Cumplimiento de DORA: una guía práctica

En una encuesta de julio de 2025, el 96% de las organizaciones de servicios financieros de EMEA afirmó que necesitaba mejorar su resiliencia para cumplir los requisitos de DORA ^[1]. El reglamento es aplicable desde enero de 2025, por lo que cualquier carencia es ahora un riesgo real de cumplimiento que la próxima auditoría o ataque dejará al descubierto.

Esta guía de cumplimiento de DORA explica qué exige DORA, a quién se aplica, los costes del incumplimiento y el eslabón débil de la cadena de cumplimiento que la mayoría de las organizaciones subestima: la capacidad de recuperación, es decir, la capacidad de restaurar los datos tras un ataque.

Conclusiones clave

• DORA es el Reglamento (UE) 2022/2554. Se aplica a más de 22.000 entidades financieras y a sus proveedores de TIC desde el 17 de enero de 2025.

• El cumplimiento de DORA implica actuar sobre cinco requisitos: gestión del riesgo de TIC, notificación de incidentes, pruebas de resiliencia, gestión del riesgo de terceros e intercambio de información.

• Las sanciones las establecen los distintos Estados miembros de la UE. Los límites máximos alcanzan hasta 20 millones de euros o una proporción fija de la facturación, además de la censura pública y las inhabilitaciones de directivos.

• El artículo 12 es el artículo específico sobre copias de seguridad. Exige sistemas de recuperación probados, segregados y protegidos contra manipulaciones.

¿Qué es el cumplimiento de DORA?

DORA significa Digital Operational Resilience Act. Es un reglamento introducido por la Unión Europea para reforzar la resiliencia digital de las entidades financieras.

Entró en vigor el 17 de enero de 2025 y garantiza que bancos, aseguradoras, empresas de inversión y otras entidades financieras puedan resistir, responder y recuperarse de interrupciones de las TIC (Tecnologías de la Información y la Comunicación), como ciberataques o fallos de sistemas ^[2].

El cumplimiento de DORA significa cumplir las obligaciones establecidas en el reglamento, conocido oficialmente como Reglamento (UE) 2022/2554.

La razón de su existencia es sencilla. Las entidades financieras han pasado a depender cada vez más de sistemas digitales para prestar servicios, gestionar operaciones y procesar transacciones. Esa dependencia creciente ha creado nuevos riesgos operativos y de ciberseguridad. Los ataques de ransomware contra el sector financiero se han disparado, y un fallo grave en una entidad puede propagarse ahora a otras y amenazar la estabilidad de todo el mercado.

DORA trata un fallo de las TIC como un riesgo para la estabilidad financiera, de forma similar a como los reguladores han considerado tradicionalmente riesgos como la insuficiencia de capital. Esto convierte la construcción de una verdadera resiliencia cibernética en una obligación regulatoria, no en una buena práctica.

¿Quién debe cumplir DORA?

DORA se aplica a más de 22.000 entidades financieras en toda la UE, así como a los proveedores de TIC de terceros que les prestan servicio ^[3].

El reglamento nombra 20 tipos diferentes de entidades financieras ^[2], que se agrupan en cinco grandes categorías:

• Banca y pagos: entidades de crédito, entidades de pago, entidades de dinero electrónico y proveedores de servicios de información sobre cuentas.

• Mercados de capitales: centros de negociación, empresas de inversión, registros de operaciones, entidades de contrapartida central (CCP) y depositarios centrales de valores.

• Gestión de activos: gestores de fondos de inversión alternativa y sociedades gestoras de UCITS.

• Seguros y pensiones: intermediarios de seguros, entidades aseguradoras y reaseguradoras, e instituciones de previsión social empresarial.

• Otras entidades reguladas: agencias de calificación crediticia, registros de titulización, administradores de índices de referencia, proveedores de servicios de criptoactivos, proveedores de servicios de financiación participativa y proveedores de servicios de reporte de datos.

DORA también se extiende a los proveedores tecnológicos que están detrás de estas entidades. Cualquier proveedor de TIC de terceros que preste servicio a una entidad financiera dentro del ámbito está sujeto al reglamento, incluidos los proveedores con sede fuera de la UE.

Esto significa, por ejemplo, que una plataforma en la nube, un proveedor de servicios gestionados o un proveedor de software no puede eludir DORA simplemente porque su sede esté en otro lugar.

Los cinco requisitos de cumplimiento de DORA

Saber cómo cumplir DORA se reduce a cinco requisitos: gestión de riesgos, notificación de incidentes, pruebas de resiliencia, supervisión de terceros e intercambio de información.

No cumplir cualquiera de ellos deja a una organización en situación de incumplimiento.

1. Gestión del riesgo de TIC

Esta es la base. Las entidades financieras necesitan un marco documentado de gestión del riesgo de TIC que cubra todo el ciclo de vida del riesgo: identificación, protección, detección, respuesta y recuperación. La titularidad debe recaer en la alta dirección, y el órgano de administración es responsable de aprobarlo y supervisarlo.

El marco también debe establecer una tolerancia al riesgo clara, es decir, la máxima interrupción que una función crítica puede absorber antes de que el daño sea inaceptable. Estos requisitos de ciberseguridad de DORA convierten la gestión del riesgo en una responsabilidad del consejo.

2. Notificación de incidentes de TIC

Cuando se produce un incidente grave, los reguladores quieren saberlo rápidamente. DORA exige que las organizaciones implementen un sistema de clasificación por severidad y un flujo de notificación que escale un incidente significativo a la autoridad competente sin demoras indebidas.

En la práctica, eso implica tres pasos: una alerta inicial dentro de las 24 horas posteriores a la clasificación del incidente, una actualización de estado dentro de las 72 horas y un informe final de causa raíz aproximadamente un mes después de que el incidente se haya resuelto ^[5]. El objetivo es un relato claro y coherente de lo ocurrido y por qué.

3. Pruebas de resiliencia operativa digital

Cada entidad dentro del ámbito debe probar periódicamente su resiliencia. Las entidades más grandes y críticas deben ir más allá y realizar pruebas de penetración guiadas por amenazas (TLPT), que consisten en ataques simulados en vivo realizados por evaluadores independientes y certificados en un ciclo de tres años.

Un plan de continuidad de negocio puede estar muy bien redactado y aun así desmoronarse la primera vez que se utiliza. Las pruebas son la única forma de saber si realmente se sostendrá, antes de que los atacantes obliguen a comprobarlo.

4. Gestión del riesgo de TIC de terceros

Una entidad financiera solo es tan resiliente como los proveedores de los que depende. DORA exige que las entidades evalúen, supervisen y mantengan capacidad de presión contractual sobre cada proveedor de TIC, y que mantengan un Registro de Información actualizado que los cubra a todos.

Los proveedores de TIC cuyos servicios se utilizan ampliamente en todo el sector financiero y que serían difíciles de sustituir pueden ser designados como críticos. Esos proveedores responden directamente ante los reguladores de la UE, bajo un Marco de Supervisión específico con sanciones propias.

5. Intercambio de información

Este es el único requisito voluntario. DORA anima a las entidades financieras a intercambiar inteligencia sobre ciberamenazas dentro de comunidades de confianza, para que el sector pueda aprender de cada ataque de forma colectiva en lugar de hacerlo víctima por víctima.

Sanciones de DORA por incumplimiento

DORA no establece una única multa para toda la UE. Cada Estado miembro fija sus propias sanciones máximas en virtud del artículo 50, lo que significa que la multa potencial depende de dónde opere una entidad ^[4].

Las sanciones se dirigen a dos grupos: las entidades financieras y sus proveedores de TIC más críticos. En ambos casos, las consecuencias van más allá de las multas y pueden incluir sanciones regulatorias y reputacionales significativas.

• Entidades financieras: los reguladores nacionales fijan límites máximos que varían ampliamente. Los topes absolutos alcanzan hasta 20 millones de euros en Italia, mientras que los topes basados en la facturación oscilan entre el 5% en España y el 10% en Suecia ^[4].

• Proveedores de TIC críticos de terceros: el Supervisor Principal de la UE puede imponer pagos periódicos coercitivos de hasta el 1% de la facturación media diaria mundial del proveedor, por cada día de incumplimiento, durante un máximo de seis meses ^[5].

• Más allá de las multas: los reguladores pueden emitir avisos públicos nombrando a la parte responsable, ordenar a una entidad que cese una conducta específica, inhabilitar a personas para funciones directivas o suspender una licencia.

La aplicación se articula en dos niveles. Las autoridades nacionales competentes, como BaFin en Alemania o el Banco Central de Irlanda, supervisan a las entidades financieras.

Una de las tres Autoridades Europeas de Supervisión (EBA, ESMA o EIOPA) actúa como Supervisor Principal de cada proveedor de TIC crítico.

Demostrar resiliencia mediante copia de seguridad y recuperación

Superar una auditoría sobre el papel no es lo mismo que poder demostrar de forma fehaciente la capacidad de recuperar datos tras un ataque.

Los ciberdelincuentes suelen atacar primero los sistemas de copias de seguridad, precisamente porque saben que las organizaciones dependen de ellos para la recuperación. Corromper o eliminar las copias de seguridad proporciona, por tanto, a los atacantes más palanca durante los intentos de extorsión. No sorprende que, entre las organizaciones afectadas por ransomware, el 94% informara de intentos de comprometer sus datos de copia de seguridad, y el 57% afirmara que esos intentos tuvieron éxito ^[6].

El despliegue de almacenamiento backup inmutable verificablemente backup inmutable y una recuperación rápida garantizan que una organización pueda demostrar resiliencia ante los reguladores, no solo mostrar un documento de políticas.

Este enfoque para proteger los datos de copia de seguridad está totalmente alineado con la intención de DORA y con sus requisitos concretos: restauraciones probadas que cumplan los Objetivos de Tiempo de Recuperación y de Punto de Recuperación (RTO y RPO) en condiciones reales, y una trazabilidad de evidencias que un auditor pueda seguir.

Esa prueba se corresponde con dos de los cinco requisitos principales de DORA: la gestión del riesgo de TIC, que exige capacidad de recuperación planificada, y las pruebas de resiliencia, que exigen demostrar que funciona.

Una solución de almacenamiento backup inmutable con recuperación rápida debería ser la columna vertebral del plan de recuperación de una organización. Esto es resiliencia de datos en la práctica.

¿Qué exige el Artículo 12 de DORA para las copias de seguridad?

El Artículo 12 traduce los principios de resiliencia de DORA en requisitos específicos de copia de seguridad y recuperación.

Establece cuatro obligaciones concretas:

• Una política de copias de seguridad documentada que indique qué datos se respaldan y con qué frecuencia, en función de lo críticos o confidenciales que sean esos datos.

• Procedimientos documentados de restauración y recuperación.

• Pruebas periódicas de esos procedimientos de copia de seguridad y recuperación. La activación de una copia de seguridad nunca debe comprometer la seguridad, disponibilidad, autenticidad, integridad o confidencialidad de los datos.

• Al restaurar, los sistemas utilizados deben estar segregados física y lógicamente del sistema de origen y protegidos frente a accesos no autorizados o corrupción.

Merece la pena leer las propias palabras del reglamento:

"Las entidades financieras establecerán sistemas de copia de seguridad que puedan activarse de conformidad con las políticas y procedimientos de copia de seguridad ... Las pruebas de los procedimientos de copia de seguridad y de los procedimientos y métodos de restauración y recuperación se llevarán a cabo periódicamente ... Al restaurar datos de copia de seguridad utilizando sistemas propios, las entidades financieras utilizarán sistemas TIC segregados física y lógicamente del sistema TIC de origen." ^[5]

El cumplimiento puede lograrse manteniendo copias de seguridad inmutables, lo que significa que, durante una ventana de tiempo predefinida, una copia de seguridad no puede alterarse ni eliminarse. No obstante, aquí se requiere cautela, porque muchos sistemas que afirman ofrecer copias de seguridad inmutables tienen excepciones y lagunas ocultas.

Una solución a esto es la Inmutabilidad Absoluta, que significa que ni siquiera el administrador con más privilegios, o un atacante con acceso al almacenamiento de copias de seguridad, puede modificar o eliminar datos. Este nivel de protección solo puede lograrse con un sistema de almacenamiento de copias de seguridad que sea Seguro-por-Diseño, con Acceso Cero para realizar acciones destructivas, y ese Acceso Cero debe ser verificable mediante pruebas de terceros.

El modelo de Acceso Cero se complementa con la regla de copias de seguridad 3-2-1-1-0: al menos tres copias de los datos en dos tipos de soporte diferentes, con una copia almacenada fuera de las instalaciones y al menos una mantenida sin conexión o inmutable para evitar manipulaciones. El cero final significa cero errores de restauración, verificados mediante las pruebas periódicas que exige DORA para garantizar que se cumplen los objetivos de RTO y RPO, incluso en escenarios extremos.

Almacenamiento de copias de seguridad conforme a DORA: cómo ayuda Object First

Para alinearse plenamente con los requisitos del Artículo 12 de DORA, el almacenamiento de copias de seguridad debe ser a prueba de manipulaciones, estar probado y permitir una recuperación rápida. Aquí es donde entra Object First.

Object First ofrece un almacenamiento de copias de seguridad seguro, sencillo y potente, diseñado específicamente para Veeam. Incorpora Inmutabilidad Absoluta, aplicada mediante Acceso Cero a acciones destructivas: esto significa que ni siquiera el administrador con más privilegios o un atacante con acceso al almacenamiento de copias de seguridad puede modificar o eliminar datos. Esto ha sido verificado mediante pruebas independientes de terceros.

El resultado es una copia de recuperación probada y a prueba de manipulaciones desde la que una entidad financiera puede restaurar rápidamente, y una prueba de resiliencia que puede presentarse a los reguladores.

Descargue nuestra guía sobre la Ley de Resiliencia Operativa Digital (DORA) y descubra cómo las copias de seguridad absolutamente inmutables pueden garantizar la resiliencia operativa y, por extensión, el cumplimiento normativo.

Preguntas frecuentes

DORA vs NIS2: ¿cuál es la diferencia?

NIS2 establece normas amplias de ciberseguridad en muchos sectores. DORA es específica del sector financiero y prevalece para las entidades financieras allí donde ambas se solapan, un principio jurídico conocido como lex specialis.

Una organización que esté sujeta a DORA no tiene que cumplir NIS2 para las mismas obligaciones de ciberseguridad y notificación de incidentes. Para la directiva más amplia, utilice nuestra lista de verificación de cumplimiento de NIS2.

¿Cuáles son los requisitos de ciberseguridad para el cumplimiento de DORA?

Los requisitos de ciberseguridad de DORA se integran en su marco de gestión del riesgo TIC. Tres artículos concentran la mayor parte del peso técnico:

• Artículo 9 (protección y prevención): abarca la seguridad de red, el cifrado, la gestión de accesos y la aplicación de parches.

• Artículo 10 (detección): exige monitorización continua para detectar rápidamente actividad anómala e incidentes potenciales.

• Artículo 12 (copia de seguridad, restauración y recuperación): establece los requisitos más detallados de DORA para la resiliencia de las copias de seguridad, incluidas las pruebas de recuperación, la segregación de los entornos de recuperación y la protección frente a manipulaciones.

En conjunto, definen cómo se materializa en la práctica el cumplimiento de DORA en ciberseguridad.

¿Cuál es la fecha límite de cumplimiento de DORA?

DORA está en vigor desde el 17 de enero de 2025, por lo que la fecha límite ya ha pasado. El foco en 2025 se centró en gran medida en la implementación. En 2026, los reguladores están evaluando cada vez más si las empresas pueden demostrar las capacidades de resiliencia que exige DORA.

¿Qué instituciones supervisan DORA?

Las Autoridades Nacionales Competentes (ANC) de cada Estado miembro supervisan a las entidades financieras individuales en el día a día.

Por encima de ellas, las tres Autoridades Europeas de Supervisión (EBA, ESMA y EIOPA) desarrollaron las normas técnicas de DORA y supervisan directamente a los proveedores externos críticos de TIC a través del Marco de Supervisión, con una autoridad que actúa como Supervisor Principal para cada proveedor.

Referencias

[1] Veeam Software / Censuswide. "96% of EMEA Financial Services Organizations Believe They Need to Improve Their Resilience to Meet DORA Requirements." 2025. https://www.veeam.com/company/press-release/96-percent-of-emea-financial-services-organizations-believe-they-need-to-improve-their-resilience-to-meet-dora-requirements.html 

[2] EIOPA. "Digital Operational Resilience Act (DORA)." https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en 

[3] LRQA. "DORA Compliance." https://www.lrqa.com/en-gb/dora-compliance/ 

[4] DLA Piper. "Divergence in administrative penalties under DORA." 2025. https://www.dlapiper.com/en-us/insights/publications/2025/10/divergence-in-administrative-penalties-under-dora 

[5] Regulation (EU) 2022/2554 (Digital Operational Resilience Act), EUR-Lex. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022R2554 

[6] Sophos. "The State of Ransomware 2025." 2025. https://www.sophos.com/en-us/blog/the-state-of-ransomware-2025 

[7] Veeam. "2025 Ransomware Trends Report." 2025. https://www.veeam.com/blog/ransomware-trends.html