DORA, el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero, obliga a las entidades financieras incluidas en su ámbito a gestionar el riesgo de las tecnologías de la información y la comunicación (TIC): incidentes, pruebas de resiliencia y proveedores tecnológicos. Se aplica desde el 17 de enero de 2025. No es una certificación ni se cumple comprando una herramienta.
Esta ficha es información general y no constituye asesoramiento jurídico. Verificada el 15 de octubre de 2026 contra el texto del Reglamento en el Diario Oficial de la UE (copia del BOE), en particular los artículos 2, 4, 17, 19, 24, 26, 28, 30, 31 y 64.
A quién se aplica
El artículo 2 enumera las entidades afectadas: entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras y gestores de fondos, entre otras, con algunas exclusiones. Trabajar para el sector financiero no convierte por sí solo a una empresa en entidad financiera. Las normas se aplican de forma proporcionada al tamaño y al perfil de riesgo (artículo 4), sin que ello suponga una exención general.
Qué exige
El Reglamento se apoya sobre todo en cuatro bloques: un marco documentado de gestión del riesgo TIC; la gestión de todos los incidentes TIC y la notificación de los graves a la autoridad competente (artículos 17 y 19); un programa de pruebas de resiliencia, no exigido como tal a las microempresas, con pruebas al menos anuales de los sistemas que sustentan funciones esenciales o importantes y, para las entidades que designe la autoridad, pruebas avanzadas de penetración basadas en amenazas al menos cada tres años (artículos 24 y 26); y la gestión del riesgo de los proveedores TIC.
Esto incluye un registro de todos los acuerdos contractuales con proveedores de servicios TIC (artículo 28) y unas cláusulas mínimas en los contratos (artículo 30): servicios, lugares de tratamiento de datos, asistencia en incidentes, recuperación de datos y terminación. La entidad sigue siendo responsable del cumplimiento aunque externalice.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una entidad financiera dentro del ámbito de DORA aloja su plataforma con un proveedor cloud. Debe anotar ese acuerdo en su registro, distinguir si sustenta una función esencial o importante, revisar que el contrato recoge las cláusulas exigidas y comprobar que puede recuperar sus datos si el proveedor falla.
Límites
DORA se completa con normas técnicas y con la supervisión de cada autoridad, y esos textos evolucionan: confirma siempre los vigentes. Solo los proveedores TIC designados como esenciales por las autoridades europeas (artículo 31) quedan bajo su supervisión directa; el resto se ve afectado sobre todo por contrato.
Cuándo llamar a un experto
Pide ayuda si no sabes si tu entidad entra en el ámbito de DORA, si un cliente financiero te envía un anexo o un cuestionario o si no está claro cómo se recuperan los sistemas tras un incidente grave. El ámbito y las obligaciones concretas debe confirmarlos tu equipo de cumplimiento o un profesional del derecho.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: revisamos accesos, copias de seguridad y recuperación, aplicamos los controles técnicos que falten y formamos al equipo. No prestamos asesoramiento jurídico; nuestro trabajo es técnico y formativo. Consulta nuestro servicio de ciberseguridad, la página de servicios financieros (información sectorial, no un servicio de cumplimiento DORA) o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: NIS2, ISO 27001 y RPO y RTO.
Fuentes oficiales: el Reglamento (UE) 2022/2554 en el Diario Oficial (copia del BOE), la página de la ESMA sobre DORA y la de la EBA, ambas en inglés.