DORA: qué es y por qué un banco o una aseguradora te pide este cuestionario
Si tu cliente es un banco, una aseguradora, una entidad de pago o una fintech, esto te explica de dónde viene el cuestionario.
DORA es el Reglamento (UE) 2022/2554 de resiliencia operativa digital, en vigor desde el 17 de enero de 2025. A diferencia de NIS2, que es una directiva que cada país transpone a su manera, DORA es un reglamento europeo de aplicación directa: el mismo texto rige igual en los 27 estados miembros, sin margen de interpretación nacional.
Se estructura en cinco bloques: gestión del riesgo TIC (gobernanza, protección, detección, respuesta y recuperación, copias de seguridad), gestión y notificación de incidentes TIC con plazos regulados, pruebas de resiliencia operativa digital (incluyendo pruebas de penetración avanzadas para las entidades de mayor tamaño), gestión del riesgo de terceros TIC, y mecanismos de intercambio de información sobre amenazas entre entidades.
El bloque que más te afecta como proveedor es el de riesgo de terceros TIC. DORA obliga a las entidades financieras a mantener un registro detallado de todos sus proveedores tecnológicos, a hacer diligencia debida antes de contratar, a incluir cláusulas contractuales específicas —derecho de auditoría, niveles de servicio, visibilidad sobre subcontratación, obligación de notificar incidentes— y a vigilar el riesgo de concentración. El cuestionario que te ha llegado es, casi siempre, la forma en que tu cliente cumple esa obligación de diligencia debida contigo.
Un matiz importante: si tu empresa llega a ser designada "proveedor crítico de TIC" por las autoridades europeas —algo reservado a proveedores de infraestructura a gran escala, como determinados proveedores cloud— pasarías a estar supervisada directamente por un regulador europeo. Para la inmensa mayoría de proveedores esto no aplica: lo que aplica es la diligencia debida contractual que acabas de leer.
El bloque de gestión del riesgo TIC (capítulo II) exige un marco documentado que cubra desde la gobernanza —quién decide y quién responde— hasta la protección de sistemas, la detección de anomalías, la respuesta y recuperación ante incidentes, y las copias de seguridad. El bloque de incidentes (capítulo III) obliga a clasificar cada incidente TIC según su gravedad y, si supera el umbral de "mayor", a notificarlo a la autoridad competente en plazos regulados, de forma parecida en espíritu a los plazos de notificación de NIS2 aunque con su propio procedimiento.
El bloque de pruebas de resiliencia (capítulo IV) exige pruebas periódicas de los sistemas y procesos, y para las entidades financieras más grandes o críticas añade pruebas de penetración basadas en amenazas (TLPT) cada tres años, ejecutadas con proveedores especializados siguiendo la metodología TIBER-EU. Como proveedor, es posible que tu cliente te pida colaborar en alguna de estas pruebas si tus sistemas están dentro del alcance evaluado.
DORA aplica el principio de proporcionalidad: las entidades financieras más pequeñas tienen obligaciones simplificadas frente a los bancos grandes o las infraestructuras de mercado. Eso no cambia lo que a ti te toca hacer como proveedor —la diligencia debida llega igual—, pero sí explica por qué el detalle y la extensión de los cuestionarios varían mucho según el tamaño de quien te lo envía.
¿A quién aplica?
DORA aplica directamente a un catálogo amplio de entidades financieras europeas: entidades de crédito, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, aseguradoras, reaseguradoras, fondos de pensiones, entre otras.
A ti te aplica indirectamente si eres proveedor TIC de cualquiera de ellas: desarrollo de software, alojamiento, servicios cloud, ciberseguridad, procesamiento de datos, o cualquier servicio que sostenga sus sistemas de información.
Preguntas típicas
¿Dispone de un marco documentado de gestión del riesgo TIC?
gobernanza y gestión del riesgo TIC
¿Cómo detecta y clasifica un incidente TIC como grave?
gestión y notificación de incidentes
¿Realiza pruebas periódicas de sus planes de continuidad y recuperación?
pruebas de resiliencia operativa
¿Puede identificar toda la cadena de subcontratación involucrada en el servicio que nos presta?
riesgo de terceros TIC
¿Acepta cláusulas contractuales de auditoría y de salida (exit plan) del servicio?
riesgo de terceros TIC
¿Dispone de un plan de continuidad de negocio probado?
gestión del riesgo TIC — continuidad
¿Cifra la información sensible que procesa por cuenta nuestra?
protección de sistemas TIC
¿Colaboraría en una prueba de resiliencia si el alcance incluye sus sistemas?
pruebas de resiliencia operativa
Evidencias necesarias
- Marco de gestión del riesgo TIC documentado
- Procedimiento de clasificación y notificación de incidentes
- Informe de la última prueba de continuidad
- Mapa de subcontratistas involucrados en el servicio
- Modelo de cláusulas contractuales aceptadas (auditoría, salida, niveles de servicio)
- Plan de continuidad de negocio con evidencia de la última prueba
- Configuración de cifrado de los sistemas que procesan datos del cliente
¿Tu cliente es del sector financiero?
Sube el cuestionario y clasificamos cada pregunta por control, aunque no cite DORA de forma explícita.
Analizar mi cuestionario gratisFAQ
¿DORA me obliga directamente si no soy una entidad financiera?
No directamente. Te llega por contrato: tu cliente financiero está obligado a vigilar el riesgo de sus proveedores TIC, y tú formas parte de esa cadena.
¿DORA sustituye a NIS2?
No. Son reglamentos distintos con ámbitos distintos: DORA es específico del sector financiero y sus proveedores TIC; NIS2 cubre un abanico mucho más amplio de sectores. Una misma empresa puede recibir cuestionarios de ambos si tiene clientes en distintos sectores.
¿Qué pasa si mi empresa llega a ser designada "proveedor crítico de TIC"?
Pasarías a estar supervisada directamente por una autoridad europea, con obligaciones adicionales de información y auditoría. Es una situación reservada a proveedores de infraestructura a gran escala y muy poco frecuente entre pymes — si te preocupa, es un tema para hablarlo con tu cliente, no algo que el cuestionario por sí solo determine.
¿Qué pasa si no respondo al cuestionario DORA de mi cliente?
Tu cliente financiero está obligado por DORA a hacer diligencia debida sobre sus proveedores TIC — si no respondes, no puede cerrar esa obligación contigo y lo normal es que busque otro proveedor que sí pueda demostrarlo. No es una multa que te caiga a ti directamente: es el contrato el que está en juego.