Reglamento (UE) 2022/2554
Consultoría DORA para el sector financiero
Obligatorio en el sector financiero
DORA exige a las entidades financieras de la Unión Europea demostrar que pueden resistir, responder y recuperarse de incidentes tecnológicos graves. Te ayudamos a cubrir sus requisitos de forma proporcionada a tu tamaño y perfil de riesgo.
Qué es DORA
El Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero, conocido como DORA, es de aplicación desde el 17 de enero de 2025. Al tratarse de un reglamento, es directamente aplicable en todos los Estados miembros, sin necesidad de transposición, y se complementa con normas técnicas de regulación y de ejecución.
A quién afecta
DORA se dirige a las entidades financieras: entidades de crédito, entidades de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, gestoras, aseguradoras y reaseguradoras, entre otras. Afecta también, de manera indirecta, a sus proveedores de servicios TIC, que deben asumir requisitos contractuales y someterse a evaluaciones.
Si tu empresa no pertenece al sector financiero ni le presta servicios tecnológicos, DORA no te resulta aplicable.
Los cinco pilares
- Gestión del riesgo TIC, con responsabilidad expresa del órgano de dirección.
- Gestión, clasificación y notificación de incidentes graves relacionados con las TIC.
- Pruebas de resiliencia operativa digital, proporcionadas al tamaño y al perfil de riesgo.
- Gestión del riesgo de terceros proveedores TIC, incluido el registro de información de los acuerdos contractuales.
- Intercambio de información sobre ciberamenazas, de carácter voluntario.
Nuestro enfoque
Trabajamos con un análisis de brecha realista y priorizamos lo que más expone a la entidad ante el supervisor y ante un incidente real. Si ya dispones de un marco basado en ISO 27001, lo aprovechamos como base. Para proveedores TIC, preparamos las evidencias y respuestas que sus clientes financieros les van a exigir.
Alcance
Qué incluye
-
Análisis de brecha
Situación actual frente a los requisitos del Reglamento y de sus normas técnicas de desarrollo.
-
Marco de gestión del riesgo TIC
Gobierno, políticas, identificación de activos y funciones críticas, protección, detección, respuesta y recuperación.
-
Incidentes
Clasificación de incidentes graves relacionados con las TIC y procedimiento de notificación a la autoridad competente.
-
Pruebas de resiliencia
Programa de pruebas proporcionado: análisis de vulnerabilidades, escenarios, continuidad y, cuando corresponda, preparación para TLPT.
-
Riesgo de terceros TIC
Registro de información, evaluación de proveedores, cláusulas contractuales y estrategias de salida.
Resultado
Lo que recibes
- Análisis de brecha frente a DORA
- Marco de gestión del riesgo TIC documentado
- Procedimiento de clasificación y notificación de incidentes
- Programa de pruebas de resiliencia
- Registro de información de proveedores TIC
Método
Cómo trabajamos
-
01Conocer
Diagnóstico
Entrevistas con dirección e IT y revisión técnica y documental. Obtienes una fotografía clara de tu nivel de seguridad y de las obligaciones que te afectan.
-
02Priorizar
Hoja de ruta
Convertimos los hallazgos en un plan ordenado por riesgo, esfuerzo y coste, con responsables y plazos que tu organización puede asumir.
-
03Implantar
Implantación
Ejecutamos o coordinamos las medidas: accesos, copias, configuraciones, políticas y formación. Sin imponer herramientas que no necesitas.
-
04Sostener
Acompañamiento continuo
Revisiones periódicas, indicadores comprensibles, gestión de incidentes y adaptación a nuevos riesgos y obligaciones. La seguridad deja de ser un proyecto y se convierte en un hábito.
Preguntas frecuentes
Dudas habituales sobre DORA
¿DORA afecta a los proveedores tecnológicos?
De forma indirecta, sí: las entidades financieras deben trasladar requisitos contractuales a sus proveedores TIC y evaluarlos. Además, los proveedores designados como críticos quedan sujetos a un marco de supervisión específico a escala europea.
¿Es igual para una entidad pequeña que para un gran banco?
No. DORA aplica el principio de proporcionalidad y prevé un marco simplificado de gestión del riesgo TIC para determinadas entidades de menor tamaño. Parte del análisis consiste en determinar qué régimen te corresponde.
¿Qué relación tiene con NIS2?
Para las entidades financieras, DORA actúa como norma sectorial específica en materia de resiliencia operativa digital. El análisis concreto de cómo se articulan ambas normas se hace caso por caso.
DORA
Revisar mi cumplimiento DORA
Indícanos el tipo de entidad o, si eres proveedor, a qué entidades financieras prestas servicio.