DORA es el Reglamento UE 2022/2554 sobre resiliencia operativa digital del sector financiero, en aplicación desde el 17 de enero de 2025. No pide un documento: pide capacidades reales en cinco pilares — riesgo ICT, incidentes, pruebas, terceros, intercambio. En la práctica: saber qué tienes en la red, detectar los incidentes, probar los sistemas, controlar a los proveedores. El resto es papel.
01¿Qué es DORA y por qué no es otra conformidad de papel?
DORA — Digital Operational Resilience Act — es el Reglamento (UE) 2022/2554, adoptado el 14 de diciembre de 2022 y en aplicación desde el 17 de enero de 2025 (EUR-Lex, Reg. UE 2022/2554). Al ser un reglamento, y no una directiva, se aplica directamente en todos los Estados miembros: no hay una transposición nacional que sirva de amortiguador, vale tal y como está escrito.
La diferencia con muchas normativas anteriores está en el verbo. DORA no dice "documenta", dice "resiste, responde, recupera". El objetivo declarado es un nivel común elevado de resiliencia operativa digital, con requisitos uniformes sobre la seguridad de los sistemas de redes e información que sustentan los procesos de las entidades financieras. Traducido: el regulador no quiere una carpeta de políticas, quiere una organización que aguante cuando un proveedor cloud cae o un ataque entra de noche.
02¿A quién se aplica DORA? ¿También a las PYME?
Sí, y este es el punto que muchos subestiman. DORA no es solo cosa de grandes bancos. El Artículo 2 enumera unas 21 categorías de entidades financieras a las que se aplica, con independencia del tamaño: bancos, empresas de inversión, aseguradoras y reaseguradoras, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos, gestoras de fondos, plataformas de crowdfunding y otros (EUR-Lex, Reg. UE 2022/2554, Art. 2).
Para las microempresas el reglamento prevé un principio de proporcionalidad: algunos requisitos más exigentes, como las pruebas de penetración avanzadas, no se aplican. Pero el marco básico — gestión del riesgo ICT, notificación de incidentes, control de proveedores — permanece. Si eres una PYME del sector financiero, estás dentro.
03¿Cuáles son los cinco pilares de DORA?
Todo DORA se sustenta en cinco pilares. No son capítulos de un manual: son cinco capacidades que deben existir y funcionar.
- Gestión del riesgo ICT. Gobernanza, inventario de sistemas, identificación de las funciones críticas. No puedes proteger lo que no sabes que tienes.
- Gestión y notificación de incidentes. Detectar, clasificar y notificar los incidentes ICT graves a las autoridades competentes, con un proceso armonizado y plazos definidos.
- Pruebas de resiliencia operativa digital. Desde la evaluación de vulnerabilidades hasta el threat-led penetration testing para las entidades mayores.
- Gestión del riesgo de terceros ICT. Registro de proveedores, cláusulas contractuales mínimas y un marco de supervisión de la UE sobre los proveedores designados críticos.
- Intercambio de información. Intercambio voluntario de información e inteligencia sobre amenazas entre entidades financieras.
Cuatro pilares de cinco presuponen una sola cosa, antes que cualquier política: visibilidad. Sin saber qué hay en la red y quién toca qué, la gestión del riesgo, la notificación y el control de proveedores siguen siendo declaraciones de intenciones.
04Las fechas y los números que importan
Tres datos citables, de fuentes oficiales, enmarcan las obligaciones sin ruido.
El threat-led penetration testing (TLPT) debe realizarse al menos cada tres años por las entidades identificadas por la autoridad competente, sobre sistemas de producción reales que sustentan funciones críticas o importantes; las microempresas quedan excluidas (EUR-Lex, Reg. UE 2022/2554, Art. 26). En materia de sanciones, los proveedores ICT designados críticos quedan dentro del marco de supervisión de las Autoridades Europeas de Supervisión: el Artículo 35 prevé multas coercitivas de hasta el 1% del volumen de negocio medio diario mundial, aplicadas diariamente durante un máximo de seis meses, hasta que se restablezca el cumplimiento (EUR-Lex, Reg. UE 2022/2554, Art. 35).
05¿Por qué la mayoría de los proyectos DORA fracasan sobre el papel?
El error típico es tratar DORA como un cumplimiento documental: se redactan las políticas, se rellena el registro de proveedores, se archiva. Luego llega el incidente real, y se descubre que nadie sabía qué sistemas estaban expuestos, qué funciones eran críticas, qué proveedores tocaban los datos. El papel estaba. La resiliencia, no.
El marco de supervisión europeo sobre los proveedores ICT críticos, gestionado por las Autoridades Europeas de Supervisión, hace el problema estructural: la designación se basa en el impacto sistémico, la importancia de las entidades que dependen del proveedor, la concentración y la sustituibilidad (ESMA, Digital Operational Resilience Act). Si no sabes quiénes son tus proveedores críticos ni qué controlan, no estás gestionando un riesgo: lo estás sufriendo. Es el mismo principio que defendemos en la soberanía digital europea: el control se mide en quién toca los datos y desde qué jurisdicción, no en la bandera del datacenter.
06Por dónde empezar, concretamente
Se empieza por la fotografía, no por la política. Qué tienes en la red, qué está expuesto, qué proveedores ICT utilizas, dónde están los puntos ciegos. Es la base de los pilares uno (riesgo ICT) y cuatro (terceros), y sin ella el resto es teoría. Por eso proponemos casi siempre una auditoría de red como primer paso: siete días, on-prem, y en mano un documento que mapea sistemas, flujos y dependencias.
La fotografía la toma Munin, nuestra herramienta de auditoría y visibilidad de red: inventario de lo que está conectado, exposiciones, dependencias de los proveedores. Desde ahí, la conformidad con DORA se convierte en una lista de cosas a cerrar por orden de prioridad, mapeadas sobre los pilares, no en un monstruo indistinto. La parte difícil no es entender el reglamento. Es saber en qué punto estás. Si quieres comentar tu caso, escríbenos o mira nuestros productos cyber y AI soberanos.