El Reglamento (UE) 2022/2554, conocido como Reglamento de Resiliencia Operativa Digital (Digital Operational Resilience Act, DORA), fija un marco común de resiliencia operativa digital para el sector financiero de la Unión Europea. Su finalidad es que los incidentes de TIC —fallos técnicos o ataques de ciberseguridad— no deriven en disrupciones sistémicas: exige gobernanza del riesgo, registro y notificación de incidentes, pruebas periódicas, control del riesgo de terceros y mecanismos de intercambio de información.
Ámbito subjetivo DORA alcanza tanto a las entidades financieras como a determinados proveedores externos de servicios TIC de los que aquellas dependen. Entre las entidades comprendidas figuran bancos, compañías y mediadores de seguros, empresas de servicios de pago y dinero electrónico, firmas de inversión, gestores de fondos, infraestructuras de mercado (CCP, CSD y plataformas de negociación), registros y, en determinados supuestos, proveedores de criptoactivos.
Principios y pilares El reglamento se apoya en cinco líneas de actuación:
Gestión del riesgo TIC y gobernanza a nivel del órgano de administración (secure by default). Incidentes y notificación: criterios comunes para registrar, clasificar y reportar incidentes significativos a las autoridades competentes. Pruebas de resiliencia (incluidas pruebas avanzadas basadas en amenazas para entidades relevantes). Riesgo de terceros: obligaciones contractuales y supervisión específica de proveedores TIC considerados críticos a escala de la UE. Intercambio de información sobre ciberamenazas entre entidades participantes, con salvaguardas de confidencialidad.
Desarrollo normativo DORA prevé normas técnicas (RTS/ITS) y actos delegados que concretan su aplicación práctica. Entre ellos destacan:
el Reglamento Delegado (UE) 2024/1772 sobre clasificación y notificación de incidentes TIC; el Reglamento Delegado (UE) 2024/1774 relativo al marco de gestión del riesgo TIC.
Estas piezas técnicas, elaboradas por las Autoridades Europeas de Supervisión (EBA, ESMA y EIOPA), se publican en el DOUE y resultan obligatorias una vez en vigor.
Proporcionalidad El enfoque de proporcionalidad permite ajustar la intensidad de los requisitos al tamaño, naturaleza y perfil de riesgo de cada entidad. Las entidades pequeñas pueden aplicar medidas simplificadas siempre que mantengan un nivel adecuado de control y documentación.
Aplicación y supervisión El reglamento entró en vigor veinte días después de su publicación y se aplica desde el 17 de enero de 2025. La supervisión corresponde a las autoridades nacionales competentes, coordinadas por las AES; para proveedores TIC críticos existe un marco de supervisión a nivel de la UE.
Véase también
Directiva NIS 2 Autoridades Europeas de Supervisión
Referencias
Enlaces externos
Texto del Reglamento (UE) 2022/2554 en EUR-Lex Página informativa de DORA (EIOPA)
Categoría:Reglamentos de la Unión Europea Categoría:Derecho de la Unión Europea