A quién va dirigido

Para el sector financiero y los seguros: DORA bajo control, proveedores a la vista

DORA exige gestión de riesgos de TIC, notificaciones, pruebas de resiliencia y control de sus proveedores. Complass le guía por todas las partes.

Probar gratis Solicitar una demo

Registro de riesgos con evaluación, responsables y tratamiento en Complass (proyecto de ejemplo)

El desafío

Muchos proveedores, un registro

Todo servicio de TIC debe figurar en el registro de información, con contrato, función y subcontratistas. El supervisor solicita el registro cada año.

Clasificar rápidamente los incidentes

Que un incidente de TIC sea grave y de notificación obligatoria lo deciden criterios fijos. La notificación inicial se realiza en cuestión de horas.

Responsabilidad del órgano de dirección

El órgano de dirección es responsable del marco de gestión de riesgos de TIC y debe aprobarlo, supervisarlo y revisarlo periódicamente.

Lo que se aplica a su empresa

DORA se aplica directamente en toda la UE. Para las empresas pequeñas y no interconectadas existe un marco simplificado; para la mayoría de las demás, estas obligaciones:

Marcos normativos: DORA · ISO 27001 · RGPD · NIS2

Marco de gestión de riesgos de TIC con estrategia, directrices, protección, detección, respuesta y recuperación, aprobado y supervisado por el órgano de dirección Art. 5 DORA Art. 6 DORA
Registrar los incidentes relacionados con las TIC, clasificarlos con criterios fijos y notificar los incidentes graves en tres fases: notificación inicial, notificación intermedia e informe final Art. 17 DORA Art. 18 DORA Art. 19 DORA
Probar periódicamente la resiliencia operativa digital; las entidades seleccionadas, además, con pruebas de penetración basadas en amenazas Art. 24 DORA Art. 26 DORA
Gestionar el riesgo de terceros de TIC: estrategia, registro de información de todos los servicios de TIC y estrategias de salida Art. 28 DORA
Los contratos con proveedores de servicios de TIC deben tener determinados contenidos, por ejemplo descripción del servicio, ubicaciones del tratamiento de datos, colaboración en caso de incidentes, derechos de auditoría y derechos de resolución Art. 30 DORA
Las obligaciones de gestión de riesgos, notificación y dirección de la ley alemana BSIG no se aplican a las entidades financieras sujetas a DORA; en esa medida prevalece DORA § 28, apartado 6, BSIG

¿No sabe con seguridad qué marcos normativos le son aplicables? Iniciar la comprobación ¿Me afecta?
Costes, esfuerzo y plazo: ¿consultor sin Complass, consultor con Complass o implantación propia con Complass? Abrir la calculadora de costes de cumplimiento

Información general, no asesoramiento jurídico. Esta página resume la situación jurídica de forma simplificada y no sustituye el examen de su caso concreto. Lo determinante es el texto de las leyes y normas.

Empresas típicas

Bancos y cajas de ahorros Ámbito prioritario

Entidades de crédito con TI propia o externalizada, con registro de información y pruebas de resiliencia.

Aseguradoras

Empresas de seguros y reaseguros, salvo las aseguradoras muy pequeñas; los intermediarios solo si son mayores que una empresa mediana (art. 2, apartado 3, de DORA).

Entidades de pago y de dinero electrónico

Servicios de pago con altos requisitos de disponibilidad y de notificación de incidentes.

Empresas de inversión y sociedades gestoras de capital

Según el tamaño, con marco de gestión de riesgos de TIC completo o simplificado; los pequeños gestores registrados de fondos de inversión alternativos están exentos.

Así le ayuda Complass

Aplicar DORA de forma guiada

Fases desde la aplicabilidad hasta la revisión del marco, con plantillas para estrategia, directrices, programa de pruebas y plan de notificación y clasificación.

Más sobre la función

Registro de información y contratos

Plantilla de trabajo para el registro de información, revisión de contratos conforme al art. 30 y plan de salida por servicio de TIC.

Riesgos de TIC y gestión de la continuidad de negocio

Registro de riesgos con apetito de riesgo y plan de tratamiento, además de análisis de impacto en el negocio y planes de emergencia para funciones críticas.

Más sobre la función

Evaluar a los proveedores de servicios

Clasificar a los proveedores de servicios de TIC, solicitar y revisar autoevaluaciones y evidencias.

Más sobre la función

Evaluación de un riesgo con probabilidad, impacto y riesgo residual en Complass (proyecto de ejemplo) — Evaluar y tratar los riesgos de TIC

Lo mínimo que necesita como entidad financiera

Si DORA se aplica a su entidad financiera, esta selección cubre las obligaciones en Complass. El control de afectación gratuito le indica si es así.

Selección mínima entidad financiera

Paquete Start, tamaño S, con Gestión de la continuidad de negocio

278 € netos al mes

DORA: Gestión del riesgo de las TIC, notificación de incidentes graves de las TIC y pruebas; entonces no se aplican las obligaciones básicas de la ley de la BSI. (Art. 5 ss., 17 ss., 24 ss. DORA; § 28, apartado 6, n.º 1 BSIG (se abre en una pestaña nueva))
Dashboard de la dirección: Acreditar que el órgano de dirección establece, aprueba y supervisa la gestión del riesgo de las TIC. (Art. 5 DORA (se abre en una pestaña nueva))
Gestión de la continuidad de negocio (BCM): Continuidad de la actividad de las TIC: análisis de impacto en el negocio, planes de emergencia y ejercicios, ISO 22301 incluida. (Art. 11 DORA (se abre en una pestaña nueva))+ 79 €
Gestión de incidentes
También incluido: RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)

Prueba gratuita de 14 días Pedir

Recomendado

Business

590 € netos al mes

Más efecto con Gestión de activos y zonas y Supplier Management, espacio para 10 usuarios y 2 marcos normativos.

Probar Business

Otros paquetes adecuados

El marco normativo DORA puede utilizarlo hoy. Para los proveedores de TIC del sector financiero estamos preparando la plantilla sectorial «DORA para proveedores de TIC».

Precios para empresas, netos más IVA, con pago anual y una permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. A fecha de 06/11/2026. Los paquetes «próximamente» aún no se pueden contratar. Enterprise y grupos empresariales bajo petición. Todos los paquetes en el resumen de precios

También puede cumplir las obligaciones sin Complass. Complass apoya la implantación y la evidencia y no sustituye el asesoramiento jurídico. Avisos legales

Preguntas frecuentes

Como banco, ¿también debemos aplicar NIS2?

Para la gestión de riesgos, las notificaciones y las obligaciones de la dirección prevalece DORA; las disposiciones correspondientes de la ley alemana BSIG no se aplican a las entidades financieras incluidas en el ámbito de DORA (§ 28, apartado 6, BSIG). Otras disposiciones, por ejemplo sobre el registro, no se mencionan en esta excepción. Compruebe estos puntos caso por caso.

¿Se aplica DORA también a las entidades más pequeñas?

Sí, pero de forma proporcionada. Las empresas de inversión pequeñas y no interconectadas y algunas otras empresas aplican un marco simplificado de gestión de riesgos de TIC (art. 16 de DORA). En Alemania, la ley bancaria (Kreditwesengesetz) extiende además DORA a otras entidades.

¿Ayuda Complass con el registro de información?

Sí. El marco normativo DORA incluye una plantilla de trabajo para el registro de información conforme a las normas técnicas de ejecución. La presentación ante el supervisor se realiza a través de su canal de notificación.

Libros blancos: DORA: digital operational resilience for financial entities and their ICT providers The management body is liable: what § 38 BSIG requires from managing directors

Otros sectores y roles: Proveedores de servicios de TI y MSP Cloud, hosting y centros de datos KRITIS Todos los públicos de un vistazo

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.

Probar gratis Solicitar una demo