En resumen
- Reglamentación: NIS2.
- Las aseguradoras están sujetas a NIS2 en el marco del sector financiero, pero la mayor parte de sus obligaciones de resiliencia corresponde a DORA.
- Identificar la prevalencia de DORA.
- Garantizar la coherencia.
- Coordinar las notificaciones.
- NIS2 prevé hasta 10 M€ o el 2 %, pero su aplicación es residual en el seguro, donde el régimen prudencial de DORA estructura la supervisión.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor (directiva UE)
En vigorOctubre de 2024
Plazo de transposición (UE)
En vigor2026
Transposición francesa (ley de resiliencia)
En vigor¿De qué trata NIS2?
NIS2 establece una base horizontal de ciberseguridad para numerosos sectores, incluido el financiero. Cuando un acto sectorial impone requisitos al menos equivalentes, este prevalece: es el caso de DORA para las entidades financieras en lo relativo al riesgo TIC y a los incidentes.
El asegurador estructura su resiliencia en torno a DORA y solo moviliza NIS2 para el residual.
¿El sector «Seguros» está afectado?
Las aseguradoras están afectadas por NIS2 en calidad de sector financiero, pero el grueso de sus obligaciones de resiliencia corresponde a DORA. El valor de esta guía es clarificar qué queda de NIS2 una vez aplicado DORA.
Esta articulación evita duplicidades de gobernanza, de medidas y de notificaciones.
Obligaciones detalladas
Identificar la prevalencia de DORA
Reconocer que DORA constituye la lex specialis para el riesgo TIC y los incidentes.
Garantizar la coherencia
Garantizar que las medidas cumplan con DORA y cubran el residual NIS2 sin duplicaciones.
Coordinar las notificaciones
Articular los canales DORA y, en su caso, NIS2 para evitar las notificaciones duplicadas.
Documentar la articulación
Formalizar una cartografía que muestre cómo DORA cubre el ámbito TIC.
Sanciones y riesgos
NIS2 prevé hasta 10 M€ o el 2 %, pero su aplicación es residual en el sector asegurador, donde el régimen prudencial de DORA estructura la supervisión. El principal riesgo es un dispositivo mal articulado que genere duplicidades o puntos ciegos.
Un mapeo claro de los dos textos es la mejor protección.
Calendario de aplicación
- 1DORA. Aplicable desde el 17 de enero de 2025; prevalece para el riesgo TIC.
- 2NIS2. Transposición española en curso; alcance residual para el seguro.
Errores frecuentes en el sector
- 1Dispositivos duplicados. Construir dos dispositivos paralelos NIS2 y DORA.
- 2Prevalencia ignorada. No reconocer que DORA prevalece en materia de riesgo TIC.
- 3Dobles notificaciones. Notificar dos veces el mismo incidente sin coordinación.
- 4Articulación no documentada. No formalizar la cartografía de las obligaciones.
Caso práctico
Una aseguradora había iniciado trabajos NIS2 antes de DORA. La racionaliza situando DORA en el centro de su resiliencia TIC, reasignando los trabajos NIS2 al perímetro residual y unificando sus procedimientos de gestión de incidentes, eliminando duplicidades.
Hoja de ruta de cumplimiento
- 1
Cartografiar. Comparar los ámbitos cubiertos por DORA y por NIS2.
- 2
Priorizar DORA. Estructurar la resiliencia TIC en torno a DORA.
- 3
Cubrir el riesgo residual. Tratar los puntos NIS2 no cubiertos por DORA.
- 4
Coordinar. Articular las notificaciones para evitar duplicidades.
- 5
Documentar. Formalizar la articulación para las autoridades y las auditorías.
Preguntas frecuentes
Sí en virtud del sector financiero, pero DORA prevalece en materia de riesgo TIC e incidentes; NIS2 solo desempeña un papel residual.
Pase a la acción en NIS2
Diagnóstico gratuito o una charla con un experto dedicado a aseguramiento.
Ya confían en nosotros
Descubra cómo organizaciones del sector aseguramiento aseguraron su cumplimiento con DCO.