El acto, en forma oficial
Para citar DORA en una política, en una nota al consejo o en un contrato, estas son las referencias que importan. El enlace ELI es el estable: no se rompe cuando EUR-Lex cambia de interfaz.
- Nombre corto : DORA
- Cita formal : Regulation (EU) 2022/2554
- Diario Oficial : OJ L 333, 27.12.2022, p. 1
- Número CELEX : 32022R2554
- Entrada en vigor : 16 de enero de 2023
- Aplicable desde : 17 de enero de 2025
- Estructura : 9 capítulos, 64 artículos, 106 considerandos, sin anexo
- Forma jurídica : Reglamento, directamente aplicable, sin transposición nacional
Obtener el texto oficial
Los dos enlaces llevan a EUR-Lex, el servicio de publicación del Diario Oficial. La versión HTML lleva anclas estables, de modo que cada número de artículo del índice abre directamente el punto correcto. El PDF es la composición del Diario Oficial, la versión que conviene adjuntar a una nota al consejo o a un expediente de auditoría.
Leer el texto completo en EUR-Lex · Descargar el PDF (español)
Esta página no aloja una copia. Un reglamento se modifica, se corrige y se consolida; un PDF depositado en un sitio ajeno es una instantánea que caduca en silencio, y quien lo cita en un expediente supervisor hereda ese riesgo. EUR-Lex publica el texto auténtico.
Los 64 artículos, capítulo por capítulo
Los títulos son los oficiales. Cada número de artículo abre la versión española del texto en EUR-Lex. Cuando un artículo contiene un mandato que la Comisión ha cumplido con un acto delegado o de ejecución, el número de ese acto figura a continuación.
Capítulo I · Disposiciones generales
Capítulo II · Gestión del riesgo relacionado con las TIC
- Art. 5 · Gobernanza y organización
- Art. 6 · Marco de gestión del riesgo relacionado con las TIC
- Art. 7 · Sistemas, protocolos y herramientas de TIC
- Art. 8 · Identificación
- Art. 9 · Protección y prevención
- Art. 10 · Detección
- Art. 11 · Respuesta y recuperación
- Art. 12 · Políticas y procedimientos de respaldo y procedimientos y métodos de restablecimiento y recuperación
- Art. 13 · Aprendizaje y evolución
- Art. 14 · Comunicación
- Art. 15 · Mayor armonización de las herramientas, métodos, procesos y políticas de gestión del riesgo relacionado con las TIC (Acto jurídico 2024/1774)
- Art. 16 · Marco simplificado de gestión del riesgo relacionado con las TIC
Capítulo III · Gestión, clasificación y notificación de incidentes relacionados con las TIC
- Art. 17 · Proceso de gestión de incidentes relacionados con las TIC
- Art. 18 · Clasificación de los incidentes relacionados con las TIC y las ciberamenazas (Acto jurídico 2024/1772)
- Art. 19 · Notificación de los incidentes graves relacionados con las TIC y notificación voluntaria de las ciberamenazas importantes
- Art. 20 · Armonización del contenido de la información y las plantillas para presentarla (Acto jurídico 2025/301, 2025/302)
- Art. 21 · Centralización de la información sobre los incidentes graves relacionados con las TIC
- Art. 22 · Observaciones de las autoridades de supervisión
- Art. 23 · Incidentes operativos o de seguridad relacionados con los pagos que atañen a entidades de crédito, entidades de pago, proveedores de servicios de información sobre cuentas y entidades de dinero electrónico
Capítulo IV · Pruebas de resiliencia operativa digital
- Art. 24 · Requisitos generales para la realización de pruebas de resiliencia operativa digital
- Art. 25 · Pruebas de las herramientas y los sistemas de TIC
- Art. 26 · Pruebas avanzadas de las herramientas, los sistemas y los procesos de TIC basadas en pruebas de penetración basadas en amenazas (Acto jurídico 2025/1190)
- Art. 27 · Requisitos aplicables a los probadores para la realización de pruebas de penetración basadas en amenazas
Capítulo V · Gestión del riesgo relacionado con las TIC derivado de terceros
- Art. 28 · Principios generales (Acto jurídico 2024/1773, 2024/2956)
- Art. 29 · Evaluación preliminar del riesgo de concentración de TIC a nivel de la entidad
- Art. 30 · Cláusulas contractuales fundamentales (Acto jurídico 2025/532)
- Art. 31 · Designación de proveedores terceros esenciales de servicios de TIC (Acto jurídico 2024/1502)
- Art. 32 · Estructura del marco de supervisión
- Art. 33 · Tareas del supervisor principal
- Art. 34 · Coordinación operativa entre supervisores principales
- Art. 35 · Facultades del supervisor principal
- Art. 36 · Ejercicio de las facultades del supervisor principal fuera de la Unión
- Art. 37 · Solicitud de información
- Art. 38 · Investigaciones generales
- Art. 39 · Inspecciones
- Art. 40 · Supervisión permanente
- Art. 41 · Armonización de las condiciones que permiten llevar a cabo las actividades de supervisión (Acto jurídico 2025/295, 2025/420)
- Art. 42 · Seguimiento por las autoridades competentes
- Art. 43 · Tasas de supervisión (Acto jurídico 2024/1505)
- Art. 44 · Cooperación internacional
Capítulo VI · Acuerdos de intercambio de información
- Art. 45 · Acuerdos de intercambio de información en relación con información e inteligencia sobre ciberamenazas
Capítulo VII · Autoridades competentes
- Art. 46 · Autoridades competentes
- Art. 47 · Cooperación con las estructuras y autoridades establecidas por la Directiva (UE) 2022/2555
- Art. 48 · Cooperación entre autoridades
- Art. 49 · Ejercicios, comunicación y cooperación intersectoriales en el ámbito financiero
- Art. 50 · Sanciones administrativas y medidas correctoras
- Art. 51 · Ejercicio de la facultad de imponer sanciones administrativas y medidas correctoras
- Art. 52 · Sanciones penales
- Art. 53 · Obligaciones de notificación
- Art. 54 · Publicación de las sanciones administrativas
- Art. 55 · Secreto profesional
- Art. 56 · Protección de datos
Capítulo VIII · Actos delegados
- Art. 57 · Ejercicio de la delegación
Capítulo IX · Disposiciones transitorias y finales
- Art. 58 · Cláusula de revisión
- Art. 59 · Modificaciones del Reglamento (CE) n. o 1060/2009
- Art. 60 · Modificaciones del Reglamento (UE) n. o 648/2012
- Art. 61 · Modificaciones del Reglamento (UE) n. o 909/2014
- Art. 62 · Modificaciones del Reglamento (UE) n. o 600/2014
- Art. 63 · Modificaciones del Reglamento (UE) 2016/1011
- Art. 64 · Entrada en vigor y aplicación
Los actos delegados y de ejecución
DORA fija las obligaciones; el detalle vive en los actos de nivel 2 que la Comisión adopta sobre los mandatos inscritos en los artículos. Todos están adoptados. La columna que importa en la práctica es la del mandato: dice qué artículo se está cumpliendo realmente al aplicar una norma técnica.
Las fechas que están realmente en el texto
Tres fechas provienen del propio reglamento. Todo lo demás que circula como «plazo DORA» proviene de un acto de nivel 2, del calendario de una autoridad competente, o de ninguna fuente.
- Entrada en vigor : 16 de enero de 2023 (Art. 64)
- Aplicable desde : 17 de enero de 2025 (Art. 64)
- 17/01/2028 : Art. 58
El 17 de enero de 2028 es una cláusula de revisión, no un plazo de cumplimiento. El artículo 58 obliga a la Comisión a llevar a cabo una revisión y a informar al Parlamento Europeo y al Consejo. No desplaza ninguna obligación de una entidad financiera.
Qué exige DORA en la práctica →
Preguntas frecuentes
¿Dónde se descarga el Reglamento DORA en PDF?
En EUR-Lex, que publica la composición del Diario Oficial para cada una de las 24 lenguas oficiales. La versión española está en eur-lex.europa.eu/legal-content/ES/TXT/PDF/?uri=CELEX:32022R2554, y el punto de entrada estable para cualquier lengua es la dirección ELI eur-lex.europa.eu/eli/reg/2022/2554/oj. Conviene evitar las copias alojadas en otros sitios: un reglamento se consolida con el tiempo y una instantánea caduca sin avisar.
¿DORA es un reglamento o una directiva?
Un reglamento. El artículo 64 establece que será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro, por lo que no hay ley nacional de transposición que buscar. El derecho nacional interviene en un solo punto, las sanciones administrativas, que el artículo 50 confía a los Estados miembros.
¿Cuántos artículos tiene DORA?
64 artículos en nueve capítulos, precedidos de 106 considerandos y sin anexo. El capítulo II trata la gestión del riesgo relacionado con las TIC (artículos 5 a 16), el capítulo III la gestión y notificación de incidentes (17 a 23), el capítulo IV las pruebas de resiliencia operativa digital (24 a 27), el capítulo V el riesgo de terceros proveedores de servicios de TIC y el marco de supervisión (28 a 44) y el capítulo VI el intercambio de información (45).
¿Qué versión lingüística da fe?
Las 24 versiones lingüísticas dan fe por igual; ninguna es jurídicamente la traducción de otra. En la práctica se usa la versión de la lengua de trabajo para la documentación interna y los contratos, porque las autoridades competentes emplean esa terminología, y se contrasta con el inglés donde un término tiene consecuencias.
Esta página es una ayuda profesional, no asesoramiento jurídico. · Versión en inglés