DORA y la resiliencia operativa digital: guía para entidades financieras y proveedores de criptoactivos

A quién se aplica

DORA enumera las entidades financieras a las que se aplica (art. 2.1). Entre ellas están las entidades de crédito, de pago y de dinero electrónico, las empresas de servicios de inversión, las gestoras de fondos, las aseguradoras y los proveedores de servicios de criptoactivos autorizados con el Reglamento MiCA (letra f). Es un reglamento: se aplica directamente, sin necesidad de ley nacional.

Marco general, marco simplificado y microempresas

No todas las entidades cumplen DORA igual. Tres preguntas deciden qué partes te tocan:

• ¿Estás en el marco simplificado? Las empresas de servicios de inversión pequeñas y no interconectadas, las entidades de pago y de dinero electrónico exentas y otros supuestos del artículo 16.1 aplican un marco de gestión del riesgo TIC más ligero en lugar de los artículos 5 a 15.
• ¿Eres microempresa? Con menos de 10 personas y un volumen de negocios o balance anual de hasta 2 millones de euros (art. 3.60), algunas obligaciones se aligeran. Los centros de negociación, las entidades de contrapartida central, los registros de operaciones y los depositarios centrales de valores nunca lo son. Si eres microempresa, no necesitas el programa de pruebas del artículo 24 ni la estrategia de riesgo de terceros del artículo 28.2.
• ¿Te ha designado la autoridad para pruebas TLPT? Las pruebas de penetración basadas en amenazas solo se exigen a las entidades designadas.

Los cinco pilares

1. 1

   Gestión del riesgo TIC (arts. 5 a 16)

   El órgano de dirección responde del marco. Identificar activos y funciones, proteger, detectar, responder y recuperar, con copias de seguridad, continuidad y un plan de comunicación de crisis. Se revisa al menos una vez al año; las microempresas y el marco simplificado, periódicamente.
2. 2

   Incidentes (arts. 17 a 23)

   Un proceso para detectar, clasificar y registrar los incidentes, y notificar a la autoridad los graves en los plazos que fija la norma técnica.
3. 3

   Pruebas de resiliencia (arts. 24 a 27)

   Un programa de pruebas proporcionado al riesgo y, si la autoridad te designa, pruebas TLPT con carácter general cada tres años.
4. 4

   Riesgo de terceros TIC (arts. 28 a 30)

   Un registro de información de todos los contratos con proveedores TIC, cláusulas contractuales mínimas y, salvo microempresas y marco simplificado, una estrategia de riesgo de terceros.
5. 5

   Intercambio de información (art. 45)

   Voluntario: acuerdos entre entidades para compartir información sobre ciberamenazas. La participación se comunica a la autoridad.

Incidentes graves: los plazos

No todos los incidentes se notifican: solo los que se clasifican como graves con los criterios del Reglamento Delegado (UE) 2024/1772. Para esos, la regla general es notificar en cuatro horas desde que los clasificas y no más de 24 desde que los conoces. Si la gravedad se aprecia después de esas 24 horas, las cuatro horas cuentan desde la clasificación:

Proveedores TIC: el registro de información

La nube, el software de gestión, el proveedor de identidad o el servicio de custodia son proveedores TIC. DORA te hace plenamente responsable de lo que hacen por ti (art. 28.1) y te pide llevar un registro de información de todos los acuerdos contractuales con ellos (art. 28.3), con las plantillas del Reglamento de Ejecución (UE) 2024/2956. La autoridad puede pedírtelo completo en cualquier momento, y cada año tienes que informarle de los nuevos acuerdos.

Todo contrato TIC debe recoger unas cláusulas mínimas (art. 30.2): qué servicios se prestan, en qué países se tratan los datos, cómo los recuperas si el proveedor cae, los niveles de servicio y tus derechos de terminación. Los que sustentan funciones esenciales o importantes añaden otras (art. 30.3), como el acceso y la auditoría sin restricciones y las estrategias de salida.

Andorra: el plazo de 2028

Andorra no es Estado miembro de la UE, pero el Acuerdo Monetario le obliga a incorporar la normativa financiera europea que figura en su anexo. La Decisión (UE) 2026/475 de la Comisión, que actualiza ese anexo, incluye DORA con plazo hasta el 31 de diciembre de 2028, y MiCA con plazo hasta el 31 de diciembre de 2027.

Para una entidad andorrana, sobre todo si presta servicios con criptoactivos, el calendario es claro: MiCA llega primero y DORA un año después. Conviene seguir cómo incorpora Andorra cada norma y qué autoridad la supervisará, y empezar por lo que no cambiará: el inventario de activos y proveedores, la gestión de incidentes y la continuidad.

Del diagnóstico al seguimiento continuo

1. 1

   Diagnóstico inicial

   Qué tipo de entidad eres, en qué régimen estás, si eres microempresa y cuáles son tus funciones esenciales o importantes.
2. 2

   Riesgos y obligaciones

   Inventario de activos TIC y de proveedores, evaluación del riesgo TIC con tu nivel de tolerancia, y la lista de requisitos que te aplican.
3. 3

   Plan de acción e implantación

   Políticas y procedimientos, continuidad y copias, gestión de incidentes, cláusulas contractuales y registro de información.
4. 4

   Seguimiento continuo

   Pruebas de resiliencia, revisión del marco (anual en el marco general, periódica para microempresas y marco simplificado), lecciones de cada incidente y actualización del registro con cada contrato.

Si ya tienes un sistema de gestión de la seguridad de la información, buena parte del trabajo está hecho: la Declaración de Aplicabilidad de ISO 27001 cubre muchos controles que DORA da por supuestos (ver la guía de la Declaración de Aplicabilidad ISO 27001). Pero DORA añade lo que esa norma no pide: plazos de notificación al supervisor, un registro de información de proveedores y, para las entidades designadas, pruebas TLPT.

Preguntas frecuentes