---
title: "DORA 360º: Gobernanza, riesgo y continuidad en el ecosistema financiero"
description: La aplicación de DORA en el sector financiero exige cumplimiento y supervisión efectiva. Conoce los requisitos clave para asegurar la resiliencia operativa digital.
image: https://blog.isecauditors.com/hubfs/ria-en-2026-la-obligacion-legal-ya-esta-en-marcha.png
---

[![290x123px\_isecauditors](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/290x123px_isecauditors.png?width=290&height=91&name=290x123px_isecauditors.png) ![290x123px\_isecauditors](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/290x123px_isecauditors.png?width=290&height=91&name=290x123px_isecauditors.png)](https://blog.isecauditors.com/)

- [← www.isecauditors.com](https://www.isecauditors.com/)
- [academy.isecauditors.com](https://academy.isecauditors.com/)

- [← www.isecauditors.com](https://www.isecauditors.com/)
- [academy.isecauditors.com](https://academy.isecauditors.com/)

Español

- [Inglés](https://blog.isecauditors.com/en/dora-360-governance-risk-and-continuity-in-the-financial-ecosystem)
- [Español](https://blog.isecauditors.com/dora-360-gobernanza-riesgo-y-continuidad-en-el-ecosistema-financiero)

[Implementación DORA](https://blog.isecauditors.com/tag/implementación-dora)

# DORA 360º: Gobernanza, riesgo y continuidad en el ecosistema financiero

[Alberto Villar Arévalo](https://blog.isecauditors.com/author/alberto-villar)  21 oct 2026, 10:40:56

# DORA en 2026: El periodo de adaptación ya terminó

 DORA es plenamente aplicable desde el 17 de enero de 2025. A septiembre de 2026, por tanto, ya no existe un periodo general de adaptación: las entidades incluidas en su ámbito deben tener implantados los requisitos que les resulten aplicables y conservar evidencias que permitan demostrar su funcionamiento. Además, el marco supervisor ya está operativo: las Autoridades Europeas de Supervisión designaron en noviembre de 2025 los primeros proveedores terceros críticos de servicios TIC y durante 2026 el marco europeo de supervisión de estos proveedores se encuentra en funcionamiento. \[1, 6\]

DORA: del calendario normativo a la supervisión efectiva

| **16/01/2023** | **17/01/2025** | **18/11/2025** | **28/09/2026** |
| --- | --- | --- | --- |
| Entrada en vigor | Aplicación obligatoria de DORA | **Designación inicial de proveedores TIC críticos** | Cumplimiento ya operativo y supervisable |
| **Punto jurídico clave: DORA no necesita transposición DORA es un Reglamento de la Unión Europea. Su artículo 64 establece que es obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro desde el 17/01/2025. No debe confundirse con la Directiva (UE) 2022/2556, que adapta distintas directivas sectoriales y sí requiere transposición nacional. La situación de esa Directiva no suspende ni aplaza las obligaciones del Reglamento DORA. \[1–2\]** |  |  |  |

# Alcance: el ecosistema financiero y sus proveedores tic

El ámbito de DORA es amplio y comprende, entre otras, entidades de crédito, entidades de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras y reaseguradoras, determinadas entidades de pensiones, infraestructuras de mercado, gestoras, proveedores de servicios de criptoactivos y otras entidades financieras recogidas en el artículo 2. La aplicación concreta exige revisar exclusiones, regímenes simplificados y el principio de proporcionalidad; el tamaño por sí solo no permite asumir que DORA no aplica. \[1\]

El impacto se extiende además a proveedores tecnológicos. Un proveedor de nube, centro de datos, telecomunicaciones, soporte, desarrollo, software, servicios gestionados o ciberseguridad puede no ser una “entidad financiera” bajo DORA y, aun así, quedar sometido a exigencias contractuales y de evidencia por parte de sus clientes financieros. Si es designado proveedor tercero crítico de servicios TIC, entra además en el marco europeo de supervisión de las Autoridades Europeas de Supervisión. \[1, 6\]

# DORA 360º: Los pilares de la Resiliencia Operativa Digital

DORA articula la resiliencia operativa digital en varios bloques que deben funcionar de manera coordinada. La gobernanza atraviesa todos ellos: el órgano de dirección debe aprobar, supervisar y revisar el marco de riesgo TIC, asignar responsabilidades y recursos y asegurarse de que las deficiencias se corrigen. La siguiente tabla resume los cinco bloques operativos que, en la práctica, deben poder conectarse de extremo a extremo. \[1\]

| **Bloque** | **Qué exige DORA** | **Evidencia práctica** |
| --- | --- | --- |
| Gobernanza y riesgo TIC | Marco de gestión del riesgo TIC, roles, inventario y clasificación de activos, protección, detección, respuesta, recuperación y mejora. | Marco aprobado, matriz de riesgos, inventarios, indicadores, decisiones de dirección y seguimiento de acciones. |
| Incidentes y notificación | Detectar, registrar, clasificar, responder y notificar incidentes graves dentro de los plazos aplicables. | Procedimiento, criterios de clasificación, cronología de decisiones, plantillas y evidencias de simulacros. |
| Pruebas de resiliencia | Probar periódicamente sistemas y aplicaciones y, para entidades seleccionadas, realizar pruebas avanzadas basadas en amenazas. | Plan de pruebas, resultados, vulnerabilidades, remediación y validación de cierres. |
| Terceros y continuidad | Gestionar dependencias TIC, concentración, contratos, subcontratación, continuidad y estrategias de salida. | Registro de información, evaluaciones de proveedor, contratos, planes de salida y pruebas de continuidad. |
| Intercambio y cooperación | Facilitar un intercambio seguro de información sobre ciberamenazas cuando proceda y cooperar con autoridades y terceros. | Mecanismos de coordinación, canales de comunicación, acuerdos y trazabilidad de información compartida. |
| **Una prueba sencilla de madurez DORA Seleccione una función esencial o importante y recórrala de extremo a extremo: ¿qué servicio presta?, ¿qué activos y datos necesita?, ¿qué riesgos la amenazan?, ¿qué proveedores la soportan?, ¿cómo se detectaría un incidente?, ¿qué se recuperaría primero?, ¿qué pruebas demuestran que el plan funciona? Si estas respuestas existen en documentos separados pero no pueden conectarse, el cumplimiento sigue siendo frágil.** |  |  |

# Gobernanza y gestión del riesgo TIC

DORA atribuye al órgano de dirección la responsabilidad última sobre el riesgo TIC. No basta con delegar la materia en el área de tecnología o seguridad: la dirección debe definir responsabilidades, aprobar y revisar el marco de gestión, conocer la exposición a riesgos y terceros, asignar recursos y mantener el nivel de conocimiento necesario para entender las consecuencias de las decisiones tecnológicas. \[1, arts. 5–6\]

El marco de riesgo TIC debe conectar la identificación de funciones y activos con medidas de protección y prevención, mecanismos de detección, respuesta y recuperación, copias de seguridad, restauración y continuidad. En este punto, el análisis de impacto sobre el negocio y los objetivos de recuperación dejan de ser documentos aislados: deben estar alineados con la criticidad real de los servicios y probarse en escenarios representativos. \[1, arts. 8–14\]

La auditoría y el seguimiento de deficiencias son igualmente relevantes. Una organización puede disponer de políticas formalmente completas y seguir presentando un riesgo de incumplimiento si los hallazgos permanecen abiertos, los controles no generan evidencia o no se valida que las medidas correctoras funcionan. DORA exige que la gobernanza llegue hasta el cierre verificable de las deficiencias.

# Incidentes y pruebas: responder y demostrar

La gestión de incidentes graves relacionados con las TIC está sujeta a criterios armonizados de clasificación y a plazos concretos. La notificación inicial debe realizarse lo antes posible y, en todo caso, dentro de las cuatro horas siguientes a la clasificación como grave y no más tarde de veinticuatro horas desde que la entidad tuvo conocimiento del incidente; el informe intermedio debe remitirse como máximo setenta y dos horas después de la notificación inicial y el informe final, como máximo un mes después del informe intermedio o de su última actualización. \[3–4\]

| **Entrega** | **Plazo** | **Implicación práctica** |
| --- | --- | --- |
| **Notificación inicial** | ≤ 4 h desde la clasificación como grave y ≤ 24 h desde el conocimiento | La entidad debe detectar, clasificar, escalar y disponer de un responsable con autoridad para notificar. |
| **Informe intermedio** | ≤ 72 h desde la notificación inicial | Debe consolidar impacto, estado de recuperación, causa provisional y medidas adoptadas. |
| **Informe final** | ≤ 1 mes desde el informe intermedio o su última actualización | Debe cerrar causa raíz, resolución, costes/pérdidas, lecciones aprendidas y acciones correctoras. |
| **Pruebas de resiliencia** | Anuales para sistemas que soportan funciones esenciales/importantes; TLPT para entidades seleccionadas, normalmente cada 3 años | La prueba debe producir evidencias y un plan de remediación cuyo cierre pueda validarse. |
| **Las pruebas completan el ciclo: no basta con disponer de planes. Las entidades no consideradas microempresas deben probar al menos anualmente todos los sistemas y aplicaciones que sustenten funciones esenciales o importantes. Las pruebas avanzadas de penetración basadas en amenazas (TLPT) se reservan a las entidades identificadas conforme al artículo 26 y se realizan, con carácter general, al menos cada tres años, salvo ajuste de la autoridad competente. \[1\]** |  |  |

# Terceros, concentración y continuidad

La externalización no externaliza la responsabilidad. DORA establece expresamente que la entidad financiera sigue siendo plenamente responsable aunque utilice servicios de terceros. Por ello debe mantener un registro de información sobre sus acuerdos de servicios TIC, diferenciar los que soportan funciones esenciales o importantes, realizar la debida diligencia, analizar riesgos de concentración y sustituibilidad, revisar las condiciones contractuales y preparar estrategias de salida que puedan ejecutarse sin comprometer la continuidad del servicio. \[1, 5\]

| **Área** | **Qué exige el enfoque DORA** | **Evidencia útil** |
| --- | --- | --- |
| **Registro y dependencias** | Identificar acuerdos TIC, proveedores, subcontratistas, servicios y funciones soportadas. | Registro de información completo, actualizado y coherente con la criticidad de las funciones. |
| **Contratación y seguimiento** | Evaluar riesgos, debida diligencia, concentración, cláusulas de control, auditoría, incidentes y subcontratación. | Evaluaciones de proveedor, contratos revisados, seguimiento de niveles de servicio y riesgos. |
| **Continuidad y salida** | Preparar sustitución o salida sin comprometer servicios esenciales o importantes. | Estrategias de salida, alternativas, responsables, tiempos de transición y pruebas. |

El marco europeo de supervisión de terceros críticos confirma que este riesgo ya no es teórico: las Autoridades Europeas de Supervisión designaron los primeros proveedores TIC críticos en noviembre de 2025. Esa supervisión complementa, pero no sustituye, la responsabilidad de cada entidad financiera sobre sus propias dependencias tecnológicas. \[6\]

# El impacto de no poder demostrar el cumplimiento

En 2026 el riesgo principal ya no es “llegar tarde al proyecto”, sino no poder demostrar ante un supervisor que los controles existen y funcionan. DORA habilita actuaciones de supervisión, investigación y medidas correctoras, junto con el régimen sancionador aplicable. A ello se añaden efectos operativos y comerciales: una entidad —o un proveedor que trabaje para ella— puede encontrar dificultades en contratos, homologaciones o decisiones de externalización si no aporta evidencias suficientes. \[1\]

| **Impacto** | **Qué puede ocurrir** |
| --- | --- |
| Regulatorio | **Requerimientos de información, hallazgos, medidas correctoras y sanciones conforme al marco nacional y sectorial.** |
| Operativo | **Recuperación deficiente, indisponibilidad prolongada o dependencia de proveedores sin alternativa viable.** |

# Aproximación al cumplimiento: GAP, Implantación y Evaluación Interna

La forma más eficaz de abordar DORA es trabajar por fases y con evidencia desde el principio. El objetivo no debe ser producir documentos, sino cerrar brechas verificables y dejar implantado un modelo sostenible. Desde Internet Security Auditors planteamos una aproximación en tres etapas que permite conocer el punto de partida, implantar lo necesario y, finalmente, comprobar de forma independiente que el resultado soporta una revisión regulatoria.

| **Fase ISecAuditors** | **Objetivo** | **Resultados principales** |
| --- | --- | --- |
| **1. Análisis GAP y alcance** | Determinar aplicabilidad, requisitos, proporcionalidad y nivel real de cumplimiento frente a DORA y sus normas técnicas. | Matriz de requisitos y evidencias; identificación de funciones esenciales/importantes; análisis de gobierno, riesgo, incidentes, pruebas y terceros; brechas priorizadas y Plan de Acción. |
| **2. Implantación** | Cerrar las brechas y convertir los requisitos en procesos operativos, responsabilidades y evidencias mantenibles. | Marco documental; metodología de riesgo TIC; continuidad y recuperación; gestión/notificación de incidentes; programa de pruebas; registro y gestión de terceros; revisión contractual; indicadores y formación. |
| **3. Evaluación / auditoría interna** | Verificar de forma independiente que las medidas están implantadas, son eficaces y generan evidencias suficientes. | Muestreo de evidencias; entrevistas y pruebas; seguimiento de hallazgos; validación de cierres; informe de evaluación y visión ejecutiva para dirección. |

Un GAP bien ejecutado permite además evitar inversiones innecesarias. Muchas entidades ya disponen de capacidades maduras por ISO 27001, continuidad, gestión de riesgos, regulación sectorial o auditorías previas. El trabajo consiste en aprovechar esas capacidades, identificar qué requisitos DORA no están cubiertos y priorizar las acciones según criticidad, dependencia y esfuerzo de remediación.

Internet Security Auditors puede acompañar a la organización durante todo el ciclo: evaluación de aplicabilidad y alcance, análisis GAP, elaboración del Plan de Acción, apoyo a la implantación, revisión de riesgos y terceros, continuidad, pruebas técnicas y evaluación o auditoría interna. La evaluación interna proporciona una visión independiente y basada en evidencias antes de una revisión del supervisor o de otras partes interesadas.

# Conclusiones

DORA ya no es un proyecto con fecha futura. Desde el 17 de enero de 2025 es una obligación directamente aplicable y, en 2026, el marco regulatorio y supervisor está plenamente en fase operativa. La pregunta relevante para una entidad financiera no es si dispone de políticas, sino si puede demostrar que sus funciones críticas resisten, responden y se recuperan cuando falla la tecnología o un proveedor esencial.

Empezar por un análisis GAP permite convertir esa pregunta en un plan gestionable: identificar las brechas reales, priorizar la implantación y verificar después, mediante una evaluación o auditoría interna, que los controles funcionan y que la organización dispone de evidencias suficientes. Ese enfoque reduce incertidumbre regulatoria y, sobre todo, mejora la resiliencia que DORA pretende proteger.

[![cta-dora-de-la-obligacion-a-la-resiliencia](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/cta-dora-de-la-obligacion-a-la-resiliencia.png?width=900&height=361&name=cta-dora-de-la-obligacion-a-la-resiliencia.png)](https://www.isecauditors.com/implementacion-de-dora)

Referencias  
[i. Reglamento (UE) 2022/2554 (DORA), de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero. Artículos 2, 5–16, 17–23, 24–27, 28–45, 50–51 y 64.](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022R2554)  
[ii. Directiva (UE) 2022/2556, de 14 de diciembre de 2022, por la que se modifican determinadas directivas en lo relativo a la resiliencia operativa digital del sector financiero.](https://eur-lex.europa.eu/eli/dir/2022/2556/oj/spa)  
[iii. Reglamento Delegado (UE) 2024/1772: criterios y umbrales para la clasificación de incidentes relacionados con las TIC y ciberamenazas.](https://eur-lex.europa.eu/eli/reg_del/2024/1772/oj/spa)  
[iv. Reglamento Delegado (UE) 2025/301: contenido y plazos de notificación inicial e informes intermedio y final sobre incidentes graves relacionados con las TIC.](https://eur-lex.europa.eu/eli/reg_del/2025/301/oj/spa)  
[v. Reglamento de Ejecución (UE) 2024/2956: plantillas normalizadas para el registro de información sobre acuerdos contractuales con proveedores terceros de servicios TIC.](https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj/spa)  
[vi. Autoridades Europeas de Supervisión / EBA — DORA Oversight: marco de supervisión y proveedores terceros críticos de servicios TIC.](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act/dora-oversight)  
[vii. Internet Security Auditors — Implementación DORA: análisis GAP, Plan de Acción y apoyo al cumplimiento.](https://www.isecauditors.com/implementacion-de-dora)

Fuentes consultadas el 11 de septiembre de 2026. Tablas y síntesis de elaboración propia a partir de las fuentes citadas.

- [Tweet](https://twitter.com/share)

---

![author-image](https://blog.isecauditors.com/hubfs/Logo_isecauditors_contraccion_HP.png)

[Alberto Villar Arévalo](https://blog.isecauditors.com/author/alberto-villar)

PCI SSA, PCI QSA, CISSP, CSSLP, ISO 27001 L.A., CSFPC, SFPC   
 Consultor de Seguridad   
 Depto. de Consultoría

---

[Legal Notice](https://www.isecauditors.com/aviso-legal)

[Policy Privacy](https://www.isecauditors.com/politica-privacidad)

[Cookie Policy](https://www.isecauditors.com/politica-cookies)

<https://www.facebook.com/ISecAuditors> <https://twitter.com/ISecAuditors> <https://www.instagram.com/ISecAuditors/> <https://www.linkedin.com/company/internet-security-auditors/> <https://www.youtube.com/ISecAuditors>

---

Copyright © 2026 - All rights reserved

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Alberto Villar Arévalo",
    "url" : "https://blog.isecauditors.com/author/alberto-villar"
  },
  "dateModified" : "2026-10-21T08:40:56.620Z",
  "datePublished" : "2026-10-21T08:40:56.000Z",
  "headline" : "DORA 360º: Gobernanza, riesgo y continuidad en el ecosistema financiero",
  "image" : [ "https://blog.isecauditors.com/hubfs/ria-en-2026-la-obligacion-legal-ya-esta-en-marcha.png" ],
  "mainEntityOfPage" : {
    "@id" : "https://blog.isecauditors.com/dora-360-gobernanza-riesgo-y-continuidad-en-el-ecosistema-financiero",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://blog.isecauditors.com/hubfs/isec_logo.png"
    },
    "name" : "Internet Security Auditors, S.L."
  }
}
```