¿DORA aplica a mi empresa?

DORA aplica a las entidades financieras reguladas en la UE: bancos, empresas de inversión, entidades de pago, entidades de dinero electrónico, gestoras de fondos, aseguradoras, reaseguradoras, fondos de pensiones, agencias de calificación crediticia, plataformas de crowdfunding, proveedores de servicios de criptoactivos y los proveedores TIC críticos que les prestan servicios. Si tu empresa es alguna de estas entidades o les presta servicios tecnológicos esenciales, DORA muy probablemente te aplica.

¿DORA es lo mismo que NIS2?

No. DORA (Reglamento UE 2022/2554) es una norma específica para el sector financiero, con requisitos mucho más detallados y prescriptivos en materia de resiliencia operacional digital. NIS2 es una directiva de ciberseguridad de aplicación horizontal que cubre sectores críticos más ampliamente (energía, transporte, sanidad, etc.). Las entidades financieras sujetas a DORA están exentas de NIS2 en las materias cubiertas por DORA, según el principio lex specialis.

¿Cuándo entró en vigor DORA?

El Reglamento DORA (UE 2022/2554) se publicó en el Diario Oficial de la UE el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Sin embargo, su aplicación obligatoria —la fecha a partir de la cual las entidades deben cumplir todos sus requisitos— fue el 17 de enero de 2025, tras un período de transición de 24 meses.

¿Qué sanciones tiene el incumplimiento de DORA?

Las sanciones por incumplimiento de DORA varían según el tipo de entidad y el supervisor competente. Para las entidades financieras, los reguladores nacionales (Banco de España, CNMV, DGSFP) pueden imponer multas y medidas correctivas significativas. Para los proveedores TIC críticos supervisados directamente por las ESAs (EBA, ESMA, EIOPA), las multas pueden alcanzar hasta el 1% de su facturación media diaria mundial hasta un máximo de 5 millones de euros, con multas periódicas coercitivas de hasta 100.000 euros diarios.

¿Cuánto tiempo lleva cumplir con DORA?

El tiempo depende de la madurez de la entidad y de su tamaño. Para una entidad mediana que parte de cero, el cumplimiento integral de DORA puede llevar entre 6 y 18 meses. Con el acompañamiento de una consultora especializada y aprovechando sinergias con marcos previos (ISO 27001, ISO 22301, ENS), el proceso puede acelerarse a 4-6 meses para los requisitos más críticos.