¿Le aplica DORA? Ámbito, cinco pilares y brechas
Responda entre 10 y 30 preguntas breves. Obtendrá su probable situación ante DORA con el razonamiento, los pilares aplicables, su preparación por pilar y las tareas del registro de información. Pensado para entidades financieras, fintech y las empresas TIC que les prestan servicios.
Empezar el testReglas a fecha de 2026-10-13
Orientativo, no es asesoramiento jurídicoEsta herramienta aplica a sus respuestas el Reglamento (UE) 2022/2554 según nuestra interpretación. No sustituye a su asesor jurídico ni a su autoridad competente, y no evalúa proveedores concretos. Las reglas aún están en revisión por un abogado, así que tome cada resultado como punto de partida.
Los cinco pilares de DORA en palabras sencillas
Gestión del riesgo relacionado con las TIC
Capítulo II, Art. 5–16Un marco documentado, aprobado y bajo la responsabilidad del órgano de dirección: conocer sus activos TIC, protegerlos, detectar problemas, responder, recuperarse y aprender.
Gestión y notificación de incidentes
Capítulo III, Art. 17–23Un único proceso para los incidentes relacionados con las TIC, criterios para identificar los graves y notificaciones inicial, intermedia y final al supervisor en plazos fijados.
Pruebas de resiliencia
Capítulo IV, Art. 24–27Un programa anual de pruebas de los sistemas críticos; algunas entidades seleccionadas realizan además pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años.
Riesgo relacionado con las TIC derivado de terceros
Capítulo V, Art. 28–44Una estrategia para los proveedores TIC, un registro de información de cada contrato TIC, las cláusulas del artículo 30, planes de salida y la vigilancia de la UE sobre los proveedores críticos.
Intercambio de información
Capítulo VI, Art. 45Acuerdos voluntarios para intercambiar información sobre ciberamenazas con otras entidades, con notificación a su autoridad.
Registro de información: qué es
El registro de información recoge todos los contratos de servicios TIC de su organización: quién es el proveedor, cuál es el servicio, qué funciones de negocio dependen de él, dónde se tratan los datos y qué subcontratistas intervienen.
Las entidades financieras lo mantienen a nivel individual y, en los grupos, a nivel subconsolidado y consolidado. Los supervisores lo recaban según su propio calendario con las plantillas del Reglamento de Ejecución (UE) 2024/2956. Suele ser lo primero que solicitan.
Para proveedores TIC: qué le pedirán sus clientes bancarios
DORA no exige licencia a los proveedores TIC, pero cambia cada contrato que firman con bancos, aseguradoras, entidades de pago y empresas de servicios de inversión. Cuente con una adenda DORA con las cláusulas del artículo 30, cuestionarios para el registro de información de su cliente, derechos de auditoría y acceso, plazos de notificación de incidentes y, para funciones esenciales o importantes, la participación en sus pruebas de resiliencia.
Los proveedores de los que dependen muchas entidades financieras pueden ser designados críticos por las Autoridades Europeas de Supervisión y quedan entonces bajo vigilancia directa a nivel de la UE.
Qué no cubre esta herramienta
- Los detalles de las TLPT y los marcos TLPT nacionales
- La legislación nacional, las orientaciones supervisoras y los calendarios de notificación de su país
- MiCA, PSD2 y otros requisitos sectoriales
- La evaluación de sus proveedores o contratos TIC concretos
- Si DORA se aplica a un contrato concreto: para eso hacen falta el contrato y su asesor jurídico
Fuentes
Versión de las reglas 2026-10-13. Todos los artículos, listas y plazos están pendientes de revisión jurídica.
| Fuente | Qué cubre | Revisado |
|---|---|---|
| DORA | Reglamento (UE) 2022/2554 (DORA) | — |
| RTS ICT | Reglamento Delegado (UE) 2024/1774 de la Comisión — marco de gestión del riesgo relacionado con las TIC y marco simplificado (RTS) | — |
| ROI ITS | Reglamento de Ejecución (UE) 2024/2956 de la Comisión — plantillas del registro de información (ITS) | — |
| RTS INC | Reglamento Delegado (UE) 2024/1772 de la Comisión — clasificación de los incidentes relacionados con las TIC (RTS) | — |
| ESAS CTPP | Autoridades Europeas de Supervisión — vigilancia DORA de los proveedores terceros críticos de servicios TIC | — |
FAQ
¿Se aplica DORA a mi empresa?
DORA se aplica a los 20 tipos de entidades financieras enumerados en el artículo 2, apartado 1 —bancos, entidades de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, aseguradoras, fondos de pensiones y otros—, salvo que proceda una exclusión del artículo 2, apartado 3. A los proveedores TIC les alcanza a través de los contratos con sus clientes financieros. Este test le da una respuesta orientativa en pocos minutos.
¿Qué entidades entran en el ámbito de DORA?
Entidades de crédito, entidades de pago, proveedores de servicios de información sobre cuentas, entidades de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos y emisores de fichas referenciadas a activos, depositarios centrales de valores, entidades de contrapartida central, centros de negociación, registros de operaciones, GFIA, sociedades de gestión de OICVM, proveedores de servicios de suministro de datos, empresas de seguros y reaseguros, intermediarios de seguros, FPE, agencias de calificación crediticia, administradores de índices de referencia cruciales, proveedores de servicios de financiación participativa, registros de titulizaciones, además de los proveedores terceros de servicios TIC.
¿Cuáles son los cinco pilares de DORA?
Gestión del riesgo relacionado con las TIC, gestión y notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital, gestión del riesgo relacionado con las TIC derivado de terceros e intercambio de información sobre ciberamenazas.
¿Qué es el registro de información de DORA y quién debe mantenerlo?
Es una relación estructurada de todos los acuerdos contractuales de servicios TIC. Toda entidad financiera dentro del ámbito lo mantiene a nivel individual y, en los grupos, a nivel subconsolidado y consolidado, y lo facilita a su autoridad competente cuando esta lo solicita.
¿Se aplica DORA a los proveedores de software y nube que trabajan para bancos?
No como licencia, sino a través de los contratos: los bancos y demás entidades financieras deben incluir las cláusulas del artículo 30 en sus contratos TIC y supervisar a sus proveedores. Los proveedores de los que dependen muchas entidades financieras pueden ser designados críticos y quedar bajo vigilancia a nivel de la UE.
¿Cuáles son los plazos de notificación de incidentes en DORA?
Para los incidentes graves relacionados con las TIC, las normas técnicas fijan una notificación inicial pocas horas después de clasificar el incidente como grave, un informe intermedio en unos días y un informe final en aproximadamente un mes. Los plazos exactos figuran en los actos de ejecución y en esta herramienta están pendientes de revisión jurídica.
¿Qué relación hay entre DORA y NIS2?
Para las entidades financieras, DORA es el acto específico (lex specialis): sus normas sobre riesgo TIC e incidentes se aplican en lugar de los requisitos de ciberseguridad de NIS2. Las actividades no financieras del mismo grupo pueden seguir sujetas a NIS2.
¿Puede YuSMP ayudar con un análisis de brechas DORA?
Sí. Ayudamos a entidades financieras y proveedores TIC a elaborar el registro de información, adaptar los contratos, establecer los procesos de gestión de incidentes y realizar pruebas de resiliencia. Trabajamos con NDA.
Servicios relacionados
Pruebas de penetración y auditorías de seguridad
Evaluaciones de vulnerabilidades y pentests para su programa de pruebas de resiliencia.
Cloud y DevOps
Copias de seguridad, recuperación, monitorización e infraestructura como código con evidencias.
Desarrollo de software empresarial
Registros, flujos de trabajo e integraciones para equipos de cumplimiento.
Preparación SOC 2 para SaaS
Los controles y evidencias que le piden sus clientes financieros.