Resume este artículo con tu IA
Tabla de contenidos
La mayor dependencia de las entidades financieras respecto a proveedores, plataformas, sistemas de pagos y soluciones de gestión de tesorería y financiera ha generado un problema para cualquier CFO: ¿qué ocurre si un proveedor sufre una interrupción, un ciberataque o un fallo que afecte a mis procesos básicos?
La respuesta está en el Reglamento DORA sobre resiliencia operativa digital, en vigor desde 2025. Una normativa de la Unión Europea que protege a empresas del territorio comunitario, a grupos internacionales con filiales en la UE y a proveedores de entidades del mercado europeo. Veamos qué es el Reglamento DORA y qué nuevas responsabilidades introduce.
¿A quién afecta el Reglamento DORA? Implicaciones transfronterizas para empresas en España y la UE
El Reglamento DORA (Digital Operational Resilience Act) dibuja un marco legal que refuerza la resiliencia operativa digital del sector financiero europeo. Se aplica a:
- Entidades financieras de la UE.
- Bancos, aseguradoras, entidades de pago y empresas de inversión.
- Filiales europeas de grupos multinacionales.
- Proveedores que prestan servicios a entidades reguladas.
- Proveedores tecnológicos considerados críticos por las autoridades europeas.
En la práctica, una tecnológica ubicada fuera de la UE también se ve indirectamente afectada por DORA si proporciona software, infraestructura cloud o servicios digitales a una entidad europea.
| Para muchas empresas, la regulación DORA es un cambio de paradigma en el que la resiliencia operativa pasa de ser una buena práctica a una obligación legal. |
Doble cumplimiento normativo: Reglamento DORA frente a las regulaciones del Banco de España y la CNMV
Un error frecuente es asumir que cumplir con los requisitos del Banco de España o de la CNMV garantiza el cumplimiento de DORA. No es así.
DORA armoniza requisitos europeos y amplía aspectos relacionados con gestión de riesgos TIC, proveedores, pruebas avanzadas de resiliencia y gobernanza digital. Las entidades que ya cumplen con normativas nacionales parten de una posición favorable, pero siguen teniendo que evaluar posibles brechas por los requisitos del Reglamento DORA.
El riesgo de las externalizaciones intragrupo
Muchas multinacionales centralizan infraestructuras, aplicaciones o servicios en la matriz. Sin embargo, con DORA, una filial europea que usa sistemas gestionados por otra entidad del grupo puede encontrarse ante una situación de externalización tecnológica.
Por eso, la matriz tiene que ser evaluada como cualquier otro proveedor TIC externo en cuanto a gestión de riesgos, controles de seguridad, contratos, auditorías o planes de continuidad operativa. Para los CFOs, es un ámbito donde se abren más desafíos legales.
Los 5 pilares del Reglamento DORA
El Reglamento DORA de resiliencia operativa digital se articula sobre cinco grandes pilares que fortalecen la capacidad de las entidades para prevenir, resistir y recuperarse de incidentes tecnológicos.
1. Gestión de riesgos TIC y responsabilidad del órgano de dirección
DORA exige crear un marco integral de gestión de los riesgos sobre las tecnologías de la información y la comunicación. La responsabilidad será compartida entre los equipos técnicos y la dirección, que supervisará activamente políticas, procedimientos y controles.
2. Gestión de riesgos de terceros (TPRM) y proveedores TIC críticos (CTPP)
La dependencia tecnológica ya es parte de la realidad operativa de toda empresa moderna. Por ello, DORA pone especial atención a la gestión de riesgos de terceros (Third-Party Risk Management o TPRM). Así que ahora, las entidades deben:
- Inventariar proveedores TIC.
- Evaluar riesgos asociados.
- Documentar dependencias críticas.
- Incluir cláusulas regulatorias específicas en los contratos.
- Garantizar derechos de auditoría y acceso a información.
Además, algunos proveedores podrán ser designados como proveedores TIC críticos (Critical Third-Party Providers o CTPP) y, por eso, quedarán sujetos a supervisión europea.
3. Notificación de incidentes graves relacionados con las TIC
La regulación DORA fija unos procedimientos estrictos para clasificar y notificar incidentes tecnológicos. Ante un problema grave, las entidades informarán a las autoridades competentes en unos plazos y formatos concretos (en España, al Banco de España o la CNMV). El objetivo es mejorar la capacidad de respuesta coordinada y limitar el impacto de esos incidentes.
4. Pruebas de resiliencia operativa digital (TLPT)
DORA exige realizar pruebas periódicas para validar la capacidad real de resistencia de las empresas. Aquí destacan las Threat-Led Penetration Tests (TLPT), basadas en escenarios reales de ataque y acordes al marco TIBER-EU. Estos tests ayudan a encontrar vulnerabilidades antes de que sean explotadas y a comprobar la eficacia de los controles.
5. Intercambio de información sobre ciberamenazas
La nueva regulación también promueve mecanismos de colaboración entre entidades para compartir inteligencia sobre amenazas, vulnerabilidades y vectores de ataque. La lógica es que una empresa aislada detecta menos riesgos que un ecosistema conectado, y que el intercambio de información fomenta la detección temprana y la respuesta rápida.
Checklist de cumplimiento DORA para un CFO
Más allá de los requisitos legales, la pregunta clave para una dirección financiera es qué debe hacer a partir de ahora para cumplir con DORA.
1. Realizar un análisis de brechas (Gap Analysis) DORA
Por un lado, debe comparar la situación actual de la organización con las exigencias concretas del reglamento. Es decir, un Gap Analysis que revise aspectos como:
- Gobernanza TIC.
- Gestión de riesgos.
- Inventario de proveedores.
- Procedimientos de incidentes.
- Capacidades de testing.
- Documentación contractual.
Así, priorizas las inversiones y dibujas una hoja de ruta realista de cumplimiento.
2. Resiliencia de la cadena de suministro y revisión de contratos con proveedores TIC
Por otro, muchas organizaciones descubren que el mayor riesgo se encuentra en los sistemas de terceros. Por eso es fundamental revisar los contratos con proveedores, plataformas SaaS y socios tecnológicos para verificar que contemplan:
- Derechos de auditoría.
- Requisitos de seguridad.
- Acceso a información regulatoria.
- Planes de continuidad.
- Obligaciones de notificación de incidentes.
Con tanta dependencia de infraestructuras digitales, la resiliencia de la cadena de suministro tecnológica es un factor estratégico.
Tecnología financiera segura y resiliente
Cumplir con DORA supone revisar tanto los procesos internos como la solidez tecnológica de las herramientas con las que gestionas tus operaciones financieras. Ahí, una plataforma de tesorería con seguridad certificada elimina riesgos y refuerza la resiliencia de procesos como la gestión de caja, la conciliación o la ejecución de pagos.
La infraestructura tecnológica cobra más peso si tu empresa opera con varias entidades o ERPs, o con estructuras corporativas complejas. Una conectividad bancaria vía API, EBICS y SWIFT que sea segura y centralizada es lo ideal, y elementos como la ISO 27001, el cifrado de datos, los controles de acceso y los mecanismos de continuidad del servicio ayudan a que las cadenas de suministro sean más fuertes y acordes a la norma.
Por todo, el Reglamento DORA supone un punto de inflexión para el sector financiero europeo. Con él, la resiliencia operativa digital se asienta como un eje estratégico que determina la gestión del riesgo, la continuidad del negocio y la capacidad de crecimiento de las empresas. Por eso, los CFOs tienen que anticiparse a sus requisitos para no tener que reaccionar más tarde, cuando llegue una temida auditoría o un problema grave.
