Si tu empresa presta servicios tecnológicos a un banco, una aseguradora o una fintech, es muy probable que ya hayas recibido un correo pidiéndote garantías que antes nadie te exigía. No es casualidad ni celo excesivo del cliente: es DORA, y desde el 17 de enero de 2025 cambió las reglas del juego para todo el ecosistema financiero europeo y para quien le da soporte tecnológico. En 2026, además, ese cambio ya no está «entrando en vigor»: está siendo fiscalizado activamente.
En Enfoke llevamos meses viendo cómo despachos, consultoras y pymes tecnológicas nos preguntan lo mismo: «¿esto va conmigo?» y «¿esto sustituye al RGPD o se suma?». Vamos a responder a las dos preguntas sin rodeos, con el estado normativo actualizado a mediados de 2026.
¿Qué es el Reglamento DORA?
DORA son las siglas de Digital Operational Resilience Act, aunque su nombre oficial es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero.
Dos matices importan aquí:
- Es un reglamento, no una directiva. Se aplica directamente en España, Alemania, Francia o cualquier otro Estado miembro sin necesidad de transposición nacional. No hay margen para versiones «suavizadas» según el país.
- Es de aplicación obligatoria desde el 17 de enero de 2025. Esa fecha marcó el fin del periodo de adaptación de dos años; desde entonces no hay una segunda fase transitoria, y quien no estaba listo incurre en incumplimiento desde ese mismo momento.
El objetivo de fondo es simple de explicar y exigente de cumplir: la estabilidad de una entidad financiera ya no depende solo de su solvencia, sino también de su capacidad de resistir, responder y recuperarse de incidentes relacionados con sus sistemas TIC (tecnologías de la información y la comunicación).
¿A quién afecta realmente DORA?
Aquí está el error más habitual: pensar que «esto es cosa de bancos». DORA cubre 21 categorías de entidades financieras, entre ellas entidades de crédito, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, gestoras de fondos, aseguradoras, reaseguradoras y proveedores de criptoactivos.
Pero el punto que de verdad debería importarte si trabajas en el sector TIC es este: DORA también alcanza a los proveedores tecnológicos que dan servicio a esas entidades. Esto incluye, entre otros:
- Proveedores de servicios cloud y centros de datos.
- Desarrolladores de software especializado para el sector financiero.
- Proveedores de servicios de análisis de datos.
- Empresas de ciberseguridad, hosting o soporte TIC que trabajen para bancos, aseguradoras o fintechs.
No todos estos proveedores tienen el mismo nivel de obligación. Las Autoridades Europeas de Supervisión (ESAs: EBA, ESMA y EIOPA) designan como proveedores terceros críticos de TIC (CTPP) a aquellos cuya caída tendría un impacto sistémico, y a estos se les aplica un régimen de supervisión directa a través de Joint Examination Teams.
Novedad relevante de 2026: esto dejó de ser una figura teórica. El 18 de noviembre de 2025, las ESAs publicaron la primera lista oficial de proveedores designados como CTPP: 19 empresas, entre ellas los tres grandes hyperscalers de nube (AWS, Microsoft Azure y Google Cloud), además de Bloomberg, London Stock Exchange Group, IBM, Tata Consultancy Services y Orange. Si tu empresa o tu cliente financiero depende de alguno de estos proveedores, esa dependencia debe quedar documentada en el Registro de Información y evaluada como riesgo de concentración.
El resto de proveedores TIC, aunque no sean «críticos», tampoco quedan fuera: la entidad financiera cliente está obligada a trasladarles contractualmente exigencias de seguridad, continuidad y auditoría que antes eran opcionales.
En la práctica, si eres una consultora TIC, una empresa de desarrollo, un proveedor de hosting o un integrador de sistemas y tienes clientes financieros, es muy probable que te pidan:
- Acreditar medidas de gestión del riesgo TIC.
- Firmar cláusulas contractuales específicas sobre continuidad de negocio y notificación de incidentes (art. 30 del Reglamento).
- Participar en pruebas de resiliencia o facilitar auditorías.
- Aparecer en su «registro de información» sobre proveedores TIC, obligatorio para la entidad financiera y con presentación periódica ante las autoridades competentes.
Existe además un principio de proporcionalidad: las microempresas (menos de 10 empleados o facturación igual o inferior a 2 millones de euros) tienen un régimen simplificado en algunas obligaciones, pero eso no significa que queden exentas del Reglamento.
Los cinco pilares de DORA, en una frase cada uno
Para no perderse en el articulado, conviene tener claro el mapa general. DORA se organiza en cinco bloques que cubren todo el ciclo de vida del riesgo tecnológico:
- Gestión del riesgo TIC: el órgano de dirección asume la responsabilidad última; no se puede delegar todo en el departamento técnico.
- Gestión y notificación de incidentes TIC: procesos para detectar, clasificar y comunicar incidentes graves en plazos ajustados (notificación inicial, informe intermedio e informe final con causa raíz).
- Pruebas de resiliencia operativa digital: desde pruebas anuales de sistemas críticos hasta los TLPT (Threat-Led Penetration Testing), obligatorios cada tres años para entidades designadas como significativas y basados en el marco TIBER-EU del BCE.
- Gestión del riesgo de terceros: aquí es donde entran de lleno los proveedores TIC, con registro de contratos y cláusulas mínimas obligatorias.
- Intercambio de información sobre amenazas: de carácter voluntario entre entidades financieras, pero siempre respetando la confidencialidad y el RGPD.
2026: de la implantación a la supervisión activa
Este es el matiz que más ha cambiado desde que DORA entró en aplicación. Durante 2025, el enfoque supervisor fue en buena medida de acompañamiento: publicación de normas técnicas (RTS/ITS), guías y un cierto margen de tolerancia mientras las entidades montaban sus estructuras internas.
En 2026 esa fase ha terminado. Los supervisores —nacionales y europeos— han pasado a exigir evidencias reales: métricas de disponibilidad, tiempos de detección y respuesta, resultados de pruebas efectivas, y no solo políticas documentadas en PDF. Algunos indicadores concretos de este cambio de fase:
- El ciclo 2026 del Registro de Información (RoI), con fecha de referencia a 31 de diciembre de 2025, está siendo cruzado de forma automatizada por las autoridades para detectar incoherencias entre entidades.
- Las sanciones ya previstas por el Reglamento son significativas: hasta el 2% de la facturación anual global o 10 millones de euros (lo que sea mayor) para entidades financieras, y hasta 5 millones de euros más una penalización diaria para proveedores críticos en caso de incumplimiento continuado.
- En España, el régimen sancionador nacional específico se está tramitando a través del Anteproyecto de Ley de Digitalización y Modernización del Sector Financiero, que recibió dictamen del Consejo Económico y Social en julio de 2025 y continúa su trámite parlamentario. Mientras esta ley no se apruebe, DORA sigue siendo plenamente exigible como reglamento europeo de aplicación directa: no hace falta esperar a la norma española para que las obligaciones corran.
- El propio Reglamento (art. 58.2) preveía que la Comisión Europea presentara, no más tarde del 17 de enero de 2026, un informe de revisión tras consultar a las ESAs, entre otras cosas para valorar si conviene ampliar el ámbito de DORA a nuevos sujetos, como los auditores de cuentas.
Para una empresa TIC que da servicio al sector financiero, la lectura práctica es esta: si en 2025 el objetivo era «tener el proyecto DORA en marcha», en 2026 el estándar exigido es tener controles vivos, con evidencia demostrable ante una auditoría o inspección.
DORA y RGPD: ¿son lo mismo, se solapan o se contradicen?
Ninguna de las tres. Son normas complementarias con objetos distintos que comparten territorio.
- El RGPD protege los datos personales de las personas físicas: cómo se recogen, tratan, ceden y protegen.
- DORA protege la continuidad operativa de los sistemas TIC del sector financiero: que no se caigan, que resistan ataques y que se recuperen rápido.
El problema —y la razón por la que este tema debería estar en tu radar si ya trabajas en protección de datos— es que en la mayoría de incidentes reales, ambas dimensiones aparecen a la vez. Un ciberataque que tumba los sistemas de un banco casi siempre implica también un acceso no autorizado a datos personales de clientes.
Esto genera al menos tres puntos de fricción práctica que conviene tener resueltos antes de que ocurra un incidente:
1. Doble plazo de notificación
Cuando un incidente TIC afecta a datos personales, hay que cumplir dos plazos:
- El plazo de notificación de incidentes de DORA, con una notificación inicial a la autoridad competente lo antes posible tras la clasificación como grave, seguida de una notificación intermedia y otra final con causa raíz y medidas correctivas.
- El plazo de 72 horas del artículo 33 del RGPD para notificar a la autoridad de protección de datos (la AEPD, en el caso español).
Son dos flujos que operan en paralelo, con destinatarios distintos, formatos distintos y contenidos distintos. Tratarlos como si fueran el mismo trámite es el error más caro que puede cometer una entidad o un proveedor TIC en pleno incidente.
2. Terceros proveedores: DORA habla de «riesgo TIC», el RGPD habla de «encargados de tratamiento»
Si eres un proveedor TIC que trata datos personales por cuenta de una entidad financiera, ya tenías que tener firmado un contrato de encargado de tratamiento conforme al artículo 28 del RGPD. Con DORA, ese mismo contrato tendrá que incorporar además cláusulas sobre continuidad de negocio, derecho de auditoría y niveles de servicio de seguridad TIC (art. 30). En la práctica, muchas empresas van a tener que revisar y ampliar contratos que creían ya cerrados, especialmente si en 2026 aún no han incorporado estas cláusulas.
3. Evaluaciones de impacto que se pueden reutilizar (en parte)
Las evaluaciones de impacto relativas a la protección de datos (EIPD) y los análisis de riesgo TIC que exige DORA no son lo mismo, pero comparten información valiosa: activos, amenazas, vulnerabilidades y medidas de mitigación. Aprovechar ese trabajo ya hecho evita duplicidades y da coherencia a todo el sistema de gestión de riesgos de la organización.
¿Qué debe hacer una empresa TIC que da servicio al sector financiero?
Si tu empresa presta servicios a entidades financieras, estas son las líneas de trabajo prioritarias en 2026:
- Revisar los contratos vigentes con clientes financieros e identificar si ya incluyen cláusulas DORA (gestión de incidentes, continuidad, auditoría, estrategia de salida).
- Actualizar el contrato de encargado de tratamiento si además tratas datos personales por cuenta del cliente.
- Documentar tu propia gestión del riesgo TIC, aunque no seas un proveedor «crítico»: la entidad financiera te lo va a pedir tarde o temprano, y en 2026 ya lo está pidiendo con evidencias, no solo con declaraciones.
- Comprobar si dependes, directa o indirectamente, de alguno de los 19 proveedores ya designados como CTPP, y anticipar que tu cliente financiero puede pedirte esa trazabilidad para su propio Registro de Información.
- Definir un procedimiento de notificación de incidentes que distinga claramente qué se comunica a tu cliente financiero (para que cumpla DORA) y qué corresponde notificar como brecha de seguridad conforme al RGPD.
- Formar a los equipos técnicos y legales para que entiendan que un mismo incidente puede activar obligaciones distintas y no excluyentes.
Preguntas frecuentes sobre DORA y protección de datos
¿DORA sustituye al RGPD? No. Son reglamentos independientes con objetos de protección distintos: DORA regula la resiliencia de los sistemas TIC del sector financiero; el RGPD regula el tratamiento de datos personales. Ambos se aplican de forma simultánea cuando corresponde.
¿Mi empresa de software está obligada por DORA si no soy un banco? Si prestas servicios TIC a una entidad financiera, sí puedes estar afectado, aunque el nivel de exigencia dependa de si eres designado proveedor crítico (CTPP) o no. En cualquier caso, es previsible que tu cliente financiero te traslade obligaciones contractuales derivadas de DORA.
¿Qué pasa si un incidente TIC afecta a datos personales de clientes? Hay que valorar y, en su caso, activar dos notificaciones distintas: la de DORA a la autoridad competente del sector financiero y la del artículo 33 del RGPD a la autoridad de protección de datos, dentro de sus respectivos plazos.
¿Las microempresas quedan exentas de DORA? No quedan exentas, aunque DORA prevé un régimen simplificado y proporcional para microempresas (menos de 10 empleados o facturación igual o inferior a 2 millones de euros) en algunas de sus obligaciones.
¿Ya se sabe qué proveedores tecnológicos son «críticos» a nivel europeo? Sí. Desde noviembre de 2025 existe una primera lista oficial de 19 CTPP, con hyperscalers de nube y proveedores de datos financieros entre ellos, sometidos a supervisión directa de las ESAs.
En resumen
DORA no es una norma más para el departamento de cumplimiento del banco de turno: es un cambio de paradigma que arrastra a toda su cadena de proveedores tecnológicos, y que convive —sin sustituirla— con la normativa de protección de datos que ya conocemos. En 2026, además, ha dejado de ser un proyecto de adaptación para convertirse en un estándar de supervisión activa con evidencias exigibles. Si tu empresa trabaja para el sector financiero, revisar hoy tus contratos y tus procedimientos de gestión de incidentes te ahorrará muchos problemas mañana.
