Quién necesita cumplir DORA en España

Si su empresa trabaja con banca, pagos, inversión, seguros o servicios tecnológicos para el sector financiero, la pregunta de quién necesita cumplir DORA no es teórica. Afecta a contratos, auditorías de clientes, continuidad operativa y capacidad real para seguir en mercado. Esperar a que un cliente lo exija formalmente suele salir caro, porque cuando llega esa exigencia, los plazos ya son cortos y el nivel de evidencia que se pide no se improvisa.

DORA, el Reglamento de Resiliencia Operativa Digital de la Unión Europea, no se limita a imponer controles técnicos. Exige que determinadas entidades financieras y parte de su cadena de suministro demuestren gobierno, gestión de riesgos TIC, respuesta ante incidentes, continuidad, pruebas de resiliencia y control de terceros. Traducido a negocio: no basta con “tener seguridad”, hay que poder acreditarla con procesos, responsables, registros y disciplina operativa.

Quién necesita cumplir DORA realmente

La respuesta corta es clara: DORA aplica de forma directa a un amplio conjunto de entidades financieras. Entre ellas están las entidades de crédito, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, gestoras, aseguradoras, reaseguradoras, proveedores de servicios de criptoactivos en los casos previstos por el marco europeo y otros operadores financieros supervisados. Si su organización pertenece a este perímetro, no estamos ante una recomendación ni una buena práctica. Es una obligación regulatoria.

Ahora bien, la respuesta útil para una empresa española suele ser algo más amplia. También deben prepararse, aunque no sean sujetos obligados directos, muchos proveedores TIC que prestan servicios esenciales o relevantes a entidades financieras. Pensemos en compañías de software, cloud, ciberseguridad, soporte de infraestructuras, desarrollo, monitorización, centros de datos, outsourcing tecnológico o servicios gestionados. DORA no convierte automáticamente a todos esos proveedores en sujetos obligados plenos, pero sí los mete de lleno en el radar contractual, de auditoría y de evaluación de riesgo de sus clientes.

Ese matiz importa. La entidad financiera tiene la obligación regulatoria principal, pero trasladará parte de esa exigencia a su cadena de suministro. Y lo hará por contrato, por due diligence, por cuestionarios de homologación y por revisiones periódicas. En la práctica, muchas empresas tecnológicas se encontrarán trabajando como si tuvieran que cumplir DORA, porque si no pueden demostrar madurez suficiente, quedarán fuera de concursos, renovaciones o marcos de proveedor aprobado.

Qué tipos de empresas quedan afectadas aunque no sean una entidad financiera

Aquí es donde más errores se cometen. Muchas pymes creen que DORA “no va con ellas” porque no están supervisadas por el Banco de España, la CNMV o la DGSFP. Sin embargo, si venden tecnología o servicios críticos a una entidad financiera, el impacto es directo.

Un proveedor de software que soporta operaciones, un integrador que administra entornos, una empresa que custodia datos, un SOC externo, un proveedor de backup o una compañía que participa en procesos de autenticación, comunicaciones o disponibilidad puede verse sometido a exigencias de resiliencia, notificación, trazabilidad y pruebas. A veces no se les pedirá el lenguaje exacto del reglamento. Se les pedirá algo más incómodo: evidencias prácticas de que sus controles existen y funcionan.

Por eso, cuando se analiza quién necesita cumplir DORA, conviene distinguir entre obligación legal directa y necesidad comercial de alineamiento. La primera depende del tipo de entidad. La segunda depende del mercado al que quiere vender su empresa. Y para muchas organizaciones en crecimiento, esa segunda vía es la que determina si pueden entrar o no en cuentas estratégicas.

Señales de que su empresa debe actuar ya

No hace falta esperar a recibir una carta del regulador. Hay señales bastante claras de que DORA ya le afecta, de forma directa o indirecta.

La primera es obvia: su organización es una entidad financiera incluida en el ámbito del reglamento. La segunda es igual de relevante: uno o varios de sus clientes son bancos, aseguradoras, fintech, gestoras o proveedores regulados que ya han empezado a endurecer requisitos. La tercera aparece en contratación y compras, cuando comienzan a llegar cuestionarios sobre continuidad, gestión de incidentes, subcontratación, pruebas técnicas, inventario de activos o gobierno TIC.

También hay una señal comercial que muchas empresas infravaloran. Si en una licitación, una due diligence o una renovación contractual le piden políticas, registros, evidencias de pruebas, matrices de riesgo o control de terceros, ya no está compitiendo solo en precio o servicio. Está compitiendo en capacidad de cumplimiento.

Qué exige DORA en términos prácticos

DORA no se resuelve con una política genérica de seguridad ni con un conjunto de documentos copiados. Requiere una estructura de control coherente. Eso incluye gobierno claro, identificación de servicios críticos, evaluación de riesgos TIC, gestión de incidentes, continuidad operativa, pruebas periódicas de resiliencia y control efectivo de proveedores.

El problema para muchas empresas no es entender la teoría, sino convertirla en operación real. Tener un procedimiento de incidentes no sirve si no hay clasificación, escalado, tiempos definidos y registros. Disponer de un plan de continuidad no basta si no se ha probado, si depende de una sola persona o si no contempla proveedores clave. Del mismo modo, afirmar que se controla a terceros carece de valor si no existe homologación, evaluación inicial, seguimiento y cláusulas contractuales alineadas.

Aquí aparece un punto incómodo pero decisivo: DORA eleva el nivel de exigencia documental y probatoria. Eso significa que el coste de no hacer nada no se limita a una posible observación regulatoria. Se traduce en retrasos en homologaciones, bloqueo comercial, renegociaciones contractuales y exposición reputacional ante incidentes.

Quién necesita cumplir DORA y quién solo debe alinearse

No todas las empresas tienen que abordar el reglamento con la misma intensidad. Una entidad financiera supervisada debe trabajar sobre cumplimiento integral y demostrable. Un proveedor TIC no regulado, en cambio, puede necesitar un enfoque de alineamiento proporcional al servicio que presta y a la criticidad que representa para su cliente.

Ese “depende” no reduce la urgencia. La cambia de sitio. En una entidad regulada, el motor es la obligación normativa. En un proveedor, el motor suele ser el acceso a mercado y la permanencia contractual. En ambos casos, el resultado es parecido: hace falta estructura, evidencias y capacidad de auditoría.

Por eso no conviene plantear DORA como un checklist aislado. Funciona mejor como un proyecto de madurez operativa y de cumplimiento. Cuando se trabaja bien, no solo reduce riesgo regulatorio. También ordena procesos, mejora la relación con clientes exigentes y acorta tiempos en revisiones de seguridad y contratación.

El error más caro: reaccionar cuando el cliente ya aprieta

Muchas organizaciones se mueven tarde porque entienden DORA como una obligación ajena. El problema es que el cliente financiero sí la vive como propia y trasladará esa presión hacia abajo. Cuando eso ocurre, la conversación ya no gira en torno a “si conviene prepararse”, sino a “cuánto tardan en cerrar brechas y qué pruebas pueden presentar esta semana”.

Ese escenario suele generar dos costes. El primero es interno: equipos saturados, documentación improvisada y decisiones rápidas con poco criterio. El segundo es comercial: pérdida de credibilidad. Una empresa puede tener buena capacidad técnica y, aun así, quedar fuera si no demuestra orden, gobierno y control.

En sectores regulados, la confianza no se presume. Se documenta.

Cómo abordar DORA con criterio empresarial

La forma más eficaz de trabajar DORA empieza por un diagnóstico realista. Hay que identificar si la empresa es sujeto obligado directo o proveedor impactado, qué servicios están en alcance, qué dependencias tecnológicas existen y qué nivel de evidencia pedirán reguladores, clientes o auditores.

A partir de ahí, toca priorizar. No todo tiene la misma criticidad ni todo debe implantarse al mismo ritmo. Normalmente conviene empezar por gobierno, análisis de riesgos, inventario de activos y servicios, incidentes, continuidad y control de terceros. Después se consolida la parte documental, la formación y las pruebas.

Lo importante es evitar dos extremos. El primero es el formalismo vacío: mucha plantilla y poca operativa. El segundo es la confianza excesiva en controles técnicos sin marco de gestión. DORA exige ambas cosas: medidas reales y capacidad de demostrarlas.

Para muchas empresas, apoyarse en una consultora especializada acelera el proceso y reduce errores, sobre todo cuando hay presión comercial o auditorías a corto plazo. Un enfoque serio no consiste solo en entregar documentos, sino en dejar implantado un sistema que soporte revisiones, contratos exigentes y crecimiento.

Lo que está en juego no es solo el cumplimiento

Responder bien a quién necesita cumplir DORA es, en el fondo, responder a otra pregunta más estratégica: qué empresas van a poder seguir vendiendo en entornos financieros exigentes y cuáles se quedarán fuera por falta de preparación. En los próximos años, la resiliencia operativa digital será un criterio de entrada, permanencia y confianza.

Para una pyme tecnológica, para un proveedor especializado o para una entidad regulada en expansión, DORA no debería verse como una carga aislada. Bien implantado, se convierte en una ventaja competitiva medible: menos fricción comercial, mejores procesos, mayor control del riesgo y más capacidad para superar auditorías y due diligence con solvencia. Ese es el tipo de preparación que no solo evita problemas. También abre mercado.