Un proveedor IT de un banco regional me contactó en febrero: «¿Estamos sujetos a DORA?». Tenía 12 empleados y gestionaba la infraestructura de tres entidades de crédito. Mi respuesta fue afirmativa. Este escenario no es aislado. Muchas PYMES tecnológicas que operan en el sector financiero se encuentran navegando un panorama normativo en rápida evolución, a menudo sin plena conciencia de sus implicaciones. El Digital Operational Resilience Act (DORA), en vigor desde el 17 de enero de 2025, no es una directiva burocrática más; es un cambio radical en cómo bancos, aseguradoras y sus proveedores IT gestionan el riesgo cibernético y la continuidad operativa. El objetivo es fortalecer la resiliencia operativa digital del sector financiero europeo, asegurando que las interrupciones ICT no comprometan la estabilidad financiera.
DORA en vigor: Quiénes están realmente sujetos al reglamento
DORA extiende su alcance mucho más allá de las instituciones financieras directamente reguladas (bancos, aseguradoras, fondos, etc.). La normativa incluye expresamente a los proveedores de servicios ICT de terceros que ofrecen servicios a estas entidades. Esto significa que si tu empresa suministra software, servicios cloud, conectividad de red, centros de datos o cualquier otro servicio tecnológico que soporte funciones críticas de un banco o una aseguradora, estás sujeto a DORA. No importa el tamaño de tu empresa: el impacto crítico del servicio proporcionado es el factor determinante.
Según un análisis del Financial Stability Board, los incidentes cibernéticos en el sector financiero aumentaron un 10% interanual en 2024, con un costo promedio de 18 millones de euros por brecha (FSB, 2025). DORA busca mitigar estos riesgos.
Los proveedores ICT se clasifican en ‘críticos’ y ‘no críticos’ según el impacto potencial que un fallo suyo podría tener en la entidad financiera. Esta clasificación es crucial porque los proveedores críticos estarán sujetos a un monitoreo directo por parte de las autoridades europeas (ESAs).
La cadena de responsabilidades: Del CIO al proveedor cloud de tercer nivel
Una de las innovaciones más significativas de DORA es la extensión de la responsabilidad. Las entidades financieras ya no pueden delegar completamente el riesgo operativo ICT a sus proveedores. La responsabilidad última recae en la entidad financiera, que debe asegurarse de que sus proveedores cumplan con los mismos estándares de resiliencia. Esto impacta directamente los contratos de servicio (SLA) y exige una debida diligencia continua.
Esto significa que el CIO o CISO de un banco debe tener visibilidad y control no solo sobre los proveedores directos, sino también sobre los sub-proveedores. Si tu servicio cloud se apoya en un centro de datos de terceros, ese centro de datos también entra en la cadena de responsabilidad DORA. El mapeo de la cadena de suministro ICT se convierte así en un ejercicio fundamental.
Ejemplo de cláusula contractual DORA-compliant que se requerirá:
contract_clauses:
- clause_id: "DORA-ICT-001"
description: "Obligación de cumplimiento del Reglamento DORA (UE) 2022/2554 para los servicios ICT proporcionados."
requirements:
- "Implementación de un Marco de Gestión de Riesgos ICT conforme a DORA."
- "Notificación de incidentes ICT graves dentro de los plazos establecidos (4 horas)."
- "Participación en pruebas de resiliencia operativa digital (ej. penetration testing)."
- "Derecho de acceso, inspección y auditoría para la entidad financiera o terceros designados."
- "Planes de estrategia de salida y portabilidad de datos en caso de cese del servicio."Gestión de Riesgos ICT: Qué deben documentar los proveedores
Los proveedores de servicios ICT, especialmente los críticos, deben implementar un marco robusto de gestión de riesgos ICT. Esto incluye la identificación, clasificación, protección, detección, respuesta y recuperación de incidentes ICT. DORA exige una documentación detallada de todas estas actividades, incluyendo:
- Políticas y procedimientos para la gestión de riesgos ICT.
- Mapeo de recursos ICT y dependencias críticas.
- Análisis de impacto (BIA) y evaluación de riesgos.
- Planes de continuidad operativa (BCP) y recuperación ante desastres (DRP) probados regularmente.
- Estrategias de respaldo y recuperación de datos.
- Programas de concienciación sobre seguridad para el personal.
La falta de documentación adecuada puede resultar en incumplimiento y sanciones, además de comprometer la capacidad de una empresa para obtener o mantener contratos con entidades financieras. Un informe de PwC de 2024 indicaba que solo el 35% de las PYMES IT que sirven al sector financiero disponían de un marco de riesgo ICT maduro (PwC, 2024).
Notificación de incidentes: Las 4 horas que lo cambian todo
Este es uno de los aspectos más estrictos de DORA. Los proveedores de servicios ICT que detecten un incidente grave deben notificarlo a la entidad financiera en un plazo máximo de 4 horas desde la detección inicial. Posteriormente, se requieren notificaciones intermedias y una final. Esto obliga a los proveedores a contar con sistemas de monitoreo proactivos, equipos de respuesta a incidentes (CSIRT o SOC) disponibles 24/7 y procesos de comunicación claros y rápidos.
Para gestionar estos plazos, es fundamental implementar soluciones de SIEM/EDR que automaticen la detección y correlación de eventos, además de playbooks de respuesta a incidentes que guíen al equipo paso a paso. La automatización es clave para cumplir con los términos de DORA.
Ejemplo de pseudo-código para un sistema de notificación automática:
import datetime
def notify_dora_incident(incident_id, severity, description, affected_systems):
timestamp = datetime.datetime.now()
message = f"DORA Incident Notification - ID: {incident_id}, Severity: {severity}"
message += f"\nDescription: {description}"
message += f"\nAffected Systems: {', '.join(affected_systems)}"
message += f"\nTimestamp: {timestamp}"
# Log the incident internally
log_incident(incident_id, message)
# Send notification to financial entity (e.g., via API, secure email)
send_secure_email(financial_entity_contact, "DORA Incident Alert", message)
print(f"Incident {incident_id} notified to financial entity.")
# Example usage (triggered by SIEM alert)
# notify_dora_incident(
# incident_id="DORA-2026-001",
# severity="CRITICAL",
# description="Major network outage affecting core banking services",
# affected_systems=["CoreBanking-DB", "OnlineBanking-API"]
# )Terceros críticos: El problema de las cadenas de suministro IT
DORA pone un énfasis particular en la gestión de terceros críticos. Las entidades financieras deben identificar a estos terceros, evaluar los riesgos asociados e implementar medidas de mitigación adecuadas. Para los proveedores ICT, esto significa esperar auditorías, inspecciones y solicitudes de información detallada sobre su seguridad y resiliencia operativa.
Además, DORA exige que los contratos con terceros críticos incluyan cláusulas específicas que garanticen el derecho de la entidad financiera a monitorear el cumplimiento, realizar pruebas y, si es necesario, activar planes de salida. Esto impacta la negociación de contratos y la necesidad de una transparencia sin precedentes sobre su postura de seguridad.
Cómo prepararse si eres un proveedor ICT de entidades financieras
El cumplimiento de DORA no es una opción, sino un requisito para operar en el sector financiero. Aquí tienes los pasos clave para prepararte:
- Análisis de brechas (Gap Analysis): Realiza una evaluación profunda de tus capacidades actuales de gestión de riesgos ICT, resiliencia operativa y procesos de respuesta a incidentes frente a los requisitos de DORA.
- Mapeo de la cadena de suministro: Identifica todas tus dependencias de terceros y sub-proveedores, evaluando su nivel de criticidad.
- Actualización contractual: Revisa y actualiza tus contratos con las entidades financieras y con tus sub-proveedores para incluir las cláusulas específicas de DORA.
- Marco de Gestión de Riesgos ICT: Implementa o refuerza un sistema robusto de gestión de riesgos ICT, documentando políticas, procedimientos y controles.
- Respuesta a incidentes: Desarrolla y prueba planes de respuesta a incidentes, asegurándote de poder cumplir con los tiempos de notificación de 4 horas. Invierte en SIEM/EDR, automatización y formación del equipo.
- Pruebas de resiliencia: Participa activamente en las pruebas de resiliencia operativa digital requeridas por las entidades financieras, incluyendo pruebas de penetración y pruebas de estrés.
- Formación: Asegúrate de que todo el personal relevante esté formado sobre los requisitos de DORA y los procedimientos de seguridad ICT.
Errores Comunes y Resolución de Problemas
El error más común que he encontrado es la subestimación del impacto de DORA en las pequeñas y medianas empresas. Muchos piensan que solo afecta a los gigantes del cloud o a los grandes bancos. Sin embargo, un pequeño proveedor de software que gestiona una aplicación crítica para la contabilidad de un banco está igualmente involucrado.
Otro error es no integrar DORA con otras regulaciones existentes como el GDPR o la NIS2. Aunque tienen enfoques diferentes, existen muchas sinergias. Por ejemplo, un buen plan de respuesta a incidentes para el GDPR puede ser una base para el de DORA, pero con plazos más estrictos y requisitos específicos para los incidentes ICT.
Resolución de problemas: Si te das cuenta de que te estás retrasando con el cumplimiento, la primera acción es un análisis rápido de brechas y la identificación de los proveedores críticos. Paralelamente, inicia un diálogo transparente con tus clientes financieros para comprender sus expectativas y los plazos. A menudo es posible definir un plan de remediación conjunto.
Conclusiones con Puntos Clave Operativos
DORA es un desafío, pero también una oportunidad. Para los proveedores IT, significa elevar significativamente los estándares de seguridad y resiliencia, convirtiéndose en socios aún más confiables para el sector financiero. No esperes al 17 de enero de 2025: la preparación requiere tiempo y recursos. Empieza ya con un análisis de brechas, mapea tus dependencias y fortalece tus procesos de Gestión de Riesgos ICT y respuesta a incidentes. La proactividad te distinguirá en el mercado, garantizando la continuidad de tus servicios y la confianza de tus clientes.
Lee también: Lynis Audit Linux: Guía Práctica de Hardening 2026
Lee también: NIS2 para PYMES: Obligaciones y Sanciones en España 2026
Para profundizar en la normativa DORA, te recomiendo consultar la documentación oficial de la Unión Europea.
Actualizado: junio 2026
