¿Qué es el reglamento DORA? Todo lo que las entidades financieras deben saber
La Ley de Resiliencia Operativa Digital de la UE entró en plena aplicación el 17 de enero de 2025, lo que cambia de forma fundamental el modo en que las entidades financieras y sus proveedores de TIC deben gestionar el riesgo digital. Si su organización opera en varias entidades, filiales o jurisdicciones del sector financiero, entender DORA no es opcional. El incumplimiento conlleva sanciones de los supervisores, perturbaciones contractuales y daños reputacionales.
La confianza de equipos de cumplimiento que gestionan
50+
entidades del grupo
Alojado en Suiza
soberanía de datos
ISO 27001
plataforma alineada
Conforme al RGPD
desde el diseño
¿Qué es DORA y por qué importa ahora?
La Ley de Resiliencia Operativa Digital (Reglamento (UE) 2022/2554) es el marco regulatorio de la UE para garantizar que las entidades financieras puedan resistir, responder y recuperarse de las perturbaciones relacionadas con las TIC. Sustituye un mosaico de directrices nacionales por un conjunto único y armonizado de requisitos, exigible desde el 17 de enero de 2025.
Antes de DORA, la gestión del riesgo de las TIC en el sector financiero se regía por directrices sectoriales: las Directrices de la EBA sobre la gestión del riesgo de las TIC y de seguridad, las Directrices de la EIOPA sobre la externalización a proveedores de servicios en la nube y diversas expectativas de los supervisores nacionales. El resultado: estándares inconsistentes, arbitraje regulatorio y puntos ciegos sistémicos cuando proveedores de TIC críticos prestaban servicio a múltiples entidades financieras a través de las fronteras.
DORA cambia esto de forma fundamental. Crea un marco regulatorio único que se aplica a todos los subsectores financieros de la UE (banca, seguros, inversión, servicios de pago, criptoactivos y más) con requisitos directos para los proveedores de TIC de los que dependen estas entidades.
Para las organizaciones que gestionan el cumplimiento en varias entidades y jurisdicciones, DORA introduce tanto complejidad como oportunidad. La complejidad proviene de coordinar cinco pilares interconectados en cada filial. La oportunidad proviene de contar por fin con un estándar claro y unificado en torno al cual construir su programa de resiliencia operativa.
¿Quién debe cumplir con DORA?
DORA se aplica a prácticamente todas las entidades financieras reguladas de la UE, así como a los proveedores de TIC de los que dependen. La Comisión Europea estima que más de 22.000 entidades entran en su ámbito de aplicación.
Entidades financieras (artículo 2)
- Entidades de crédito (bancos)
- Entidades de pago y entidades de dinero electrónico
- Empresas de servicios de inversión y sociedades de gestión
- Empresas de seguros y reaseguros
- Depositarios centrales de valores
- Entidades de contrapartida central y registros de operaciones
- Proveedores de servicios de criptoactivos
- Proveedores de servicios de financiación participativa
- Fondos de pensiones de empleo
- Agencias de calificación crediticia y registros de titulizaciones
Proveedores de TIC externos
- Proveedores de servicios en la nube que prestan servicio a entidades financieras
- Proveedores de análisis de datos y centros de datos
- Proveedores de software (SaaS, banca central, etc.)
- Proveedores de infraestructura de TIC
- Proveedores de servicios gestionados de seguridad
- Los proveedores de TIC críticos designados por las AES están sujetos al nuevo marco de supervisión a escala de la UE con facultades de supervisión directas
Principio de proporcionalidad: DORA se aplica de forma proporcional; las microempresas y determinadas entidades se enfrentan a requisitos simplificados en virtud de los artículos 16, apartado 1, y 25, apartado 1. Pero proporcionalidad no significa exención.
Qué exige DORA realmente, y por qué los grupos multientidad son los que más dificultades tienen
Los requisitos de DORA abarcan cinco pilares interconectados. Para las organizaciones que gestionan el cumplimiento en varias filiales y jurisdicciones, cada pilar multiplica su complejidad. Esto es lo que su programa de cumplimiento debe cubrir.
PILAR 1
Marco de gestión del riesgo de las TIC
Los artículos 5 a 16 imponen un marco integral de gestión del riesgo de las TIC con la responsabilidad directa del órgano de dirección. Su organización debe documentar los procesos de identificación, protección, detección, respuesta y recuperación (incluida la gestión de los sistemas heredados) en cada entidad.
El reto multientidad: Cada filial necesita su propio marco documentado, pero se exige coherencia a nivel de grupo para la revisión por los supervisores.
4 horas
Tiempo máximo para detectar y clasificar un incidente grave relacionado con las TIC una vez identificado. Criterios de clasificación del artículo 17 de DORA
PILAR 2
Notificación y clasificación de incidentes
Los artículos 17 a 23 exigen una clasificación armonizada de los incidentes y un calendario estricto de notificación: notificación inicial en un plazo de 4 horas desde la clasificación, informe intermedio en un plazo de 72 horas e informe final en un plazo de un mes. También se fomenta la notificación voluntaria de ciberamenazas significativas.
El reto multientidad: Un único incidente relacionado con las TIC puede afectar simultáneamente a varias filiales, cada una con su propia obligación de notificación a diferentes autoridades nacionales.
72 horas
Plazo para el informe intermedio de incidentes a la autoridad competente. Requisitos de notificación del artículo 19 de DORA
PILAR 3
Pruebas de resiliencia operativa digital
Los artículos 24 a 27 exigen pruebas periódicas de los sistemas de TIC, desde evaluaciones básicas de vulnerabilidades para todas las entidades hasta pruebas avanzadas de penetración basadas en amenazas (TLPT) cada tres años para las instituciones de importancia sistémica. Los programas de pruebas deben cubrir todos los sistemas y aplicaciones de TIC críticos.
El reto multientidad: Coordinar los ejercicios de TLPT en infraestructuras compartidas que dan servicio a varias filiales requiere una planificación centralizada y una gestión de las pruebas.
Cada 3 años
Frecuencia mínima de las pruebas de penetración basadas en amenazas en las entidades financieras significativas. Artículo 26 de DORA
PILAR 4
Gestión del riesgo de TIC de terceros
Los artículos 28 a 44 establecen requisitos rigurosos para la gestión de los proveedores de TIC externos. Las entidades financieras deben mantener un registro de todos los acuerdos de externalización de TIC, llevar a cabo una diligencia debida previa al contrato, incluir cláusulas contractuales obligatorias y supervisar de forma continua el rendimiento y el riesgo del proveedor.
El reto multientidad: El mismo proveedor de nube puede dar servicio a 15 filiales con 15 contratos diferentes; sin una gestión centralizada de proveedores, las carencias son invisibles hasta que un supervisor las detecta.
22.000+
Entidades financieras y proveedores de TIC sujetos a DORA. Estimaciones de la Comisión Europea, 2022
PILAR 5
Acuerdos de intercambio de información
El artículo 45 anima a las entidades financieras a intercambiar inteligencia sobre ciberamenazas e información sobre vulnerabilidades con sus pares a través de acuerdos de confianza. Aunque es voluntario, participar en comunidades de intercambio de información refuerza la resiliencia colectiva y demuestra a los supervisores una gestión proactiva del riesgo.
El reto multientidad: Compartir inteligencia sobre amenazas entre filiales en distintas jurisdicciones requiere controles de gobernanza de datos para evitar incumplir inadvertidamente el RGPD o las obligaciones de confidencialidad.
17 ene 2025
Fecha de plena aplicación de DORA: los cinco pilares son exigibles en todos los Estados miembros de la UE. Reglamento (UE) 2022/2554
EL HILO CONDUCTOR
Cada pilar se vuelve más difícil con cada filial que añade
Para los grupos que gestionan el cumplimiento en varias entidades, los cinco pilares de DORA no solo añaden requisitos: los multiplican. Los registros centralizados de proveedores, la notificación coordinada de incidentes y unos marcos de riesgo coherentes se vuelven imposibles en hojas de cálculo.
Reserve un recorrido de 30 minutosCronología de DORA: de la adopción a la aplicación
200+
Horas ahorradas en la gestión del registro de tratamientos
Medtec redirigió más de 200 horas del mantenimiento manual del registro de tratamientos a la preparación de la ISO 27001, logrando la certificación 3 meses antes de lo previsto.
60%
Menos tiempo de administración del cumplimiento
Un fabricante de aeronaves redujo el tiempo de administración del cumplimiento en un 60% en sus primeros 6 meses, con una tarificación predecible basada en entidades, no en cuotas por usuario.
3 meses
Por delante del calendario en la ISO 27001
Medtec logró la certificación ISO 27001 3 meses antes de su plazo previsto utilizando los paquetes de pruebas listos para auditoría de Priverion.
La alternativa a OneTrust creada para la realidad del mercado medio
Las plataformas para grandes empresas le venden una complejidad que no necesita a precios que no puede justificar. Esto es lo que cambia cuando su herramienta de privacidad está diseñada para la forma en que las organizaciones multientidad realmente trabajan.
La experiencia habitual con una plataforma para grandes empresas
Alojamiento y residencia de datos
Con sede en EE. UU., los datos se tratan a menudo fuera de la UE. Tras Schrems II, esto genera un riesgo de transferencia que debe documentar y justificar ante las autoridades de control.
Modelo de precios
Tarificación por usuario y por módulo que se dispara a medida que incorpora filiales. Sorpresas en el presupuesto en cada ciclo de renovación. Funciones bloqueadas tras actualizaciones de nivel.
Implementación
Despliegues de 6 a 12 meses que requieren consultores dedicados. Paga por la plataforma antes de haberla configurado para una sola filial.
Experiencia de usuario
Creada para equipos de GRC con personal administrativo dedicado. Los responsables de las unidades de negocio se resisten a adoptarla porque la interfaz requiere formación solo para registrar una actividad de tratamiento.
Alcance de la plataforma
Una suite expansiva que abarca ESG, ética, riesgo de terceros y más. Paga por todo, usa una fracción y aun así necesita soluciones alternativas para la gestión de la privacidad multientidad.
La experiencia con Priverion
Alojado en Suiza, residencia de datos europea
Todos los datos se tratan dentro de la infraestructura suiza. En un mundo posterior a Schrems II, el alojamiento suizo no es una casilla de marketing: es una ventaja jurídica para las transferencias transfronterizas de datos. Un riesgo menos que documentar.
Precios predecibles, basados en el grupo
Tarificación según el número de empresas y el tamaño de la organización, no por usuario ni por módulo. Incorpore a cada responsable de unidad de negocio sin ver subir los costes. Sin trampas de expansión en la renovación.
Operativa en semanas, no en meses
Un fabricante de aeronaves logró una reducción del 60% en el tiempo de administración del cumplimiento en sus primeros 6 meses. La mayoría de los clientes están ejecutando flujos de trabajo en producción a las pocas semanas de firmar.
Según la implementación de un fabricante de aeronaves, primeros 6 meses
Diseñada para las personas que realmente hacen el trabajo
Los responsables de las unidades de negocio completan las recertificaciones del registro de tratamientos sin formación. La redacción asistida por IA se encarga del trabajo pesado de las EIPD y la puntuación de riesgo. Su DPD se centra en la estrategia, no en el mantenimiento de hojas de cálculo.
Plataforma de privacidad todo en uno, sin nada que no necesite
Registro de tratamientos, EIPD, riesgo de proveedores, gestión de incidentes, tramitación de solicitudes de los interesados, asignación de datos entre entidades, registro de IA: todo para la gestión de la privacidad a nivel de grupo en una sola plataforma. No cubrimos ESG ni consentimiento de cookies. Profundizamos donde importa.
Nota sincera: no estamos hechos para empresas de una sola entidad y no ofrecemos 200 integraciones. Nos integramos en profundidad con los sistemas que importan para los flujos de trabajo de privacidad (RR. HH., compras, gestión de activos de TI), en lugar de ofrecer conectores superficiales que generan una carga de mantenimiento.
Reserve un recorrido de 30 minutosSu lista de verificación de preparación para el cumplimiento de DORA
Utilice esta lista de verificación para evaluar la preparación de su organización en los cinco pilares de DORA. Para los grupos multientidad, cada elemento debe evaluarse tanto a nivel de filial como de grupo.
Pilar 1: gestión del riesgo de las TIC
- 1. Marco de gestión del riesgo de las TIC documentado y aprobado por el órgano de dirección para cada entidad
- 2. Funciones y responsabilidades definidas para la gestión del riesgo de las TIC, incluida una función de control específica
- 3. Inventario completo de los activos, sistemas y sus interdependencias de TIC en todas las entidades
- 4. Planes de continuidad de negocio y de recuperación ante desastres que cubran las perturbaciones relacionadas con las TIC
- 5. Proceso anual de revisión y actualización del marco de gestión del riesgo de las TIC
Pilar 2: notificación de incidentes
- 6. Proceso de clasificación de incidentes alineado con los criterios del artículo 18 de DORA (clientes afectados, integridad de los datos, criticidad de los servicios, duración)
- 7. Flujos de trabajo de notificación capaces de cumplir los plazos de notificación inicial de 4 horas, intermedia de 72 horas e informe final de 1 mes
- 8. Proceso de coordinación para incidentes que afecten a varias filiales con diferentes autoridades nacionales
- 9. Proceso de análisis de la causa raíz de los incidentes con documentación de las lecciones aprendidas
Pilar 3: pruebas de resiliencia
- 10. Programa anual de pruebas que abarque evaluaciones de vulnerabilidades, pruebas de seguridad de redes y pruebas basadas en escenarios
- 11. Programa de TLPT establecido (si se designa como entidad significativa) con evaluadores externos cualificados
- 12. Seguimiento de la subsanación de todos los hallazgos de las actividades de prueba con plazos definidos
Pilar 4: gestión del riesgo de terceros
- 13. Registro completo de todos los acuerdos con proveedores de TIC externos, incluidos los servicios intragrupo
- 14. Proceso de diligencia debida previa al contrato para los nuevos proveedores de TIC que cubra la evaluación de riesgos y el riesgo de concentración
- 15. Contratos existentes revisados para verificar las cláusulas obligatorias (derechos de auditoría, estrategias de salida, ubicación de los datos, subcontratación)
- 16. Proceso de supervisión continua del rendimiento y el cumplimiento de los proveedores de TIC
- 17. Estrategias de salida documentadas para todos los acuerdos de servicios de TIC críticos o importantes
Pilar 5: intercambio de información
- 18. Evaluación completada sobre la conveniencia de participar en acuerdos de intercambio de inteligencia sobre amenazas
- 19. En caso de participar: controles de gobernanza de datos implantados para gestionar las obligaciones del RGPD y de confidencialidad en la inteligencia compartida
- 20. Proceso interno para distribuir la inteligencia sobre amenazas pertinente entre las filiales y las unidades de negocio
¿Necesita ayuda para coordinar el cumplimiento de DORA en varias entidades?
Vea cómo la gestión del riesgo de proveedores a nivel de grupo, los flujos de trabajo de incidentes y los paquetes de pruebas listos para auditoría de Priverion ayudan a las organizaciones multientidad a prepararse para DORA sin el caos de las hojas de cálculo.
Reserve un recorrido de 30 minutosPreguntas frecuentes sobre DORA
¿Qué es el reglamento DORA?
DORA (Digital Operational Resilience Act, Ley de Resiliencia Operativa Digital) es el Reglamento (UE) 2022/2554, que establece requisitos uniformes para la seguridad de las redes y los sistemas de información de las entidades financieras y de sus proveedores externos críticos de servicios de TIC. Es plenamente aplicable desde el 17 de enero de 2025, y sustituye un mosaico de directrices sectoriales por un marco único y armonizado.
¿Quién debe cumplir con DORA?
DORA se aplica a prácticamente todas las entidades financieras reguladas de la UE (incluidos bancos, compañías de seguros, empresas de servicios de inversión, entidades de pago y proveedores de servicios de criptoactivos), así como a sus proveedores externos críticos de servicios de TIC. La Comisión Europea estima que más de 22.000 entidades entran en su ámbito de aplicación. El reglamento se aplica de forma proporcional, con requisitos simplificados para las microempresas, pero proporcionalidad no significa exención.
¿Cuáles son los 5 pilares de DORA?
Los cinco pilares son: (1) marco de gestión del riesgo de las TIC (artículos 5 a 16), (2) notificación y clasificación de incidentes (artículos 17 a 23), (3) pruebas de resiliencia operativa digital (artículos 24 a 27), (4) gestión del riesgo de TIC de terceros (artículos 28 a 44) y (5) acuerdos de intercambio de información (artículo 45). Cada pilar tiene requisitos específicos que deben abordarse tanto a nivel de entidad como de grupo.
¿Cuándo entró en vigor DORA?
DORA entró en vigor el 16 de enero de 2023, con un periodo de aplicación de dos años. Pasó a ser plenamente aplicable el 17 de enero de 2025, lo que significa que los cinco pilares son ahora exigibles en todos los Estados miembros de la UE. Las AES (EBA, ESMA, EIOPA) elaboraron normas técnicas de regulación y normas técnicas de ejecución a lo largo de 2023-2024 para proporcionar orientación detallada sobre la aplicación.
¿Cuáles son las sanciones por incumplir DORA?
DORA faculta a las autoridades nacionales competentes para imponer sanciones administrativas y medidas correctivas, incluidas multas coercitivas periódicas. Para los proveedores de TIC críticos de terceros bajo el marco de supervisión de la UE, las sanciones pueden alcanzar hasta el 1% del volumen de negocios medio diario mundial por cada día de incumplimiento, durante un máximo de seis meses. Más allá de las sanciones económicas, el incumplimiento genera un riesgo reputacional y posibles perturbaciones contractuales con los clientes que son entidades financieras.
¿Cómo afecta DORA a los proveedores de TIC externos?
DORA exige a las entidades financieras que mantengan registros de todos los acuerdos de externalización de TIC, lleven a cabo una diligencia debida previa al contrato, incluyan cláusulas contractuales obligatorias (que cubran los derechos de auditoría, las estrategias de salida, la ubicación de los datos y la subcontratación) y supervisen el rendimiento del proveedor. Los proveedores de TIC críticos de terceros designados por las AES están sujetos a un nuevo marco de supervisión a escala de la UE con facultades de supervisión directas, un cambio significativo respecto al anterior modelo de supervisión indirecta.
¿Qué relación tiene DORA con el RGPD?
DORA y el RGPD son reglamentos complementarios. DORA se centra en la resiliencia operativa de las TIC para las entidades financieras, mientras que el RGPD cubre la protección de los datos personales. Un incidente de TIC en el marco de DORA que afecte a datos personales también activará las obligaciones de notificación de violaciones de seguridad del RGPD (notificación en un plazo de 72 horas a las autoridades de control en virtud del artículo 33). Las organizaciones necesitan procesos coordinados de respuesta a incidentes que satisfagan ambos marcos regulatorios de forma simultánea, algo especialmente complejo para los grupos multientidad que notifican a varias autoridades.
Deje de gestionar el cumplimiento de la privacidad en hojas de cálculo. Empiece a gestionarlo de verdad.
Un fabricante de aeronaves redujo el tiempo de administración del cumplimiento en un 60% en sus primeros seis meses. AXA alcanzó el 100% de recertificación automatizada del registro de tratamientos. Medtec ahorró más de 200 horas preparándose para la ISO 27001.
En 30 minutos, le mostraremos exactamente cómo funciona la gestión de la privacidad a nivel de grupo cuando está creada para organizaciones multientidad, no añadida como una idea tardía. Alojada en Suiza. Asistida por IA con plena supervisión humana. Precios predecibles sin trampas por usuario.
Semanas, no meses
Tiempo medio hasta la puesta en marcha
Más de 50 entidades
Escala a nivel de grupo demostrada
100% alojado en Suiza
Residencia de datos europea garantizada
Sin compromiso. Sin presión comercial. Solo una visión clara de lo que es posible.
