REGULACIÓN
DORA: obligaciones, plazos y qué cambia para la póliza cyber en el sector financiero
Ficha actualizada al 1 de noviembre de 2026 sobre el Reglamento (UE) 2022/2554 (DORA) y el Decreto Legislativo italiano 23/2025: a quién se aplica, gestión del riesgo TIC, notificación de incidentes graves, proveedores TIC críticos, sanciones y efectos en la póliza cyber de bancos, aseguradoras e intermediarios.
Ficha normativa · actualizada al 1 de noviembre de 2026 · por cybercoverinsurance
El Reglamento (UE) 2022/2554, conocido como DORA (Reglamento de resiliencia operativa digital), se aplica desde el 17 de enero de 2025 a casi todo el sector financiero europeo (EUR-Lex). A diferencia de NIS2 es un reglamento: se aplica directamente en todos los Estados miembros, sin transposición. En Italia, el Decreto Legislativo n.º 23 de 10 de marzo de 2025 designa las autoridades de supervisión y fija las sanciones (Diritto Bancario).
Para quien asume el riesgo cyber, DORA importa por partida doble. Afecta a los asegurados del sector financiero, que deben demostrar una resiliencia digital medible. Y afecta a las propias aseguradoras, que son entidades supervisadas y deben aplicar DORA a sus propios sistemas.
En el texto, «artículo» indica una regla vinculante; «considerando» indica los párrafos introductorios que explican cómo leerla.
A quién se aplica
El artículo 2 enumera más de veinte categorías de entidades financieras: bancos, entidades de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, gestoras de fondos, empresas de seguros y reaseguros, intermediarios de seguros y fondos de pensiones. Los intermediarios de seguros pequeños y medianos quedan excluidos. DORA alcanza además, con un régimen de vigilancia propio, a los proveedores TIC designados como críticos.
En Italia supervisan Banca d'Italia, Consob, IVASS y COVIP, cada una para las entidades de su competencia; también reciben las notificaciones de incidentes graves (artículo 3 del Decreto Legislativo 23/2025).
Las obligaciones principales
Gestión del riesgo TIC
Los artículos 5 a 16 exigen un marco de gestión del riesgo TIC aprobado por el órgano de dirección, que asume la responsabilidad final (artículo 5). Incluye identificación de activos, protección, detección, respuesta y recuperación, copias de seguridad y planes de continuidad de negocio.
Notificación de incidentes graves
Un incidente TIC clasificado como grave debe notificarse a la autoridad competente en tres fases (artículo 19 y normas técnicas relacionadas) (FMA):
- notificación inicial en un plazo de 4 horas desde su clasificación como grave y, en todo caso, en 24 horas desde que la entidad tiene conocimiento;
- informe intermedio en un plazo de 72 horas desde la notificación inicial;
- informe final en un plazo de un mes desde el último informe intermedio.
Los criterios de clasificación figuran en el Reglamento Delegado (UE) 2024/1772. Un acceso malicioso con éxito que pueda causar pérdida de datos basta, junto con el impacto en servicios críticos, para que el incidente sea grave.
Pruebas de resiliencia
Cada entidad debe probar periódicamente sus sistemas (artículo 24). Las entidades más relevantes, señaladas por las autoridades, deben realizar al menos cada tres años pruebas de penetración basadas en amenazas, que simulan un ataque real sobre los sistemas en producción (artículo 26).
Proveedores TIC
Cada entidad lleva un registro de todos sus contratos con proveedores TIC y lo remite a las autoridades (artículo 28). Los contratos deben incluir cláusulas mínimas: niveles de servicio, derechos de auditoría, estrategias de salida y notificación de incidentes (artículo 30).
El 18 de noviembre de 2025 las tres autoridades europeas de supervisión (ABE, AESPJ y AEVM) designaron 19 proveedores TIC críticos, sometidos a vigilancia directa europea (EIOPA). Entre ellos están Amazon Web Services, Google Cloud y Microsoft; los demás son operadores de centros de datos, operadores de telecomunicaciones y empresas tecnológicas especializadas en finanzas (TLT).
Las sanciones
DORA deja las sanciones a los Estados miembros. En Italia, para bancos e intermediarios supervisados por Banca d'Italia, el Decreto Legislativo 23/2025 prevé para los incumplimientos más graves multas desde 30.000 euros hasta el 10 % del volumen de negocios, y para los directivos desde 5.000 euros hasta 5 millones de euros, con posible inhabilitación para funciones de administración, dirección y control de seis meses a tres años (Diritto Bancario).
DORA y NIS2
Para las entidades financieras DORA prevalece sobre NIS2: es la norma especial del sector. Bancos e infraestructuras de los mercados financieros siguen formalmente en el ámbito de NIS2, pero aplican DORA para la gestión del riesgo y la notificación de incidentes. Una empresa ajena al sector financiero que presta servicios TIC a bancos o aseguradoras puede estar sujeta a ambas: NIS2 por sí misma, DORA a través de los contratos con sus clientes financieros.
Qué cambia para la póliza cyber
Notificación. Las 4 horas desde la clasificación son más estrictas que las 24 horas de NIS2. El asegurado financiero necesita un servicio de respuesta a incidentes activo desde el primer momento, con expertos capaces de clasificar el incidente según los criterios de DORA. Un retraso en la clasificación se convierte en un problema regulatorio, no solo operativo.
Sanciones. Los importes pueden llegar al 10 % del volumen de negocios. Como con NIS2, la cobertura de sanciones administrativas «cuando sean asegurables por ley» no debe darse por sentada, y las multas a los directivos desplazan parte del riesgo a la póliza D&O.
Acumulación. La lista de los 19 proveedores críticos es, de hecho, un mapa público de los puntos de concentración del sector financiero europeo. Para una cartera de asegurados financieros, la caída o el compromiso de uno de estos proveedores es el primer escenario de daño que modelizar.
Información para la suscripción. DORA genera documentos que el asegurado ya tiene: registro de proveedores TIC, resultados de las pruebas de resiliencia, planes de continuidad y de salida de proveedores. Están más estructurados que cualquier cuestionario de suscripción.
La aseguradora como entidad supervisada. Las aseguradoras deben aplicar DORA también a sus sistemas de gestión de siniestros y a sus proveedores. Un proveedor crítico común a aseguradora y asegurados crea una correlación que hay que tener en cuenta.
Impacto para las aseguradorasAlto
DORA hace medible la resiliencia digital de bancos, aseguradoras e intermediarios, y la lista de proveedores TIC críticos hace visibles los puntos de acumulación de todo el sector financiero.