En resumen
- Reglamentación: NIS2.
- Todos los bancos están afectados por NIS2 como entidades esenciales, pero la mayor parte de sus obligaciones de resiliencia digital corresponde a DORA.
- Identificar la prevalencia de DORA.
- Garantizar la coherencia de las medidas.
- Coordinar las notificaciones.
- NIS2 prevé hasta 10 M€ o el 2 % para las entidades esenciales, pero su aplicación es residual en la banca, donde el régimen prudencial de DORA estructura la supervisión.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor (directiva UE)
En vigorOctubre de 2024
Plazo de transposición (UE)
En vigor2026
Transposición francesa (ley de resiliencia)
En vigor¿De qué trata NIS2?
NIS2 establece una base horizontal de ciberseguridad para numerosos sectores, incluido el sector bancario. No obstante, cuando un acto sectorial impone requisitos al menos equivalentes, este prevalece: es el caso de DORA para las entidades financieras en materia de riesgo TIC y notificación de incidentes.
El banco estructura por tanto su resiliencia en torno a DORA y recurre a NIS2 únicamente para lo que no está cubierto.
¿Está afectado el sector «Banca»?
Todos los bancos están sujetos a NIS2 como entidades esenciales, pero la mayor parte de sus obligaciones de resiliencia digital se encuadra en DORA. El valor de esta guía es clarificar qué queda de NIS2 una vez aplicado DORA.
Esta articulación evita duplicidades de gobernanza, de medidas y de notificaciones.
Obligaciones detalladas
Identificar la prevalencia de DORA
Reconocer que, en materia de riesgo TIC e incidentes, DORA constituye la lex specialis y prevalece sobre NIS2.
Garantizar la coherencia de las medidas.
Garantizar que las medidas de seguridad cumplan con DORA, cubriendo el residual NIS2 sin duplicarlo.
Coordinar las notificaciones
Evitar las notificaciones duplicadas articulando los canales DORA y, en su caso, NIS2.
Documentar la articulación
Formalizar un mapa de obligaciones que muestre cómo DORA cubre el ámbito TIC.
Sanciones y riesgos
NIS2 prevé hasta 10 M€ o el 2 % para las entidades esenciales, pero su aplicación es residual en la banca, donde el régimen prudencial de DORA estructura la supervisión. El principal riesgo es el de un dispositivo mal articulado que genere duplicidades o puntos ciegos.
Un mapeo claro de los dos textos es la mejor protección.
Calendario de aplicación
- 1DORA. Aplicable desde el 17 de enero de 2025; prevalece para el riesgo TIC.
- 2NIS2. Transposición francesa en curso; alcance residual para la banca.
Errores frecuentes en el sector
- 1Dispositivos duplicados. Construir dos dispositivos paralelos NIS2 y DORA.
- 2Prevalencia ignorada. No reconocer que DORA prevalece en materia de riesgo TIC.
- 3Dobles notificaciones. Notificar dos veces el mismo incidente sin coordinación.
- 4Articulación no documentada. No formalizar la cartografía de las obligaciones.
Caso práctico
Un banco había iniciado un proyecto NIS2 antes de la entrada en aplicación de DORA. Lo racionaliza situando DORA en el centro de su resiliencia TIC, reasignando los trabajos de NIS2 al perímetro residual y unificando sus procedimientos de incidentes, eliminando así las duplicidades de gobernanza y de reporte.
Hoja de ruta de cumplimiento
- 1
Cartografiar las obligaciones. Comparar el ámbito cubierto por DORA y por NIS2.
- 2
Priorizar DORA. Estructurar la resiliencia TIC en torno a DORA.
- 3
Cubrir el riesgo residual. Tratar los puntos NIS2 no cubiertos por DORA.
- 4
Coordinar las notificaciones. Articular los canales para evitar duplicidades.
- 5
Documentar. Formalizar la articulación para las autoridades y las auditorías.
Preguntas frecuentes
Sí como entidad esencial, pero DORA prevalece en materia de riesgo TIC e incidentes; NIS2 solo desempeña un papel residual.
Pase a la acción en NIS2
Diagnóstico gratuito o una charla con un experto dedicado a banco.
Ya confían en nosotros
Descubra cómo organizaciones del sector banco aseguraron su cumplimiento con DCO.