6 min de lectura<\/p>\n
Desde el 17 de enero de 2025, DORA es derecho vigente. El reglamento de la UE sobre la resiliencia operativa digital obliga a m\u00e1s de 22.000 empresas financieras de la UE a implantar una gesti\u00f3n uniforme de riesgos ICT. Quince meses despu\u00e9s de su entrada en vigor, la situaci\u00f3n es clara: solo la mitad de las entidades afectadas hab\u00eda alcanzado el cumplimiento completo en la fecha l\u00edmite. El segundo Register of Information vence en marzo de 2026 – y el 46 por ciento de las entidades se\u00f1ala precisamente esta obligaci\u00f3n como su mayor desaf\u00edo.<\/strong><\/p>\n Lo esencial en breve<\/p>\n Las empresas financieras est\u00e1n acostumbradas a la regulaci\u00f3n. MaRisk, BAIT, directrices de la EBA – la lista de marcos normativos para la seguridad IT y la gesti\u00f3n de riesgos operativos es larga. DORA supone, no obstante, un cambio de paradigma, y esto por tres razones.<\/p>\n Primero: Aplicabilidad directa.<\/strong> DORA es un reglamento de la UE, no una directiva. Se aplica directamente y sin transposici\u00f3n nacional en todos los Estados miembros de la UE. No hay margen de interpretaci\u00f3n, ni atenuaciones nacionales ni m\u00e1s per\u00edodos de transici\u00f3n. Lo que era aplicable el 17 de enero de 2025 sigue vigente hoy. Las autoridades de supervisi\u00f3n nacionales como la BaFin en Alemania o la FMA en Austria aplican DORA directamente, sin necesidad de una ley nacional de transposici\u00f3n. Para las entidades que hasta ahora trabajaban principalmente con marcos normativos nacionales, esto significa una intensificaci\u00f3n de los requisitos acompa\u00f1ada de una supervisi\u00f3n m\u00e1s estrecha.<\/p>\n Segundo: Cobertura de toda la cadena de suministro ICT.<\/strong> DORA no se limita a la entidad financiera en s\u00ed. El reglamento cubre expl\u00edcitamente a todos los proveedores ICT terceros – proveedores cloud, plataformas SaaS, operadores de centros de datos, proveedores de servicios gestionados. Las empresas financieras deben evaluar, documentar y gestionar los riesgos de toda su cadena de suministro ICT. Los contratos con proveedores terceros deben incluir cl\u00e1usulas obligatorias sobre seguridad, resiliencia y capacidad de salida.<\/p>\n Tercero: El Register of Information.<\/strong> DORA exige a cada entidad financiera un registro completo de todos los contratos de servicios ICT con proveedores terceros. Este registro debe poder presentarse a las autoridades de supervisi\u00f3n cuando lo soliciten. La segunda presentaci\u00f3n vence en marzo de 2026. Lo que parece una obligaci\u00f3n documental es en la pr\u00e1ctica un inventario que lleva a muchas organizaciones al l\u00edmite de sus procesos, porque deben registrar por primera vez de forma exhaustiva qu\u00e9 servicios ICT externos utilizan realmente. La dificultad se agrava porque el formato y la granularidad de la entrega de datos est\u00e1n definidos con precisi\u00f3n por normas t\u00e9cnicas de regulaci\u00f3n (RTS). Una simple lista de Excel no es suficiente.<\/p>\n La encuesta Deloitte Wave 3 sobre la implementaci\u00f3n de DORA ofrece un panorama aleccionador. Solo el 50 por ciento de las entidades financieras contaba con el cumplimiento completo en la fecha de aplicaci\u00f3n de enero de 2025. Un 38 por ciento adicional indic\u00f3 2026 como objetivo. El 12 por ciento restante no ten\u00eda, en el momento de la encuesta, un calendario concreto.<\/p>\n Eso no significa que la mitad de las entidades estuviera inactiva. Muchas han cumplido requisitos individuales – implementado frameworks de gesti\u00f3n de riesgos ICT, definido procesos de reporte de incidentes, realizado los primeros ajustes contractuales con proveedores terceros. Pero el cumplimiento completo exige que los cinco pilares est\u00e9n en pie simult\u00e1neamente: gesti\u00f3n de riesgos ICT, gesti\u00f3n de incidentes, pruebas de resiliencia, gesti\u00f3n de riesgos de terceros y Register of Information. El paquete completo es el problema. Implementar los pilares de forma aislada no basta – DORA exige un framework integrado en el que todos los elementos se articulen entre s\u00ed y est\u00e9n documentados de forma verificable por las autoridades de supervisi\u00f3n.<\/p>\n Los costes no son el principal cuello de botella. El 96 por ciento de las entidades ha calculado sus costes de cumplimiento, situ\u00e1ndose la mayor\u00eda entre 2 y 5 millones de euros. Para las grandes entidades, son importes asumibles. Lo que falta no son los recursos, sino la capacidad organizativa para impulsar todos los frentes de trabajo en paralelo.<\/p>\n Transversalmente se observa un patr\u00f3n: las grandes entidades sist\u00e9micas disponen de m\u00e1s recursos, pero tambi\u00e9n afrontan mayor complejidad. Est\u00e1n adem\u00e1s sujetas al Threat-Led Penetration Testing y son supervisadas directamente por las autoridades de supervisi\u00f3n europeas. Las entidades m\u00e1s peque\u00f1as soportan menos presi\u00f3n regulatoria, pero tambi\u00e9n disponen de menos personal especializado. La franja intermedia – bancos regionales, aseguradoras especializadas, gestores de activos – cae con mayor frecuencia en la brecha de cumplimiento: demasiado grandes para las exenciones, demasiado peque\u00f1as para equipos DORA dedicados.<\/p>\n La cuesti\u00f3n que se plantea para cada direcci\u00f3n general no es si debe alcanzarse el cumplimiento de DORA – eso est\u00e1 fuera de discusi\u00f3n. La cuesti\u00f3n es si la organizaci\u00f3n consigue utilizar el cumplimiento como una ventaja estrat\u00e9gica en lugar de una mera carga regulatoria. Las entidades que han hecho transparente y gobernable su cadena de suministro ICT pueden reaccionar m\u00e1s r\u00e1pidamente ante interrupciones, cambiar de proveedor de forma m\u00e1s eficiente y demostrar una mayor resiliencia ante clientes y socios.<\/p>\n El Register of Information.<\/strong> El 46 por ciento de las entidades financieras se\u00f1ala el ROI como el mayor desaf\u00edo individual en la implementaci\u00f3n de DORA. La raz\u00f3n: muchas organizaciones no saben completamente qu\u00e9 servicios ICT utilizan. El shadow IT y la fragmentaci\u00f3n de los canales de adquisici\u00f3n provocan que los contratos se encuentren en distintos departamentos, a veces sin registro centralizado. El ROI exige un nivel de granularidad en la documentaci\u00f3n que los procesos operativos de muchas entidades simplemente no proporcionan.<\/p>\n Gesti\u00f3n de proveedores ICT terceros.<\/strong> DORA no solo exige un inventario, sino una evaluaci\u00f3n activa de los riesgos de todos los proveedores terceros y la garant\u00eda de est\u00e1ndares de resiliencia contractualmente anclados. Para una entidad financiera media con 50 a 200 proveedores ICT, es un proyecto que compromete simult\u00e1neamente a compras, asesor\u00eda jur\u00eddica, IT y gesti\u00f3n de riesgos. El 39 por ciento de las entidades ha destinado de 5 a 7 personas a tiempo completo exclusivamente al cumplimiento de DORA. El ocho por ciento ni siquiera ha estimado sus necesidades de personal.<\/p>\n Pruebas de resiliencia.<\/strong> DORA prescribe pruebas peri\u00f3dicas de la resiliencia operativa digital, incluido el Threat-Led Penetration Testing (TLPT) para las entidades sist\u00e9micas. Estas pruebas requieren un know-how especializado que rara vez est\u00e1 disponible internamente. La capacidad de testers externos cualificados es limitada, los plazos de preparaci\u00f3n son largos. Muchas entidades se encuentran en la situaci\u00f3n de conocer la obligaci\u00f3n de prueba pero no disponer, ni interna ni externamente, de los recursos para implementarla en plazo.<\/p>\n DORA endurece la responsabilidad a todos los niveles. El r\u00e9gimen sancionador es progresivo y afecta tanto a la instituci\u00f3n como a las personas responsables.<\/p>\n Las entidades financieras pueden recibir multas de hasta el 2 por ciento de su facturaci\u00f3n anual mundial. Para un banco mediano con 2.000 millones de euros de facturaci\u00f3n, esto equivale a una sanci\u00f3n potencial de 40 millones de euros. A ello se suma la responsabilidad personal: el Senior Management puede ser sancionado personalmente con hasta 1 mill\u00f3n de euros si se acreditan deficiencias en el cumplimiento.<\/p>\n Especialmente relevante para la estrategia IT: los proveedores ICT terceros cr\u00edticos tambi\u00e9n pueden ser sancionados directamente. Los Lead Overseers pueden imponer multas del 1 por ciento de la facturaci\u00f3n mundial diaria media – por cada d\u00eda de infracci\u00f3n. Esto genera una nueva din\u00e1mica en la negociaci\u00f3n con proveedores cloud y operadores de plataformas: el cumplimiento de DORA ya no es solo un asunto de la entidad financiera, sino de toda la cadena de suministro.<\/p>\n Las autoridades de supervisi\u00f3n disponen bajo DORA de amplias facultades: acceso a documentos y datos, inspecciones in situ y orden de medidas correctivas. Los Estados miembros pueden adem\u00e1s prever sanciones penales. La aplicaci\u00f3n ya no es solo te\u00f3rica – ha comenzado. Las primeras auditor\u00edas est\u00e1n en curso, las autoridades de supervisi\u00f3n ampl\u00edan activamente sus capacidades y los reg\u00edmenes sancionadores de los Estados miembros se concretan progresivamente.<\/p>\n Las entidades que cierran sistem\u00e1ticamente su brecha de cumplimiento siguen un enfoque en tres fases.<\/p>\n Fase 1: Priorizar el Register of Information.<\/strong> El ROI es la prueba de cumplimiento m\u00e1s visible y el mayor obst\u00e1culo individual. Quien cumple aqu\u00ed se\u00f1ala a las autoridades de supervisi\u00f3n su capacidad de acci\u00f3n. El enfoque pragm\u00e1tico: no esperar a la perfecci\u00f3n total, sino comenzar con la cartera de contratos existente, documentar las lagunas y presentar un plan de completaci\u00f3n trazable. Las autoridades de supervisi\u00f3n eval\u00faan el progreso, no solo el statu quo.<\/p>\n Fase 2: Escalonar los contratos con proveedores terceros por criticidad.<\/strong> Los 200 proveedores ICT no tienen todos el mismo perfil de riesgo. Las entidades que priorizan eficientemente clasifican a sus proveedores por criticidad y comienzan la adaptaci\u00f3n contractual por los proveedores Tier-1 – infraestructura cloud, sistemas bancarios centrales, sistemas de pago. Los Tier-2 y Tier-3 siguen seg\u00fan un calendario definido. Esto reduce la carga de trabajo en paralelo y libera capacidad para las negociaciones m\u00e1s complejas.<\/p>\n Fase 3: No aplazar las pruebas de resiliencia.<\/strong> El TLPT requiere anticipaci\u00f3n, personal especializado y preparaci\u00f3n interna. Las entidades que no comiencen la planificaci\u00f3n hasta 2026 encontrar\u00e1n cuellos de botella de capacidad entre los testers externos. La soluci\u00f3n pragm\u00e1tica: cerrar ahora contratos marco con proveedores de TLPT y elaborar las primeras definiciones de alcance, aunque las pruebas en s\u00ed se realicen m\u00e1s adelante. La preparaci\u00f3n es la mitad del cumplimiento.<\/p>\n A lo largo de las tres fases, se impone una regla: el cumplimiento de DORA no es un proyecto con fecha de finalizaci\u00f3n, sino un modelo operativo permanente. El Register of Information debe actualizarse anualmente, las pruebas de resiliencia deben realizarse peri\u00f3dicamente y la gesti\u00f3n de riesgos ICT debe adaptarse continuamente a las nuevas amenazas. Las entidades que planifican DORA como un proyecto de cumplimiento puntual fracasar\u00e1n en la pr\u00f3xima auditor\u00eda.<\/p>\n Un aspecto frecuentemente subestimado en la discusi\u00f3n sobre la implementaci\u00f3n: la dimensi\u00f3n cultural. DORA exige que la gesti\u00f3n de riesgos ICT sea percibida como una responsabilidad de direcci\u00f3n. La responsabilidad no recae solo en el departamento de IT, sino en el \u00f3rgano de direcci\u00f3n de la entidad financiera. Los miembros del consejo de administraci\u00f3n deben aprobar la estrategia de riesgos ICT, revisarla peri\u00f3dicamente y justificar su adecuaci\u00f3n ante las autoridades de supervisi\u00f3n. Esto requiere un nivel de competencia ICT en el nivel directivo que en muchas entidades todav\u00eda debe construirse.<\/p>\n La valoraci\u00f3n honesta: DORA no es un tigre de papel. La combinaci\u00f3n de responsabilidad personal, responsabilidad de proveedores terceros y aplicabilidad directa la convierte en la regulaci\u00f3n IT m\u00e1s eficaz que el sector financiero europeo haya conocido jam\u00e1s. Quien trate esto como un mero proyecto de cumplimiento del departamento de IT subestima la dimensi\u00f3n estrat\u00e9gica. DORA transforma la forma en que las entidades financieras gestionan todo su paisaje ICT – desde el aprovisionamiento hasta la respuesta a incidentes.<\/p>\n DORA (Digital Operational Resilience Act) es un reglamento de la UE sobre la resiliencia operativa digital en el sector financiero. Se aplica desde el 17 de enero de 2025 directamente en todos los Estados miembros de la UE y afecta a m\u00e1s de 22.000 empresas financieras as\u00ed como a sus proveedores ICT terceros.<\/p>\n<\/details>\n Las entidades financieras pueden ser sancionadas con hasta el 2 por ciento de su facturaci\u00f3n anual mundial. El Senior Management asume responsabilidad personal de hasta 1 mill\u00f3n de euros. Los proveedores ICT cr\u00edticos pueden ser sancionados con el 1 por ciento de su facturaci\u00f3n mundial diaria por cada d\u00eda de infracci\u00f3n.<\/p>\n<\/details>\n El Register of Information es una documentaci\u00f3n completa de todos los contratos de servicios ICT con proveedores terceros. Debe poder presentarse a las autoridades de supervisi\u00f3n cuando lo soliciten. La segunda presentaci\u00f3n anual venc\u00eda en marzo de 2026. El 46 por ciento de las entidades lo se\u00f1ala como su mayor desaf\u00edo de cumplimiento.<\/p>\n<\/details>\n Seg\u00fan Deloitte, los costes de cumplimiento se sit\u00faan para la mayor\u00eda de las entidades financieras entre 2 y 5 millones de euros. El 96 por ciento ha calculado sus costes. El 39 por ciento ha destinado de 5 a 7 personas a tiempo completo exclusivamente al cumplimiento de DORA.<\/p>\n<\/details>\n S\u00ed. DORA cubre toda la cadena de suministro ICT. Las entidades financieras deben evaluar los riesgos de todos los proveedores ICT terceros y asegurarlos contractualmente. Los proveedores ICT cr\u00edticos pueden ser sancionados directamente por las autoridades de supervisi\u00f3n.<\/p>\n<\/details>\n Imagen de t\u00edtulo: Pexels \/ Christian Wasserfallen (px:7327875)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" DORA est\u00e1 en vigor desde enero 2025 – pero el 50% de las instituciones financieras no son conformes.<\/p>\n","protected":false},"author":82,"featured_media":15418,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"","_yoast_wpseo_title":"DORA es obligatoria desde enero: por qu\u00e9 dos tercios de las instituciones financ","_yoast_wpseo_metadesc":"DORA est\u00e1 en vigor desde enero 2025 pero solo el 50 por ciento de las instituciones financieras son conformes. Multas hasta el 2 por ciento.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[667,670],"tags":[],"class_list":["post-15268","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","category-logistica-cadena-suministro","entry"],"wpml_language":"es","wpml_translation_of":15261,"yoast_head":"\n\n
Qu\u00e9 distingue a DORA de las regulaciones IT anteriores<\/h2>\n
La brecha de cumplimiento: el 50 por ciento no estaba preparado en la fecha l\u00edmite<\/h2>\n
D\u00f3nde fracasa la implementaci\u00f3n: tres cuellos de botella<\/h2>\n
La cuesti\u00f3n de la responsabilidad: personal y severa<\/h2>\n
Qu\u00e9 hacen las entidades pragm\u00e1ticas ahora<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfQu\u00e9 es DORA y desde cu\u00e1ndo se aplica el reglamento?<\/strong><\/summary>\n
\u00bfQu\u00e9 sanciones existen por incumplimiento de DORA?<\/strong><\/summary>\n
\u00bfQu\u00e9 es el Register of Information bajo DORA?<\/strong><\/summary>\n
\u00bfCu\u00e1nto cuesta el cumplimiento de DORA?<\/strong><\/summary>\n
\u00bfAfecta DORA tambi\u00e9n a proveedores cloud y prestadores de servicios IT?<\/strong><\/summary>\n
Lecturas recomendadas<\/h2>\n
\n