¿Incidente en curso? Repórtelo de inmediato — atención en menos de 1 hora.Reportar un incidente
Reglamento europeo que impone requisitos de resiliencia operativa digital a las entidades financieras y a sus proveedores TIC críticos dentro de la Unión Europea.
Dernière mise à jour — 22 de agosto de 2026
Las entidades financieras establecidas en la Unión Europea (bancos, aseguradoras, sociedades de inversión, entre otras), así como sus proveedores de servicios TIC externos considerados críticos. Los proveedores fuera de la UE que prestan servicios a estas entidades están concernidos por repercusión contractual.
DORA exige la gestión de los riesgos relacionados con las TIC, la notificación de incidentes graves, pruebas de resiliencia operativa digital, así como el marco contractual y la supervisión de los proveedores TIC externos, en particular los designados como críticos.
Plazos
El reglamento es directamente aplicable en el conjunto de los Estados miembros desde su entrada en vigor, con modalidades de control propias de cada autoridad nacional competente y, para los proveedores TIC críticos designados, un marco de vigilancia europeo dedicado.
Sanciones
Las sanciones aplicables dependen de las autoridades de supervisión competentes de cada Estado miembro y, para los proveedores TIC críticos designados, del marco de vigilancia europeo previsto por el reglamento. Su naturaleza y su monto se fijan mediante los textos vigentes.
Determinar si la organización es una entidad financiera regulada o un proveedor TIC de dicha entidad
Cartografiar los proveedores TIC externos y su nivel de criticidad
Implementar un marco de gestión de los riesgos relacionados con las TIC
Estructurar la notificación de incidentes graves
Organizar pruebas de resiliencia operativa digital
| Marco | Cubierto |
|---|---|
| nis2 | ✓ |
| iso-27001 | ✓ |
Reciba la checklist por correo electrónico.
Las entidades financieras establecidas en la Unión Europea y sus proveedores de servicios TIC externos, en particular los designados como críticos.
Una empresa marroquí no está directamente regulada, pero puede estar concernida si presta servicios TIC a una entidad financiera europea, que le traslada entonces exigencias contractuales derivadas de DORA.
DORA se dirige específicamente al sector financiero y a su resiliencia operativa digital, mientras que NIS2 cubre un ámbito sectorial más amplio. Ambos textos comparten una lógica cercana en materia de gestión de riesgos y notificación de incidentes.
La entidad financiera europea sigue siendo responsable y traslada contractualmente las exigencias a sus proveedores. Para los proveedores TIC designados como críticos, puede aplicarse un marco de vigilancia europeo específico.
El reglamento no hace obligatoria una certificación particular para el conjunto de los proveedores. La alineación con referenciales reconocidos, como ISO/IEC 27001, permite demostrar una madurez en la gestión de riesgos coherente con las expectativas de DORA.
