Seguridad de la información
DORA
Digital Operational Resilience Act (DORA)
DORA es el reglamento de la Unión Europea que establece normas comunes para la resiliencia operativa digital del sector financiero. Le ayudamos a cerrar las brechas en materia de riesgo de TIC, notificación de incidentes, pruebas y supervisión de terceros, y a demostrar el cumplimiento.
Qué es DORA
El Digital Operational Resilience Act es una ley de la Unión Europea que exige a las entidades financieras resistir, responder y recuperarse de las perturbaciones relacionadas con las TIC. Reúne la gestión del riesgo de TIC, la clasificación y notificación de incidentes, las pruebas de resiliencia operativa y la supervisión de los proveedores terceros de TIC bajo un marco armonizado.
DORA es un reglamento cuyo cumplimiento usted demuestra, supervisado por las autoridades financieras competentes, y no una norma frente a la cual un organismo acreditado le certifica. Sus obligaciones se aplican a una amplia gama de entidades financieras y, mediante disposiciones contractuales y de supervisión, alcanzan a los proveedores de TIC que las atienden.
Los cinco pilares de DORA
Pilar 1 · Gestión del riesgo de TIC
Las entidades financieras deben mantener un marco gobernado de estrategias, políticas y herramientas para identificar los riesgos de TIC, protegerse de ellos y recuperarse, recayendo la responsabilidad última en el órgano de dirección.
Pilar 2 · Notificación de incidentes
Los incidentes graves relacionados con las TIC deben clasificarse según criterios definidos y notificarse a la autoridad competente correspondiente mediante notificaciones inicial, intermedia y final en plazos establecidos.
Pilar 3 · Pruebas de resiliencia operativa digital
Las entidades deben ejecutar un programa de pruebas proporcionado, y las más significativas deben realizar pruebas de penetración basadas en amenazas al menos cada tres años.
Pilar 4 · Gestión del riesgo de terceros de TIC
Los contratos con los proveedores de servicios de TIC deben cumplir cláusulas obligatorias, quedar recogidos en un registro de información, y los proveedores críticos quedan sujetos a un régimen de supervisión europeo específico.
Pilar 5 · Intercambio de información
El reglamento permite a las entidades financieras intercambiar inteligencia sobre ciberamenazas e indicadores dentro de comunidades de confianza de forma voluntaria.
Normas técnicas · RTS e ITS
Las obligaciones de alto nivel se concretan en el plano operativo mediante normas técnicas de regulación y de ejecución elaboradas por las Autoridades Europeas de Supervisión.
Quién lo necesita
- Bancos, aseguradoras, empresas de inversión y otras entidades financieras reguladas que operan en la UE
- Proveedores de servicios de pago, dinero electrónico y criptoactivos dentro del ámbito de las normas financieras de la UE
- Proveedores terceros de TIC cuyos servicios dan soporte a entidades financieras en la UE
Qué obtiene
- Una evaluación de brechas y una hoja de ruta priorizada frente a los requisitos de DORA
- Un marco de gestión del riesgo de TIC con procesos de clasificación y notificación de incidentes
- Un registro de los acuerdos con terceros de TIC y un programa de pruebas de resiliencia
- Un paquete de evidencias de cumplimiento y preparación para la interacción con el supervisor
Los plazos dependen de cómo se aplique DORA a usted, de la madurez de sus acuerdos de riesgo de TIC y de terceros, y de la escala de su entorno. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
DORA entró en vigor en enero de 2023 y se aplica plenamente desde el 17 de enero de 2025, por lo que ahora se espera que las entidades financieras incluidas en su ámbito y sus proveedores de TIC cumplan sus obligaciones en lugar de prepararse para ellas. Los requisitos detallados siguen configurándose mediante normas técnicas de regulación y de ejecución y mediante las orientaciones de supervisión de las Autoridades Europeas de Supervisión, varias de las cuales se finalizaron en torno a la fecha de aplicación y después de ella. La tarea práctica de transición consiste en mantener alineados su marco, su registro de información y sus procesos de incidentes a medida que esas normas se asientan y las autoridades competentes aclaran sus expectativas.
Qué cuesta
DORA es un reglamento cuyo cumplimiento usted demuestra ante su autoridad de supervisión, no una norma con un certificado que comprar, de modo que no lleva asociada ninguna tasa de certificación acreditada. Los costes que van en paralelo son nuestros honorarios de asesoramiento e implementación con alcance definido, presupuestados por adelantado una vez que comprendemos su tamaño, su alcance y su punto de partida, y cualquier aporte independiente que usted decida añadir, como una prueba de resiliencia técnica o basada en amenazas, una auditoría externa, o asesoramiento jurídico y especializado sobre cómo se le aplican las obligaciones. tr3labs nunca es su certificador, auditor ni regulador. Definimos el alcance del trabajo con usted en lugar de presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Evaluación de alcance y brechas
Confirmamos cómo se aplica DORA a usted, comparamos su gestión actual del riesgo de TIC y sus acuerdos de incidentes, pruebas y terceros con sus requisitos, y le entregamos una hoja de ruta priorizada.
Construir el marco
Le ayudamos a implementar el marco de gestión del riesgo de TIC, los procesos de clasificación y notificación de incidentes, y los requisitos de riesgo de terceros y de registro de información que el reglamento prevé.
Pruebas de resiliencia y evidencias
Aportamos pruebas de seguridad y revisiones para dar soporte a su programa de pruebas de resiliencia operativa y reunimos las evidencias que demuestran que el marco está funcionando.
Preparación y apoyo ante el supervisor
Le preparamos para demostrar el cumplimiento ante su autoridad de supervisión y mantenemos el marco actualizado a medida que evolucionan las normas técnicas de DORA.
DORA e ISO 27001 comparados
Ambos abordan el riesgo de TIC y de seguridad de la información, por lo que las empresas suelen suponer que cumplir uno satisface el otro.
| DORA | ISO 27001 | |
|---|---|---|
| Cubre | La resiliencia operativa digital de las entidades financieras de la UE | La gestión de la seguridad de la información para cualquier organización |
| Quién lo exige | Los reguladores financieros y autoridades de supervisión de la UE | Clientes, socios y equipos de compras |
| Idea central | Una obligación legal repartida en cinco pilares de resiliencia | Una norma de sistema de gestión certificable |
| Modelo de auditoría | Supervisión prudencial, sin certificado | Organismo de certificación independiente acreditado |
| Alcance de aplicación | Las entidades financieras y sus terceros de TIC | Cualquier organización, adopción voluntaria |
| A menudo se mantiene con | ISO 27001 como base de controles | DORA, NIS2 y regulaciones sectoriales |
Preguntas frecuentes sobre DORA
- ¿Se aplica DORA a los proveedores de TIC además de a las empresas financieras?
- Sí. DORA impone obligaciones directas a las entidades financieras y alcanza a los proveedores terceros de TIC mediante requisitos contractuales, y los proveedores críticos pueden quedar sujetos a un régimen de supervisión específico. Le ayudamos a establecer cómo se aplica a usted durante la definición del alcance.
- ¿Es DORA una certificación?
- No. Es un reglamento de la UE cuyo cumplimiento usted demuestra ante su autoridad de supervisión, no una norma certificable. Construimos el marco y las evidencias y le preparamos para la interacción con el supervisor.
- ¿Cómo se relaciona DORA con ISO 27001?
- Un sistema de gestión de la seguridad de la información maduro le proporciona una base sólida, pero DORA añade obligaciones específicas sobre notificación de incidentes, pruebas de resiliencia y supervisión de terceros de TIC. Comparamos lo que ya tiene y cerramos las brechas propias de DORA.
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura