marco normativo · DORA – Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital

DORA: Entidades financieras y proveedores en la misma línea

DORA se aplica a las entidades financieras y, a través de sus contratos, también a sus proveedores de TI y de nube. Complass acompaña a ambas partes: desde la gestión de riesgos de las TIC hasta la matriz de requisitos de sus clientes financieros.

Probar gratis Solicitar una demo

Fotograma del vídeo corto «Gestión del cumplimiento en 20 segundos» — **Gestión del cumplimiento en 20 segundos** Proyecto, siguiente paso, lista de verificación, declaración de aplicabilidad, paquete de auditoría. Beispieldaten der Demo-Firma.

¿Qué es DORA?

DORA es el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. Regula de forma uniforme la gestión del riesgo de TIC, la clasificación y notificación de incidentes graves relacionados con las TIC, las pruebas de resiliencia operativa digital, la gestión del riesgo de terceros proveedores de TIC, incluidos el registro de información y el contenido de los contratos, así como la supervisión de los proveedores terceros críticos de servicios de TIC. Los reglamentos delegados y de ejecución de la Comisión fijan los detalles.

Actualidad de los contenidos: 05.10.2026

¿Me afecta?

DORA se aplica directamente a las entidades financieras conforme al art. 2, por ejemplo entidades de crédito, entidades de pago y de dinero electrónico, empresas de inversión, gestoras de activos, empresas de seguros y reaseguros y proveedores de servicios de criptoactivos. En Alemania amplían el círculo el § 1a, apdo. 2, KWG, el § 1a, apdo. 2a, KWG (obligaciones de notificación desde el 17 de enero de 2025, el resto a partir del 1 de enero de 2027) y el § 293, apdo. 5, VAG. Para las microempresas y las empresas sujetas al marco simplificado conforme al art. 16 se aplican facilidades. Para las entidades financieras, DORA prevalece sobre la regulación NIS2 como acto jurídico más específico, en la medida en que DORA contenga requisitos equivalentes (art. 4 de la Directiva NIS2).

Los proveedores de servicios de TI, nube, software y servicios gestionados se ven afectados de forma indirecta como terceros proveedores de servicios de TIC: sus clientes financieros siguen siendo plenamente responsables y deben exigirles contenidos contractuales conforme al art. 30, derechos de auditoría y de acceso, apoyo en incidentes, participación en pruebas y regulaciones de salida. Una fase propia del módulo guía a los proveedores por estos requisitos.

Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.

Base jurídica

Art. 2 DORAÁmbito de aplicación
Art. 3 DORADefiniciones, entre otras: servicios de TIC y función crítica o importante
Art. 5 DORAGobernanza y responsabilidad del órgano de dirección
Art. 16 DORAMarco simplificado de gestión del riesgo de TIC
Art. 19 DORANotificación de incidentes graves relacionados con las TIC
Art. 28 DORARiesgo de terceros proveedores de TIC y registro de información
Art. 30 DORADisposiciones contractuales esenciales
Art. 5 DelVO (EU) 2025/301Plazos de la notificación inicial, intermedia y final

Fechas clave

16.01.2023

Entrada en vigor del Reglamento

Art. 64
17.01.2025

DORA applies in all EU Member States

Art. 64
11.04.2025

First submission of the register of information to BaFin (as of 31.03.2025)

Art. 28, apartado 3
30.03.2026

End of the 2026 submission period for the register of information to BaFin (09–30.03.2026, reference date 31.12.2025)

Art. 28, apartado 3
01.01.2027

DORA applies to further KWG institutions under § 1a(2a) KWG (except Chapter III, which has applied since 17.01.2025)

§ 65a(3) KWG

Los plazos de notificación de los incidentes graves son breves: notificación inicial en un plazo de cuatro horas desde su clasificación como grave y, como máximo, 24 horas desde que se tuvo conocimiento (art. 5 del Reglamento Delegado (UE) 2025/301). La notificación intermedia sigue como máximo 72 horas después de la notificación inicial, y la notificación final como máximo un mes después de la notificación intermedia o de la última notificación intermedia actualizada (art. 5, apdo. 1, letras b y c, del Reglamento Delegado (UE) 2025/301). Las entidades financieras presentan el registro de información anualmente a la BaFin; compruebe las fechas vigentes de la BaFin en cada momento.

Cómo le ayuda Complass

8fases
36pasos guiados
18plantillas de documentos
107requisitos en el catálogo

Proyecto DORA guiado
Ocho fases, desde la aplicabilidad y el rol, pasando por la gobernanza, la protección, los incidentes y las pruebas, hasta el riesgo de terceros y la revisión periódica; cada paso indica si se aplica a entidades financieras, a proveedores de TIC o a ambos.
Catálogo de requisitos por artículo
Los requisitos de los arts. 5 a 30 y 45 a nivel de apartado con el texto original, estado y evidencia, completados con los requisitos de los clientes desde el punto de vista de los proveedores de TIC.
Plantillas
Documento marco, estrategia de resiliencia, política de seguridad de la información, plan de notificación y clasificación, programa de pruebas, registro de información, revisión de contratos conforme al art. 30, plan de salida y, para proveedores, matriz de requisitos, datos del registro y notificación de incidentes.
Documentar terceros e incidentes
Mantenga como plantillas en el proyecto el registro de información, la revisión de contratos conforme al art. 30 y el plan de salida, y documente los incidentes con marcas de tiempo en el registro de incidentes. Para los incidentes graves relacionados con las TIC, la vía de notificación de DORA calcula los plazos de la notificación inicial, el informe intermedio y el informe final y prepara los datos obligatorios. Clasifique a sus proveedores terceros de servicios de TIC en la gestión de proveedores y gestione allí contratos, evidencias y cuestionarios.

Las fases del módulo

Applicability, role and relationship to NIS2
Governance and ICT risk management framework
Protect, detect, respond, recover
ICT-related incidents: management, classification, reporting
Digital operational resilience testing
ICT third-party risk
Meeting the DORA requirements of your financial customers as an ICT third-party service provider
Information sharing, evidence, effectiveness and improvement

Catálogo: DORA requirements catalogue by chapter and article

DORA en Complass: lo mínimo que necesita

Si DORA le afecta, esta selección cubre las obligaciones en Complass. El control de afectación gratuito le indica si es así.

Selección mínima DORA

Paquete Start, tamaño S, con Gestión de la continuidad de negocio

278 € netos al mes

DORA: Gestión del riesgo de las TIC, notificación de incidentes graves de las TIC y pruebas; entonces no se aplican las obligaciones básicas de la ley de la BSI. (Art. 5 ss., 17 ss., 24 ss. DORA; § 28, apartado 6, n.º 1 BSIG (se abre en una pestaña nueva))
Dashboard de la dirección: Acreditar que el órgano de dirección establece, aprueba y supervisa la gestión del riesgo de las TIC. (Art. 5 DORA (se abre en una pestaña nueva))
Gestión de la continuidad de negocio (BCM): Continuidad de la actividad de las TIC: análisis de impacto en el negocio, planes de emergencia y ejercicios, ISO 22301 incluida. (Art. 11 DORA (se abre en una pestaña nueva))+ 79 €
Gestión de incidentes
También incluido: RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)

Prueba gratuita de 14 días Pedir

Recomendado

Business

590 € netos al mes

Más efecto con Gestión de activos y zonas y Supplier Management, espacio para 10 usuarios y 2 marcos normativos.

Probar Business

Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 06/11/2026. Todos los paquetes y módulos en el resumen de precios

También puede cumplir las obligaciones sin Complass. Complass apoya la implantación y la evidencia y no sustituye el asesoramiento jurídico. Avisos legales

Preguntas frecuentes

Somos un proveedor de servicios de TI y no una entidad financiera. ¿Nos afecta DORA?

Sí, de forma indirecta, si presta servicios de TIC a entidades financieras. Sus clientes deben acordar con usted los contenidos contractuales conforme al art. 30 y le exigen datos para su registro de información, apoyo en incidentes, auditorías y regulaciones de salida. La supervisión directa solo alcanza a los terceros proveedores críticos de servicios de TIC conforme al art. 31.

¿Se nos aplica DORA o NIS2?

Para las entidades financieras, DORA es el acto jurídico más específico; el § 28, apdo. 6, BSIG las exime de las obligaciones centrales de NIS2. Los proveedores de TIC, en cambio, pueden estar sujetos ellos mismos a NIS2 y deber cumplir además los requisitos DORA de sus clientes. La comprobación de afectación de Complass examina el lado NIS2.

¿Transmite Complass notificaciones a la BaFin?

No. Complass le ayuda a documentar incidentes con marcas de tiempo, a fundamentar con preguntas de verificación su clasificación como graves, a calcular los plazos de notificación y a preparar las notificaciones con sus datos obligatorios. La notificación en sí la presenta usted por la vía que establezca la autoridad de supervisión; la valoración jurídica de cada caso le corresponde a usted.

¿Dónde gestionamos las licencias de software y los contratos de mantenimiento para el registro de información?

En el registro «Contratos y licencias» de la gestión de activos, con duración, plazo de preaviso, responsables, activos vinculados y evidencias; con la gestión de proveedores, también en el proveedor de servicios correspondiente. Aporta datos para su registro de información conforme al art. 28 DORA; Complass no ofrece una exportación en el formato del Reglamento de Ejecución (UE) 2024/2956.

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.