El Reglamento (UE) 2022/2554, conocido como DORA, se publicó el 27 de diciembre de 2022 y es de aplicación desde el 17 de enero de 2025. Lo que no llegó con él fue una lista que aclare a qué entidades aplica DORA.
La CNMV lo plantea sin rodeos en su documento de preguntas frecuentes sobre el Reglamento DORA. Preguntada por si existe en España algún registro oficial que permita consultar las entidades sujetas, la respuesta es que no: «Es responsabilidad de las propias entidades financieras determinar si les aplica el Reglamento DORA y ser proactivas para cumplir con el Reglamento. No deben esperar a que la CNMV u otra autoridad les comunique que les es aplicable».
Esa frase convierte una tarea que suele tratarse como trámite previo en la primera obligación real. Esta pieza no recorre los cinco pilares del reglamento ni entra en las pruebas de resiliencia operativa digital. Delimita a qué entidades aplica DORA, quién queda fuera y por qué la obligación termina alcanzando a proveedores tecnológicos que no son entidades financieras.
¿A qué entidades aplica DORA?
DORA es el reglamento europeo que fija requisitos comunes de resiliencia operativa digital para el sector financiero. Su artículo 2 enumera las categorías de entidades financieras que quedan dentro del ámbito de aplicación, y es una lista larga.
Entran las entidades de crédito, las entidades de pago y de dinero electrónico, las empresas de servicios de inversión, los proveedores de servicios de criptoactivos, los depositarios centrales de valores, las entidades de contrapartida central, los centros de negociación, las sociedades gestoras y los gestores de fondos de inversión alternativos, las entidades de seguros y reaseguros, los intermediarios de seguros, los fondos de pensiones de empleo, los proveedores de servicios de suministro de datos y los proveedores de servicios de financiación participativa.
El criterio geográfico es igual de amplio. El reglamento alcanza a las entidades financieras que ofrecen servicios en la Unión Europea, y la CNMV precisa que las sucursales también quedan obligadas como parte integrante de la entidad. Sus sistemas se integran en el marco de gestión de riesgos de la matriz, sus empleados tienen que conocer las políticas de seguridad aplicables y participar en los planes de formación correspondientes.
La supervisión, en cambio, no se centraliza. Sigue el reparto habitual por tipo de entidad, de modo que la autoridad competente que puede pedirte explicaciones sobre DORA es la misma que ya te supervisa.
| Autoridad competente en España | Entidades que supervisa |
|---|---|
| Banco de España | Entidades de crédito, entidades de pago y de dinero electrónico |
| CNMV | Empresas de servicios de inversión, proveedores de servicios de criptoactivos, infraestructuras de mercado, sociedades gestoras y gestores de fondos de inversión alternativos, proveedores de servicios de suministro de datos y de financiación participativa |
| DGSFP | Entidades de seguros y reaseguros, intermediarios de seguros y fondos de pensiones de empleo |
¿Quién queda fuera del ámbito de aplicación?
Hay exclusiones expresas y conviene leerlas con cuidado, porque son estrechas.
El artículo 2, apartado 3, letra a) deja fuera a los gestores de fondos de inversión alternativos contemplados en el artículo 3.2 de la Directiva 2011/61/UE, siempre que sus carteras gestionadas no superen los 100 millones de euros en total, o los 500 millones cuando estén compuestas exclusivamente por fondos no apalancados y sin derechos de reembolso ejercitables durante un periodo mínimo de cinco años desde la inversión inicial. La CNMV apunta que esas entidades pueden adoptar voluntariamente el marco, sobre todo si prevén un crecimiento que las sitúe por encima de los umbrales.
Las Empresas de Asesoramiento Financiero Nacionales tampoco están sujetas, porque no figuran entre las entidades del artículo 2.1 y no encajan en la definición de empresa de servicios de inversión de MiFID II. Operan bajo un régimen jurídico diferenciado que recoge el artículo 7 del Real Decreto 813/2023.
Fuera de esos casos, el tamaño no funciona como puerta de salida. A algunas entidades, como las empresas de servicios de inversión pequeñas y no interconectadas y las microempresas, se les aplica el marco simplificado de gestión del riesgo relacionado con las TIC del artículo 16, y el artículo 4 introduce el principio de proporcionalidad. Ninguna de las dos cosas es una exención.
La CNMV lo dice de forma explícita: «El Reglamento DORA no exime a las entidades financieras de su cumplimiento basándose únicamente en su tamaño». La proporcionalidad ajusta la intensidad de las medidas al perfil de riesgo y a la complejidad de las operaciones, no la lista de artículos de obligado cumplimiento. Para dimensionar de qué hablamos, el reglamento considera microempresa a la entidad financiera que emplea a menos de diez personas y cuyo volumen de negocios anual o balance anual total no supera los dos millones de euros.
Por qué tu proveedor de TIC también queda dentro
Aquí está el tramo del perímetro que más veces se calcula mal. DORA define los servicios de TIC de forma deliberadamente amplia, como los servicios digitales y de datos prestados a través de sistemas TIC a uno o varios usuarios de forma continua. Con esa definición, casi cualquier plataforma que una entidad financiera use en su operación cotidiana entra en la conversación, y la obligación llega a los proveedores en tres intensidades distintas.
- Proveedor tercero de servicios de TIC. Asume obligaciones de forma indirecta, para que la entidad financiera no incumpla, con determinadas cláusulas derivadas del artículo 30.2 y datos como el código LEI o EUID que la entidad necesita para mantener su registro de información de acuerdos contractuales.
- Proveedor que sustenta funciones esenciales o importantes. Se le exige un clausulado más estricto, el del artículo 30.3, y quedar alineado con la política de contratación y subcontratación de la entidad.
- Proveedor tercero esencial. Cuando las Autoridades Europeas de Supervisión lo designan como esencial conforme al artículo 31, DORA le resulta de aplicación directa y pasa a estar sujeto al marco de supervisión de los artículos 31 a 44.
Dos matices amplían el círculo todavía más. Los proveedores intragrupo cuentan como proveedores terceros, incluso los que son propiedad plena de entidades del mismo grupo, con los mismos requisitos aplicables. Y la cadena de subcontratación entra también, porque el subcontratista tiene que conceder a la entidad financiera y a las autoridades los mismos derechos contractuales de acceso e inspección que el proveedor principal.
El efecto práctico es que una empresa tecnológica que no es entidad financiera puede encontrarse los requisitos de DORA en una negociación contractual, no en un boletín oficial. Es el mismo desplazamiento hacia la cadena de suministro que ya vimos al analizar las exigencias de concientización de la Directiva NIS2.
¿Qué exige DORA sobre las personas cuando te aplica?
Determinado el ámbito, la obligación sobre el personal aparece con nombre propio. El artículo 13, apartado 6, establece que las entidades financieras desarrollarán «programas de sensibilización en materia de seguridad de las TIC y formación sobre resiliencia operativa digital, que constituirán módulos obligatorios en sus programas de formación del personal». El texto oficial en español usa «sensibilización» donde el sector suele decir concientización, y se refiere a lo mismo.
Tres detalles de ese apartado cambian el diseño de un programa. Los programas son aplicables a todos los empleados y al personal de alta dirección. Tienen que tener un nivel de complejidad acorde con las atribuciones de cada función, lo que descarta el curso único para toda la plantilla. Y, cuando proceda, las entidades incluirán también a los proveedores terceros de servicios de TIC en sus planes de formación pertinentes, de modo que la formación cruza el mismo límite que acabamos de trazar.
La alta dirección no queda al margen. El consejo de administración es el responsable último del marco de gestión del riesgo TIC y debe tener conocimiento, competencias y experiencia suficientes sobre riesgo tecnológico y resiliencia digital, además de mantener actualizados esos conocimientos. En el sector financiero eso ya viene ocurriendo con otros marcos, como comenté al repasar el factor humano en las expectativas del supervisor financiero. Cómo se articula un programa así por audiencia está en la página de cumplimiento de DORA de SMARTFENSE.
¿Cómo se demuestra ante la autoridad competente?
Se demuestra con registros, y con registros que hablen de funciones. Un punto que sorprende a quien llega desde otro marco es que una certificación no cierra el asunto: la CNMV señala que la certificación ISO 27001, u otra equivalente, acredita un conjunto de prácticas estándar de ciberseguridad que no están adaptadas a las obligaciones de DORA, y espera que las entidades hagan un análisis de brechas para ver su nivel de adecuación.
Vale también para los proveedores, cuya certificación puede formar parte de la diligencia debida sin sustituirla. La diferencia entre acreditar formación y acreditar comportamiento ya la traté al desglosar el control 6.3 de ISO 27001:2022.
Sobre la capa de personas, la evidencia que sostiene el cumplimiento suele apoyarse en estos elementos:
- Registro de quién recibió sensibilización y formación, cuándo y sobre qué, con cobertura de toda la plantilla y de las sucursales.
- Contenidos diferenciados por función, con un nivel de complejidad justificable frente a las atribuciones de cada puesto.
- Formación del órgano de dirección documentada y sostenida en el tiempo, no una sesión aislada.
- Cobertura de los proveedores terceros de servicios de TIC incluidos en los planes de formación cuando proceda.
- Trazabilidad suficiente para alimentar el informe sobre la revisión del marco de gestión del riesgo que la autoridad competente puede solicitar.
A eso se suma una obligación de reporte que conviene tener en el calendario. Las entidades mantienen un registro de información de todos los acuerdos contractuales sobre el uso de servicios de TIC, que distingue los que sustentan funciones esenciales o importantes de los que no. La CNMV lo requiere con carácter anual, con datos a 31 de diciembre, para remitirlo a las Autoridades Europeas de Supervisión antes del 31 de marzo.
El mismo problema que aparece en cualquier auditoría se repite aquí, y fue desarrollado en las preguntas del auditor que un Excel no contesta.
SMARTFENSE, como plataforma de concientización con presencia en España y LATAM, está pensada para que ese rastro exista sin reconstruirlo a mano. Cada acción de sensibilización, cada evaluación y cada simulación queda registrada y segmentada por grupo y por función, que es la unidad en la que DORA plantea la exigencia. El resto del mapa normativo cubierto está en la página de cumplimiento.
Determinar el ámbito de aplicación es la primera decisión que la entidad toma sobre DORA bajo su propia responsabilidad, y la que después tendrá que justificar. Ese cálculo rara vez se detiene en el organigrama propio, porque sigue por la cadena de proveedores que sostiene cada función esencial. Cuando llegue la pregunta del supervisor, lo que contará será qué puedes demostrar dentro del límite que trazaste.
Deja un comentario