¿Qué es la Ley de Resiliencia Operativa Digital (DORA)?

DORA establece estándares técnicos para las entidades financieras y sus proveedores de servicios de tecnología críticos de terceros. Entró en vigor por primera vez el 17 de enero de 2025.

DORA tiene dos objetivos principales: abordar de manera integral la gestión de riesgos de ICT en el sector de servicios financieros y armonizar las regulaciones de gestión de riesgos de ICT que ya existen en los estados miembros individuales de la UE.

Antes de DORA, las regulaciones de gestión de riesgos para las instituciones financieras de la UE se centraron principalmente en garantizar que las empresas tuvieran suficiente capital para cubrir los riesgos operativos. Si bien algunos entes reguladores de la UE publicaron directrices sobre TIC y gestión de riesgos de seguridad, estas no se aplicaban a todas las entidades financieras por igual y, a menudo, se basaban en principios generales en lugar de normas técnicas específicas. En ausencia de reglas de gestión de riesgos de TIC a nivel de la UE, los estados miembros de la UE emitieron sus propios requisitos. Este conjunto heterogéneo de normativas ha demostrado ser difícil de manejar para las entidades financieras.

Con DORA, la UE pretende establecer un marco universal para gestionar y mitigar el riesgo de las ICT en el sector financiero. Al armonizar las normas de gestión de riesgos en toda la UE, DORA busca eliminar las brechas, conflictos que podrían surgir entre regulaciones dispares en diferentes estados de la UE. Un conjunto compartido de reglas puede facilitar el cumplimiento de las entidades financieras y, al mismo tiempo, mejorar la resiliencia de todo el sistema financiero de la UE garantizando que cada institución se mantenga en el mismo estándar.

DORA se aplica a todas las instituciones financieras de la UE. Esto incluye entidades financieras tradicionales, como bancos, empresas de inversión e instituciones de crédito, y entidades no tradicionales, incluyendo proveedores de servicios de criptoactivos y plataformas de crowdfunding.

En particular, DORA también se aplica a algunas entidades normalmente excluidas de las regulaciones financieras. Por ejemplo, los proveedores de servicios externos que suministran a las empresas financieras sistemas y servicios de ICT, como proveedores de servicios en la nube y centros de datos, deben seguir los requisitos de DORA. DORA también cubre empresas que proporcionan servicios de información de terceros críticos, como servicios de calificación crediticia y proveedores de analytics de datos.

Este enfoque en los proveedores de servicios de terceros significa que incluso las empresas ubicadas fuera de Europa pueden ser responsables del cumplimiento normativo. Por ejemplo, muchas empresas en la India proporcionan servicios de subcontratación de TI y procesos de negocio a clientes europeos; estas empresas indias deben prestar atención a los requisitos reglamentarios de DORA para seguir cumpliendo con las normas. Entre otros requisitos, estas firmas deben demostrar fuertes medidas de resiliencia cibernética y continuidad de negocio.

DORA está actualmente en vigor y es aplicable a partir del 17 de enero de 2025, luego de años de desarrollo. 

DORA fue propuesta por primera vez por la Comisión Europea, el poder ejecutivo de la UE responsable de introducir la legislación, en septiembre de 2020. Formaba parte de un paquete financiero digital más amplio que también incluye iniciativas para regular los criptoactivos y mejorar la estrategia general de finanzas digitales de la UE. El Consejo de la Unión Europea y el Parlamento Europeo (los organismos legislativos responsables de aprobar las leyes de la UE) adoptaron formalmente la DORA en noviembre de 2022.

Tras la adopción de la ley, las Autoridades Europeas de Supervisión (ESA) pulieron los detalles clave. Las ESA son los organismos reguladores que supervisan el sistema financiero de la UE, incluida la Autoridad Bancaria Europea (ABE), la Autoridad Europea de Valores y Mercados y la Autoridad Europea de Seguros y Pensiones de Jubilación.

Las ESA estaban a cargo de redactar los estándares técnicos regulatorios (RTS) y los estándares técnicos de implementación (ITS) que las entidades cubiertas deben implementar. Muchos de estos estándares se finalizaron en 2024. Por ejemplo, en marzo de 2024, los organismos reguladores publicaron normas técnicas regulatorias que especifican herramientas, métodos, procesos y políticas de gestión de riesgos de las TIC. También especificaron los criterios para la clasificación de los principales incidentes relacionados con las TIC y las amenazas cibernéticas. También en 2024, la Comisión Europea comenzó a desarrollar un marco de supervisión para proveedores críticos de TIC.

El marco de DORA se considera completo a partir de julio de 2025.

La aplicación ahora recae en los organismos reguladores designados en cada estado miembro de la UE, conocidos como “autoridades competentes”. Las autoridades competentes pueden solicitar que las entidades financieras adopten medidas de seguridad específicas y subsanen las vulnerabilidades. También pueden imponer sanciones administrativas y, en algunos casos, penales a las entidades que incumplan. Cada estado miembro decide sus propias sanciones.

Los proveedores de TIC considerados “críticos” por la Comisión Europea serán supervisados directamente por los supervisores principales de las ESA. En noviembre de 2025, los organismos reguladores nombraron 19 firmas como “críticas”, una lista que incluía a Amazon, Google e IBM.

Al igual que las autoridades competentes, los supervisores principales pueden exigir medidas de seguridad y correctivas y sancionar a los proveedores de TIC que no las cumplan. DORA permite a los supervisores principales imponer multas a los proveedores de TIC que ascienden al 1 % del volumen de negocios diario promedio mundial del proveedor en el año comercial anterior. Los proveedores pueden ser multados todos los días por hasta seis meses hasta que cumplan.

DORA establece requisitos técnicos para entidades financieras y proveedores de TIC en cuatro dominios:

• Gestión y gobernanza de riesgos de ICT
• Respuesta a incidentes e informes
• Pruebas de resiliencia operativa digital
• Gestión de riesgos de terceros

Se recomienda compartir información, pero no es obligatorio.

Se espera que los requisitos se apliquen proporcionalmente, lo que significa que las entidades más pequeñas no estarán sujetas a los mismos estándares que las principales instituciones financieras. Aunque las principales operaciones de aplicación de la ley aún no acapararon los titulares en 2025, algunos expertos legales citan 2026 como el año en que DORA entra en una fase de madurez. “Las juntas directivas deben estar preparadas para una nueva cadencia de compromiso de supervisión centrada en la resiliencia operativa en lugar de las métricas prudenciales tradicionales”, escribe Michael Huertas, líder legal global y europeo de Servicios Financieros de PwC Legal.

DORA responsabiliza al órgano de gestión de una entidad por la gestión de las TIC. Se espera que los miembros de la junta directiva, los líderes ejecutivos y otros gerentes sénior definan estrategias de gestión de riesgos adecuadas, ayuden activamente a ejecutarlas y se mantengan al día sobre su conocimiento del escenario de riesgos de las TIC. Los líderes también pueden ser responsables personalmente por el incumplimiento de una entidad.

Se espera que las entidades cubiertas desarrollen marcos integrales de gestión de riesgos de TIC. Las entidades deben correlacionar sus sistemas de ICT, identificar y clasificar activos y funciones críticas y documentar dependencias entre activos, sistemas, procesos y proveedores. Las entidades deben realizar evaluaciones continuas de riesgos en sus sistemas de ICT, documentar y clasificar las ciberamenazas y documentar sus pasos para mitigar los riesgos identificados.

Como parte del proceso de evaluación de riesgos, las entidades deben realizar análisis de impacto en el negocio para evaluar cómo escenarios específicos y alteraciones graves podrían afectar al negocio. Las entidades utilizan los resultados de estos análisis para establecer niveles de tolerancia al riesgo e informar el diseño de su infraestructura de TIC. También se requiere que las entidades implementen medidas adecuadas de protección de ciberseguridad, como políticas de gestión de identidad y acceso (IAM) y gestión de parches, junto con controles técnicos como sistemas extendidos de detección y respuesta, software de gestión de eventos e información de seguridad (SIEM) y orquestación de seguridad, automatización y herramientas de respuesta (SOAR).

Las entidades también necesitan establecer planes de continuidad de negocio y de recuperación ante desastres para diversos escenarios de riesgo cibernético, como fallas de los servicios TIC, desastres naturales y ataques cibernéticos. Estos planes deben incluir medidas de copia de seguridad y recuperación de datos, procesos de restauración del sistema y planes de comunicación con los clientes afectados, los socios y las autoridades.

Las entidades cubiertas deben establecer sistemas para monitorear, gestionar, registrar, clasificar y reportar incidentes relacionados con las TIC. En función de la gravedad del incidente, es posible que las entidades tengan que informar tanto a los organismos reguladores como a los clientes y socios afectados.

Las entidades están obligadas a presentar tres tipos diferentes de informes para incidentes críticos: un informe inicial que notifique a las autoridades, un informe intermedio sobre el progreso hacia la resolución del incidente y un informe final que analice las causas fundamentales del incidente.

En marzo de 2024 se publicaron las reglas sobre gestión de incidentes, cómo deben clasificarse los incidentes, qué incidentes deben reportarse y los plazos para reportarlos.

Las ESA también han explorado formas de agilizar la presentación de informes mediante el establecimiento de un centro de informes central en toda la UE y plantillas de informes comunes. En enero de 2025, las ESA emitieron el “Informe sobre la viabilidad de una mayor centralización de la notificación de incidentes importantes relacionados con las TIC”. El informe concluye que un “escenario único de centro de la UE es factible y aporta ciertos beneficios”, pero dicho centro requeriría al menos cinco años para implementarse. Por ahora, existen soluciones de informes a nivel nacional. 

Las entidades deben probar sus sistemas ICT regularmente para evaluar la fortaleza de sus protecciones e identificar vulnerabilidades. Los resultados de estas pruebas y los planes para abordar las debilidades que encuentren, serán informados y validados por las autoridades competentes pertinentes.

Las entidades deben realizar pruebas básicas, como evaluaciones de vulnerabilidad y pruebas basadas en escenarios, una vez al año. Las entidades financieras juzgadas para desempeñar un papel crítico en el sistema financiero también deberán someterse a pruebas de penetración (TLPT) dirigidas por amenazas cada tres años. Los proveedores críticos de TIC de la entidad también deberán participar en estas pruebas de inserción. Las normas técnicas sobre cómo deben llevarse a cabo las TLPT aparecieron en el Diario Oficial de la UE el 18 de junio de 2025 y entraron en vigor 20 días después.

Un aspecto único de DORA es que se aplica no solo a las entidades financieras sino también a los proveedores de ICT que prestan servicios al sector financiero.

Se espera que las empresas financieras asuman un papel activo en la gestión de la evaluación y gestión de riesgos de terceros en las TIC. Al externalizar funciones críticas e importantes, las entidades financieras deben negociar acuerdos contractuales específicos en cuanto a estrategias de salida, auditorías y objetivos de rendimiento para accesibilidad, integridad y seguridad, entre otras cosas. A las entidades no se les permite contratar proveedores de TIC que no puedan cumplir con estos requisitos. Las autoridades competentes están facultadas para suspender o rescindir los contratos que no cumplan. 

Las instituciones financieras también necesitan mapear sus dependencias de TIC de terceros y están obligadas a garantizar que sus funciones críticas e importantes no estén demasiado concentradas con un solo proveedor o un pequeño grupo de proveedores.

Los proveedores de servicios críticos de TIC a terceros estarán sujetos a la supervisión directa de las ESA pertinentes. Como se mencionó, 19 empresas cumplen actualmente con esos estándares y tendrán una de las ESA asignada como supervisor principal. Además de hacer cumplir los requisitos de DORA en los proveedores críticos, los supervisores principales están facultados para prohibir a los proveedores celebrar contratos con firmas financieras u otros proveedores de TIC que no cumplan con DORA.

Las entidades financieras deben establecer procesos para aprender de incidentes internos y externos relacionados con las TIC. Con ese fin, la DORA insta a las entidades a participar en acuerdos voluntarios de intercambio de inteligencia de amenazas. Cualquier información compartida de esta manera aún debe estar protegida bajo las directrices pertinentes; por ejemplo, la información de identificación personal aún está sujeta a las consideraciones del Reglamento General de Protección de Datos.