El reglamento europeo sobre la resiliencia operativa digital del sector financiero (DORA) impone a las entidades financieras -y, por extensión, a sus proveedores TIC- un registro exhaustivo de los contratos, cláusulas contractuales precisas y pruebas de auditoría fechadas. SYAGA DORA-Express le ayuda a responder a estas exigencias sin improvisar, ya sea usted una entidad financiera o un proveedor.
DORA es un reglamento, no una directiva: se aplica directamente en todos los Estados miembros, sin necesidad de una ley de transposición nacional.
Reglamento (UE) 2022/2554 de 14 de diciembre de 2022, publicado en el DOUE el 27 de diciembre de 2022, en vigor desde el 16 de enero de 2023 y aplicable desde el 17 de enero de 2025. No requiere ninguna transposición nacional: es directamente exigible.
Cada entidad financiera debe mantener actualizado y remitir anualmente a las autoridades un registro completo de sus contratos TIC: proveedor, naturaleza del servicio, criticidad de la función, país de alojamiento de los datos.
Derechos de auditoría e inspección, garantías de disponibilidad e integridad de los datos, planes de salida probados, notificación de incidentes sin demora. Estas cláusulas se trasladan desde su cliente financiero hasta usted si es su proveedor TIC.
Antes de firmar o renovar un contrato, un banco, una aseguradora o un inversor envía un cuestionario ciber (gobernanza, MFA, EDR, cifrado, concienciación). Responderlo sin pruebas documentadas hace perder el contrato.
El 18-19 de noviembre de 2025, las autoridades europeas de supervisión (EBA, ESMA, EIOPA) publicaron la primera lista oficial de proveedores TIC críticos en virtud del artículo 32 de DORA. Entre los nombres confirmados por los comunicados oficiales: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (y otros 14 proveedores no confirmados nominalmente en nuestras fuentes).
Consecuencia concreta: si sus servicios críticos dependen de uno de estos proveedores, su entidad financiera cliente debe ahora documentarlo en su registro TIC -y puede interrogarle sobre su propia cadena de subcontratación.
Fuente: comunicados oficiales de EIOPA y ESMA del 18-19 de noviembre de 2025 (eiopa.europa.eu, esma.europa.eu).
Un acompañamiento estructurado en 5 etapas para documentar su cumplimiento -sin prometer lo que ni una herramienta, ni una consultora, pueden certificar en su lugar.
¿Es usted una entidad financiera directamente sujeta (una de las 21 categorías del artículo 2), o un proveedor TIC afectado indirectamente a través de las cláusulas contractuales de sus clientes financieros (artículo 30)? El alcance exacto condiciona todo lo demás.
Respondemos a su cuestionario de due diligence de banco, inversor o aseguradora (gobernanza, MFA, EDR, cifrado, concienciación...) apoyándonos en una auditoría técnica de su tenant Microsoft 365 como prueba fechada y verificable.
Le ayudamos a estructurar su registro de contratos TIC (art. 28 §3) y a verificar o integrar las cláusulas contractuales mínimas y reforzadas del artículo 30 en sus contratos con proveedores.
Nuestra PRA/PCA Suite ofrece un perfil sectorial Finanzas (DORA, PSD2, ACPR) que cubre los requisitos de pruebas de resiliencia operativa del capítulo IV de DORA, alineado con ISO 22301.
Entrega a su dirección, su CISO o su director financiero de un expediente consolidado, con los puntos precisos que debe resolver su asesoría jurídica antes de cualquier comunicación a las autoridades.
Entregables concretos, con fuentes citadas, sin promesa de certificación que nadie puede garantizar
10 preguntas tipo due diligence banco / M&A, documentadas y con fuente (ILPA DDQ, CSA CAIQ, cuestionarios de aseguradoras ciber).
Síntesis con fuentes del reglamento (UE) 2022/2554.
Estructura del registro exhaustivo exigido por las autoridades.
Para integrar o verificar en sus contratos con proveedores TIC.
Plan de continuidad y recuperación de actividad, perfil sectorial dedicado.
Formatos PDF y DOCX, que consolidan el conjunto de entregables.
Extracto de las 10 preguntas que documentamos para usted, con la fuente de cada pregunta
| Tema | Pregunta | Fuente |
|---|---|---|
| Gobernanza | ¿Su política de seguridad se basa en un referencial reconocido (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Auditoría externa | ¿Realiza una auditoría anual independiente y pruebas de intrusión? | CSA CAIQ v4 |
| Plan de incidentes | ¿Existe un plan formal de respuesta a incidentes, documentado y mantenido? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | ¿Para qué servicios impone la autenticación multifactor? | Travelers - MFA Supplement |
| Cuentas con privilegios | ¿Los accesos siguen el principio de mínimo privilegio, revisados periódicamente? | CSA CAIQ v4 IAM |
| Correo electrónico | ¿Qué licencia M365 utiliza? ¿Defender / threat hunting avanzado activo? | vCSO.ai Cyber DD Checklist |
| Cifrado | ¿Los discos de los equipos están totalmente cifrados? | Google VSAQ |
| Formación | ¿Existe un programa de concienciación en seguridad para todos los empleados? | CSA CAIQ v4 HRS |
Cada entregable indica explícitamente lo que cubre -y lo que no cubre
Registro TIC (art. 28), cláusulas contractuales (art. 30), plazos de notificación (art. 19), referencia a los proveedores TIC críticos designados (art. 32).
DORA es una lex specialis respecto a NIS2 para el sector financiero: las entidades afectadas aplican DORA en lugar de las medidas equivalentes de NIS2.
El perfil PRA/PCA Finanzas se alinea con ISO 22301, referencial de gestión de la continuidad de negocio utilizado como complemento de DORA.
La notificación de incidentes DORA (ACPR/AMF, autoridades francesas) es distinta de la notificación RGPD (CNIL, autoridad francesa) en caso de violación de datos personales: ambas pueden ser requeridas simultáneamente.
Cada expediente DORA es diferente según su estatus - presupuesto personalizado en todos los casos
Usted presta servicios a una o varias entidades financieras
Usted está sujeto directamente a DORA (una de las 21 categorías, art. 2)
Actualización periódica del expediente (obligaciones, contratos, registro)
DORA explicado de forma sencilla, sin jerga jurídica. Cada punto siguiente enlaza con el texto oficial que lo confirma.
DORA se aplica a los actores financieros europeos: bancos, aseguradoras, sociedades de inversión, plataformas de mercado, gestores de fondos, proveedores de servicios de pago... así como a sus proveedores de servicios informáticos. Las estructuras muy pequeñas se benefician de normas simplificadas.
El reglamento cubre 6 grandes temas: la gestión del riesgo informático, la supervisión de sus proveedores externos, pruebas periódicas de resiliencia, la notificación de incidentes graves, el intercambio de información sobre amenazas, y la supervisión de los mayores proveedores informáticos.
Texto adoptado el 14 de diciembre de 2022, publicado en el Diario Oficial de la UE el 27 de diciembre de 2022 (DO L 333). Entrada en vigor el 16 de enero de 2023. Las obligaciones son exigibles desde el 17 de enero de 2025.
Los mayores proveedores informáticos (nube, alojamiento...) considerados «críticos» para el sector financiero están ahora controlados directamente a nivel europeo, con un supervisor principal que puede imponerles medidas.
Antes de DORA, cada país de la UE tenía sus propias normas para declarar un incidente informático grave. Ahora se aplica un procedimiento europeo único: los incidentes graves se notifican directamente a las autoridades competentes.
El texto establece que las autoridades publican las sanciones administrativas que imponen. Los importes exactos de las multas no están estabilizados en las fuentes consultadas hasta la fecha - a confirmar conforme se publiquen precisiones oficiales.
¿Oye hablar de DORA sin saber si se aplica a su empresa? Aquí tiene, explicado de forma sencilla, el ámbito oficial del reglamento, comprensible en 2 minutos, con los textos que lo demuestran.
El reglamento europeo 2022/2554 (Artículo 2) abarca 21 categorías diferentes de empresas financieras, de las cuales 12 están supervisadas por la ESMA. No es un asunto reservado a los grandes bancos: desde el 17 de enero de 2025, la práctica totalidad del sector financiero europeo está afectada, con distintos niveles de exigencia según el tamaño de la estructura. fuente oficial (ESMA) ↗
Entidades de crédito (bancos), entidades de pago, entidades de dinero electrónico, proveedores de servicios de información sobre cuentas.
Empresas de inversión, plataformas de negociación, depositarios centrales de valores, entidades de contrapartida central, registros centrales, agencias de calificación crediticia, gestores de fondos de inversión alternativos, sociedades gestoras.
Empresas de seguros y reaseguros, intermediarios de seguros (salvo microempresas), fondos de pensiones de empleo con más de 15 miembros.
Proveedores de servicios de criptoactivos, plataformas de financiación participativa, registros de titulización: las finanzas digitales también entran en el ámbito de aplicación.
Los proveedores de servicios TIC (nube, alojamiento, software crítico) que hacen funcionar estas empresas también entran en el radar. Los más «críticos» para todo el sector están vigilados directamente a nivel europeo.
DORA aplica un principio de proporcionalidad: cuanto más pequeña es una estructura, menos pesadas son sus obligaciones. Algunas estructuras incluso quedan explícitamente fuera del ámbito de aplicación.
Una microempresa se define oficialmente como una estructura de menos de 10 empleados cuya facturación o balance anual no supera los 2 millones de euros. Estas estructuras financieras muy pequeñas escapan a las obligaciones de gobernanza más pesadas del reglamento.
fuente oficial (EUR-Lex, definición UE) ↗ · fuente EUR-Lex (reglamento DORA) ↗
Las pequeñas empresas de inversión «no interconectadas» y los pequeños fondos de pensiones de empleo se benefician de un marco de gestión del riesgo informático simplificado, detallado en un reglamento delegado de la Comisión Europea.
Un fondo de pensiones de empleo cuyo régimen o regímenes gestionados sumen en total 15 miembros o menos no entra en el ámbito de aplicación del reglamento.
También quedan fuera de ámbito: las oficinas de giro postal contempladas en la directiva sobre entidades de crédito, ciertos gestores de fondos o aseguradoras que se benefician de exenciones sectoriales, así como los intermediarios de seguros que sean ellos mismos microempresas o pymes.
En resumen: si su empresa es una entidad financiera europea, o si es uno de sus proveedores informáticos, la pregunta ya no es «¿me afecta?» sino «¿a qué nivel de exigencia?». El texto precisa que cada estructura debe adaptar sus medios informáticos a su tamaño, su perfil de riesgo y la complejidad de sus actividades. fuente EUR-Lex (considerando 36) ↗
DORA no es «una» fecha, son varias etapas que se han ido encadenando desde finales de 2022. Aquí tiene, en orden, lo que ya ha ocurrido y lo que sigue en curso - con, para cada etapa, el texto oficial que lo demuestra.
El Parlamento Europeo y el Consejo adoptan el reglamento (UE) 2022/2554. fuente EUR-Lex ↗
El texto se publica en el Diario Oficial de la Unión Europea (DO L 333). fuente EUR-Lex ↗
El reglamento existe jurídicamente, pero su aplicación efectiva a las empresas se difiere aún dos años más - el tiempo de preparar las normas técnicas y los registros. fuente ESMA ↗
Las tres autoridades europeas de supervisión financiera (banca, seguros, mercados) organizan dos audiencias públicas para finalizar las normas prácticas de aplicación. fuente ESMA ↗
Primera serie de normas precisas sobre la gestión del riesgo informático (cómo cartografiar, proteger, detectar, reaccionar), adoptada por la Comisión el 13 de marzo de 2024. fuente EUR-Lex (2024/1774) ↗
Segunda serie de normas de aplicación (en particular sobre la subcontratación informática y la supervisión de los proveedores). fuente ESMA ↗
La Comisión publica el modelo técnico (formularios) que cada empresa afectada debe utilizar para mantener actualizado el inventario de sus proveedores informáticos. Entrada en vigor el 22 de diciembre de 2024. fuente EUR-Lex (2024/2956) ↗
A partir de esta fecha, todas las entidades financieras afectadas (y sus proveedores informáticos estratégicos) deben estar en cumplimiento real, no solo «sobre el papel». fuente ESMA ↗ · fuente EIOPA ↗
Las autoridades nacionales de supervisión debían remitir a las autoridades europeas los primeros registros de información recibidos de las empresas obligadas. fuente ESMA ↗
Las autoridades europeas están construyendo, paso a paso, la lista de proveedores informáticos (nube, alojamiento...) considerados tan importantes para todo el sector financiero que serán supervisados directamente a nivel europeo. El proceso (recopilación de información, decisiones, informe de progreso) se extendió de noviembre de 2024 a mayo de 2025; la fecha exacta de la primera designación oficial no está estabilizada en las fuentes consultadas hasta la fecha - a confirmar conforme se publiquen novedades. fuente ESMA ↗
Las autoridades europeas siguen publicando informes de progreso (lecciones aprendidas de incidentes graves, ajustes de las normas de subcontratación). DORA es un proyecto vivo, no un texto cerrado. fuente ESMA ↗
Calendario elaborado a partir de fuentes oficiales (EUR-Lex, ESMA, EIOPA) consultadas el 17 de julio de 2026. Algunas fechas (designación definitiva de los proveedores críticos, importes de las sanciones) siguen en fase de estabilización por parte de las autoridades - las actualizaremos en cuanto se publiquen.
7 preguntas más técnicas, explicadas de forma sencilla: cada una respaldada por el texto oficial que la confirma.
fuente EUR-Lex (considerandos 43, 56, 61) ↗ · fuente ESMA (reglamento delegado (UE) 2025/1190) ↗
fuente EUR-Lex (considerando 65) ↗ · fuente ESMA (reglamento de ejecución (UE) 2024/2956) ↗
«DORA prevé multas» es una frase habitual en los discursos comerciales. Lo que el texto oficial dice realmente, negro sobre blanco: dos regímenes distintos, con una única cifra europea armonizada - y sin un baremo único para todos.
DORA no fija ningún importe ni porcentaje de facturación. El texto remite explícitamente a cada Estado miembro la tarea de fijar sus propias normas de sanción (artículo 50, apartado 3: « Member States shall lay down rules establishing appropriate administrative penalties... »). En Francia, son sus autoridades habituales - la ACPR para banca/seguros, la AMF para los mercados - las que aplican su propio baremo nacional, no un baremo DORA único y europeo.
Lo que el reglamento sí impone es una serie de tipos de medidas que cada país debe prever como mínimo (lista a continuación) - correspondiendo al derecho nacional fijar los importes exactos.
Aquí, DORA sí fija una cifra precisa y armonizada para toda Europa: una multa coercitiva de hasta el 1 % de la facturación mundial diaria media, por día de retraso, durante un máximo de 6 meses (artículo 35, apartados 7-8). No es una sanción inmediata: solo puede activarse tras al menos 30 días naturales de incumplimiento constatado por la autoridad.
Esta multa coercitiva afecta únicamente a los grandes proveedores designados oficialmente «críticos» por la UE - no a las empresas clientes que los utilizan.
Es la multa coercitiva que puede imponer el «Lead Overseer» - una de las tres autoridades europeas de supervisión financiera (EBA, ESMA o EIOPA, designada según el proveedor) - a un proveedor informático crítico que se niegue a ponerse en cumplimiento tras un plazo de al menos 30 días. El dinero se ingresa en el presupuesto general de la Unión Europea, y cada multa coercitiva impuesta debe en principio hacerse pública por el Lead Overseer.
Fuente: Reglamento (UE) 2022/2554, artículo 35, apartados 6 a 10 - texto oficial EUR-Lex ↗
Cinco tipos de medidas que cada Estado miembro debe prever como mínimo en su derecho nacional - artículo 50, apartado 4 de DORA.
Obligar a la empresa a detener de inmediato la práctica no conforme y a no reincidir.
Prohibir una práctica o un comportamiento considerado contrario al reglamento, de forma temporal o permanente.
Cualquier medida, incluida financiera, para devolver a la empresa al cumplimiento - importe fijado por el derecho nacional de cada país.
Exigir a un operador de telecomunicaciones los registros existentes, en caso de sospecha razonable de infracción.
Hacer público un aviso que indique la identidad de la empresa y la naturaleza del incumplimiento («name and shame»).
Para calibrar el nivel exacto de la sanción, el artículo 51, apartado 2 de DORA pide a la autoridad que tenga en cuenta en particular: la gravedad y la duración del incumplimiento, el grado de responsabilidad, la solidez financiera de la empresa, los beneficios obtenidos o pérdidas evitadas, los daños causados a terceros, el nivel de cooperación y los antecedentes.
Análisis basado en la lectura íntegra de los artículos 35 y 50 a 53 del reglamento (UE) 2022/2554, texto oficial publicado en el Diario Oficial de la UE (L 333, 27/12/2022), consultado en EUR-Lex el 17 de julio de 2026. No existe ningún importe cuantificado de sanción en el texto para las entidades financieras (remisión al derecho nacional de cada Estado miembro) - por lo que no lo inventamos. No se ha registrado públicamente ninguna multa coercitiva en virtud del artículo 35 hasta la fecha en nuestras fuentes; DORA solo es plenamente aplicable desde el 17 de enero de 2025.
Contáctenos para recibir un presupuesto personalizado según su estatus (entidad financiera o proveedor TIC).
Gratis: su puntuación + sus brechas. El informe detallado y el certificado: 499 EUR sin IVA, solo si usted lo decide.
contact@syaga.eu