DORA es el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. De aplicación desde el 17 de enero de 2025, armoniza la gestión del riesgo de las TIC en toda la Unión Europea.
DORA (Digital Operational Resilience Act) es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero. Su finalidad es garantizar que las entidades financieras puedan resistir, responder y recuperarse ante todo tipo de perturbaciones y amenazas relacionadas con las tecnologías de la información y la comunicación (TIC).
Antes de DORA, la gestión del riesgo TIC estaba dispersa en distintas normativas sectoriales y nacionales. DORA crea un marco único y armonizado, directamente aplicable en todos los Estados miembros sin necesidad de transposición.
El artículo 2 de DORA define un ámbito de aplicación muy amplio. Quedan sujetas, entre otras, las siguientes entidades financieras:
Se aplica un principio de proporcionalidad: las microempresas y determinadas entidades de menor tamaño se benefician de un marco simplificado de gestión del riesgo TIC.
El reglamento se articula en cinco pilares fundamentales:
El calendario normativo de DORA es el siguiente:
La supervisión de DORA combina varios niveles. Las autoridades nacionales competentes (en España, el Banco de España, la CNMV y la DGSFP según el tipo de entidad) supervisan a las entidades financieras.
Para los proveedores terceros críticos de servicios TIC (CTPP), DORA crea un marco de supervisión paneuropeo dirigido por las Autoridades Europeas de Supervisión (EBA, ESMA y EIOPA), que designan a un supervisor principal con facultades de inspección y de imposición de medidas.
DORA exige a los Estados miembros que establezcan sanciones administrativas y medidas correctoras eficaces, proporcionadas y disuasorias. Las autoridades competentes pueden imponer requerimientos, publicar el incumplimiento y aplicar multas.
En el caso de los proveedores terceros críticos, el supervisor principal puede imponer multas coercitivas periódicas de hasta el 1 % del volumen de negocios medio mundial diario del proveedor, durante un máximo de seis meses, para obligar al cumplimiento de sus requerimientos.
Siguiente paso: prepare su registro de información →
DORA son las siglas de Digital Operational Resilience Act, es decir, el Reglamento de Resiliencia Operativa Digital, formalmente el Reglamento (UE) 2022/2554.
DORA entró en vigor el 16 de enero de 2023 y es de plena aplicación y obligatoria desde el 17 de enero de 2025.
Es un reglamento. Por ello es directamente aplicable en todos los Estados miembros de la UE sin necesidad de transposición a la legislación nacional, lo que garantiza un marco armonizado.
Las autoridades nacionales competentes supervisan a las entidades financieras, mientras que las Autoridades Europeas de Supervisión (EBA, ESMA y EIOPA) coordinan la supervisión de los proveedores terceros críticos de servicios TIC.
Las autoridades pueden imponer sanciones administrativas proporcionadas, requerimientos y publicación del incumplimiento. A los proveedores críticos se les pueden aplicar multas coercitivas de hasta el 1 % de su volumen de negocios medio mundial diario.
Esta página es una ayuda profesional, no asesoramiento jurídico. · Versión en inglés