¿Qué entidades financieras están obligadas por DORA en España?

En España, están sujetas a DORA todas las entidades reguladas por el Banco de España (bancos, entidades de crédito, entidades de pago, de dinero electrónico), la CNMV (empresas de inversión, gestoras, plataformas de negociación, proveedores de criptoactivos MiCA) y la DGSFP (aseguradoras, reaseguradoras, mutualidades, fondos de pensiones). También aplica a los proveedores TIC que les prestan servicios TIC que soportan funciones críticas o importantes.

¿Qué son las pruebas TLPT en DORA?

Las TLPT (Threat-Led Penetration Testing) son pruebas avanzadas de resiliencia basadas en inteligencia de amenazas reales, realizadas por equipos externos especializados (Red Team). Se ejecutan sobre los sistemas en producción de la entidad, con autorización del supervisor, simulando el comportamiento de un atacante sofisticado real. Son obligatorias para las entidades financieras más significativas cada 3 años, y sus resultados y planes de remediación deben comunicarse al supervisor competente.

¿Los proveedores tecnológicos de bancos tienen que cumplir DORA?

Sí, pero de forma indirecta o directa según su relevancia. Los proveedores TIC que prestan servicios que soportan funciones críticas o importantes de entidades financieras deben cumplir con los requisitos contractuales que DORA impone a dichos contratos. Adicionalmente, los proveedores TIC designados como 'críticos' por las ESAs quedan sujetos a supervisión directa de las Autoridades Supervisoras Europeas.

¿Cómo afecta DORA a los contratos con proveedores cloud?

DORA exige que los contratos con proveedores TIC que soporten funciones críticas incluyan cláusulas mínimas: niveles de servicio y disponibilidad con objetivos cuantificados, derechos de auditoría e inspección para la entidad y sus supervisores, requisitos de seguridad de la información, procedimientos de notificación de incidentes al cliente, planes de salida con asistencia a la migración y obligaciones de continuidad de servicio. Los contratos vigentes que no incluyan estas cláusulas deben actualizarse.

¿Cuándo deben hacer las entidades financieras las primeras pruebas DORA?

Todas las entidades sujetas a DORA debían tener un programa de pruebas básicas (análisis de vulnerabilidades, pruebas de penetración estándar) implementado desde el 17 de enero de 2025. Las pruebas TLPT para entidades significativas deben realizarse al menos cada 3 años; las primeras rondas están en curso en 2025-2026 para las entidades que no realizaron TIBER-EU previamente.