DORA · Reglamento de resiliencia operativa digital
Reglamento (UE) 2022/2554 · Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014, (UE) nº 909/2014 y (UE) 2016/1011.
Situación jurídica
- En vigor desde
- 16 de enero de 2023 art. 64 (vigésimo día siguiente a la publicación); BOE, análisis de DOUE-L-2022-81962: 'Fecha de entrada en vigor: 16/01/2023'
- Aplicable desde
- 17 de enero de 2025 art. 64, párrafo segundo ('Será aplicable a partir del 17 de enero de 2025')
- Reformas en tramitación
- Propuesta de Reglamento 'Ómnibus Digital' (simplificación del marco legislativo digital, COM(2025) 837), que entre otros actos modifica el Reglamento (UE) 2022/2554. El alcance concreto del cambio en DORA está pendiente de comprobar en el texto oficial de la propuesta. Propuesta de la Comisión (19/11/2025), procedimiento 2025/0360(COD). Según el Observatorio Legislativo del Parlamento Europeo, consultado el 12/11/2026: 'Awaiting committee decision' (último evento: enmiendas presentadas en comisión el 27/07/2026). No adoptada., 19 de noviembre de 2025 →
Situación jurídica revisada el 12 de noviembre de 2026 por The Neural Herald · Publicaciones incorporadas hasta el 13 de octubre de 2026
Qué es
Profesional
DORA establece un marco uniforme de resiliencia operativa digital para veinte categorías de entidades financieras de la UE, aplicable desde el 17 de enero de 2025 (art. 64). Exige un marco de gestión del riesgo TIC bajo responsabilidad del órgano de dirección, la clasificación y notificación de incidentes graves con plazos fijados por RTS, un programa de pruebas que incluye TLPT al menos cada tres años para las entidades designadas, y la gestión del riesgo TIC de terceros mediante un registro de información y cláusulas contractuales mínimas. Su aplicación es proporcional (art. 4) y existe un marco simplificado para determinadas entidades (art. 16). Además, crea un marco de supervisión directa por las AES de los proveedores terceros esenciales de servicios TIC, cuya primera lista se publicó el 18 de noviembre de 2025.
Divulgativa
DORA es una norma europea que obliga a bancos, aseguradoras, gestoras, empresas de inversión y otras entidades financieras a estar preparadas para fallos informáticos y ciberataques. Desde el 17 de enero de 2025 deben tener planes para proteger sus sistemas, avisar al supervisor en pocas horas cuando sufran un incidente grave e informar a los clientes afectados en su dinero. Las entidades que no son microempresas deben poner a prueba sus sistemas de forma periódica y algunas, señaladas por el supervisor, simular ataques reales al menos cada tres años. También deben controlar a las empresas tecnológicas que les prestan servicios, y las más importantes de estas (como grandes proveedores de nube) pasan a ser vigiladas directamente por los supervisores europeos. Las obligaciones se ajustan al tamaño y al riesgo de cada entidad, y algunas pequeñas tienen un régimen más sencillo.
A quién se aplica
- entidades de crédito
- entidades de pago, incluidas las exentas en virtud de la Directiva (UE) 2015/2366
- proveedores de servicios de información sobre cuentas
- entidades de dinero electrónico, incluidas las exentas en virtud de la Directiva 2009/110/CE
- empresas de servicios de inversión
- proveedores de servicios de criptoactivos autorizados en virtud del Reglamento relativo a los mercados de criptoactivos, y emisores de fichas referenciadas a activos
- depositarios centrales de valores
- entidades de contrapartida central
- centros de negociación
- registros de operaciones
- gestores de fondos de inversión alternativos
- sociedades de gestión
- proveedores de servicios de suministro de datos
- empresas de seguros y de reaseguros
- intermediarios de seguros, de reaseguros y de seguros complementarios
- fondos de pensiones de empleo
- agencias de calificación crediticia
- administradores de índices de referencia cruciales
- proveedores de servicios de financiación participativa
- registros de titulizaciones
- proveedores terceros de servicios de TIC (no son 'entidades financieras'; les afecta sobre todo el capítulo V)
Exclusiones:
- gestores de fondos de inversión alternativos contemplados en el art. 3.2 de la Directiva 2011/61/UE
- empresas de seguros y de reaseguros contempladas en el art. 4 de la Directiva 2009/138/CE
- fondos de pensiones de empleo que gestionen planes con no más de quince partícipes en total
- personas exentas en virtud de los arts. 2 y 3 de la Directiva 2014/65/UE
- intermediarios de seguros, de reaseguros y de seguros complementarios que sean microempresas o pymes
- oficinas de cheques postales del art. 2.5.3 de la Directiva 2013/36/UE
- los Estados miembros pueden excluir a las entidades del art. 2.5, puntos 4 a 23, de la Directiva 2013/36/UE situadas en su territorio (art. 2.4)
art. 2 (apartados 1, 3 y 4); proporcionalidad: art. 4; marco simplificado: art. 16
Qué exige y qué revisar
| Obligación | Quién | Desde | Base |
|---|---|---|---|
| El órgano de dirección define, aprueba y supervisa el marco de gestión del riesgo TIC y responde de su aplicación. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 5 |
| Disponer de un marco de gestión del riesgo TIC documentado (identificación, protección, detección, respuesta y recuperación, copias de respaldo, aprendizaje, comunicación) y revisarlo al menos una vez al año (periódicamente en microempresas). | Entidades financieras (art. 2.1 a-t), salvo las del art. 16.1 | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">arts. 6-15; desarrollo: Reglamento Delegado (UE) 2024/1774 |
| Aplicar un marco simplificado de gestión del riesgo TIC en lugar de los arts. 5 a 15. | Empresas de servicios de inversión pequeñas y no interconectadas, entidades de pago y de dinero electrónico exentas, entidades exentas de la Directiva 2013/36/UE no excluidas por su Estado miembro y fondos de pensiones de empleo pequeños | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 16; desarrollo: Reglamento Delegado (UE) 2024/1774 |
| Establecer un proceso de gestión de incidentes TIC, registrar todos los incidentes TIC y las ciberamenazas importantes y clasificarlos según los criterios de los RTS. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">arts. 17-18; desarrollo: Reglamento Delegado (UE) 2024/1772 |
| Notificar los incidentes graves relacionados con las TIC a la autoridad competente: notificación inicial (en 4 horas desde su clasificación como grave y a más tardar 24 horas desde que se tuvo conocimiento), informe intermedio (a más tardar 72 horas desde la notificación inicial) e informe final (a más tardar un mes después del último informe intermedio), con plantillas normalizadas. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 19.1 y 19.4; plazos: art. 5 del Reglamento Delegado (UE) 2025/301; plantillas: Reglamento de Ejecución (UE) 2025/302 |
| Informar sin demora indebida a los clientes de un incidente grave que afecte a sus intereses financieros y de las medidas adoptadas. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 19.3 |
| Notificación voluntaria de ciberamenazas importantes a la autoridad competente. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 19.2 |
| Mantener un programa de pruebas de resiliencia operativa digital basado en el riesgo, realizado por partes independientes (internas o externas), y corregir las deficiencias detectadas. | Entidades financieras que no sean microempresas | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">arts. 24-25 |
| Realizar al menos cada tres años pruebas de penetración basadas en amenazas (TLPT) sobre sistemas de producción que sustenten funciones esenciales o importantes; la autoridad competente puede variar la frecuencia. | Entidades financieras determinadas por las autoridades competentes (art. 26.8, párrafo tercero), salvo las del art. 16.1 y las microempresas | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">arts. 26-27; desarrollo: Reglamento Delegado (UE) 2025/1190 |
| Adoptar y revisar una estrategia de riesgo TIC derivado de terceros, con una política sobre servicios TIC que sustenten funciones esenciales o importantes. | Entidades financieras salvo las del art. 16.1 y las microempresas | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 28.2; desarrollo: Reglamento Delegado (UE) 2024/1773 |
| Mantener un registro de información de todos los acuerdos contractuales sobre servicios TIC con terceros (individual, subconsolidado y consolidado), ponerlo a disposición de la autoridad competente cuando lo solicite e informar al menos una vez al año sobre nuevos acuerdos. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 28.3; plantillas: Reglamento de Ejecución (UE) 2024/2956 |
| Evaluar los riesgos antes de contratar servicios TIC, incluido el riesgo de concentración, y disponer de estrategias de salida para servicios que sustenten funciones esenciales o importantes. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">arts. 28.4, 28.8 y 29 |
| Incluir en los contratos de servicios TIC las cláusulas mínimas exigidas, con requisitos adicionales cuando sustenten funciones esenciales o importantes, y evaluar la subcontratación de esos servicios. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 30; subcontratación: Reglamento Delegado (UE) 2025/532 |
| Recurrir a un proveedor tercero esencial de servicios TIC establecido en un tercer país solo si ha establecido una filial en la Unión en los 12 meses siguientes a su designación. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 31.12 |
| Comunicar a la autoridad competente, si esta lo solicita, una estimación de los costes y pérdidas anuales agregados causados por incidentes graves relacionados con las TIC. | Entidades financieras que no sean microempresas | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 11.10; Directrices conjuntas JC 2024/34 (aplicables desde el 19/05/2025) |
| Notificar a las autoridades competentes la incorporación a acuerdos de intercambio de información sobre ciberamenazas, o el cese en ellos. | Entidades financieras (art. 2.1 a-t) | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">art. 45.3 |
| Someterse al marco de supervisión de la UE (solicitudes de información, investigaciones, inspecciones, recomendaciones) y pagar las tasas de supervisión. | Proveedores terceros esenciales de servicios TIC designados por las AES | 17 de enero de 2025 | ↗" target="_blank" rel="noopener">arts. 31-43; criterios: Reglamento Delegado (UE) 2024/1502; tasas: Reglamento Delegado (UE) 2024/1505 |
Orientación general basada en el texto oficial. No es asesoramiento jurídico ni un diagnóstico de cumplimiento.
Próximos hitos
17 de enero de 2028Fecha límite para la revisión de DORA por la Comisión (criterios de designación de proveedores esenciales, notificación voluntaria de ciberamenazas, régimen de proveedores de terceros países, entre otros), con informe y, en su caso, propuesta legislativa. art. 58.1
Hitos recientes
29 de marzo de 2026Fin del plazo para que las entidades requeridas por la CNMV le remitan el registro de información (fecha de referencia 31/12/2025; subsanaciones hasta el 22/04/2026). ↗
17 de enero de 2026Fecha límite para que la Comisión presente un informe sobre la conveniencia de reforzar los requisitos de resiliencia digital para auditores legales y sociedades de auditoría. art. 58.3
18 de noviembre de 2025Las AES (EBA, EIOPA y ESMA) publican la primera lista de proveedores terceros esenciales de servicios TIC (19 proveedores). ↗
17 de enero de 2025DORA pasa a ser aplicable. art. 64
Mapa de textos
Texto de la norma
- Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero (DORA) 27 de diciembre de 2022
- Directiva (UE) 2022/2556 por la que se modifican las Directivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 en lo relativo a la resiliencia operativa digital del sector financiero 27 de diciembre de 2022
Desarrollo (normas técnicas y actos delegados)
- Reglamento Delegado (UE) 2024/1502: criterios para designar proveedores terceros de servicios TIC como esenciales 30 de mayo de 2024
- Reglamento Delegado (UE) 2024/1505: tasas de supervisión de los proveedores terceros esenciales de servicios TIC 30 de mayo de 2024
- Reglamento Delegado (UE) 2024/1772 (RTS): clasificación de incidentes relacionados con las TIC y ciberamenazas, umbrales de importancia relativa 25 de junio de 2024
- Reglamento Delegado (UE) 2024/1773 (RTS): política sobre acuerdos contractuales de servicios TIC que sustentan funciones esenciales o importantes 25 de junio de 2024
- Reglamento Delegado (UE) 2024/1774 (RTS): herramientas, métodos, procesos y políticas de gestión del riesgo TIC y marco simplificado 25 de junio de 2024
- Reglamento de Ejecución (UE) 2024/2956 (ITS): plantillas normalizadas para el registro de información 2 de diciembre de 2024
- Corrección de errores del Reglamento de Ejecución (UE) 2024/2956 19 de septiembre de 2025
- Reglamento Delegado (UE) 2025/295 (RTS): armonización de las condiciones para las actividades de supervisión 13 de febrero de 2025
- Reglamento Delegado (UE) 2025/301 (RTS): contenido y plazos de la notificación inicial y de los informes intermedio y final de incidentes graves; notificación voluntaria de ciberamenazas 20 de febrero de 2025
- Reglamento de Ejecución (UE) 2025/302 (ITS): formularios, plantillas y procedimientos para notificar incidentes graves y ciberamenazas importantes 20 de febrero de 2025
- Reglamento Delegado (UE) 2025/420 (RTS): composición, designación, tareas y modalidades de trabajo del equipo conjunto de examinadores 24 de marzo de 2025
- Reglamento Delegado (UE) 2025/1190 (RTS): pruebas de penetración basadas en amenazas (TLPT) 18 de junio de 2025
- Reglamento Delegado (UE) 2025/532 (RTS): subcontratación de servicios TIC que sustentan funciones esenciales o importantes 2 de julio de 2025
Directrices y preguntas y respuestas (no vinculantes)
- Directrices conjuntas sobre la cooperación en materia de supervisión y el intercambio de información entre las AES y las autoridades competentes (JC 2024/36), aplicables desde el 17/01/2025 (no son ley; régimen de 'cumplir o explicar') EBA/EIOPA/ESMA 17 de julio de 2024
- Directrices conjuntas sobre la estimación de los costes y pérdidas anuales agregados causados por incidentes graves relacionados con las TIC (JC 2024/34), aplicables desde el 19/05/2025 (no son ley) EBA/EIOPA/ESMA 17 de julio de 2024
- Lista de proveedores terceros esenciales de servicios TIC designados (art. 31.9 DORA) EBA/EIOPA/ESMA 18 de noviembre de 2025
- Q&A conjuntas de las AES sobre DORA en la herramienta Single Rulebook Q&A de la EBA (interpretaciones no vinculantes). Ejemplo: Q&A 2024_7290 sobre servicios TIC y procesamiento de pagos EBA/EIOPA/ESMA 14 de noviembre de 2025
Autoridades
- EBA, EIOPA y ESMA (AES): Designan a los proveedores terceros esenciales de servicios TIC a través del Comité Mixto, publican y actualizan anualmente su lista y actúan como supervisor principal de cada uno (arts. 31-44); elaboran los proyectos de RTS/ITS, directrices y Q&A.
- Comisión Europea: Adopta los actos delegados y de ejecución que desarrollan DORA y realiza las revisiones previstas en el art. 58.
- BCE: Autoridad competente para las entidades de crédito significativas (art. 46, letra a); recibe a través de la autoridad nacional las notificaciones de incidentes graves de esas entidades (art. 19.1).
- Autoridades competentes nacionales: Velan por el cumplimiento de DORA por las entidades financieras según el reparto sectorial del art. 46, reciben las notificaciones de incidentes y los registros de información y pueden imponer sanciones y medidas correctoras (arts. 50-51).
- CNMV: Requiere y recibe el registro de información de proveedores TIC de las entidades que supervisa y ha adoptado las Directrices conjuntas sobre cooperación en materia de supervisión (guías operativas de 20/02/2025 y 12/02/2026).
Publicaciones de los supervisores sobre esta norma
Recogidas automáticamente de CNMV, Banco de España, BCE, ESMA, EBA y EIOPA desde enero de 2025. Cobertura parcial: no incluye todo lo publicado antes de 2025.
- 13 de octubre de 2026ESMAPrograma de trabajo anual 2027 del Comité ConjuntoReport · la menciona
- 13 de octubre de 2026ESMALas Autoridades Europeas de Supervisión fijan sus prioridades para 2027Noticia · la menciona
- 13 de octubre de 2026EBALas Autoridades Europeas de Supervisión fijan sus prioridades para 2027Press Release · la menciona
- 13 de octubre de 2026EIOPALas Autoridades Europeas de Supervisión fijan sus prioridades para 2027News article · la menciona
- 18 de septiembre de 2026EBAThe EBA publishes its final Guidelines on the management of third-party risk, delivering a more proportionate and consistent framework aligned with DORAPress Release · trata la norma
- 16 de septiembre de 2026EBADORA incident reporting - Operational InstructionsDocumento · trata la norma
- 8 de julio de 2026ESMAESMA launches Common Supervisory Action on CASPs’ digital operational resilience for custodyNoticia · trata la norma
- 16 de junio de 2026EBAThe EBA publishes its 2025 Annual Report outlining key achievementsPress Release · la menciona
- 3 de junio de 2026ESMAESAs publish the first report on DORA major ICT-related incidentsNoticia · trata la norma
- 3 de junio de 2026EBAESAs publish the first report on DORA major ICT-related incidentsPress Release · trata la norma
- 3 de junio de 2026EIOPAESAs publish the first report on DORA major ICT-related incidentsNews article · trata la norma
- 24 de abril de 2026ESMAJoint Committee annual report highlights digitalisation, cyber resilience and sustainable finance as key priorities of 2025Noticia · la menciona
- 24 de abril de 2026EBAThe ESA’s Joint Committee highlights digitalisation, cyber resilience and sustainable finance as key priorities of 2025Press Release · la menciona
- 23 de febrero de 2026EBAThe EBA publishes follow-up Report on ICT risk assessment under the Supervisory Review and Evaluation ProcessPress Release · la menciona
- 12 de febrero de 2026CNMVLa CNMV publica preguntas frecuentes sobre el Reglamento de resiliencia operativa digital (DORA)Nota de prensa · trata la norma
- 16 de enero de 2026ESMADecision of the Board of Supervisors delegating to the Chair of ESMA the adoption of non-controversial Q&As under DORADecision · trata la norma
- 16 de enero de 2026EIOPABoS Decision on the Delegation of certain DORA Q&As to the ChairpersonGeneral publications · trata la norma
- 14 de enero de 2026ESMAThe European Supervisory Authorities and UK financial regulators sign Memorandum of Understanding on oversight of critical ICT third-party service providers under DORANoticia · trata la norma
- 14 de enero de 2026EBAMemorandum of Understanding on DORA oversight of critical ICT third-party service providers in EU and UKOther publication · trata la norma
- 14 de enero de 2026EBAESAs targeted equivalence assessment of DORA confidentiality and professional secrecy regimesOther publication · trata la norma
- 14 de enero de 2026EBAThe European Supervisory Authorities and UK financial regulators sign Memorandum of Understanding on oversight of critical ICT third-party service providers under DORAPress Release · trata la norma
- 14 de enero de 2026EIOPAEuropean Supervisory Authorities and UK financial regulators sign Memorandum of Understanding on oversight of critical ICT third-party service providers under DORANews article · trata la norma
- 17 de diciembre de 2025ESMAJoint ESAs Report in response to the European Commission consultation pursuant to Article 58(3) of Regulation (EU) 2022/2554 (DORA)Report · trata la norma
- 17 de diciembre de 2025EBAJoint ESAs Report on Consultation pursuant to Article 58 of DORAReport · trata la norma
- 17 de diciembre de 2025EIOPAJoint ESAs Report in response to the European Commission consultation pursuant to Article 58(3) of Regulation (EU) 2022/2554 (DORA)Report · trata la norma
- 21 de noviembre de 2025BCETIBER-EU guide - How to implement the TIBER-EU framework for the DORA TLPT of significant institutionsGuia supervisora · trata la norma
- 18 de noviembre de 2025ESMAThe European Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience ActNoticia · trata la norma
- 18 de noviembre de 2025EBAThe European Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience ActPress Release · trata la norma
- 18 de noviembre de 2025EIOPAEuropean Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience ActNews article · trata la norma
- 16 de octubre de 2025EBAESAs’ Joint Committee publishes Work Programme for 2026Press Release · la menciona
- 16 de octubre de 2025EIOPAESAs’ Joint Committee publishes Work Programme for 2026News article · la menciona
- 14 de octubre de 2025EBAJoint General Privacy statement - DORA OversightDocumento · trata la norma
- 7 de agosto de 2025EBAThe EBA consults on revised Guidelines on internal governancePress Release · la menciona
- 15 de julio de 2025EBAESAs publish guide on DORA Oversight activitiesPress Release · trata la norma
- 15 de julio de 2025EBAGuide on DORA oversight of critical third-party providers activitiesOther publication · trata la norma
- 15 de julio de 2025EIOPAESAs publish guide on DORA Oversight activitiesNews article · trata la norma
- 15 de julio de 2025EIOPADORA Oversight GuideGeneral publications · trata la norma
- 8 de julio de 2025EBAThe EBA launches consultation on its draft Guidelines on third-party risk management with regard to non-ICT related servicesPress Release · la menciona
- 2 de julio de 2025Banco de EspañaReglamento Delegado (UE) 2025/532 de la Comisión de 24 de marzo de 2025 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación que especifican los elementos que debe determinar y evaluar una entidad financiera cuando subcontrata servicios de TIC que sustentan funciones esenciales o importantes (Texto pertinente a efectos del EEE) (DOUE de 2 de julio de 2025)Legislación financiera DOUE · trata la norma
- 24 de junio de 2025EIOPADisclosed documents - FSC Meeting on 18.06.2025 - Progress update on the start of ESAs’ DORA oversight activitiesGeneral publications · trata la norma
Normas relacionadas
NIS2
Historial de la ficha
- 12 de noviembre de 2026: Ficha creada (borrador)
- 12 de noviembre de 2026: Ficha revisada y aprobada para su publicacion
Ficha redactada con ayuda de inteligencia artificial a partir de los textos oficiales enlazados y revisada por el equipo editorial. Es información divulgativa, no asesoramiento jurídico: consulta siempre la norma publicada en el Diario Oficial.