¿Qué es la Ley de Resiliencia Operativa Digital (DORA)?

DORA establece estándares técnicos que las entidades financieras y sus proveedores de servicios de tecnología críticos de terceros. Entró en vigor por primera vez el 17 de enero de 2025.

El DORA tiene dos objetivos principales: abordar de manera exhaustiva la gestión del riesgo de las TIC en el sector de los servicios financieros y armonizar las normativas sobre gestión del riesgo de las TIC que ya existen en los distintos Estados miembros de la UE.

Antes de DORA, la normativa sobre gestión de riesgos de las entidades financieras de la UE se centraba principalmente en garantizar que las empresas dispusieran de capital suficiente para cubrir los riesgos operativos. Aunque algunos reguladores de la UE publicaron directrices sobre TIC y gestión de riesgos de seguridad, estas directrices no se aplicaban a todas las entidades financieras por igual, y a menudo se basaban en principios generales más que en normas técnicas específicas. A falta de normas comunitarias sobre gestión de riesgos de las TIC, los Estados miembros de la UE han establecido sus propios requisitos. Este mosaico de normativas ha resultado difícil de manejar para las entidades financieras.

Con DORA, la UE pretende establecer un marco universal para gestionar y mitigar el riesgo de las TIC en el sector financiero. Al armonizar las normas de gestión de riesgos en toda la UE, DORA pretende eliminar las lagunas, solapamientos y conflictos que podrían surgir entre normativas dispares de distintos Estados de la UE. Un conjunto común de normas puede facilitar a las entidades financieras el cumplimiento de las mismas, al tiempo que mejora la resiliencia de todo el sistema financiero de la UE al garantizar que todas las entidades se rijan por las mismas normas.

DORA se aplica a todas las instituciones financieras de la UE. Esto incluye entidades financieras tradicionales, como bancos, empresas de inversión e instituciones de crédito, y entidades no tradicionales, incluidos proveedores de servicios de criptoactivos y plataformas de financiación colectiva.

En particular, DORA también se aplica a algunas entidades normalmente excluidas de las regulaciones financieras. Por ejemplo, los proveedores de servicios externos que suministran a las empresas financieras sistemas y servicios de TIC, como los proveedores de servicios en la nube y los centros de datos, deben cumplir los requisitos del DORA. DORA también cubre a las empresas que proporcionan servicios críticos de información de terceros, como servicios de calificación crediticia y proveedores de análisis de datos.

Este enfoque en los proveedores de servicios externos significa que incluso las empresas ubicadas fuera de Europa pueden ser responsables del cumplimiento de la normativa. Por ejemplo, muchas empresas en India ofrecen servicios de externalización de TI y procesos de negocio a clientes europeos; estas empresas indias deben prestar atención a los requisitos regulatorios de la DORA para cumplir con la normativa. Entre otros requisitos, estas empresas deben demostrar sólidas medidas de ciberresiliencia y continuidad del negocio.

DORA está actualmente en vigor y es aplicable a partir del 17 de enero de 2025, después de años de desarrollo. 

El DORA fue propuesto por primera vez por la Comisión Europea (el poder ejecutivo de la UE responsable de elaborar la legislación) en septiembre de 2020. Forma parte de un paquete financiero digital más amplio que también incluye iniciativas para regular los criptoactivos y mejorar la estrategia general de financiación digital de la UE. El Consejo de la Unión Europea y el Parlamento Europeo (los órganos legislativos responsables de aprobar las leyes de la UE) adoptaron formalmente el DORA en noviembre de 2022.

Tras la adopción de la ley, las Autoridades Supervisoras Europeas (ESAs) definiron detalles clave. Las AES son los reguladores que supervisan el sistema financiero de la UE, incluidas la Autoridad Bancaria Europea (ABE), la Autoridad Europea de Valores y Mercados (AEVM) y la Autoridad Europea de Seguros y Pensiones de Jubilación (AESPJ).

Las ESAs se encargan de elaborar las normas técnicas de regulación (NTR) y las normas técnicas de ejecución (NTE) que deben implementar las entidades cubiertas. Muchas de estas normas se finalizaron en 2024. Por ejemplo, en marzo de 2024, los reguladores publicaron normas técnicas regulatorias que especifican herramientas, métodos, procesos y políticas de gestión de riesgos de las TIC. También especificaron los criterios para la clasificación de los principales incidentes y ciberamenazas relacionados con las TIC. También en 2024, la Comisión Europea comenzó a desarrollar un marco de supervisión para los proveedores de TIC críticos.

El marco DORA se considera completo a partir de julio de 2025.

La aplicación recae ahora en los reguladores designados en cada estado miembro de la UE, conocidos como "autoridades competentes". Las autoridades competentes pueden solicitar que las entidades financieras adopten medidas de seguridad específicas y corrijan las vulnerabilidades. También pueden imponer sanciones administrativas y, en algunos casos, penales a las entidades que no las cumplan. Cada Estado miembro decide sus propias sanciones.

Los proveedores de TIC considerados "críticos" por la Comisión Europea serán supervisados directamente por supervisores principales de las AES. En noviembre de 2025, los usuarios habituales nombraron a 19 empresas como "críticas", una lista Entre ellas se encontraban Amazon, Google e IBM.

Al igual que las autoridades competentes, los supervisores principales podrán exigir medidas de seguridad y corrección, y sancionar a los proveedores de TIC que no las cumplan. La DORA permite a los supervisores principales imponer multas a los proveedores de TIC por un importe equivalente al 1 % de la facturación media diaria mundial del proveedor en el ejercicio anterior. Los proveedores pueden ser multados diariamente durante un máximo de seis meses hasta que cumplan la normativa.

El DORA establece requisitos técnicos para entidades financieras y proveedores de TIC en cuatro dominios:

• Gestión de riesgos y gobernanza de las TIC
• Respuesta a incidentes e informes
• Pruebas de resiliencia operativa digital
• Gestión de riesgos de terceros

Se recomienda el intercambio de información, pero no es obligatorio.

Se espera que los requisitos se apliquen de forma proporcional, lo que significa que las entidades más pequeñas no estarán sujetas a las mismas normas que las grandes instituciones financieras. Aunque las principales operaciones policiales aún no ocuparon los titulares en 2025, algunos expertos legales citan 2026 como el año en que DORA entra en su fase de madurez. "Las juntas deben estar preparadas para una nueva cadencia de compromiso de supervisión centrada en la resiliencia operativa en lugar de las métricas prudenciales tradicionales", escribe Michael Huertas, líder legal de servicios financieros globales y europeos en PwC Legal.

La DORA responsabiliza al órgano de dirección de una entidad de la gestión de las TIC. Se espera que los miembros del consejo de administración, los líderes ejecutivos y otros altos directivos definan estrategias adecuadas de gestión de riesgos, colaboren de forma activa en su ejecución y se mantengan al día en su conocimiento del panorama de riesgos de las TIC. Los líderes también pueden ser considerados responsables a título personal del incumplimiento de una entidad.

Se espera que las entidades cubiertas desarrollen marcos integrales de gestión de riesgos de las TIC. Necesitan cartografiar sus sistemas de TIC, identificar y clasificar los recursos y funciones críticos, y documentar las dependencias entre recursos, sistemas, procesos y proveedores. Las entidades deben realizar evaluaciones continuas de los riesgos de sus sistemas de TIC, documentar y clasificar las ciberamenazas y documentar sus medidas para mitigar los riesgos identificados.

Como parte del proceso de evaluación de riesgos, las entidades deben llevar a cabo análisis de impacto en el negocio para evaluar cómo podrían afectar al mismo escenarios específicos e interrupciones graves. Las entidades utilizan los resultados de estos análisis para establecer niveles de tolerancia al riesgo e informar el diseño de su infraestructura de TIC. Las entidades también deben implementar las medidas de protección de la ciberseguridad adecuadas, como políticas de gestión de identidades y accesos (IAM) y gestión de parches, junto con controles técnicos como sistemas ampliados de detección y respuesta, información de seguridad y gestión de eventos (SIEM), software y orquestación de la seguridad, automatización y herramientas de respuesta (SOAR).

Las entidades también necesitan establecer planes de continuidad del negocio y de recuperación ante desastres para diversos escenarios de ciberriesgo, como fallos en los servicios TIC, desastres naturales y ciberataques. Estos planes deben incluir medidas de recuperación y copia de seguridad de datos, procesos de restauración de sistemas y planes de comunicación con los clientes, partners y autoridades afectados.

Las entidades cubiertas deben establecer sistemas para la monitorización, la gestión, el registro, la clasificación y la notificación de incidentes relacionados con las TIC. En función de la gravedad del incidente, las entidades pueden tener que presentar informes tanto a los reguladores como a los clientes y partners afectados.

Las entidades deben presentar tres tipos diferentes de informes para incidentes críticos: un informe inicial notificando a las autoridades, un informe intermedio sobre el progreso hacia la resolución del incidente y un informe final analizando las causas raíz del incidente.

Las normas sobre la gestión de incidentes, cómo deben clasificarse los incidentes, qué incidentes deben denunciarse y los plazos de denuncia se publicaron en marzo de 2024.

Las AES también han explorado formas de agilizar la presentación de informes mediante el establecimiento de un centro de informes central a nivel de la UE y plantillas de informes comunes. En enero de 2025, las ESA emitieron El “Informe sobre la viabilidad de una mayor centralización de la notificación de incidentes graves relacionados con las TIC”. El informe concluye que "un escenario único de centro de la UE es factible y aporta ciertos beneficios", pero dicho centro requeriría al menos cinco años para implementarse. Por ahora, existen soluciones para la elaboración de informes a nivel nacional. 

Las entidades deben probar periódicamente sus sistemas TIC para evaluar la solidez de sus protecciones e identificar ‌vulnerabilidades. Los resultados de estas pruebas, así como los planes para subsanar las deficiencias que detecten, serán comunicados a las autoridades competentes pertinentes y validados por ellas.

Las entidades deben realizar pruebas básicas, como evaluaciones de vulnerabilidad y pruebas basadas en escenarios, una vez al año. Las entidades financieras que se considere que desempeñan un papel crítico en el sistema financiero también tendrán que someterse a pruebas de penetración (TLPT) dirigidas por amenazas cada tres años. Los proveedores críticos de TIC de la entidad también deberán participar en estas pruebas de penetración. Las normas técnicas sobre cómo deben llevarse a cabo los TLPT aparecieron en el periódico oficial de la UE el 18 de junio de 2025 y entraron en vigor 20 días después.

Un aspecto único del DORA es que no solo se aplica a las entidades financieras, sino también a los proveedores de TIC que prestan servicios al sector financiero.

Se espera que las firmas financieras desempeñen un papel activo en la gestión de la evaluación y la gestión de riesgos de terceros de las TIC. Cuando externalizan funciones críticas e importantes, las entidades financieras deben negociar acuerdos contractuales específicos sobre estrategias de salida, auditorías y objetivos de rendimiento en materia de accesibilidad, integridad y seguridad, entre otras cosas. Las entidades no pueden contratar a proveedores de TIC que no puedan cumplir estos requisitos. Las autoridades competentes tienen facultades para suspender o rescindir contratos que no cumplan. 

Las instituciones financieras también necesitan mapear sus dependencias de TIC de terceros y deben asegurarse de que sus funciones críticas e importantes no estén demasiado concentradas en un único proveedor o en un pequeño grupo de proveedores.

Los proveedores de servicios críticos de TIC de terceros estarán sujetos a la supervisión directa de las AES pertinentes. Como se ha mencionado, 19 empresas cumplen actualmente esos estándares y tendrán una de las ESA asignada como supervisora principal. Además de hacer cumplir los requisitos de la DORA a los proveedores críticos, los supervisores principales están facultados para prohibir a los proveedores que celebren contratos con empresas financieras u otros proveedores de TIC que no cumplan con la DORA.

Las entidades financieras deben establecer procesos para aprender de los incidentes relacionados con las TIC, tanto internos como externos. Con ese fin, la DORA anima a las entidades a participar en acuerdos voluntarios de intercambio de inteligencia de amenazas. Cualquier información compartida de esta manera debe seguir estando protegida según las directrices pertinentes; por ejemplo, la información de identificación personal sigue estando sujeta a las consideraciones del Reglamento General de Protección de Datos.