DORA: resiliencia operativa digital

El Reglamento DORA se aplica desde el 17 de enero de 2025 a entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, gestoras de fondos, proveedores de servicios de criptoactivos, aseguradoras y otras entidades financieras. La supervisión corresponde al ČNB, que desde 2025 comprueba cómo cumplen las empresas con DORA. Preparamos toda la documentación, adaptamos los contratos con proveedores TIC, elaboramos el registro de información y configuramos la notificación de incidentes.

Actualizado el 11 de noviembre de 2026

¿A quién se aplica DORA?

El Reglamento (UE) 2022/2554 (DORA) se aplica a las entidades financieras del artículo 2, entre otras:

• bancos, entidades de pago y entidades de dinero electrónico, incluidos los pequeños proveedores de servicios de pago y los pequeños emisores de dinero electrónico,
• proveedores de servicios de criptoactivos (CASP),
• empresas de servicios de inversión, gestores de fondos de inversión alternativos y sociedades gestoras,
• aseguradoras, reaseguradoras y mediadores de seguros de mayor tamaño,
• proveedores de servicios de financiación participativa (crowdfunding).

En cambio, DORA no se aplica, por ejemplo, a los gestores de fondos por debajo de los umbrales del artículo 3, apartado 2, de la Directiva GFIA, en la República Checa típicamente a las personas del § 15 ZISIF, ni a los mediadores de seguros que son pequeñas o medianas empresas (artículo 2, apartado 3, de DORA).

¿Qué exige DORA?

1. Gestión del riesgo de las TIC (artículos 5 a 16): estrategia de resiliencia operativa digital, inventario de activos, políticas de seguridad, continuidad de negocio, copias de seguridad y recuperación. Los pequeños proveedores de servicios de pago, los pequeños emisores de dinero electrónico y las pequeñas empresas de servicios de inversión pueden aplicar el marco simplificado del artículo 16.
2. Gestión y notificación de incidentes (artículos 17 a 23): clasificación de incidentes y notificación de los incidentes graves al ČNB.
3. Pruebas (artículos 24 a 27): programa de pruebas, sistemas críticos al menos una vez al año. Las pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años solo las deben realizar las entidades que designe el ČNB.
4. Gestión del riesgo de terceros (artículos 28 a 30): registro de información sobre los contratos con proveedores TIC, cláusulas contractuales obligatorias y estrategias de salida.

¿Qué comprueba el ČNB en la práctica?

El ČNB inició en 2025 la primera supervisión conforme a DORA. Incluyó en una revisión piloto a 16 entidades de servicios de inversión y de pago y utilizó un cuestionario con más de 400 preguntas de control. Lo que más trabajo dio a las empresas fue la gestión de las relaciones con los proveedores TIC: tuvieron que modificar contratos, completar las obligaciones de los proveedores y empezar a llevar registros que hasta entonces no llevaban de forma sistemática (Právní prostor, informe anual del ČNB de 2025, en checo).

¿Qué es el registro de información y cuándo se presenta?

El registro de información recoge todos los contratos con proveedores de servicios TIC, incluidos la nube, el software y la externalización informática (artículo 28, apartado 3, de DORA). El ČNB lo recopila a través del sistema SDAT. En 2026 el plazo fue el 2 de marzo de 2026. El ČNB informa a las entidades obligadas de la obligación y del plazo mediante un requerimiento (ČNB, DORA – entidades informantes, en checo).

¿Con qué rapidez debe notificarse un incidente grave?

• notificación inicial: en un plazo de 4 horas desde la clasificación del incidente como grave y, a más tardar, 24 horas después de tener conocimiento de él,
• informe intermedio: en un plazo de 72 horas desde la notificación inicial,
• informe final: en el plazo de un mes desde el último informe intermedio.

Los plazos los fija el Reglamento Delegado (UE) 2025/301 de la Comisión. Por ello, el procedimiento de clasificación y notificación debe estar preparado de antemano, no durante el incidente.

¿Cómo se relaciona DORA con la ley checa de ciberseguridad?

Para las entidades financieras, DORA es una norma sectorial. Cuando regula de forma equivalente la gestión de los riesgos cibernéticos y la notificación de incidentes, prevalece sobre la Ley n.º 264/2025 de ciberseguridad, que transpone la Directiva NIS2. No obstante, la ley de ciberseguridad se aplica cuando DORA no regula una materia, por ejemplo el registro ante el NÚKIB. La supervisión principal corresponde al ČNB y el NÚKIB actúa de forma complementaria (declaración conjunta del ČNB y el NÚKIB, 24 de junio de 2026, en checo).

¿Cómo podemos ayudarle?

• Documentación DORA a medida: estrategia, políticas, normas internas, inventario de activos TIC y planes de continuidad.
• Contratos con proveedores TIC: revisión y adaptación conforme al artículo 30 de DORA.
• Registro de información: elaboración del registro y su presentación al ČNB.
• Incidentes: procedimiento de clasificación y notificación, plantillas de notificación para el ČNB.
• Pruebas: programa de pruebas de resiliencia operativa digital.
• Inspección del ČNB: preparación para el cuestionario y la revisión.

Entregamos la documentación como paquete de servicios para implantar DORA. A los nuevos solicitantes de una licencia del ČNB se la preparamos directamente como parte de la solicitud.

Preguntas frecuentes

¿Se aplica DORA también a las pequeñas entidades de pago?

Sí. DORA se aplica también a los pequeños proveedores de servicios de pago y a los pequeños emisores de dinero electrónico. No obstante, pueden aplicar el marco simplificado de gestión del riesgo de las TIC del artículo 16.

¿Se aplica DORA a las personas del § 15 ZISIF?

No. Los gestores de fondos por debajo de los umbrales del artículo 3, apartado 2, de la Directiva GFIA están excluidos del ámbito de aplicación de DORA.

¿Tenemos que realizar pruebas de penetración TLPT?

Solo si el ČNB le designa. Las demás entidades realizan pruebas conforme a su propio programa, los sistemas críticos al menos una vez al año.

¿Tenemos que modificar los contratos con proveedores de nube y software?

En la mayoría de los casos, sí. Los contratos deben incluir las cláusulas que exige el artículo 30 de DORA, y a los servicios que apoyan funciones críticas o importantes se les aplican requisitos más estrictos, como el derecho de auditoría y las estrategias de salida.

¿Cuánto cuesta implantar DORA?

El precio depende del tamaño de la empresa, del alcance de sus actividades y de la documentación de la que ya dispone. Tras una consulta inicial, le prepararemos una oferta por escrito a medida.

Escríbanos a info@stuchlikova.com para concertar una consulta inicial.

Fuentes

• Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero (DORA)
• ČNB, DORA – entidades informantes, en checo
• declaración conjunta del ČNB y el NÚKIB, 24 de junio de 2026, en checo
• Právní prostor, informe anual del ČNB de 2025, en checo

Referencias

Contactos clave

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová