Estos son los 8 puntos que cubre este artículo sobre qué implica DORA para las fintech:
- Qué es DORA y a quién aplica
- Los cinco pilares de DORA explicados
- Qué exige DORA en la práctica
- Plazos de notificación de incidentes
- Qué cambia para las empresas fintech
- Sanciones por incumplimiento
- Errores habituales
- Cómo puede ayudarte PrivaLex y siguiente paso
La regulación financiera en la UE ha entrado en una nueva fase con DORA: el Reglamento de Resiliencia Operativa Digital (Reglamento UE 2022/2554), que entró en aplicación en enero de 2025. DORA no es un marco de ciberseguridad al uso: es una regulación de resiliencia vinculante que obliga a las entidades financieras y a sus proveedores tecnológicos a demostrar que pueden resistir, responder y recuperarse ante incidentes digitales.
Si operas una startup fintech, una plataforma de pagos, un SaaS que presta servicios a entidades financieras o cualquier empresa tecnológica dentro del ecosistema financiero europeo, DORA te afecta. Esta guía explica qué implica DORA para las fintech, quién está en el ámbito de aplicación, qué exigen sus cinco pilares en la práctica, cuáles son los plazos de notificación de incidentes y qué ocurre si no cumples.
En PrivaLex Partners apoyamos a fintech y proveedores TIC del sector financiero para preparar el cumplimiento DORA con claridad y confianza, desde el análisis inicial hasta la implementación y el seguimiento continuo.
¿Qué es DORA y a quién aplica?
DORA (Reglamento UE 2022/2554) forma parte del paquete de finanzas digitales de la UE. Establece un marco común para que las entidades financieras y sus proveedores TIC puedan resistir, responder y recuperarse de todas las interrupciones y amenazas de origen digital.
DORA aplica directamente a un amplio abanico de entidades financieras: bancos, aseguradoras, empresas de inversión, entidades de pago, entidades de dinero electrónico, proveedores de servicios de criptoactivos, plataformas de financiación participativa y agencias de calificación crediticia. También aplica a los proveedores terceros de TIC que sean designados críticos, designación formal que realizan a nivel europeo las Autoridades de Supervisión Europeas (ASE: ABE, ESMA y AESPJ).
Para las fintech en concreto, DORA es relevante de tres formas:
- Como entidad financiera regulada: si tu fintech tiene licencia de entidad de pago, de dinero electrónico, autorización MiCA o cualquier otra autorización de servicios financieros en la UE, DORA te aplica directamente.
- Como proveedor TIC crítico: si prestas servicios TIC a entidades financieras y eres designado crítico por las ASE, estás sujeto a supervisión directa bajo DORA.
- Como parte de la cadena de suministro: aunque no estés regulado directamente, si prestas servicios a bancos, aseguradoras u otras entidades financieras reguladas, estas deberán incluir cláusulas contractuales alineadas con DORA en sus acuerdos contigo. En la práctica, muchas fintech notarán DORA a través de los requisitos de sus clientes.
Los Cinco Pilares de DORA Explicados
DORA se articula en torno a cinco pilares. Entenderlos es el primer paso para saber qué hay que implementar y demostrar.
1. Gestión del riesgo TIC
Las organizaciones deben contar con un marco de gestión de riesgos TIC robusto y documentado que identifique activos críticos, mapee dependencias e implemente controles proporcionales a los riesgos identificados. No es un ejercicio puntual: debe revisarse de forma periódica y actualizarse cuando cambien la tecnología, la estructura o los riesgos. La alta dirección es responsable de aprobar y supervisar el marco.
2. Notificación de incidentes relacionados con las TIC
DORA introduce plazos estrictos para notificar incidentes TIC graves a las autoridades competentes. Para incidentes graves clasificados como tales, los plazos son: notificación inicial en 4 horas desde la clasificación (y no más tarde de 24 horas desde que se tuvo conocimiento), informe intermedio en 72 horas, e informe final en el plazo de un mes. Contar con protocolos internos claros, con roles definidos, criterios de clasificación y canales de comunicación, es imprescindible para cumplir estos plazos de forma consistente. En muchos casos, las organizaciones financieras utilizan soluciones de email certificado para garantizar la trazabilidad y la evidencia legal de las notificaciones enviadas a autoridades, clientes o proveedores durante la gestión de incidentes.
3. Pruebas de resiliencia operativa digital
Las organizaciones deben realizar pruebas periódicas de resiliencia para verificar que sus sistemas y procesos TIC pueden soportar interrupciones. Esto incluye pruebas básicas (evaluaciones de vulnerabilidades, pruebas basadas en escenarios, pruebas de penetración) para todas las entidades, y pruebas avanzadas de penetración basadas en inteligencia de amenazas (TLPT) para entidades financieras significativas al menos cada tres años. Las pruebas deben documentarse y los hallazgos seguirse hasta su resolución.
4. Gestión del riesgo de terceros proveedores TIC
DORA impone obligaciones significativas sobre cómo las entidades financieras gestionan a sus proveedores TIC. Los contratos con proveedores terceros de TIC deben incluir cláusulas específicas sobre requisitos de seguridad, derechos de auditoría, notificación de incidentes, continuidad de negocio y estrategias de salida. Las organizaciones deben mantener un registro de todos los acuerdos con terceros TIC y supervisar activamente el rendimiento y el perfil de riesgo de los proveedores críticos. Este pilar afecta directamente a las fintech tanto como compradores como proveedores.
5. Intercambio de información
DORA fomenta, y en algunos casos exige, que las entidades financieras compartan información e inteligencia sobre ciberamenazas entre sí y con las autoridades. La participación en mecanismos de intercambio de información de confianza se considera una señal de madurez y contribuye a la resiliencia del sector. El intercambio debe realizarse de forma que se proteja la confidencialidad y no se genere riesgo adicional.
¿Qué Exige DORA en la Práctica?
Lo que distingue a DORA de regulaciones anteriores es su foco en la resiliencia operativa demostrada, no solo en políticas escritas. Las autoridades pueden inspeccionar, solicitar documentación y exigir evidencias de que los controles no solo están documentados sino activamente implementados, probados y mejorados.
En la práctica, cumplir con DORA implica contar con:
- Un marco de gestión de riesgos TIC documentado, con titularidad asignada a la alta dirección
- Un registro formal de activos TIC críticos y acuerdos con terceros
- Procedimientos de respuesta a incidentes probados y documentados, incluyendo los protocolos de notificación de 4 y 72 horas
- Un programa de pruebas de resiliencia con evidencia de resultados y medidas correctoras
- Contratos con proveedores TIC que incluyan las cláusulas exigidas por DORA (seguridad, derechos de auditoría, notificación de incidentes, estrategias de salida)
- Formación del personal en riesgos TIC, respuesta a incidentes y sus roles específicos
- Un proceso de mejora continua: actuando sobre los hallazgos de auditorías, pruebas e incidentes
La documentación sola no es suficiente. Las autoridades esperan evidencias de que los controles funcionan en la práctica: resultados de pruebas, registros de simulaciones, registros de formación, informes de incidentes y actas de revisión por la dirección.
Plazos de Notificación de Incidentes bajo DORA
Los requisitos de notificación de incidentes de DORA son uno de los aspectos operativamente más exigentes para las fintech. Los plazos para incidentes TIC graves son estrictos y requieren que los procesos internos estén listos con antelación:
- Notificación inicial: en 4 horas desde la clasificación del incidente como grave (y no más tarde de 24 horas desde que se tuvo primer conocimiento)
- Informe intermedio: en 72 horas desde la notificación inicial, con actualización del estado, impacto y medidas adoptadas
- Informe final: en el plazo de un mes desde la resolución del incidente, incluyendo análisis de causa raíz, lecciones aprendidas e implicaciones sistémicas
Cumplir estos plazos exige contar con criterios internos de clasificación (qué cuenta como incidente grave), roles de escalado definidos (quién decide notificar, quién redacta el informe, quién lo envía), plantillas de notificación preparadas y procedimientos ensayados. Improvisar bajo presión lleva a notificaciones tardías o incompletas, que en sí mismas constituyen un incumplimiento.
¿Qué Cambia para las Empresas Fintech?
Para muchas fintech, DORA exige un cambio significativo en cómo abordan la resiliencia operativa. Varias áreas que antes eran informales o ad hoc deben formalizarse, documentarse y demostrarse:
- Continuidad de negocio y recuperación ante desastres: los planes deben existir, probarse y actualizarse de forma regular, no solo redactarse y archivarse
- Gestión de terceros: las relaciones con proveedores necesitan evaluaciones de riesgo estructuradas, cláusulas contractuales DORA y supervisión activa
- Respuesta a incidentes: los procedimientos internos deben ser lo suficientemente ágiles para cumplir la ventana de notificación inicial de 4 horas de DORA; esto requiere ensayo, no improvisación
- Responsabilidad de la dirección: la alta dirección debe estar implicada de forma demostrable en la supervisión del riesgo TIC, no solo delegarlo al equipo de IT
- Obligaciones en la cadena de suministro: incluso las fintech no reguladas directamente se enfrentarán a requisitos DORA trasladados contractualmente por sus clientes del sector financiero
Un sistema de gestión de seguridad de la información (SGSI) alineado con ISO 27001 cubre una parte significativa de los requisitos de DORA y puede reducir considerablemente el esfuerzo de implementación, especialmente en gestión de riesgos TIC, respuesta a incidentes y riesgo de terceros.
Sanciones por Incumplimiento de DORA
Las autoridades supervisoras nacionales, como la CNMV y el Banco de España en España, la BaFin en Alemania o la AMF en Francia, tienen competencias para inspeccionar, solicitar documentación e imponer sanciones por incumplimiento de DORA. Para los proveedores TIC críticos, las competencias de supervisión directa recaen en las ASE.
Las sanciones pueden incluir:
- Multas administrativas, que varían según el Estado miembro pero pueden ser sustanciales en caso de infracciones graves o reiteradas
- Órdenes de corrección obligatoria que exigen implantar controles o procesos específicos en un plazo determinado
- Divulgación pública del incumplimiento, con significativo impacto reputacional
- Exclusión de licitaciones, procesos de integración y contratos estratégicos con grandes clientes del sector financiero
- Para proveedores TIC críticos: suspensión o cese de la prestación de servicios a entidades financieras de la UE
Más allá de las sanciones, el riesgo comercial es significativo. Las fintech que no puedan demostrar el cumplimiento de DORA pueden quedar excluidas de acuerdos con bancos, aseguradoras y otros clientes regulados que están obligados a garantizar que sus proveedores TIC cumplen con DORA.
Errores que Pueden Frenar el Cumplimiento de DORA
Tratar DORA como un ejercicio documental
DORA exige explícitamente resiliencia operativa demostrada, no solo políticas escritas. Si tu plan de respuesta a incidentes nunca se ha ensayado, o tu registro de riesgos no se ha revisado desde la implementación, las autoridades lo detectarán en una inspección.
No tener un protocolo de notificación en 4 horas
El plazo de notificación inicial de 4 horas es exigente y requiere un proceso predefinido y ensayado. Sin criterios claros de clasificación, roles asignados y una plantilla de notificación, el equipo perderá horas críticas debatiendo qué hacer en lugar de actuar.
Asumir que el ámbito indirecto no genera obligaciones
Las fintech no reguladas directamente que prestan servicios a entidades financieras se encontrarán con requisitos DORA en los contratos de sus clientes. Ignorarlo hasta que un banco o aseguradora exija evidencias de cumplimiento crea urgencia y riesgo.
No revisar los contratos con proveedores TIC
DORA exige cláusulas contractuales específicas con proveedores TIC. Si tus contratos actuales son anteriores a DORA y no han sido revisados, probablemente carecen de las provisiones exigidas sobre derechos de auditoría, notificación de incidentes, continuidad de negocio y estrategias de salida.
Cómo Puede Ayudarte PrivaLex con el Cumplimiento DORA
En PrivaLex Partners trabajamos con fintech, scaleups tecnológicas y proveedores TIC del ecosistema financiero para hacer del cumplimiento DORA algo práctico, estructurado y alineado con los objetivos de negocio. No vendemos software: aportamos criterio, experiencia y apoyo directo para que sepas exactamente dónde estás y qué hacer a continuación.
Nuestro apoyo abarca análisis de brechas frente a los cinco pilares de DORA, diseño del marco de gestión de riesgos TIC, desarrollo y ensayo de protocolos de respuesta a incidentes, revisión de contratos con proveedores e implementación de cláusulas DORA, planificación de pruebas de resiliencia, formación de equipos y preparación para inspecciones supervisoras. Si también gestionas obligaciones ISO 27001, NIS2 o RGPD, integramos todos los marcos para evitar duplicar esfuerzos.
Agenda una sesión estratégica con PrivaLex y convierte el cumplimiento DORA en una ventaja competitiva: una señal para clientes, inversores y reguladores de que tus operaciones están construidas para perdurar.
Preguntas Frecuentes (FAQs)
¿Qué es DORA y cuándo entró en vigor?
DORA (Reglamento UE 2022/2554, Reglamento de Resiliencia Operativa Digital) es un reglamento europeo que establece normas vinculantes sobre gestión de riesgos TIC, notificación de incidentes, pruebas de resiliencia, riesgo de terceros e intercambio de información en el sector financiero. Entró en aplicación el 17 de enero de 2025.
¿Aplica DORA a mi fintech si no somos un banco?
Posiblemente. DORA aplica directamente a todas las entidades financieras autorizadas en la UE, incluidas entidades de pago, entidades de dinero electrónico, proveedores de servicios de criptoactivos, empresas de inversión y plataformas de financiación participativa. También aplica a los proveedores TIC críticos designados por las ASE. Aunque no estés regulado directamente, si prestas servicios a bancos o aseguradoras, es posible que te encuentres con requisitos DORA en los contratos de tus clientes.
¿Cuáles son los plazos de notificación de incidentes bajo DORA?
Para incidentes TIC graves: notificación inicial a la autoridad competente en 4 horas desde la clasificación (y no más tarde de 24 horas desde que se tuvo conocimiento); informe intermedio en 72 horas; informe final en el plazo de un mes desde la resolución.
¿Cuáles son los cinco pilares de DORA?
DORA se articula en cinco pilares: (1) gestión del riesgo TIC, un marco documentado bajo titularidad de la alta dirección; (2) notificación de incidentes TIC, con plazos estrictos de notificación; (3) pruebas de resiliencia operativa digital, evaluaciones periódicas y, para entidades significativas, pruebas avanzadas TLPT; (4) gestión del riesgo de terceros TIC, contratos, supervisión y registro de proveedores; (5) intercambio de información, compartir inteligencia sobre ciberamenazas con pares y autoridades.
¿Cuáles son las sanciones por incumplimiento de DORA?
Las autoridades supervisoras nacionales pueden imponer multas administrativas, emitir órdenes de corrección obligatoria y hacer pública la infracción. Para proveedores TIC críticos, las ASE pueden suspender o cesar la prestación de servicios a entidades financieras de la UE. Más allá de las sanciones, el riesgo comercial incluye la exclusión de acuerdos con clientes del sector financiero regulado.
¿Cómo se relaciona DORA con NIS2 e ISO 27001?
DORA y NIS2 se solapan en el ámbito de aplicación para algunas entidades financieras; donde ambos aplican, los requisitos de DORA prevalecen por el principio lex specialis. ISO 27001 cubre gran parte del pilar de gestión de riesgos TIC de DORA y puede reducir significativamente el esfuerzo de implementación. Un partner como PrivaLex puede ayudarte a alinear los tres marcos en un único proyecto.
¿Puede PrivaLex ayudar a mi fintech a prepararse para DORA?
Sí. PrivaLex ofrece análisis de brechas DORA, diseño del marco de gestión de riesgos TIC, desarrollo de protocolos de respuesta a incidentes, revisión de contratos con proveedores, planificación de pruebas de resiliencia, formación de equipos y preparación para inspecciones. Te acompañamos desde el diagnóstico inicial hasta la implementación y el seguimiento continuo.
¿Cuál es el siguiente paso?
¿Quieres asegurar que tu fintech cumple con DORA de forma sólida y eficiente? Agenda una llamada con nuestro equipo.
