DORA: resiliencia operativa digital del sector financiero

DORA se aplica a un amplio espectro de entidades financieras supervisadas —desde entidades de crédito y aseguradoras hasta entidades de pago, empresas de servicios de inversión y determinados proveedores de servicios de criptoactivos—, así como a los proveedores terceros de servicios de TIC del sector financiero. En cuanto al contenido, el reglamento se asienta sobre cinco pilares: la gestión del riesgo relacionado con las TIC (Art. 5–16), la gestión y notificación de incidentes relacionados con las TIC (Art. 17–23), las pruebas de resiliencia operativa digital, incluidas las TLPT (Art. 24–27), la gestión del riesgo relacionado con proveedores terceros de servicios de TIC, incluida la supervisión (Art. 28–44), y los acuerdos de intercambio de información sobre ciberamenazas (Art. 45). Los requisitos de detalle se concretan en un segundo nivel mediante RTS e ITS, que se aplican directamente como reglamentos delegados o de ejecución.

La pieza central es un marco documentado de gestión del riesgo relacionado con las TIC, cuya responsabilidad global recae en el órgano de dirección. Sigue un ciclo de vida de identificación, protección y prevención, detección, respuesta y recuperación, así como aprendizaje y evolución, e incluye procedimientos de copia de seguridad y restauración, planes de comunicación y revisiones periódicas. Para determinadas entidades más pequeñas y menos interconectadas, el Art. 16 prevé un marco simplificado de gestión del riesgo relacionado con las TIC con requisitos reducidos.

Las entidades financieras deben registrar y clasificar los incidentes relacionados con las TIC conforme a un proceso definido y notificar los incidentes graves a la autoridad competente; en Alemania, la BaFin actúa como punto central nacional de notificación. Los criterios de clasificación se regulan en el Reglamento Delegado (UE) 2024/1772; los plazos, contenidos y formularios se establecen en el Reglamento Delegado (UE) 2025/301 y el Reglamento de Ejecución (UE) 2025/302: notificación inicial, por regla general, en un plazo de cuatro horas desde la clasificación como grave y, a más tardar, 24 horas después de tener conocimiento del incidente; informe intermedio en las 72 horas siguientes a la notificación inicial; informe final en el plazo de un mes. Las ciberamenazas importantes pueden notificarse además con carácter voluntario.

Todas las entidades financieras, salvo las microempresas, deben operar un programa de pruebas de resiliencia operativa digital basado en el riesgo, desde evaluaciones de vulnerabilidades hasta pruebas basadas en escenarios. Las entidades identificadas a tal efecto por las autoridades deben realizar, además, al menos cada tres años, pruebas de penetración guiadas por amenazas (TLPT) conforme a los Art. 26/27, sobre sistemas de producción en vivo y abarcando varias o todas las funciones esenciales o importantes; la autoridad competente puede ajustar la frecuencia. Los criterios, el alcance, la metodología y los requisitos aplicables a los probadores internos y externos se concretan en el Reglamento Delegado (UE) 2025/1190 (RTS sobre TLPT), aplicable desde el 8 de julio de 2025. Como guía de implementación sirve el marco TIBER-EU del Eurosistema, que el BCE alineó plenamente con DORA y las RTS el 11 de febrero de 2025.

El capítulo V obliga a las entidades financieras a gestionar los riesgos derivados de los contratos de servicios de TIC a lo largo de todo su ciclo de vida: estrategia y principios, incluidas las estrategias de salida (Art. 28), evaluación del riesgo de concentración de TIC (Art. 29) y contenidos contractuales mínimos, por ejemplo sobre derechos de seguridad, auditoría y rescisión (Art. 30). El instrumento central es el registro de información (Register of Information) previsto en el Art. 28(3), que abarca todos los acuerdos contractuales con proveedores terceros de servicios de TIC; el Reglamento de Ejecución (UE) 2024/2956 establece para ello plantillas estándar vinculantes. Los registros presentados sirven además a las autoridades de supervisión como base de datos, entre otras cosas para la designación de los proveedores terceros esenciales de servicios de TIC.

Con DORA, las tres autoridades europeas de supervisión EBA, EIOPA y ESMA (las ESA) reciben por primera vez un mandato de supervisión directa sobre los proveedores terceros de servicios de TIC designados como esenciales para el sector financiero. El 18 de noviembre de 2025, las ESA designaron a los primeros 19 proveedores terceros esenciales de servicios de TIC, entre ellos grandes proveedores de nube, centros de datos y redes; la evaluación de la criticidad se basó en los registros de información de las entidades financieras. A cada proveedor designado se le asigna un supervisor principal (Lead Overseer) de entre las ESA, que puede solicitar información, llevar a cabo investigaciones y emitir recomendaciones. La responsabilidad de las entidades financieras sobre su propio riesgo de terceros no se ve afectada.