--- title: "DORA: De la obligación normativa a la resiliencia digital real" description: Descubre cómo DORA impulsa la resiliencia digital en entidades financieras, asegurando la continuidad de servicios ante interrupciones tecnológicas. image: https://blog.isecauditors.com/hubfs/dora-de-la-obligacion-a-la-resiliencia.png --- [![290x123px\_isecauditors](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/290x123px_isecauditors.png?width=290&height=91&name=290x123px_isecauditors.png) ![290x123px\_isecauditors](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/290x123px_isecauditors.png?width=290&height=91&name=290x123px_isecauditors.png)](https://blog.isecauditors.com/) - [← www.isecauditors.com](https://www.isecauditors.com/) - [academy.isecauditors.com](https://academy.isecauditors.com/) - [← www.isecauditors.com](https://www.isecauditors.com/) - [academy.isecauditors.com](https://academy.isecauditors.com/) Español - [Inglés](https://blog.isecauditors.com/en/dora-from-regulatory-obligation-to-real-digital-resilience) - [Español](https://blog.isecauditors.com/dora-de-la-obligacion-normativa-a-la-resiliencia-digital-real) [Implementación DORA](https://blog.isecauditors.com/tag/implementación-dora) # DORA: De la obligación normativa a la resiliencia digital real [Alberto Villar Arévalo](https://blog.isecauditors.com/author/alberto-villar) 16 sept 2026, 13:16:21 DORA se aplica desde el 17 de enero de 2025. Su objetivo es que las entidades financieras puedan resistir las perturbaciones tecnológicas, responder a ellas y recuperar sus servicios. Para demostrarlo, la documentación debe corresponderse con controles implantados y resultados comprobables. La pregunta que debe plantearse la dirección es qué servicios podría mantener si mañana fallara una dependencia tecnológica esencial. \[1–2\]. El Reglamento (UE) 2022/2554 comprende, entre otras, entidades de crédito, de pago, aseguradoras y empresas de servicios de inversión incluidas en su ámbito. La aplicación exige considerar las exclusiones, el principio de proporcionalidad y los supuestos específicos de marco simplificado. El tamaño de una entidad, por sí solo, no permite escoger libremente un régimen menos exigente. \[1, arts. 2, 4 y 16\]. # La resiliencia empieza en el servicio financiero Una interrupción puede deberse a un ataque, una avería o un cambio mal ejecutado. Su impacto depende de las operaciones que impida realizar: procesar pagos, atender siniestros o ejecutar órdenes. El análisis debe relacionar esas funciones con sus procesos, datos, sistemas y proveedores, y establecer prioridades y objetivos de recuperación coherentes con el impacto sobre la actividad. \[1, arts. 8, 11 y 12\]. Pensemos en una prueba de recuperación de un servicio de pagos. Restaurar la aplicación es un paso; la validación debe comprobar también los accesos, la conectividad, la coherencia de los saldos y el tratamiento de las operaciones pendientes. Si falta una dependencia o aparecen transacciones duplicadas, la recuperación del servicio todavía no puede darse por demostrada. # La Dirección debe gobernar el riesgo tecnológico DORA atribuye al órgano de dirección la responsabilidad última sobre el riesgo tecnológico. Esto supone aprobar y supervisar la estrategia, asignar recursos y revisar los planes de continuidad, las auditorías y las dependencias de terceros. La evidencia debe mostrar decisiones sobre riesgos y deficiencias, con responsables y seguimiento de su ejecución. \[1, art. 5\]. Como auditor de ciberseguridad, recomiendo revisar el cumplimiento a través de una función esencial o importante completa. Seguir su recorrido desde el análisis de riesgos hasta una prueba de recuperación permite comprobar si las responsabilidades, los controles técnicos y los procedimientos funcionan de manera coordinada. # De las obligaciones a las evidencias ![de-las-obligaciones-a-las-evidencias](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/de-las-obligaciones-a-las-evidencias.png?width=2008&height=1004&name=de-las-obligaciones-a-las-evidencias.png) *Elaboración propia a partir de DORA, arts. 5–14, 17–19, 24–30 y 45. Las evidencias son ejemplos de aplicación, no una lista exhaustiva de requisitos.* # Responder y probar con criterios claros La gestión de incidentes debe permitir detectar, registrar, clasificar y responder, con responsabilidades y comunicaciones definidas. Los incidentes graves se notifican a la autoridad competente mediante los criterios, plazos y formularios aplicables. Para comprobar esa capacidad, conviene ensayar la toma de decisiones con información incompleta y conservar la cronología de lo conocido, lo decidido y lo comunicado. \[1, arts. 17–20; 2\]. Las entidades que no sean microempresas deben realizar, al menos anualmente, pruebas apropiadas de todos los sistemas y aplicaciones que sustenten funciones esenciales o importantes. Las pruebas avanzadas de penetración basadas en amenazas se exigen a las entidades seleccionadas conforme al artículo 26; no son una obligación universal. El resultado de las pruebas debe traducirse en correcciones cuya eficacia se valide. \[1, arts. 24–26\]. # Controlar los proveedores durante toda la relación La entidad mantiene su responsabilidad aunque contrate servicios tecnológicos. El registro de información comprende todos los acuerdos sobre estos servicios y distingue los que sustentan funciones esenciales o importantes. Su gestión exige evaluar proveedores y concentración, revisar contratos y, para los servicios que sustentan esas funciones, preparar y probar suficientemente las estrategias de salida. Una cláusula de terminación debe poder ejecutarse sin comprometer la continuidad. \[1, arts. 28–30\].   # Medir la capacidad que importa al negocio Propongo que la dirección utilice indicadores vinculados al servicio y a las deficiencias pendientes. Los objetivos deben responder al análisis de impacto y al riesgo de la entidad; DORA no establece un tiempo único de recuperación para todas las funciones. Esta tabla ofrece ejemplos para orientar esa revisión. \[1, arts. 6, 11–13\]. | **Aspecto que se quiere comprobar** | **Indicador o evidencia propuesta** | | --- | --- | | Recuperación del servicio | Tiempo real y pérdida de datos frente a los objetivos aprobados. | | Alcance de las pruebas | Funciones esenciales o importantes probadas con sus dependencias. | | Respuesta a incidentes | Tiempos de detección, clasificación, decisión y notificación. | | Capacidad de corregir y sustituir | Deficiencias vencidas, cierres validados y resultados de las pruebas de salida. | # El coste de mantener deficiencias abiertas El incumplimiento puede dar lugar a medidas correctoras, sanciones económicas y publicación de infracciones, conforme al régimen aplicable. Los artículos 50 y 51 remiten su concreción al marco nacional y a las autoridades competentes; no fijan una multa porcentual general para todas las entidades financieras. A la exposición regulatoria se añaden los costes de interrupción, recuperación y posibles reclamaciones, además del deterioro de la confianza. \[1\]. # Cómo avanzar con resultados comprobables El punto de partida es un análisis de diferencias que contraste los requisitos aplicables con evidencias reales. A partir de sus resultados, conviene priorizar las funciones más expuestas, corregir dependencias sin alternativa y ejecutar ejercicios con las áreas de negocio y los proveedores implicados. Cada deficiencia debe tener un responsable, una fecha y un criterio de cierre verificable. En Internet Security Auditors podemos acompañar a su organización en la evaluación de DORA, el análisis de riesgos, la revisión de contratos y procedimientos, las pruebas técnicas y el seguimiento de las acciones correctoras. [![cta-dora-de-la-obligacion-a-la-resiliencia](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/cta-dora-de-la-obligacion-a-la-resiliencia.png?width=1536&height=616&name=cta-dora-de-la-obligacion-a-la-resiliencia.png)](http://www.isecauditors.com/implementacion-de-dora) Si necesita comprobar su capacidad actual, propongo empezar por una función esencial o importante y demostrar su recuperación completa. Ese ejercicio permite identificar dónde concentrar la inversión y qué decisiones necesita adoptar la dirección.   **Referencias** [\[1\] Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. Artículos citados en el texto y artículo 64 sobre su aplicación.](https://www.boe.es/doue/2022/333/L00001-00079.pdf) [\[2\] Autoridad Europea de Seguros y Pensiones de Jubilación. Información sobre DORA y repertorio de sus normas de desarrollo.](https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en) Fuentes consultadas el 10 de septiembre de 2026. Infografía y ejemplos de elaboración propia. - [Tweet](https://twitter.com/share) --- ![author-image](https://blog.isecauditors.com/hubfs/Logo_isecauditors_contraccion_HP.png) [Alberto Villar Arévalo](https://blog.isecauditors.com/author/alberto-villar) PCI SSA, PCI QSA, CISSP, CSSLP, ISO 27001 L.A., CSFPC, SFPC Consultor de Seguridad Depto. de Consultoría --- [Legal Notice](https://www.isecauditors.com/aviso-legal) [Policy Privacy](https://www.isecauditors.com/politica-privacidad) [Cookie Policy](https://www.isecauditors.com/politica-cookies) --- Copyright © 2026 - All rights reserved ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Alberto Villar Arévalo", "url" : "https://blog.isecauditors.com/author/alberto-villar" }, "dateModified" : "2026-09-23T07:42:05.088Z", "datePublished" : "2026-09-16T11:16:21.000Z", "headline" : "DORA: De la obligación normativa a la resiliencia digital real", "image" : [ "https://blog.isecauditors.com/hubfs/dora-de-la-obligacion-a-la-resiliencia.png" ], "mainEntityOfPage" : { "@id" : "https://blog.isecauditors.com/dora-de-la-obligacion-normativa-a-la-resiliencia-digital-real", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.isecauditors.com/hubfs/isec_logo.png" }, "name" : "Internet Security Auditors, S.L." } } ```