Preservando la transparencia en el ámbito financiero
1. Diagnóstico inicial
2. Diseño del Plan de Cumplimiento DORA
3. Implantación de controles y medidas
4. Formación y cultura interna
5. Soporte legal y documental
Utiliza nuestro formulario para escribirnos o elige el momento que mejor te convenga para conocer nuestros expertos y resolver tus dudas en una llamada.
Resolvemos las dudas más habituales sobre el Reglamento DORA de resiliencia operativa digital, a quién afecta y qué obligaciones impone.
El Reglamento DORA (Digital Operational Resilience Act) es la normativa europea que establece un marco común para la gestión de riesgos relacionados con las Tecnologías de la Información y la Comunicación (TIC) en el sector financiero. Su objetivo es garantizar que las entidades financieras puedan resistir, responder y recuperarse de cualquier tipo de incidente relacionado con las TIC, incluidos los ciberataques.
DORA afecta a un amplio espectro de entidades financieras: entidades de crédito, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, aseguradoras y reaseguradoras, fondos de pensiones, gestoras de criptoactivos, agencias de calificación crediticia, y también a los proveedores terceros de servicios TIC considerados críticos para el sector financiero, como proveedores de servicios cloud.
El Reglamento DORA entró en aplicación el 17 de enero de 2025 en toda la Unión Europea, siendo de aplicación directa sin necesidad de transposición nacional, al tratarse de un reglamento y no de una directiva. Las entidades financieras afectadas deben cumplir con sus obligaciones desde esa fecha.
DORA se estructura en cinco pilares principales: la gestión de riesgos TIC (políticas, procedimientos y herramientas de gestión), la gestión y notificación de incidentes relacionados con las TIC, las pruebas de resiliencia operativa digital, la gestión del riesgo de terceros proveedores de servicios TIC, y el intercambio de información sobre amenazas y ciberataques entre entidades financieras.
DORA exige que las entidades financieras realicen una evaluación rigurosa de los riesgos asociados a sus proveedores de servicios TIC, incluyan en sus contratos cláusulas específicas sobre seguridad, auditoría y terminación, mantengan un registro de información sobre todos sus acuerdos contractuales con proveedores TIC, y limiten su dependencia de proveedores críticos para evitar riesgos de concentración.
Las sanciones por incumplimiento de DORA se establecen a nivel nacional por cada estado miembro dentro del marco que fija el reglamento, pudiendo incluir sanciones administrativas, multas coercitivas y medidas correctoras. Además, los proveedores críticos de servicios TIC quedan sujetos a la supervisión directa de las autoridades europeas de supervisión financiera, con la posibilidad de sanciones específicas en caso de incumplimiento.
DORA actúa como lex specialis respecto a la NIS2 para el sector financiero, lo que significa que las entidades financieras se rigen por DORA en materia de ciberseguridad y resiliencia digital en lugar de por la NIS2, evitando así la duplicidad regulatoria. No obstante, ambas normativas comparten principios comunes de gestión de riesgos TIC y notificación de incidentes.
