Soluciones · Servicios financieros
Desde enero de 2025, DORA se aplica a las entidades financieras de toda la UE. La primera oleada está superada; ahora la autoridad federal alemana de supervisión financiera (BaFin) pregunta por procesos vividos y registros completos. Sightadel guía a través de los requisitos, convierte el registro de información en un subproducto de la gestión diaria de proveedores y deja constancia de lo que ha acordado el órgano de dirección.
Punto de partida
La mayoría de las entidades empezaron DORA como un proyecto: análisis de carencias, revisión de políticas, registro completado para la primera fecha de referencia. Gran parte de ello está hoy en hojas de cálculo, carpetas de red y correos electrónicos. Para la primera presentación fue suficiente. Para el funcionamiento continuo rara vez lo es, porque cada cambio de contrato, cada nuevo proveedor y cada prueba hay que anotarlos en algún sitio.
DORA exige más que un registro. El reglamento se apoya en cinco pilares: gestión del riesgo relacionado con las TIC con responsabilidad del órgano de dirección, gestión y notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital, gestión del riesgo de terceros relacionado con las TIC e intercambio voluntario de información sobre amenazas. Las normas técnicas de las autoridades europeas de supervisión regulan los detalles. En Alemania, la supervisión corresponde a la BaFin.
Las entidades más pequeñas tienen la misma obligación con menos personal. La seguridad de la información suele recaer en una sola persona que, además, se ocupa de las externalizaciones, la protección de datos y la gestión de emergencias. Para ella lo que más cuenta es que las evidencias estén en un solo lugar, que no se olviden plazos y que la próxima auditoría no desencadene una recopilación a última hora.
Por qué ahora
La BaFin solicita el registro de información una vez al año con una fecha de referencia. Los identificadores que faltan o los datos contradictorios provocan rechazos. Quien actualiza el registro poco antes vuelve a buscar desde cero cada año.
El auditor de cuentas y la autoridad de supervisión preguntan por el marco de gestión del riesgo relacionado con las TIC, su revisión anual, los resultados de las pruebas y la resolución de los hallazgos. Se piden evidencias con fecha, no declaraciones de intenciones.
Antes de firmar el contrato hay que evaluar el riesgo y revisar el contenido contractual. Si el proveedor presta apoyo a una función esencial o importante, se añaden una estrategia de salida y cláusulas ampliadas.
Un incidente grave activa plazos de notificación de pocas horas. Quien aclara los criterios de clasificación, los responsables y las vías de notificación solo cuando llega el caso pierde exactamente esas horas.
Las pruebas de penetración, los escaneos de vulnerabilidades y la auditoría interna generan hallazgos. La autoridad de supervisión quiere ver que se evalúan, se priorizan y se resuelven dentro de plazo.
Con una autorización ampliada, una fusión o la pérdida de exenciones puede dejar de aplicarse el marco simplificado. Entonces rigen los requisitos completos, y el estado de las evidencias tiene que crecer al mismo ritmo.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Se aplica directamente desde el 17 de enero de 2025 a las entidades financieras de la UE, como entidades de crédito, entidades de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras, sociedades gestoras de fondos y proveedores de servicios de criptoactivos. No existe certificado. Lo que se espera es un estado de evidencias que la BaFin y los auditores puedan comprobar.
Ver el framework →No es obligatoria, pero es la base probada. Un SGSI construye de todos modos la gestión de riesgos, el control de accesos y de cambios, las copias de seguridad y la gestión de incidentes. DORA añade sobre todo el registro de información, la clasificación de incidentes, el contenido de los contratos y el programa de pruebas.
Ver el framework →Los datos de clientes, de cuentas y de solvencia son sensibles. Los contratos de encargado del tratamiento y el registro de DORA se basan en los mismos datos de proveedores. Un incidente puede dar lugar a la vez a una notificación a la autoridad de control de protección de datos y a la BaFin.
Ver el framework →Para las entidades financieras incluidas en el ámbito de aplicación de DORA, DORA es la norma especial. Las obligaciones de ciberseguridad se cumplen allí. NIS2 cobra relevancia cuando sociedades del grupo, por ejemplo un proveedor de servicios TI propio, operan fuera de DORA y alcanzan los umbrales.
Ver el framework →No es un tema para la propia entidad, pero sí una evidencia valiosa al evaluar a proveedores de servicios en la nube. Un informe de atestación C5 vigente no sustituye la evaluación de riesgos propia, pero la hace mucho más sólida.
Ver el framework →Orden recomendado
Aclare como qué tipo de entidad financiera está sujeta a DORA y si puede aplicarse el marco simplificado de gestión del riesgo relacionado con las TIC del art. 16. De ello depende la amplitud que deben tener el marco, las pruebas y la documentación.
¿Qué funciones pondrían en peligro la actividad, el cumplimiento de obligaciones o la autorización si fallaran? Esta definición atraviesa el registro, los contratos, las pruebas y las estrategias de salida. La aprueba el órgano de dirección.
Cada proveedor TIC se registra con su contrato, las funciones a las que presta apoyo, las ubicaciones del tratamiento de datos, los subcontratistas y las evidencias. De ahí surge el registro de información. Los contenidos contractuales que faltan se convierten en medidas para la siguiente ronda de contratos.
Los criterios de clasificación, los responsables, los suplentes y las vías de notificación se documentan de antemano y se ensayan una vez. Un registro de incidentes recoge también los que no están sujetos a notificación.
Los requisitos se recorren de forma guiada y se asignan las evidencias existentes del SGSI. El programa de pruebas funciona como un ciclo. Los hallazgos se convierten en problemas con plazo y responsable.
El marco se revisa al menos una vez al año y después de incidentes graves. El órgano de dirección recibe información, aprueba los cambios y se forma. Sightadel recuerda cada fecha pendiente.
Enfoque
Casi ninguna entidad gestiona su TI por sí sola. El sistema bancario central, el centro de datos, la nube, los pagos y las aplicaciones especializadas vienen de terceros. DORA convierte estas dependencias en el núcleo de la supervisión.
No es un simple listado de contratos, sino una recopilación estructurada: proveedor, contrato, función, criticidad, ubicaciones, sustituibilidad y los subcontratistas que hay detrás. En Sightadel surge de la gestión continua en el módulo Proveedores, no de una recopilación a última hora antes de la fecha de referencia.
Los contratos de servicios TIC necesitan un contenido mínimo, como la descripción del servicio, los lugares de tratamiento de datos, los derechos de acceso y de auditoría, el apoyo en caso de incidentes y los derechos de rescisión. Para las funciones esenciales o importantes rigen requisitos ampliados. Cada cláusula que falta se convierte en una tarea con responsable.
El riesgo se evalúa antes de firmar el contrato y después se revisa con regularidad. Los certificados, informes de atestación e informes de auditoría de los proveedores se guardan con su fecha de validez junto a cada proveedor. Si una evidencia caduca, lo ve en el panel.
Para los proveedores que prestan apoyo a funciones esenciales o importantes hace falta un plan documentado de cómo sustituir o reinternalizar el servicio sin interrupciones. Se versiona como cualquier otra evidencia y se revisa con regularidad.
Cómo ayuda Sightadel
El módulo Proveedores es la base del registro de información. Allí se mantienen los proveedores, los contratos, las funciones a las que prestan apoyo, la criticidad, los subcontratistas y las evidencias en cuanto se firma o cambia un contrato.
Más información →Los requisitos del reglamento están registrados con referencia al artículo y la evidencia esperada. Las evidencias existentes del SGSI quedan vinculadas a la vez a DORA y a ISO 27001.
Más información →Las cláusulas contractuales que faltan, los hallazgos de pruebas y de auditoría interna y los puntos abiertos del análisis de carencias se convierten en tareas con plazo y responsable. El avance está visible en todo momento.
Más información →Políticas, acuerdos del órgano de dirección, actas de pruebas y certificados de formación están versionados en un solo lugar. Cada evidencia tiene fecha de caducidad y Sightadel avisa antes de que venza el plazo.
Más información →Las plantillas para el marco de gestión del riesgo relacionado con las TIC, la política de riesgo de terceros, los planes de emergencia y las estrategias de salida proporcionan un borrador. El apetito de riesgo, las funciones esenciales y la clasificación los decide usted.
Más información →Esfuerzo y duración
Los plazos son valores basados en la experiencia, no un compromiso. El ritmo lo marcan sobre todo lo completa que esté la documentación contractual y la disposición de los proveedores a renegociar cláusulas. Quien esté designado para pruebas de penetración basadas en amenazas debe planificarlas como un proyecto propio.
Qué licencia contrata · normalmente Professional
Una entidad típica gestiona DORA junto con ISO 27001 como base en la edición Professional. Incluye diez usuarios y 25 proveedores. Con muchos proveedores TIC o varias sociedades, Enterprise, con un número ilimitado de proveedores, es la opción adecuada. Si ISO 27001 está incluida, DORA tiene un descuento permanente.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
El art. 16 de DORA prevé un marco simplificado para determinadas entidades financieras más pequeñas, por ejemplo las empresas de servicios de inversión pequeñas y no interconectadas, las entidades de pago y de dinero electrónico exentas conforme al Derecho de la UE y los pequeños fondos de pensiones de empleo. Allí los requisitos son más ligeros, pero no desaparecen. Si su entidad está incluida se desprende de su autorización. En caso de duda, aclárelo con su asesoría en materia de supervisión.
No, pero ayuda mucho. Muchas bases ya existen. Lo que suele faltar es el registro de información, la clasificación de incidentes según los criterios de las normas técnicas, el contenido mínimo de los contratos con proveedores TIC y un programa de pruebas en el sentido de DORA. En Sightadel ve qué evidencias ya están vinculadas a ambos frameworks.
Sightadel no está conectado a la plataforma de notificación de la BaFin. Los datos del registro se mantienen en el módulo Proveedores y se exportan. La presentación en el formato y el periodo establecidos se realiza a través de la plataforma de la BaFin.
Documente la situación, las conversaciones y su evaluación de riesgos. Para funciones que no son esenciales ni importantes, el riesgo suele ser asumible. En las funciones esenciales o importantes, la cuestión debe llevarse al órgano de dirección, incluida la estrategia de salida. Sightadel deja constancia de la decisión, su justificación y el recordatorio de revisión.
Normalmente, seguridad de la información como Admin; gestión de externalizaciones, compras y operaciones de TI como Contributor, y el órgano de dirección como Viewer. La auditoría interna y los auditores externos reciben el rol Auditor: leen, comentan y, tras su aprobación, editan, pero nunca eliminan nada. A su asesoría externa la invita como Consultant.
Así es, y por eso Sightadel debe figurar en su registro. Sightadel se opera en Alemania. Con cada cliente firmamos un contrato de encargado del tratamiento conforme al art. 28 RGPD.
Sightadel se encarga de que el marco, los acuerdos, las pruebas, el registro y los hallazgos estén demostrados con fecha y responsable, y de que los auditores reciban un acceso propio sin permiso de eliminación. Sightadel no sustituye el asesoramiento en materia de supervisión. Para cuestiones difíciles, puede contratar un paquete de asesoramiento en la aplicación cuando lo necesite.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
