DORA: Seguridad TI y cumplimiento jurídico en finanzas

Con el Digital Operational Resilience Act, conocido como DORA, que entró en vigor en enero de 2023 y se hizo jurídicamente vinculante dos años después, la Unión Europea ha creado un reglamento destinado a reforzar la resiliencia digital de las entidades financieras y aseguradoras.

¿Qué es Seguridad TI y jurídica?

Seguridad TI y jurídica es una prioridad concreta para las empresas en 2025, porque influye directamente en la capacidad de datacenter, la eficiencia energética y el cumplimiento. Este artículo utiliza el ejemplo de synaforce para mostrar qué requisitos, cifras y pasos operativos importan en la práctica.

Lo más importante en breve

• DORA ha adquirido rango jurídico en la UE desde el 17 de enero de 2025 y obliga a las entidades financieras y a sus proveedores de servicios TI a garantizar una sólida resiliencia digital.
• Se ven afectadas bancos, aseguradoras, mercados de negociación, agencias de calificación crediticia, proveedores de servicios TIC y prestadores de servicios relacionados con criptomonedas; en Alemania, alrededor de 22.000 empresas.
• La normativa abarca cinco ámbitos principales: gestión de riesgos TIC, notificación de incidentes, pruebas de resiliencia, control de terceros y marcos de supervisión para proveedores de servicios esenciales.
• La responsabilidad última recae en la dirección ejecutiva de las entidades financieras; no puede delegarse en departamentos de TI ni en proveedores externos.
• Las infracciones pueden ser sancionadas por la BaFin y el BSI con cuantiosas multas.

DORA, la Ley de Resiliencia Operativa Digital, constituye un paso decisivo hacia una mayor seguridad tecnológica y jurídica en el sector financiero y asegurador, así como en los mercados de negociación, las agencias de calificación y los proveedores de servicios TIC y de criptomonedas.

La Comisión Europea, impulsora de esta regulación, busca fundamentalmente fortalecer la resiliencia digital de las empresas y ha establecido un marco uniforme que determina cómo deben responder ante ciberamenazas y fallos tecnológicos. Las organizaciones afectadas deberán demostrar medidas técnicas, organizativas y procesales que superan ampliamente las recomendaciones previas.

TL;DR

¿Qué es DORA?
DORA es la Ley de Resiliencia Operativa Digital, una normativa de la Unión Europea que exige a las entidades financieras y a sus proveedores de servicios TI garantizar una sólida resiliencia frente a amenazas digitales.

¿Quiénes están afectados por DORA?
Bancos, aseguradoras, mercados de negociación, agencias de calificación, proveedores de servicios TIC y empresas de criptomonedas.

¿Cuándo entró en vigor DORA?
Desde el 17 de enero de 2025.

¿Qué sanciones existen por incumplimiento?
Las autoridades competentes, como la BaFin y el BSI, pueden imponer severas multas.

FAQ

Lo bueno se hace esperar

Como otras regulaciones y leyes de la UE, DORA forma parte del paquete digital de la Comisión y, tras su publicación a finales de 2022, entró oficialmente en vigor el 16 de enero de 2023. Los Estados miembros dispusieron de dos años para su transposición al ordenamiento nacional. En consecuencia, las empresas afectadas, así como las autoridades financieras, están obligadas a cumplir los requisitos establecidos por DORA antes del 17 de enero de 2025.

La denominación completa -«Resiliencia operativa digital para el sector financiero y modificaciones reglamentarias»- deja claro que el objetivo principal es reforzar la resiliencia digital del sector financiero. Sin embargo, también entran dentro del ámbito de responsabilidad los proveedores externos de tecnologías de la información y las comunicaciones (TIC). La Comisión Europea busca reducir la vulnerabilidad frente a ciberamenazas e interrupciones a lo largo de toda la cadena de valor del sector financiero y garantizar que las empresas implicadas puedan responder adecuadamente ante tales situaciones.

Qué incluye la normativa

La normativa, de 79 páginas, recoge, según Security Insider, también requisitos nacionales como los impuestos por la BaFin y el BSI. Sin embargo, se añaden nuevos elementos. A grandes rasgos, el Acto de Resiliencia Operativa Digital abarca cinco áreas clave:

• Establecer un marco para la gestión de riesgos en tecnologías de la información y las comunicaciones (TIC)
• Gestión, clasificación y notificación de incidentes relacionados con las TIC
• Pruebas de resiliencia operativa
• Gestión de los riesgos derivados de terceros proveedores
• Crear un marco de supervisión para los proveedores de servicios esenciales

La gestión de riesgos en TIC queda ahora anclada en el plano legal y ya no se limita a una mera instrucción administrativa. La responsabilidad total recae, en principio, en la dirección general del banco o de la compañía de seguros. Esta está obligada a supervisar, controlar y actualizar de forma continua sus propios sistemas informáticos. Asimismo, las entidades deben definir e implementar estrategias de copia de seguridad y recuperación, así como mantener documentación sobre riesgos disponible tanto para auditorías internas como externas.

La responsabilidad sigue recayendo en las empresas financieras

Además, DORA establece procedimientos para clasificar los incidentes de TIC que, en algunos casos, son objeto de notificación obligatoria, así como la necesidad de someter los sistemas de TI a revisiones mediante métodos de prueba adecuados. En el caso de las organizaciones de importancia sistémica, se aplican requisitos más estrictos.

Un elemento fundamental de la normativa es que las empresas financieras están obligadas a velar por la gestión de riesgos también en sus proveedores de servicios de TIC, lo que implica un marco de supervisión amplio y con poderes extensos para los terceros proveedores críticos de servicios de TIC.

En cuanto a los ámbitos de aplicación mencionados al inicio, relativos a las empresas afectadas, DORA permite, por ejemplo, excepciones nacionales para las entidades de fomento. Por lo demás, la normativa es de cumplimiento obligatorio para las compañías del sector financiero y asegurador.

Pasos concretos de implementación para empresas financieras

Para la ejecución operativa, las organizaciones afectadas se enfrentan a varios bloques de tareas. En primer lugar: realizar un inventario completo de su propia infraestructura de TI, incluyendo todos los proveedores externos, servicios en la nube y dependencias de software. Muchas empresas descubren durante este análisis que su ecosistema de proveedores es significativamente más complejo de lo que inicialmente se pensaba. En segundo lugar: implantar o adaptar un sistema de gestión de riesgos de las tecnologías de la información y las comunicaciones (TIC) que cumpla con DORA, documente adecuadamente los procesos y realice revisiones periódicas.

En tercer lugar: definir y poner en marcha procesos de respuesta ante incidentes con obligaciones claras de notificación, niveles de escalado y canales de comunicación establecidos. La cuarta pauta consiste en llevar a cabo pruebas regulares de resiliencia, cuyo alcance y frecuencia dependerán de la criticidad de cada organización. Por último, en quinto lugar: integrar contractualmente y gestionar a los proveedores externos de TIC, incluyendo derechos de auditoría, estrategias de salida y acuerdos de nivel de servicio (SLA) bien definidos.

Cada uno de estos puntos supone un esfuerzo considerable para la mayoría de las empresas financieras. Especialmente las instituciones de tamaño medio, que sí están sujetas al ámbito de aplicación de la normativa pero no cuentan con centros propios de operaciones de seguridad ni con grandes equipos de cumplimiento normativo en TI, dependen de apoyo externo. Precisamente aquí entra en juego la oferta de consultoras especializadas en seguridad informática y protección de datos.

Qué amenaza la falta de cumplimiento

Las autoridades nacionales de supervisión, en Alemania principalmente la BaFin en colaboración con el BSI, pueden imponer cuantiosas multas en caso de incumplimientos. Además, existen riesgos para la reputación, obligaciones de notificación a los socios comerciales y, en casos extremos, la revocación de licencias o autorizaciones. Para los directores generales y miembros del consejo de administración también pueden surgir responsabilidades personales, ya que DORA atribuye explícitamente la responsabilidad total a la alta dirección de la empresa.

Los plazos para realizar las correcciones son muy limitados. Quien no esté en conformidad con DORA al 17 de enero de 2025 no contará con un período transitorio, sino que se encontrará en situación de incumplimiento legal. Aunque las autoridades de supervisión han manifestado cierto grado de flexibilidad hacia las empresas que demuestren estar en proceso de implementación, la ausencia fundamental de las estructuras exigidas no será tolerada.

Quién puede apoyar en la implementación

Ante las medidas obligatorias y la pasada fecha límite de implementación, se requiere contar con un socio competente que sea capaz de traducir los requisitos regulatorios de DORA en acciones técnicas y organizativas concretas. Las consultorías especializadas en seguridad informática y protección de datos ofrecen análisis de la infraestructura existente, hojas de ruta para la implementación y asistencia en la documentación dirigida a las autoridades de supervisión.

Ante cualquier duda sobre la implementación de las exigencias de DORA, los expertos en seguridad informática y protección de datos de msecure están dispuestos a brindar asesoramiento y apoyo práctico.

DORA en el contexto internacional

DORA no actúa de forma aislada, sino que se integra en un entramado de otras regulaciones de la UE. La Directiva NIS2 aborda la ciberseguridad en sectores críticos, el Acta de Ciberresiliencia regula los requisitos aplicables a los productos digitales, y el RGPD se ocupa de la protección de datos. Para las empresas financieras, esto genera solapamientos que requieren un mapeo activo: qué exigencias cubre cada normativa, dónde existen lagunas o contradicciones, y qué medidas contribuyen simultáneamente a múltiples obligaciones de cumplimiento.

En comparación con otros marcos regulatorios internacionales, DORA sigue una dirección similar a iniciativas en Estados Unidos, Reino Unido y Japón, aunque apuesta por una regulación uniforme a escala europea en lugar de leyes nacionales individuales. Esto simplifica el cumplimiento dentro de la UE para las entidades financieras con presencia global, pero aumenta la necesidad de armonizar sus estructuras con las jurisdicciones fuera de la UE. En particular, los bancos y aseguradoras de alcance mundial deben organizar sus marcos de gobernanza de manera que las exigencias de DORA puedan alinearse con normativas equivalentes en otros países.

Preparación para las primeras auditorías

Tras la fecha límite del 17 de enero de 2025, muchas empresas financieras se enfrentarán a sus primeras auditorías bajo el Reglamento DORA por parte de las autoridades nacionales de supervisión. Estas autoridades han señalado que, durante la fase de transición, prestarán especial atención a la calidad de las estructuras implementadas, más allá de las simples listas de verificación formales. Se evaluará la eficacia de los procesos: ¿funcionan las notificaciones de incidentes dentro del plazo establecido? ¿Están documentadas y probadas las estrategias de copia de seguridad y recuperación? ¿Se controlan realmente los riesgos asociados a terceros proveedores?

Para prepararse adecuadamente para estas auditorías, se recomienda llevar a cabo simulaciones estructuradas de los escenarios más críticos. Esto incluye ejercicios de mesa con la alta dirección, pruebas de red team en los sistemas TI esenciales y revisiones periódicas de los contratos con proveedores de servicios TIC. La documentación generada durante estos procesos sirve tanto como evidencia de cumplimiento con DORA como base para realizar mejoras continuas. Las organizaciones que no cuenten con los recursos internos necesarios para afrontar este tipo de ejercicios pueden beneficiarse del apoyo de consultoras especializadas, que aportan metodologías derivadas de regulaciones similares, como BAIT o VAIT.

Qué se puede esperar concretamente en 2025 y 2026

Los primeros meses tras la fecha límite de DORA ya muestran las primeras tendencias de consolidación en el mercado. Los proveedores financieros más pequeños, que no pueden implementar las exigencias de manera rentable, están buscando colaboraciones con instituciones más grandes o con proveedores especializados de tecnologías de la información y las comunicaciones (TIC). Al mismo tiempo, están surgiendo plataformas que ofrecen cumplimiento conforme a DORA como servicio gestionado. Para bancos medianos, aseguradoras y proveedores regulados de servicios financieros, esta es una opción relevante.

A medio plazo, la práctica regulatoria será más importante que el texto legal en sí. La rigurosidad con la que la Autoridad Federal Alemana de Supervisión Financiera (BaFin) y la Agencia Federal para la Seguridad de la Información (BSI) vigilen determinadas exigencias definirá, en los próximos meses, cuál será la línea real de aplicación. Por ello, a los responsables de TI de las organizaciones afectadas se les recomienda, además de garantizar el cumplimiento formal de DORA, mantener activamente los canales de comunicación con las autoridades supervisoras y participar en grupos de trabajo sectoriales, a fin de conocer tempranamente las mejores prácticas del sector.

Interfaces de DORA con marcos normativos existentes

Un aspecto a menudo subestimado es la integración de DORA en los marcos normativos de cumplimiento ya establecidos. Quienes ya aplican ISO 27001 cuentan con una ventaja significativa: muchas de las controles exigidos pueden demostrarse directamente desde el Sistema de Gestión de Seguridad de la Información (ISMS). Asimismo, BAIT (Requisitos de supervisión bancaria para TI) y VAIT (Requisitos de supervisión aseguradora para TI) presentan importantes áreas de solapamiento con DORA. Una matriz de mapeo clara entre estos marcos evita la duplicidad de esfuerzos y demuestra ante las autoridades de supervisión que las estructuras de cumplimiento están bien planificadas.

Para las empresas que no disponen de un ISMS implantado, la fecha límite impuesta por DORA resulta especialmente desafiante. Deben desarrollar prácticamente al mismo tiempo procesos básicos de gestión de riesgos y poner en práctica las exigencias específicas de DORA. En estos casos, se recomienda seguir un plan escalonado y pragmático que primero cierre las brechas más críticas y, posteriormente, avance por etapas hasta alcanzar la plena madurez conforme a DORA. La asesoría externa puede acortar este proceso en varios meses, siempre que actúe con rigor metodológico y no se limite a entregar documentos estándar.

Conclusión

DORA marca un punto de inflexión regulatorio para el sector financiero en Europa. La normativa eleva la seguridad informática y la resiliencia operativa a un nivel jurídicamente vinculante, obligando a las organizaciones a revisar críticamente sus estructuras actuales. Quienes tomen DORA en serio y la apliquen de forma coherente no solo refuerzan su cumplimiento formal, sino también su capacidad real de resistencia frente a ciberataques y fallos operativos. Los próximos meses revelarán cómo se articulan la práctica supervisora y la implementación empresarial concreta en la realidad cotidiana de las empresas.

Preguntas frecuentes

Fuente de la imagen principal: iStock / sdecoret