← Catálogo de marcosFinanciero
Reglamento de Resiliencia Operativa Digital
Reg. (UE) 2022/2554
- A quién obliga
- Entidades financieras (bancos, aseguradoras, fondos, EDE, EDP, cripto) + sus proveedores TIC críticos.
- Sanción máxima
- Entidades financieras: las sanciones que fije la normativa española de aplicación (art. 50). Proveedores TIC esenciales: multas coercitivas diarias de hasta el 1 % de su volumen de negocios diario medio mundial, durante un máximo de seis meses (art. 35)
- En vigor desde
- 17/01/2025
- Autoridad
- BdE · CNMV · DGSFP
DORA, en claro.
Marco europeo de resiliencia digital del sector financiero. Aplicable desde 17/01/2025. Define gestión de riesgo TIC, gestión de incidentes, pruebas de resiliencia y contratos con proveedores.
Estado en ÆGIS: activo. Flujo completo: evaluación guiada que detecta tus obligaciones, plantillas de documento que se rellenan con tus datos para que las revises, y el asistente, que cita el artículo de cada respuesta y comprueba si ese artículo está en la base normativa. Disponible en la plataforma.
Obligaciones y artículos clave
El asistente cita estos puntos por su artículo. 6 referencias cargadas en el motor — muestra de 4.
-
DORA Art. 2
Ámbito de aplicación — 21 categorías financieras
DORA se aplica a entidades de crédito; empresas de servicios de inversión; entidades de pago y de dinero electrónico; compañías aseguradoras y reaseguradoras; sociedades gestoras de fondos; infraestructuras de mercado (plataformas de negociación, cámaras de compensación); empresas de servicios de criptoactivos; proveedores de servicios de datos financieros; y otros sujetos enumerados. Adicionalmente, introduce la figura del 'proveedor TIC crítico de terceros' (CTPP) bajo supervisión europea directa por las ESAs.
-
DORA Arts. 5-14
Marco de gestión del riesgo TIC
Las entidades financieras desarrollarán un marco integral, documentado, aprobado por el órgano de dirección, que abarque identificación de activos críticos, evaluación continua de riesgos TIC, mantenimiento de políticas y controles de seguridad, planes de continuidad y recuperación, gestión de cambios, gestión de vulnerabilidades, y formación. El órgano de dirección es responsable personalmente del marco — no puede delegarse el resultado.
-
DORA Arts. 17-23
Gestión y notificación de incidentes graves
Sistema único de clasificación, registro y notificación de incidentes TIC. Un incidente se clasifica como 'grave' si tiene repercusiones negativas en redes y sistemas que sustentan funciones esenciales o importantes, conforme a los criterios del Reglamento Delegado (UE) 2024/1772. La notificación inicial al supervisor sigue plazos armonizados; el formato lo determina el Reglamento de Ejecución (UE) 2025/302. Coordinación obligatoria con AEPD si el incidente afecta a datos personales (cruce con Art. 33 RGPD: 72h).
-
DORA Art. 24-27 (Pilar 3)
Pruebas de resiliencia — TLPT obligatorio
Las entidades realizan pruebas regulares de resiliencia de sus sistemas TIC incluyendo: evaluaciones de vulnerabilidades, pruebas basadas en escenarios, y para las entidades designadas por la autoridad (en base a perfil de riesgo, tamaño y rol sistémico) pruebas TLPT — Threat-Led Penetration Testing — conforme al framework TIBER-EU al menos cada 3 años con proveedores acreditados. TLPT/TIBER es el cambio más disruptivo de DORA desde el punto de vista técnico.
Qué puedes hacer con este marco en ÆGIS
EVALUACIÓN INTERACTIVA
Árbol de decisión guiadoUn cuestionario adaptativo determina qué obligaciones de DORA aplican a cada cliente y detecta sus brechas. El resultado alimenta los documentos y el universo de controles.
Solicita una demoDOCUMENTOS QUE GENERA · 3
Borradores con tus datos, para que los revises- Marco de Gestión del Riesgo de las TIC (DORA)
- Plan de Gestión y Respuesta a Incidentes TIC (DORA)
- Registro de Información de Proveedores Terceros TIC (DORA)
Cruces con otros marcos
Estos marcos comparten obligaciones convergentes con DORA. El agente las razona como un sistema, no como silos.
¿Qué más te exige la ley? Míralo con el artículo al lado.
Responde unas preguntas y te decimos qué te aplica, con el artículo concreto. Gratis y sin registro.
¿Una duda concreta sobre DORA? Pregúntale a Atlas: responde citando el artículo.