¿Qué es el Reglamento de Resiliencia Operativa Digital (DORA) y cómo cumplirlo?

A medida que las instituciones financieras dependen cada vez más de la tecnología, mejorar la resiliencia operativa y reforzar la protección de los datos cobra cada vez más importancia. Este tipo de normas se establecen mediante reglamentos como el Reglamento de Resiliencia Operativa Digital (DORA).

Este artículo examina el reglamento DORA, sus principales requisitos y cómo lograr su cumplimiento en el sector financiero de la UE. Para obtener una explicación visual rápida, mira nuestra guía en vídeo sobre qué es el cumplimiento del Reglamento de Resiliencia Operativa Digital (DORA).

¿Qué es el Reglamento de Resiliencia Operativa Digital (DORA)?

El Reglamento de Resiliencia Operativa Digital es un marco integral que establece métodos de gestión de riesgos para garantizar que las instituciones financieras de la UE estén preparadas frente a los ciberataques.

Antes de su aplicación, los bancos, las compañías de seguros y los grandes inversores utilizaban protocolos sencillos pero poco estrictos, como reservar capital para cubrir posibles pérdidas, con el fin de prepararse para incidentes cibernéticos. Además, la normativa anterior a DORA varía entre los Estados miembros de la UE, lo que genera incoherencias.

Desde que la Unión Europea comenzó a aplicar DORA en 2023, los sistemas financieros están adoptando un enfoque más unificado y proactivo para proteger su infraestructura y sus activos digitales frente a las amenazas digitales.

¿A quién se aplica el DORA?

El Reglamento de Resiliencia Operativa Digital se aplica a estas instituciones de la UE:

1. Servicios de pago y cuentas

• Proveedores de servicios de información sobre cuentas (AISP): recopilan y gestionan información sobre cuentas de pago.
• Entidades de pago: prestan servicios de pago.
• Entidades de dinero electrónico (salvo las exentas): emiten dinero electrónico y proporcionan información en materia de transparencia.

2. Inversión y gestión de activos

• Empresas de servicios de inversión: ofrecen servicios de gestión de activos y oportunidades de inversión.
• Sociedades gestoras: gestionan fondos de inversión.
• Gestores de fondos de inversión alternativos (AIFM): gestionan fondos de cobertura, capital inversión y otras inversiones alternativas.

3. Seguros y pensiones

• Empresas de seguros y reaseguros: ofrecen seguros y cobertura frente a riesgos.
• Intermediarios de seguros: corredores y agentes que comercializan productos de seguros.
• Fondos de pensiones de empleo (IORP): gestionan las pensiones de los empleados.
• Entidades de ahorro para la jubilación: ofrecen productos de ahorro para la jubilación.

4. Infraestructuras de mercado y negociación

• Centros de negociación: plataformas para la compraventa de instrumentos financieros (mercados regulados, sistemas multilaterales de negociación [MTF] y sistemas organizados de contratación [OTF]).
• Entidades de contrapartida central (ECC): reducen el riesgo de contraparte en las operaciones financieras.
• Depositarios centrales de valores (CSD): custodian y transfieren valores.

5. Datos, transparencia e informes

• Proveedores de servicios de suministro de datos (DRSP): proporcionan datos financieros para favorecer la transparencia.
• Registros de titulizaciones: mantienen registros de las operaciones de titulización.
• Registros de operaciones: centralizan y mantienen registros de operaciones con fines de supervisión regulatoria.
• Agencias de calificación crediticia: evalúan y califican la calidad crediticia de los emisores.
• Administradores de índices de referencia críticos: establecen principios rectores (p. ej., LIBOR, EURIBOR).

6. Finanzas alternativas e innovación

• Proveedores de servicios de financiación participativa: facilitan la recaudación de fondos entre el público.
• Proveedores de servicios de criptoactivos y emisores de fichas referenciadas a activos: prestan servicios relacionados con criptoactivos y emiten fichas vinculadas a activos.

7. Tecnología y externalización

• Proveedores terceros de servicios de TIC: prestan servicios de TI a instituciones financieras.

8. Crédito

• Prestamistas hipotecarios: conceden préstamos garantizados con bienes inmuebles.

Incluso los proveedores de software externos están sujetos a los requisitos de DORA. Dado que los MSP están estrechamente integrados en los procesos críticos de las instituciones financieras, cualquier incumplimiento puede acarrear sanciones efectivas, proporcionadas y disuasorias, además de perjudicar su reputación.

El cumplimiento pleno reduce al mínimo las interrupciones de la actividad y refuerza los estándares de ciberseguridad de tu organización, contribuyendo así a reforzar la infraestructura digital del sistema financiero de la UE.

Requisitos clave para el cumplimiento del DORA

Gestión de riesgos de las TIC

El Reglamento de Resiliencia Operativa Digital exige identificar, mitigar y supervisar continuamente las amenazas actuales y emergentes. El primer paso es gestionar el riesgo.

Controla los privilegios de los usuarios, mantén los datos precisos e intactos y utiliza cifrado sólido para mantener todo a salvo. Estas medidas, así como los sistemas internos destinados a proteger la información, deben ser mantenidas y optimizadas por profesionales que también puedan asumir la responsabilidad de su gestión.

Notificación de incidentes

Las instituciones financieras deben desarrollar rápidamente sus propios protocolos de evaluación y notificación de incidentes.

Crea registros detallados de los incidentes, adapta protocolos de respuesta sólidos, evalúa los resultados, mantén los canales adecuados con las autoridades e informa sistemáticamente a clientes y accionistas.

Pruebas y estrategias de resiliencia

DORA exige a las instituciones financieras poner a prueba anualmente sus defensas digitales de tres formas: mediante pruebas avanzadas de vulnerabilidades en los sistemas de tecnologías de la información y la comunicación (TIC), evaluaciones independientes de los puntos débiles de su infraestructura y pruebas de penetración basadas en amenazas (TLPT) que simulan ataques reales.

Pero la cosa no acaba ahí. Tu organización también debe crear y mantener documentación sobre estas pruebas, que debe incluir las metodologías empleadas y las medidas adicionales adoptadas para subsanar los puntos débiles de su ecosistema digital.

Gestión de riesgos de terceros

Los proveedores externos deben supervisarse y evaluarse de forma continua para garantizar que cumplen los estrictos requisitos de DORA.

Evalúa a cada proveedor externo en función de sus capacidades técnicas, nivel de seguridad y planes de recuperación ante desastres . Además, los contratos con terceros deben establecer condiciones claras y sólidas, y se deben hacer cumplir todos los requisitos de DORA.

Intercambio de información y cooperación

El DORA anima a los miembros del sector financiero a que compartan entre sí sus conocimientos sobre la evolución de las ciberamenazas. Las redes en las que se comparte información sobre incidentes relacionados con nuevo malware y las últimas técnicas utilizadas por los ciberdelincuentes son una fuente de información muy valiosa para los equipos de TI y pueden ayudar a evitar problemas de reputación en el futuro. Según las estadísticas de ciberseguridad de 2025: Estudios recientes indican que los ciberdelincuentes pueden comprometer las redes del 93 % de las organizaciones.

¿Cuáles son las ventajas del cumplimiento del DORA?

La tecnología evoluciona rápidamente, por lo que DORA proporciona a las instituciones financieras una línea de defensa adicional frente a nuevas amenazas cada vez más sofisticadas. Cumplir con DORA protege a las empresas y favorece una productividad sin interrupciones, lo que les proporciona una ventaja competitiva.

También se ha demostrado que las prácticas establecidas por las nuevas normas de la UE son eficaces para las empresas, al tiempo que contribuyen a generar confianza entre reguladores, accionistas y clientes potenciales. Un estudio de 2024 publicado en Future Business Journal mostró que la transparencia en materia de ciberseguridad tenía un impacto positivo en el rendimiento de los bancos y animaba a otras entidades a seguir el mismo camino. En pocas palabras, cumplir con DORA da a los clientes más confianza en la seguridad de su dinero.

Cumplimiento del DORA: los mayores retos

Aunque cumplir con DORA aporta ventajas a las instituciones financieras, aplicar estos requisitos también plantea algunos retos, especialmente para las organizaciones pequeñas y medianas. Adoptar medidas de seguridad conformes con DORA requiere muchos recursos y personal, una carga que las pymes no siempre pueden asumir por sí solas debido a sus limitaciones de tamaño y presupuesto.

Por ello, algunas recurren a proveedores de servicios gestionados (MSP) para obtener asistencia adicional, muchos de los cuales pueden prestar soporte de TIC a un coste asequible. Otros adoptan herramientas de gestión rentables y todo en uno para dominar el caos informático sin arruinarse.

Pasos para cumplir el reglamento DORA

1. Realizar un análisis de las deficiencias de cumplimiento

En primer lugar, realiza un análisis de carencias que compare lo que ya tienes con lo que quieres conseguir mediante el DORA. Piensa en ello como un diagrama de Venn que te ayuda a detectar qué elementos faltan en tu marco de TI. Para ello:

• Identifica el desfase entre tu estructura y las necesidades del DORA.
• Clasifícalas en función de su importancia.
• Crea planes de acción con plazos definidos para abordarlas de forma eficaz.

2. Establecer un marco de gestión de riesgos de las TIC

A continuación, crea una estructura de gestión en tu organización y asigna funciones claras. Este marco de ciberseguridad DORA debe ser capaz de:

• Asignar funciones claras en la estructura de liderazgo.
• Evaluar los riesgos que afectan a las operaciones (por ejemplo, ransomware, fallos del sistema, etc.).
• Crear estrategias para mitigar los riesgos conocidos (por ejemplo, firewalls, acceso con privilegios mínimos, unidades cifradas).
• Coordinarse estrechamente con la respuesta a incidentes y la recuperación en caso de catástrofe.
• Supervisar y revisar casos anteriores y políticas actuales a medida que surjan nuevas amenazas.

3. Desarrollar un sólido plan de respuesta a incidentes

Los incidentes pueden ocurrir, y hay que estar preparado para responder a ellos 24 horas al día, 7 días a la semana. Esto es lo que necesitas según DORA:

• Definir los incidentes en función de su gravedad y frecuencia.
• Definir pasos claros para que los colaboradores internos y externos sepan cómo abordar, mitigar y contener los incidentes.
• Delegar funciones en la preparación de futuros incidentes.
• Desarrollar medidas de continuidad de la actividad para restaurar los datos y poner en marcha los sistemas rápidamente.
• Realizar ejercicios/simulacros con regularidad para comprobar las mejoras necesarias. Para un análisis más detallado, consulta esta guía, Checklist de seguridad informática para proteger tu empresa.

4. Colaborar con proveedores externos para comprobar la conformidad

Haz las verificaciones necesarias con los proveedores externos que contrates para garantizar el cumplimiento total del DORA. Aquí tienes cómo:

• Asegúrate de que tu proveedor sigue buenas prácticas de seguridad y políticas de protección de datos.
• Incorpora las normas de cumplimiento del DORA en los contratos de tu organización. Recomendamos leer nuestra guía sobre los acuerdos de servicios gestionados para MSP para obtener más información. 
• Supervisa continuamente el rendimiento de tus proveedores mediante auditorías.
• Trabaja en equipo para resolver las carencias de tu infraestructura.
• Mantén una línea de comunicación abierta.

5. Realiza pruebas y controles periódicos de resiliencia

Pon a prueba la resiliencia de las medidas de seguridad de tus sistemas mediante simulaciones exhaustivas.

• Realiza pruebas de seguridad anuales.
• Evalúa las vulnerabilidades de tu sistema cada 4 meses.
• Utiliza TLPT para simular ataques reales.
• Realiza un seguimiento continuo del rendimiento, la disponibilidad y la seguridad del sistema durante las pruebas.
• Analiza los resultados para identificar los puntos débiles y las formas de mejorar.
• Revisa e intensifica los protocolos de seguridad, los planes de recuperación y la respuesta a incidentes.

Cómo afecta el DORA al futuro del cumplimiento normativo en el sector financiero

DORA complementa normas y reglamentos vigentes en la UE, como el Reglamento General de Protección de Datos (RGPD) y la Directiva NIS2, reforzando la resiliencia digital del sector financiero.

Este importante impulso a la mejora de las normas de resiliencia operativa probablemente inspirará a otros países fuera de la UE a adoptar principios similares, como el RGPD, que sienta un precedente para la regulación de los datos y la seguridad operativa en todo el mundo.

Al adoptar marcos de seguridad nuevos y sólidos como DORA, los países pueden contribuir a crear un entorno global más seguro y mejor preparado para afrontar las amenazas digitales actuales.

El proceso de cumplimiento del DORA

El DORA impone normas más estrictas de gestión de riesgos a los bancos y otras empresas financieras de la Unión Europea. El marco de DORA exige establecer una estructura de liderazgo para la gestión de riesgos de las TIC, notificar los incidentes de forma rápida y fiable, realizar pruebas periódicas, evaluar a los proveedores terceros e intercambiar información.

Las grandes instituciones financieras son un pilar fundamental de la economía y, aunque pueden producirse incidentes, tienen la obligación de reducir el riesgo al mínimo. El cumplimiento de DORA proporciona a tu organización una estructura de gobernanza más sólida, medidas de ciberseguridad de primer nivel y mucho más, así que empieza hoy mismo a avanzar hacia el cumplimiento.