¿Me aplica DORA? Para entidades financieras y sus proveedores TIC

A las entidades financieras del art. 2.1: entre otras, entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, aseguradoras y reaseguradoras, gestoras de fondos y centros de negociación. También incluye a los proveedores terceros de servicios TIC (art. 2.1.u), con un régimen distinto. El art. 2.3 excluye a algunas entidades.

Lograr un nivel común elevado de resiliencia operativa digital en el sector financiero de la UE. Para ello fija requisitos uniformes sobre la gestión del riesgo TIC, la notificación de incidentes graves, las pruebas de resiliencia, el riesgo de los proveedores terceros de servicios TIC y el intercambio de información (art. 1.1).

Cada entidad financiera la supervisa su autoridad competente según su normativa sectorial (art. 46); en España, según el tipo de entidad, el Banco de España, la CNMV o la Dirección General de Seguros y Fondos de Pensiones. A los proveedores terceros esenciales los vigilan las Autoridades Europeas de Supervisión, con una de ellas como supervisora principal (art. 31).

No te impone las obligaciones de una entidad financiera, pero tu cliente está obligado a firmar contigo las cláusulas del art. 30 y a gestionar el riesgo que le supones (art. 28). Solo si te designan proveedor tercero esencial quedas bajo supervisión directa (art. 31).

La que, si se interrumpe o funciona mal, perjudicaría de forma importante los resultados financieros de la entidad, la solidez o continuidad de sus servicios, o el cumplimiento de las condiciones y obligaciones de su autorización o de sus demás obligaciones de la normativa de servicios financieros (art. 3.22). Lo decide tu cliente. Si tu servicio la sostiene, el contrato debe incluir más cláusulas (art. 30.3).

Todos los contratos deben recoger, entre otras cosas, la descripción del servicio, dónde se tratan los datos, su protección y recuperación, los niveles de servicio, la asistencia ante incidentes, la cooperación con las autoridades y la terminación (art. 30.2). Si el servicio sostiene funciones esenciales o importantes, se añaden planes de contingencia, pruebas, derechos de auditoría y estrategia de salida (art. 30.3).

Un proveedor de servicios TIC que las Autoridades Europeas de Supervisión designan como esencial por su importancia para el sector financiero y que queda bajo su supervisión directa (art. 31). El art. 2.1.u incluye en el ámbito de DORA a todos los proveedores terceros de servicios TIC, pero esa supervisión directa es solo para los designados esenciales.

Si una entidad financiera también está en el ámbito de NIS2, para la gestión del riesgo TIC, la notificación de incidentes y la supervisión le rige DORA, que prevalece sobre esas disposiciones de NIS2 (DORA art. 1.2; NIS2 art. 4).

• 20-10-2026 · versión 2026.10.12-r6. Primera versión completa: 21 tipos de entidad con sus exclusiones y el régimen simplificado, tamaño con las definiciones de DORA, proveedor de servicios TIC con las cláusulas del art. 30 y proveedor tercero esencial como conclusión propia.