El reglamento DORA es el Reglamento (UE) 2022/2554, que establece un marco común de resiliencia operativa digital para el sector financiero europeo. Aunque entró en vigor el 16 de enero de 2023, sus obligaciones se aplican desde el 17 de enero de 2025. La norma busca que las entidades mantengan los servicios esenciales incluso cuando sufren fallos tecnológicos, interrupciones de proveedores o ciberataques.
Su cumplimiento exige comprender algo más que las medidas de ciberseguridad. Esta guía explica a quién alcanza el reglamento de resiliencia operativa digital, cómo se organizan sus obligaciones y qué plazos deben respetarse en España. Reúne criterios para evaluar la situación de una organización, un checklist práctico y opciones formativas relacionadas con la normativa DORA.
Qué es el reglamento DORA y para qué sirve
Significado de las siglas y base legal
DORA corresponde a Digital Operational Resilience Act. Su denominación jurídica es Reglamento (UE) 2022/2554, aprobado el 14 de diciembre de 2022 sobre la base del artículo 114 del Tratado de Funcionamiento de la UE. Aunque se utilice la expresión «ley DORA», no es una directiva: al ser un reglamento, se aplica directamente en los Estados miembros sin necesidad de transponerlo.
Objetivo del reglamento
Busca armonizar la resiliencia tecnológica del sistema financiero. En materia de DORA y ciberseguridad, el objetivo no es garantizar que nunca ocurra un incidente, sino que la organización pueda prevenirlo, resistir sus efectos, responder y recuperar sus operaciones con garantías.
- Cumplir DORA implica demostrar la continuidad y recuperación de los servicios financieros, no limitarse a implantar herramientas de seguridad.
Contexto y cronología de la normativa DORA
- Septiembre de 2020. La Comisión Europea presenta la propuesta dentro del paquete de finanzas digitales.
- Diciembre de 2022. El Parlamento Europeo y el Consejo adoptan el texto, publicado en el Diario Oficial el día 27.
- 17 de enero de 2025. Comienza su aplicación obligatoria. Es la fecha clave para el cumplimiento, distinta de la entrada en vigor del 16 de enero de 2023.
A quién afecta el reglamento DORA
Entidades financieras incluidas
El reglamento DORA abarca numerosas actividades del sector financiero: entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras y reaseguradoras, determinadas gestoras de fondos, infraestructuras de mercado y proveedores de servicios de criptoactivos. La aplicación depende de la categoría jurídica y las excepciones del artículo 2.
Proveedores TIC y proveedores críticos
Los terceros proveedores TIC incluyen empresas de alojamiento, software, procesamiento y servicios en la nube contratadas por entidades financieras. Sus compromisos son principalmente contractuales y, si son designados proveedores TIC críticos por las autoridades europeas, quedan sujetos a un marco específico de supervisión. Las primeras designaciones europeas se publicaron en noviembre de 2025.
Proporcionalidad y quién queda fuera
DORA adapta determinadas exigencias al tamaño, la actividad y el riesgo de la entidad. Ser pyme no supone una exención general. Entre las exclusiones expresas figuran los intermediarios de seguros y reaseguros que sean microempresas, pequeñas o medianas empresas. Algunas entidades comprendidas en su ámbito pueden acogerse a un marco simplificado de gestión del riesgo TIC.
¿Me afecta DORA?
Autodiagnóstico orientativo en cuatro preguntas.
Nota: herramienta informativa, no dictamen jurídico. La aplicabilidad debe comprobarse según el artículo 2 del Reglamento (UE) 2022/2554, la actividad autorizada y las exclusiones legales. No se guardan ni envían respuestas.
Los 5 pilares del reglamento DORA
Gestión del riesgo TIC
Exige un sistema de gobierno capaz de identificar dependencias tecnológicas, proteger activos y garantizar la continuidad. El órgano de dirección asume una responsabilidad específica sobre el marco de riesgo TIC y su supervisión, conectada con la gestión de riesgos de la organización.
Gestión y notificación de incidentes
Las entidades deben detectar, registrar y clasificar los incidentes tecnológicos, gestionar su respuesta y remitir informes cuando resulten graves. La obligación de comunicar depende de una clasificación reglada; sus plazos específicos aparecen más adelante.
Pruebas de resiliencia operativa digital
El marco incluye pruebas periódicas, desde análisis de vulnerabilidades y escenarios de continuidad hasta pruebas de penetración. Las pruebas avanzadas basadas en amenazas, conocidas como TLPT, se exigen a las entidades determinadas conforme a los criterios y procedimientos de DORA.
Riesgo de terceros
La dependencia tecnológica de proveedores externos debe quedar documentada y controlada mediante contratos, evaluación del riesgo de concentración y un registro de información DORA sobre los acuerdos de prestación de servicios TIC. La externalización no elimina la responsabilidad de la entidad financiera.
Intercambio de información sobre ciberamenazas
El reglamento DORA facilita acuerdos voluntarios entre entidades para compartir inteligencia sobre amenazas, vulnerabilidades y técnicas de ataque, bajo condiciones de confidencialidad, competencia y protección de datos. Su finalidad es reforzar la detección y la respuesta colectiva.
Notificación de incidentes graves: plazos y autoridades en España
Los plazos de notificación de incidentes del reglamento DORA se concretan en el artículo 5 del Reglamento Delegado (UE) 2025/301. Los tres hitos de comunicación son los siguientes:
| Informe | Plazo máximo | Referencia |
|---|---|---|
| Inicial | 4 horas desde su clasificación como grave y, en principio, no más de 24 horas desde que se conoce. | Art. 5.1.a |
| Intermedio | 72 horas desde la presentación de la notificación inicial. | Art. 5.1.b |
| Final | Un mes desde el informe intermedio o, si lo hay, desde el último intermedio actualizado. | Art. 5.1.c |
Si la clasificación como grave se produce después de las primeras 24 horas, la notificación inicial se envía dentro de las cuatro horas posteriores a esa clasificación. Existen reglas específicas para vencimientos en días inhábiles que no benefician a todas las entidades por igual.
- Atención al cómputo: las 72 horas comienzan con el envío del informe inicial, no con la detección del incidente. Un informe intermedio actualizado puede desplazar la fecha límite del informe final.
¿Qué es un incidente grave?
Es un incidente TIC que alcanza los criterios de importancia establecidos por las normas técnicas, especialmente el Reglamento Delegado (UE) 2024/1772. Para clasificarlo se valoran, entre otros factores, los clientes y operaciones afectados, la duración, la extensión geográfica, las pérdidas de datos y el impacto económico. No cualquier caída de servicio alcanza automáticamente esa categoría. Como lectura divulgativa complementaria, puede consultarse la guía de INCIBE sobre DORA.
Qué autoridad supervisa en España
La autoridad receptora depende de la entidad: Banco de España para determinadas entidades bancarias y de pagos, CNMV para las que supervisa en el mercado de valores y DGSFP para seguros y fondos de pensiones de su ámbito. Cada organismo establece su procedimiento electrónico. DORA también permite comunicar voluntariamente ciberamenazas importantes, aunque todavía no se hayan materializado en un incidente grave.
DORA, NIS2 y RGPD: diferencias
Las tres normas pueden coincidir en una misma empresa, pero persiguen finalidades distintas. Para un análisis de los tratamientos personales, conviene revisar también las obligaciones de protección de datos.
| Norma | Ámbito y sectores | Objetivo | Qué regula principalmente |
|---|---|---|---|
| DORA | Entidades financieras y supervisión de proveedores TIC críticos. | Resiliencia operativa digital financiera. | Riesgo TIC, incidentes, pruebas y terceros. |
| NIS2 | Entidades esenciales e importantes de múltiples sectores. | Ciberseguridad en servicios esenciales e importantes. | Gestión de riesgos, cadena de suministro y respuesta a incidentes. |
| RGPD | Organizaciones que tratan datos personales. | Proteger los derechos sobre esos datos. | Bases de tratamiento, derechos, seguridad y brechas de datos personales. |
En las entidades financieras correspondientes, DORA opera como norma sectorial específica frente a determinadas exigencias de NIS2; eso no elimina las obligaciones independientes del RGPD cuando hay datos personales.
Sanciones por incumplir la normativa DORA
En el reglamento DORA, los artículos 50 y 51 prevén facultades supervisoras, medidas correctoras y sanciones administrativas que deben articularse conforme al marco nacional aplicable. Las autoridades pueden requerir documentación, investigar deficiencias y exigir su reparación. Para los proveedores TIC críticos existe, además, un mecanismo europeo específico de supervisión y medidas coercitivas.
En España, el proyecto de ley para la digitalización y modernización del sector financiero, presentado en el Congreso el 17 de julio de 2026, incluye cambios relativos al régimen de DORA.
- Criterio jurídico: no existe una multa única y universal «por incumplir DORA». Para valorar consecuencias concretas hay que identificar la conducta, el sujeto responsable y el régimen vigente.
Cómo cumplir con la normativa DORA: checklist paso a paso
Para convertir el marco normativo en evidencias de cumplimiento DORA, resulta útil organizar un plan de trabajo que pueda auditarse:
Control de cumplimiento
Checklist DORA
Verifica los principales controles de resiliencia operativa digital. Marca cada punto cuando dispongas de evidencias documentadas.
Nota: este recurso es una herramienta orientativa para equipos de cumplimiento. Marcar todos los controles no acredita por sí solo la conformidad con el Reglamento (UE) 2022/2554. Los requisitos deben evaluarse según la entidad, sus excepciones y las normas técnicas aplicables. Las respuestas no se guardan ni se envían a ningún servidor.
Salidas profesionales y formación en DORA
Perfiles profesionales demandados
La resiliencia digital del sector financiero requiere capacidades propias de responsables de cumplimiento TIC, CISO, auditores de sistemas, analistas de riesgo tecnológico y consultores de ciberseguridad. Sus funciones vinculan la seguridad técnica con la gestión regulatoria y, en ciertos puestos, con el derecho bancario.
- El reglamento DORA convierte la resiliencia digital en una responsabilidad verificable del sector financiero. Identificar correctamente el ámbito aplicable, preparar la comunicación de incidentes y conservar pruebas de cumplimiento resulta decisivo. Para resolver supuestos particulares, conviene acudir al texto oficial y a las instrucciones del supervisor competente.
Preguntas frecuentes sobre el reglamento DORA
¿DORA es una ley o un reglamento?
Es un reglamento de la Unión Europea, directamente aplicable. La expresión «ley DORA» es coloquial y no modifica su naturaleza jurídica.
¿Desde cuándo es obligatorio?
Desde el 17 de enero de 2025. La entrada en vigor formal fue anterior, el 16 de enero de 2023.
¿Afecta a las pymes?
Sí, cuando su actividad entra en el ámbito regulado y no concurre una exclusión. El tamaño influye en la proporcionalidad; ciertos intermediarios de seguros pymes están expresamente excluidos.
¿En qué se diferencia de NIS2?
DORA desarrolla la resiliencia digital del sector financiero. NIS2 fija un marco transversal para entidades esenciales e importantes de diferentes sectores; pueden existir obligaciones concurrentes.
¿Quién supervisa DORA en España?
Según la entidad, el Banco de España, la CNMV o la DGSFP, sin perjuicio de los mecanismos europeos de supervisión y de las competencias atribuidas en cada caso.
