DORA cubre cinco áreas de riesgo. La mayoría de las revisiones de cumplimiento solo verifican una o dos.

Un consejo de administración le hace una pregunta sencilla a un responsable de cumplimiento: ¿cumplimos con DORA? La respuesta honesta depende totalmente de a qué parte de DORA se refiera el consejo.

DORA no es un requisito único. Es un reglamento compuesto por cinco obligaciones distintas, cada una con su propio calendario, sus propias normas técnicas y su propia forma de fallar. Tratarlo como una simple casilla de verificación es la razón por la que las organizaciones terminan confiando en las partes que han abordado y permanecen ciegas ante las que no.

Entender qué cubre realmente DORA y a quién se aplica es el primer paso para responder honestamente a esa pregunta del consejo.

El problema que DORA fue creado para resolver

Los servicios financieros funcionan hoy gracias a la tecnología suministrada por un pequeño número de proveedores: plataformas en la nube, procesadores de pagos y centros de datos. Una interrupción en uno de estos proveedores no se limita a un solo banco o a un solo país.

La Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA) lo plantea directamente: cuando el riesgo de las TIC no se gestiona adecuadamente, puede interrumpir los servicios financieros a través de las fronteras, con efectos dominó para otras empresas, otros sectores y la economía en general (EIOPA, Ley de Resiliencia Operativa Digital, consultado en agosto de 2026). DORA entró en vigor el 17 de enero de 2025.

Antes de DORA, los estados miembros de la UE tenían sus propias normas, o ninguna, para la resiliencia digital en las finanzas. Un banco en un país podía enfrentarse a una supervisión tecnológica más estricta que un banco en otro, a pesar de que ambos dependían del mismo puñado de proveedores globales de nube y pagos. DORA sustituye ese mosaico por un reglamento único que se aplica de la misma manera en toda la UE.

Las cinco áreas que cubre realmente DORA

La EIOPA enumera lo que cubre DORA en seis partes, que se agrupan en cinco obligaciones fundamentales más un mecanismo de supervisión directa para los proveedores de mayor importancia sistémica.

Gestión del riesgo de las TIC establece la base: las entidades necesitan un marco documentado para identificar la tecnología de la que depende su negocio y supervisarla continuamente, no una política estática revisada una vez al año.

Gestión de incidentes relacionados con las TIC abarca cómo las entidades detectan, clasifican y notifican los incidentes a los reguladores, incluidos los plazos que determinan la rapidez con la que debe escalarse un incidente grave.

Pruebas de resiliencia operativa digital exige a las entidades ejecutar un programa de pruebas que va desde comprobaciones básicas hasta la forma más exigente, las pruebas de penetración basadas en amenazas, para las entidades designadas como sistémicamente importantes.

Gestión del riesgo de terceros en el ámbito de las TIC aborda los proveedores de los que dependen las entidades, incluidos los acuerdos de supervisión y las condiciones contractuales que deben establecerse antes de confiar funciones críticas a un proveedor.

Intercambio de información crea un marco, actualmente voluntario, para que las entidades intercambien inteligencia sobre amenazas y lecciones aprendidas de incidentes, con protección legal para el intercambio realizado de buena fe.

Supervisión de proveedores externos críticos es la parte que va más allá de las propias entidades financieras: otorga a los supervisores de la UE autoridad directa sobre las empresas tecnológicas cuyo fallo generaría un riesgo sistémico (EIOPA, Ley de Resiliencia Operativa Digital, consultado en agosto de 2026).

Quién debe cumplir realmente

DORA se aplica a cerca de 20 tipos diferentes de entidades financieras en toda la UE, un alcance que va mucho más allá de los bancos. Incluye empresas de seguros y reaseguros, empresas de inversión, entidades de pago, entidades de dinero electrónico, proveedores de servicios de criptoactivos y los proveedores externos de TIC críticos que les prestan servicios.

No todas las obligaciones se aplican con la misma intensidad a todas las entidades. Las pruebas de penetración basadas en amenazas están reservadas para las entidades que una autoridad nacional designa formalmente como significativas, normalmente los bancos más grandes, las principales aseguradoras y las infraestructuras de mercado de importancia sistémica. La gestión de riesgos de las TIC y la notificación de incidentes de referencia se aplican de forma mucho más amplia, también a las entidades de pago y empresas de inversión más pequeñas.

Una aseguradora mediana y un banco de importancia sistémica global están ambos dentro del alcance, pero la intensidad de lo que DORA espera de cada uno difiere sustancialmente. Aquí es donde la pregunta "¿estamos cumpliendo?" se vuelve realmente complicada: una entidad puede cumplir totalmente con cuatro de las cinco áreas y aun así tener una brecha importante en la quinta, y la brecha que más importa depende totalmente del tamaño y la función de la entidad.

Idea clave: DORA es una regulación de resiliencia operativa, no de ciberseguridad

DORA se lee como una regulación de ciberseguridad, pero funciona como una regulación de resiliencia operativa aplicada a través de mecanismos de ciberseguridad. La distinción no es semántica.

Una regulación de ciberseguridad pregunta si una organización puede detener un ataque. DORA pregunta si una organización puede seguir operando, y demostrar a un regulador que puede seguir operando, cuando algo en su infraestructura tecnológica falla, independientemente de si la causa fue un atacante, una interrupción del proveedor o un error interno.

Ese enfoque cambia lo que debería significar "preparación" en la práctica. Se trata menos de un control único y más de si la organización puede demostrar, cuando se le solicite, que su personal y sus sistemas se comportan tal como indica su documentación.

Para un responsable de cumplimiento o seguridad, el ejercicio útil no es preguntar "¿cumplimos con DORA?" como una sola cuestión, sino mapear cada una de las cinco áreas por separado y ser honesto sobre dónde la evidencia es escasa.

Dos áreas donde esa falta de evidencia aparece con mayor frecuencia son la clasificación de incidentes bajo presión de tiempo y las pruebas de resiliencia frente al comportamiento realista de un atacante. Vale la pena examinar directamente cómo funciona en la práctica el plazo de cuatro horas para la notificación de incidentes y por qué las pruebas de penetración basadas en amenazas deben tener en cuenta tácticas de fraude habilitadas por IA, como la clonación de voz, que los datos del propio FBI de 2025 muestran que ya no son un caso aislado.

Ninguna de las dos se resuelve solo con un documento de políticas. Ambas dependen de que las personas tomen la decisión correcta en condiciones reales, lo cual es una capacidad que vale la pena probar directamente en lugar de darla por sentada.

Considere la brecha que esto crea en la práctica. Una entidad puede tener un plan de respuesta a incidentes totalmente documentado, un calendario de pruebas aprobado y una pista de auditoría impecable, y aun así descubrir durante un incidente real que la persona de guardia no puede aplicar los criterios de clasificación con la suficiente rapidez, o que el escenario del equipo rojo nunca tuvo en cuenta a un interlocutor que suena exactamente igual que un colega de confianza. La documentación demuestra que el plan existe. No demuestra que el plan funcione bajo presión.

DORA todavía se está implementando por etapas. Las normas técnicas siguen finalizándose, los registros de información se siguen perfeccionando año tras año y los supervisores están pasando del diálogo a la revisión activa de lo que las entidades han hecho realmente, no solo de lo que han documentado.

Las organizaciones que tratan a DORA como cinco obligaciones separadas y continuas, en lugar de como un proyecto con fecha de finalización, son las que tienen menos probabilidades de verse obligadas a explicar una brecha que no sabían que tenían.

Esa distinción también determina cómo una función de cumplimiento debe informar internamente sobre el progreso. Una cifra única de "preparación para DORA: 80% completada" en una presentación para la junta directiva oculta qué 20% falta, y la pieza que falta en la notificación de incidentes conlleva un riesgo muy diferente al de la pieza que falta en la supervisión de terceros. Informar el progreso área por área lleva más tiempo de preparación, pero le da a la junta una imagen precisa en lugar de una reconfortante.