En resumen
- Regulación: DORA.
- Las entidades de crédito son entidades financieras plenamente sujetas a DORA.
- Establecer un marco de gestión de riesgos TIC.
- Gestionar y notificar los incidentes.
- Probar la resiliencia.
- DORA se enmarca en un régimen prudencial: las autoridades competentes disponen de poderes de supervisión, requerimiento y sanción.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor
En vigorEnero de 2025
Aplicación
En vigor¿De qué trata DORA?
DORA armoniza los requisitos de resiliencia operativa digital de todo el sector financiero europeo. Se articula en torno a cinco pilares: gestión de riesgos TIC, gestión y notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital, gestión de riesgos de proveedores TIC terceros y mecanismos de intercambio de información.
Se aplica un principio de proporcionalidad: existe un marco simplificado para determinadas entidades pequeñas no interconectadas.
¿Está afectado el sector «Banca»?
Las entidades de crédito son entidades financieras plenamente sujetas a DORA. El texto abarca la totalidad de sus actividades que descansan en sistemas de información, así como la relación con sus proveedores TIC.
La proporcionalidad modula la intensidad de las obligaciones según el tamaño y el perfil de riesgo, pero el marco se aplica a todos los bancos.
Obligaciones detalladas
Establecer un marco de gestión de riesgos TIC
Documentar una estrategia y políticas de gestión de riesgos TIC, con identificación de funciones críticas, protección, detección, respuesta y recuperación, bajo la responsabilidad del órgano de dirección.
Gestionar y notificar los incidentes.
Clasificar los incidentes relacionados con las TIC según su gravedad y notificar los incidentes graves a las autoridades competentes en los plazos y formatos previstos.
Probar la resiliencia
Implementar un programa de pruebas (vulnerabilidades, escenarios) y, para las entidades significativas, pruebas de intrusión basadas en amenazas (TLPT).
Gestionar los riesgos de los proveedores TIC
Mantener un registro de información de los proveedores, encuadrar los contratos (auditoría, reversibilidad, subcontratación, localización) y vigilar la concentración.
Compartir la información
Participar, en su caso, en los mecanismos de intercambio de información sobre ciberamenazas.
Sanciones y riesgos
DORA se enmarca en un régimen prudencial: las autoridades competentes disponen de poderes de supervisión, de requerimiento y de sanción. Los proveedores TIC designados como críticos pueden ser objeto de multas coercitivas de hasta el 1 % de su volumen de negocio diario medio a escala mundial.
Más allá de la sanción, una falta de resiliencia expone a medidas de supervisión y a un riesgo sistémico y reputacional de primer orden.
Calendario de aplicación
- 1Aplicación. DORA es aplicable desde el 17 de enero de 2025.
- 2Registro de información. Remisión periódica del registro de proveedores TIC a las autoridades.
Errores frecuentes en el sector
- 1Confusión con NIS2. Duplicar los mecanismos cuando DORA prevalece en materia de riesgo TIC.
- 2Registro incompleto. No inventariar de forma exhaustiva a los proveedores TIC y la subcontratación.
- 3Pruebas teóricas. Disponer de un programa de pruebas no contrastado.
- 4Gobernanza ausente. Tratar DORA como un asunto puramente técnico.
Caso práctico
Un banco cartografía sus proveedores TIC y detecta una elevada concentración en un único proveedor cloud para funciones críticas. En virtud de DORA, documenta este riesgo de concentración, refuerza las cláusulas de reversibilidad e integra al proveedor en su registro de información y en su programa de pruebas — convirtiendo un punto ciego en un dispositivo controlado.
Hoja de ruta de cumplimiento
- 1
Estructurar el marco TIC. Formalizar la estrategia, las políticas y la gobernanza de los riesgos TIC.
- 2
Gestionar los incidentes. Implementar la clasificación y notificación de incidentes mayores.
- 3
Planificar las pruebas. Definir un programa de pruebas y, si procede, preparar los TLPT.
- 4
Mantener el registro. Constituir el registro de información y regular los contratos con proveedores.
- 5
Gobernar. Hacer que el órgano de dirección asuma el dispositivo.
Preguntas frecuentes
Sí, como entidades financieras, con un principio de proporcionalidad y un marco simplificado para determinadas entidades pequeñas no interconectadas.
Pase a la acción en DORA
Diagnóstico gratuito o una charla con un experto dedicado a banco.
Ya confían en nosotros
Descubra cómo organizaciones del sector banco aseguraron su cumplimiento con DCO.