DORA: resiliencia operativa digital para entidades financieras
El Digital Operational Resilience Act obliga a bancos, aseguradoras, proveedores de servicios de pago, proveedores de criptoactivos y sus proveedores TIC críticos a una gestión unificada de riesgos TIC — derecho directamente vigente en toda la UE, sin necesidad de transposición nacional.
Un reglamento, directamente aplicable en los 27 Estados miembros.
El Reglamento (UE) 2022/2554 («DORA») reúne en un marco unificado los requisitos de riesgo TIC para el sector financiero, que antes estaban dispersos en distintas normativas sectoriales. Como reglamento, se aplica directamente — sin ley de transposición nacional — a bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y de dinero electrónico, proveedores de criptoactivos (CASP) y otras entidades financieras.
DORA también abarca a proveedores TIC terceros críticos (proveedores cloud, centros de datos, etc.) mediante un régimen de supervisión propio de las autoridades europeas de supervisión (EBA, ESMA, EIOPA).
DORA se operacionaliza mediante una serie de normas técnicas de regulación y de ejecución (RTS/ITS) de las AES — en particular sobre notificación de incidentes, registro de proveedores terceros (Register of Information) y pruebas de resiliencia (TLPT).
Plazos importantes
DORA se publica en el Diario Oficial de la UE
Reglamento (UE) 2022/2554, Diario Oficial L 333; el reglamento entra en vigor a los veinte días.
Aplicabilidad completa en toda la UE
Art. 64: «El presente Reglamento será aplicable a partir del 17 de enero de 2025». Derecho directamente vigente en todos los Estados miembros, sin ley de transposición nacional.
Registro de proveedores TIC terceros mantenido de forma continua
Conforme al Art. 28, el Register of Information debe mantenerse permanentemente actualizado y ponerse a disposición de la autoridad de supervisión a petición o conforme a los requisitos de las ITS.
Notificación de incidentes TIC graves
Art. 19 en relación con RTS/ITS (entre otros, el Reglamento Delegado (UE) 2025/301): notificación inicial en un plazo de 4 horas tras la clasificación, informe intermedio en 72 horas, informe final en el plazo de un mes.
Qué exige DORA en concreto.
Gestión de riesgos TIC
Marco integral para la identificación, protección, detección, respuesta y recuperación frente a riesgos TIC — incluida la responsabilidad de gobernanza de los órganos de dirección.
Registro de proveedores terceros (RoI)
Registro completo y permanentemente actualizado de todos los proveedores TIC terceros, incluida la evaluación del riesgo de concentración, sujeto a notificación a la autoridad de supervisión competente.
Cascada de notificación de incidentes graves
Notificación escalonada en un plazo de 4 horas (notificación inicial), 72 horas (informe intermedio) y un mes (informe final) tras la clasificación de un incidente TIC grave.
Pruebas de resiliencia (TLPT)
Pruebas periódicas de la resiliencia operativa digital, que para entidades significativas incluyen pruebas de penetración basadas en amenazas (Threat-Led Penetration Testing).
Registro, cascada de notificación y cross-mapping — en un solo pack.
Resiliencia de la cadena de suministro que se puede demostrar. DORA no trata a los proveedores terceros como un anexo, sino como el núcleo de la resiliencia operativa — ReportAct convierte el registro en la prueba continua de ello.
El Framework Pack DORA de ReportAct mantiene un registro completo de proveedores TIC terceros (RT.02.xx según la estructura ITS de ESMA) con exportación XBRL, de modo que la notificación a la autoridad de supervisión puede realizarse directamente a partir de datos sellados.
Riesgo de concentración en el punto de mira del supervisor. Las Autoridades Europeas de Supervisión designan a los proveedores críticos de TIC (CTPP), y BaFin mantiene la concentración de la externalización de TIC como riesgo prioritario. ReportAct calcula el riesgo de concentración de forma determinista a partir de su registro — clústeres por tipo de servicio y país, detección de punto único de fallo — y sella el resultado como prueba conforme al art. 29.
Para la cascada de notificación, ReportAct ofrece un rastreador de plazos con alerta de clasificación a las 4 horas — cada cambio de estado queda sellado criptográficamente y, por tanto, no puede modificarse posteriormente sin ser detectado.
Mediante cross-mapping con ISO/IEC 27001 y el EU AI Act, un control registrado una sola vez se imputa automáticamente a varios regímenes, en lugar de mantener evaluaciones de proveedores terceros por duplicado.
Declaración de producto/posicionamiento, no constituye asesoramiento jurídico.
Consulte directamente
ReportAct no es una empresa de consultoría. Esta página no sustituye el asesoramiento jurídico. Los detalles operativos de la cascada de notificación y del Register of Information se concretan continuamente mediante actos delegados y de ejecución (RTS/ITS) de las AES — antes de decisiones vinculantes, verifique el estado actual directamente con la EBA, la ESMA o la EIOPA. Se aplican nuestras Condiciones Generales.
Un registro DORA preparado para auditoría.
Empiece de inmediato con su registro de proveedores TIC terceros — incluyendo rastreador de cascada de notificación y exportación XBRL.