si la clasificación llega después de esas 24 horas, siguen contando cuatro horas desde la clasificación. El informe intermedio se entrega como máximo 72 horas después de la notificación inicial, aunque el estado no haya cambiado, y se actualiza cuando se recupera la actividad ordinaria. El informe final, como máximo un mes después del último informe intermedio.
Evidencia exigible
Acuse del supervisor con sello de tiempo por cada hito y, sobre todo, el registro del instante exacto de clasificación como grave, con quién la decidió y con qué criterio. Ese apunte es el que sostiene o derrumba el cómputo de las cuatro horas.
-
Programa de pruebas de resiliencia y prueba anual de los planes de continuidad
El artículo 24 obliga a las entidades que no sean microempresas a mantener un programa de pruebas de resiliencia operativa digital, ejecutado por partes independientes, internas o externas, y con gestión documentada de los conflictos de interés. El artículo 25 enumera el repertorio exigible: evaluaciones y escaneos de vulnerabilidades, análisis de fuentes abiertas, evaluaciones de seguridad de red, análisis de brechas, revisiones de código fuente cuando sea viable, pruebas basadas en escenarios y pruebas de penetración. El artículo 11.6 añade la prueba al menos anual de los planes de continuidad y de respuesta y recuperación.
Evidencia exigible
Informes de prueba firmados por el equipo ejecutor, con alcance, fechas de inicio y fin y declaración de independencia; y el acta del ejercicio anual de continuidad con escenario, participantes, tiempos medidos y acciones de mejora asignadas.
-
Pruebas de penetración guiadas por amenazas al menos cada tres años
El artículo 26.1 obliga a las entidades identificadas por la autoridad competente a realizar TLPT al menos cada tres años, sobre sistemas en producción y cubriendo varias o todas sus funciones esenciales o importantes. El alcance lo propone la entidad y lo valida el supervisor. Si hay proveedores TIC dentro del alcance, la entidad debe asegurar su participación y sigue siendo responsable del cumplimiento.
Evidencia exigible
Validación del alcance por la autoridad competente, informe del ejercicio, atestación emitida al finalizar y plan de remediación de los hallazgos con fechas comprometidas y evidencia de cierre.
-
Mantener el registro de información de acuerdos con terceros TIC y reportarlo cada año
El artículo 28.3 exige mantener y actualizar, a nivel de entidad y en su caso subconsolidado y consolidado, un registro de información sobre todos los acuerdos contractuales de uso de servicios TIC, distinguiendo los que soportan funciones esenciales o importantes de los que no. Al menos una vez al año hay que informar a la autoridad competente del número de acuerdos nuevos, las categorías de proveedores, el tipo de contrato y los servicios y funciones prestados. Además, hay que avisar con antelación de cualquier acuerdo previsto sobre funciones esenciales y cuando una función pase a considerarse esencial.
Evidencia exigible
El registro en la plantilla oficial con fecha de corte, el justificante de envío anual a la autoridad, y la traza de las comunicaciones previas a la firma de contratos que soportan funciones esenciales.
-
Evaluación previa, cláusulas mínimas y estrategia de salida antes de firmar
El artículo 28.4 obliga, antes de contratar, a determinar si el acuerdo soporta una función esencial o importante, comprobar que se cumplen las condiciones supervisoras, identificar los riesgos —incluido el de concentración del artículo 29— y realizar la diligencia debida. El artículo 28.8 exige estrategias de salida para los servicios que soporten funciones esenciales, y el artículo 30 enumera las cláusulas contractuales mínimas, entre ellas los derechos de acceso, inspección y auditoría del artículo 28.6.
Evidencia exigible
Expediente de diligencia debida previo a la firma, con fecha anterior a la del contrato; el contrato firmado con un mapa que localice cada cláusula del artículo 30; y el plan de salida con hitos, responsables y resultado de la última prueba de reversibilidad.