DORA compliance: cúmplelo y demuéstralo

La prueba, no la estimación.

DORA no es un plazo futuro. El Reglamento (UE) 2022/2554 es aplicable desde el 17 de enero de 2025 y, al ser un reglamento, es directamente exigible sin esperar a ninguna ley española.

La consecuencia es incómoda de decir, pero es la realidad: si tu entidad financiera no puede demostrar hoy su marco de gestión del riesgo TIC, ya está en situación de incumplimiento.

Nuestro diagnóstico te dice hoy qué puedes demostrar, qué no y en qué orden cerrarlo.

Lo que DORA te pide de verdad

El artículo 6 exige un marco de gestión del riesgo TIC «sólido, completo y bien documentado». La palabra que decide es la última: si no está documentado y no es demostrable, para el supervisor no existe.

Y no se queda ahí:

• Artículo 5. El órgano de dirección define, aprueba y supervisa el marco — y responde de su aplicación.
• Artículo 30. Cláusulas contractuales obligatorias con cada proveedor TIC. La mayoría de los contratos firmados antes de 2025 no las cumplen.
• Artículos 28-31. Registro de información de proveedores, evaluación del riesgo de concentración y estrategias de salida creíbles.
• Artículo 26. Pruebas avanzadas de penetración basadas en amenazas (TLPT), al menos cada tres años.
• Artículo 19. Notificación de los incidentes graves relacionados con las TIC.

El hueco que dejan las alternativas

• Los checklists genéricos repiten el reglamento, pero no dicen qué le falta a tu entidad ni qué evidencia lo demostraría.
• Los paneles de GRC registran lo que tú declaras. Documentan la intención, no la realidad.
• Los TLPT y los pentest entregan una estimación: «no consiguieron entrar esta vez». Necesarios, pero no son una demostración.

Cuando el supervisor pregunta si tu marco funciona, lo que cuenta es la evidencia. Por eso, en nuestro diagnóstico, cada conclusión cita el artículo y la evidencia que la sostienen.

Qué obtienes hoy: el diagnóstico

Con tu documentación y 2–3 entrevistas:

• Mapa de encaje: si te aplica el régimen completo o el marco simplificado del artículo 16 — una decisión que puede ahorrarte una parte sustancial del esfuerzo.
• Brechas en el marco de gestión del riesgo TIC (artículos 5, 6 y 8), con la evidencia que existe y la que falta.
• Revisión del registro de información de proveedores TIC (artículo 28) y de los contratos frente al artículo 30, incluidos tus proveedores de IA.
• Revisión del proceso de gestión y notificación de incidentes (artículos 17 y 19) y del programa de pruebas (artículos 24 y 25).
• Plan de remediación priorizado y resumen para el consejo, porque el artículo 5 le hace responsable.

No es asesoramiento jurídico ni un TLPT: es el mapa de lo que te falta y de cómo demostrarlo.

Ver un ejemplo del informe →

Tus modelos de IA también están dentro

DORA no menciona la inteligencia artificial ni una sola vez. Y sin embargo la regula de lleno: sus definiciones son funcionales, no tecnológicas, de modo que un modelo de scoring, un motor antifraude o un asistente de cliente son servicios de TIC a todos los efectos.

Con dos consecuencias que sorprenden a casi todas las entidades: tu proveedor de IA es un proveedor tercero de servicios TIC —con sus cláusulas, su registro y su riesgo de concentración—, y un fallo del modelo puede ser un incidente notificable. (Lo detallamos en DORA e inteligencia artificial.)

Un solo marco para tres normas

Una entidad de crédito con modelos de IA puede estar sujeta a la vez a:

• DORA — resiliencia operativa digital (y prevalece sobre NIS2 como norma sectorial).
• NIS2 — en lo que DORA no cubra.
• EU AI Act — sus modelos de scoring o de seguros son alto riesgo (anexo III), con obligaciones desde el 2 de diciembre de 2027.

Abordarlas por separado multiplica el trabajo. El diagnóstico puede revisarlas juntas, en un mismo informe.

Para quién

• Entidades financieras del artículo 2: bancos, entidades de pago y de dinero electrónico, empresas de inversión, aseguradoras, fondos de pensiones, criptoactivos, agencias de calificación.
• Proveedores TIC del sector financiero — incluidos los de IA —, a quienes sus clientes ya trasladan las exigencias por contrato, y que pueden acabar designados como esenciales y supervisados por las Autoridades Europeas de Supervisión (artículo 31).

Hacia dónde vamos

Un diagnóstico es una foto con fecha. Estamos construyendo una plataforma que convertirá ese cumplimiento en una prueba matemática, reproducible y verificable por un tercero, que se mantiene cuando tus sistemas cambian y que podrá instalarse en tu propio perímetro, una condición habitual en una entidad financiera. Sin fecha comprometida.

Empieza por saber dónde estás

Valoración inicial gratuita. Una conversación sobre tu caso: si te aplica el régimen completo o el simplificado y qué conviene mirar primero. Sin compromiso.

---

Sigue leyendo: Reglamento DORA: qué es y a quién aplica (guía) · DORA e inteligencia artificial · NIS2 · EU AI Act.

Fuente normativa: Reglamento (UE) 2022/2554, artículos 5, 6, 16, 19, 26, 28 a 31 y 64.