DORA: Resiliencia Operativa Digital del Sector Financiero

El Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero se publicó en el DOUE el 27 de diciembre de 2022, entró en vigor el 16 de enero de 2023 y es aplicable desde el 17 de enero de 2025.

Hasta DORA, cada Estado miembro y cada subsector financiero tenía sus propias normas de ciberseguridad (banca por sus circulares del BdE, seguros por las normas de la DGSFP, inversiones por la CNMV, etc.). Esto generaba inconsistencias, agujeros y carga administrativa redundante. DORA armoniza un marco único para toda la UE.

El detonante directo fueron los incidentes masivos de ciberseguridad en banca durante 2018-2022 (ataques de ransomware a entidades europeas, caídas en sistemas de pago, brechas de datos personales). La Comisión Europea documentó que la dependencia del sector financiero de proveedores TIC (cloud, ciberseguridad, software de pago) había crecido exponencialmente sin un marco regulatorio adecuado.

DORA es un Reglamento, no una Directiva: aplica directamente en todos los Estados miembros, sin necesidad de transposición nacional. Junto con DORA se publicó la Directiva (UE) 2022/2556, que modifica varias directivas sectoriales (DCRR, MiFID, AIFMD, etc.) para coordinarlas con DORA.

DORA aplica a más de 20 categorías de entidades financieras. Las principales son:

Entidades de crédito (bancos comerciales, cajas, cooperativas de crédito). Entidades de pago autorizadas bajo PSD2 (proveedores de transferencias, monederos electrónicos, agregadores). Entidades de dinero electrónico (EDE). Empresas de servicios de inversión (brokers, gestoras de carteras). Aseguradoras y reaseguradoras.

Gestoras de instituciones de inversión colectiva (SGIIC). Gestoras de fondos de inversión alternativa (AIFMs). Depositarios centrales de valores. Entidades de contrapartida central (ECC). Centros de negociación (mercados regulados, sistemas multilaterales).

Proveedores de servicios de criptoactivos (CASPs) autorizados bajo MiCA. Emisores de tokens referenciados a activos. Depositarios centrales de valores de la zona euro. Administradores de índices de referencia (benchmarks) críticos. Plataformas de financiación participativa autorizadas bajo el Reglamento UE 2020/1503.

Para el sector de microcréditos español: las Entidades de Crédito y los Establecimientos Financieros de Crédito (EFC) supervisados por el Banco de España están plenamente dentro. Los prestamistas no bancarios puros (que solo prestan al consumo sin captar depósitos y sin ser EFC) NO están explícitamente incluidos. Sin embargo, la Comisión Europea ha indicado que en la revisión de 2027 estudiará ampliar el ámbito.

Hay un régimen simplificado para microempresas (menos de 10 empleados y volumen anual inferior a 2 millones de euros), que evita la mayoría de obligaciones documentales y de tests.

El primer pilar (Capítulo II, artículos 5-15) exige que cada entidad financiera implante un marco interno de gestión de riesgos TIC integrado en su gobierno corporativo.

Componentes mínimos del marco: (1) gobernanza con responsabilidad última del órgano de administración (consejo) sobre la gestión de riesgos TIC, (2) política documentada de seguridad de la información, (3) identificación y clasificación de activos críticos y funciones esenciales, (4) controles de protección y prevención (segregación de redes, gestión de identidades y accesos, criptografía), (5) capacidades de detección de anomalías y de ciberseguridad operativa 24/7, (6) procedimientos de respuesta y recuperación con objetivos de tiempo de recuperación (RTO) y de punto de recuperación (RPO) documentados, (7) revisión y aprendizaje continuo de incidentes pasados.

El órgano de administración (consejo) tiene responsabilidad personal sobre la gestión de riesgos TIC. No puede delegarla completamente al CIO o al CISO: debe aprobar el marco, recibir reportes periódicos y ser informado de incidentes graves.

Los planes de continuidad de negocio y de recuperación frente a desastres (BCP/DRP) deben probarse al menos anualmente. Las copias de seguridad deben estar geográficamente separadas y protegidas frente a ataques.

El segundo pilar (Capítulo III, artículos 17-23) impone una obligación armonizada de reportar incidentes TIC graves al supervisor.

Un incidente es "grave" (major) cuando supera umbrales cuantitativos definidos por las ESAs en normas técnicas regulatorias: número de clientes afectados, duración, impacto económico, criticidad de la función afectada, propagación geográfica, impacto reputacional.

Plazos de notificación. El reporte se hace en tres etapas: (a) alerta temprana en 4 horas desde la detección o desde la clasificación como grave; (b) informe intermedio en 72 horas con análisis preliminar; (c) informe final en 1 mes con causa raíz y medidas correctivas.

Destinatario. En España, el supervisor competente recibe el reporte: Banco de España para entidades de crédito y EFC, CNMV para servicios de inversión, DGSFP para seguros. El supervisor reporta a la ESA correspondiente (EBA, ESMA o EIOPA), que centraliza la información.

Las entidades también pueden notificar incidentes graves a sus clientes si el incidente afecta a los intereses financieros de éstos. Esta comunicación al cliente es obligatoria si hay riesgo material para sus operaciones.

El reporte tiene formato estandarizado (RTS de la EBA) para facilitar comparación y agregación. Hay un sistema único de reporte para evitar duplicidades cuando un incidente afecta a varios subsectores.

El tercer pilar (Capítulo IV, artículos 24-27) exige tests periódicos de resiliencia operativa.

Tests anuales básicos. Todas las entidades dentro del ámbito de DORA deben realizar tests anuales: análisis de vulnerabilidades, evaluación de seguridad de redes, tests de penetración básicos, pruebas de continuidad de negocio. Los resultados se documentan y las brechas detectadas se cierran con plan de acción.

Threat-Led Penetration Testing (TLPT). Las entidades de mayor tamaño o criticidad sistémica deben someterse a TLPT al menos cada 3 años. Son tests avanzados que simulan ataques reales (red team) coordinados con las autoridades. Siguen la metodología TIBER-EU del BCE con adaptaciones a DORA.

Quién hace los tests. Los TLPT deben ser realizados por proveedores externos especializados, certificados, con experiencia demostrable. La entidad financiera no puede usar su equipo interno de red team para TLPT bajo DORA.

Cobertura. Los tests deben cubrir los sistemas críticos y las funciones esenciales. Si la entidad usa proveedores TIC críticos (cloud, ciberseguridad externa), los tests deben coordinar con esos proveedores cuando sea posible.

Para microempresas y EFC pequeñas. El régimen simplificado limita las obligaciones de tests a controles básicos de vulnerabilidades y revisiones documentales.

El cuarto pilar (Capítulo V, artículos 28-44) es el más extenso. Regula la externalización de servicios TIC, que se ha convertido en el principal riesgo operacional del sector financiero.

Registro de proveedores TIC. Cada entidad debe mantener un registro completo de todos los contratos con proveedores TIC (cloud, software como servicio, ciberseguridad gestionada, procesamiento de pagos, etc.). El registro se reporta al supervisor anualmente.

Análisis de concentración. Antes de contratar un proveedor TIC, hay que analizar el riesgo de concentración: cuánto del negocio depende de ese proveedor, qué pasaría si falla, alternativas disponibles. Si un proveedor concentra excesivamente el riesgo del sector (caso de los hyperscalers cloud), las autoridades pueden imponer límites.

Estrategia de salida. Para cada proveedor TIC crítico debe existir una estrategia documentada de salida: cómo se transfiere el servicio a otro proveedor o cómo se reinternaliza si el contrato termina (planificado o por incidente). El plan debe probarse periódicamente.

Cláusulas obligatorias. Los contratos con proveedores TIC deben incluir cláusulas mínimas armonizadas: descripción del servicio, ubicación de los datos, derechos de auditoría, requisitos de seguridad, planes de continuidad, niveles de servicio (SLAs), notificación de incidentes, cooperación con supervisores, condiciones de terminación.

Proveedores TIC críticos (CTPPs). Las ESAs (EBA, EIOPA, ESMA) designan a los proveedores TIC más críticos para el sector financiero europeo. En julio de 2025 publicaron la primera lista, que incluye a Microsoft, Google Cloud, AWS, Oracle, IBM y otros. Estos quedan bajo supervisión directa de las ESAs (no de los supervisores nacionales). Sanciones específicas hasta el 1 % del volumen anual mundial.

El quinto pilar (Capítulo VI, artículo 45) promueve el intercambio voluntario de información sobre amenazas cibernéticas entre entidades financieras.

La idea: si una entidad detecta un ataque o intento de ataque, compartir indicadores (IoCs — indicators of compromise, técnicas, tácticas, vulnerabilidades explotadas) ayuda a otras entidades a protegerse antes de ser víctimas.

DORA establece un marco legal seguro para este intercambio: protege a las entidades que comparten información de buena fe frente a responsabilidad por revelación de datos personales o secretos, siempre que cumplan las condiciones (consentimiento entre partes, datos anonimizados cuando proceda, no compartir información comercialmente sensible).

En la práctica, este intercambio se canaliza a través de ISACs (Information Sharing and Analysis Centers) sectoriales y de la cooperación con CERTs nacionales y el CERT-EU.

DORA se aplica directamente, pero los supervisores son los habituales del sector según el tipo de entidad:

Banco de España (BdE). Supervisa entidades de crédito, EFC, entidades de pago y entidades de dinero electrónico. Recibe los reportes DORA de estos. Coordina con la EBA.

CNMV (Comisión Nacional del Mercado de Valores). Supervisa servicios de inversión, gestoras de IIC, depositarios centrales de valores, mercados, plataformas de financiación participativa. Coordina con la ESMA.

DGSFP (Dirección General de Seguros y Fondos de Pensiones). Supervisa aseguradoras, reaseguradoras, mediadores de seguros. Coordina con la EIOPA.

ESAs (EBA, ESMA, EIOPA) y ECB-SSM. Para entidades sistémicas o transfronterizas. Para proveedores TIC críticos (CTPPs) la supervisión es DIRECTA por las ESAs, no por el supervisor nacional. Esto es novedoso: Microsoft, AWS y otros proveedores cloud están supervisados directamente por la UE en su rol como CTPPs del sector financiero.

Coordinación. Los supervisores nacionales comparten información entre sí y con las ESAs. Si una entidad opera en varios países, hay supervisor "líder" (home) y otros "host". Para conglomerados financieros (banca + seguros + inversiones) la coordinación es entre BdE, CNMV y DGSFP.

DORA no fija cuantías sancionadoras unificadas (a diferencia del GDPR o del AI Act). Cada Estado miembro establece sanciones efectivas, proporcionadas y disuasorias en su Derecho nacional.

En España. La transposición complementaria (la parte que requiere ley nacional, principalmente régimen sancionador y autoridades) sigue en tramitación parcial. El régimen aplicable mientras tanto es el de las leyes sectoriales en vigor: Ley 10/2014 de ordenación, supervisión y solvencia de entidades de crédito (sanciones BdE de hasta 10 millones € o 5 % de los recursos propios para infracciones muy graves), normativa específica de seguros (DGSFP) e inversiones (CNMV).

Para proveedores TIC críticos (CTPPs). Las ESAs pueden imponer sanciones financieras de hasta el 1 % del volumen anual mundial del proveedor por incumplir las recomendaciones u órdenes de las autoridades. Para un proveedor como Microsoft, eso son cientos de millones de euros.

Otras consecuencias. Si la entidad incumple gravemente, los supervisores pueden imponer medidas correctoras (planes de remediación con plazos), suspender actividades temporales, exigir refuerzo de capital, e incluso revocar la autorización para operar en casos extremos.

Las personas con responsabilidades directivas pueden ser sancionadas individualmente. El órgano de administración (consejo) responde personalmente del cumplimiento del marco de gestión de riesgos TIC.

Para el ecosistema de financieras del catálogo del portal, DORA tiene impacto diferenciado según el estatus regulatorio:

EFC (Establecimientos Financieros de Crédito) supervisados por el BdE. Están plenamente dentro del ámbito. Han debido adaptar sus marcos de gestión de riesgos TIC, procedimientos de reporte de incidentes y contratos con proveedores TIC antes del 17 de enero de 2025. Los más pequeños se benefician del régimen simplificado.

Entidades de pago / EDE. Si una financiera opera adicionalmente como entidad de pago o emisor de dinero electrónico (PSD2), está dentro del ámbito DORA.

Prestamistas no bancarios puros. Las financieras que solo prestan al consumo bajo el régimen de la Ley 16/2011 (futuro CCD2) y que no son EFC, no están explícitamente cubiertas por DORA. Sin embargo, la Comisión está estudiando incluirlas en la revisión de 2027.

Cloud y proveedores TIC. Independientemente del estatus regulatorio, casi todas las financieras del catálogo dependen de proveedores cloud (AWS, Azure, Google Cloud). Si su cliente principal (banca/EDE) está sujeto a DORA, ellos como proveedores también están sujetos indirectamente vía cláusulas contractuales obligatorias.

Prácticas recomendadas. Aunque no estés legalmente obligado, adoptar prácticas DORA es buena gestión: marco de riesgos TIC documentado, plan de respuesta a incidentes, registro de proveedores cloud, tests anuales básicos, copias de seguridad probadas. Hace que la entidad sea más resiliente y reduce el coste de adaptación si DORA se amplía en 2027.

Conexión con otras regulaciones de este hub: DORA + AI Act + PSD3 conviven. Un microcrédito online típico está sujeto a evaluación de solvencia con IA (AI Act), procesa pagos instantáneos (PSD3) y opera sobre infraestructura cloud (DORA si la entidad es EFC).