Conformidad DORA para el sector financiero

DORA (Digital Operational Resilience Act, Reglamento (UE) 2022/2554) es el marco europeo de resiliencia operativa digital del sector financiero. Se aplica directamente en todos los Estados miembros desde el 17 de enero de 2025, sin necesidad de transposición nacional.

DORA abarca más de 20 categorías de entidades financieras: bancos, aseguradoras, empresas de inversión, entidades de pago y de dinero electrónico, gestoras de activos y proveedores de servicios de criptoactivos, entre otras. Además, los proveedores terceros de TIC designados como críticos (p. ej., proveedores cloud) quedan bajo un marco de supervisión europeo propio.

Cinco pilares: gestión de riesgos de TIC, gestión y notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital (hasta el TLPT), gestión del riesgo de terceros de TIC — incluido el registro de información y las cláusulas contractuales del art. 30 — e intercambio voluntario de información sobre ciberamenazas.

Tras clasificar un incidente como grave, la notificación inicial debe presentarse a más tardar cuatro horas después de la clasificación y, en todo caso, dentro de las 24 horas desde el conocimiento. El informe intermedio sigue en 72 horas y el informe final a más tardar un mes después. En Alemania, las notificaciones se presentan a través de la plataforma MVP de BaFin.

El TLPT (threat-led penetration testing, art. 26/27 DORA) es una prueba de penetración guiada por amenazas sobre sistemas productivos, alineada metodológicamente con TIBER-EU. Es obligatorio para las entidades financieras designadas por su supervisor: al menos cada tres años, con fase de threat intelligence y red team externo.

El registro documenta todos los acuerdos contractuales de servicios de TIC con terceros, según las plantillas de las autoridades europeas de supervisión (ESA). Se presenta anualmente al supervisor; para 2026, BaFin fijó la ventana de presentación del 9 al 30 de marzo a través de su plataforma MVP.

Para el sector financiero, DORA es lex specialis: donde DORA aplica, sus requisitos prevalecen sobre NIS2, por lo que las entidades financieras alinean su programa principalmente con DORA. Los grupos con sociedades fuera del sector financiero deben delimitar bien ambos regímenes.

Entregamos los componentes de DORA de principio a fin: análisis de brechas y marco de gestión de riesgos de TIC, creación y mantenimiento del registro de información, revisión de contratos según el art. 30, procesos de notificación de incidentes y pruebas de resiliencia hasta el TLPT — con VamiRedTeam, alineado con TIBER-EU.