El marco simplificado de gestión del riesgo TIC en DORA

La proporcionalidad se aplica a todos

El Reglamento de Resiliencia Operativa Digital (DORA), Reglamento (UE) 2022/2554, se aplica desde el 17 de enero de 2025. Su artículo 4 establece la proporcionalidad como principio general: las entidades financieras aplican las normas de gestión del riesgo TIC del capítulo II teniendo en cuenta su tamaño, su perfil de riesgo global y la naturaleza, escala y complejidad de sus servicios, actividades y operaciones. Las autoridades competentes aplican ese mismo principio al supervisar.

La proporcionalidad no es una exención. Cambia la profundidad de una obligación, no si se aplica. Una empresa de servicios de inversión pequeña y un banco grande necesitan los dos un marco de gestión del riesgo TIC conforme a los artículos 5 a 15; el del banco será más amplio, más formal y más probado. El artículo 1 del Reglamento Delegado (UE) 2024/1774 enumera los elementos de tamaño y perfil de riesgo que entidades y autoridades deben tener en cuenta, desde el número de clientes y los servicios prestados hasta la criticidad de las funciones que se apoyan en las TIC y el uso de externalización.

Cómo se nota la proporcionalidad en la práctica

La proporcionalidad se ve en el detalle, no en los títulos. Toda entidad sujeta a los artículos 5 a 15 necesita un marco documentado, una política de seguridad de la información, un inventario de activos, un análisis de riesgos, medidas de continuidad y pruebas. Lo que cambia es el grado de formalidad de cada elemento y la frecuencia con que se revisa.

Una entidad con pocos sistemas puede llevar su inventario de activos en un único registro revisado dos veces al año; un grupo con cientos de aplicaciones necesitará descubrimiento automatizado y actualización continua. Una entidad pequeña puede probar su plan de continuidad con un ejercicio de mesa; una más grande hará pruebas técnicas de conmutación. Las dos cumplen el mismo artículo. La diferencia tiene que justificarse por el perfil de la entidad y quedar por escrito, porque el supervisor preguntará por qué la profundidad elegida es suficiente.

El marco simplificado es otra cosa: sustituye por completo los artículos 5 a 15 para una lista cerrada de tipos de entidad.

Quién puede aplicar el marco simplificado

Según el artículo 16.1, los artículos 5 a 15 no se aplican a:

• Las empresas de servicios de inversión pequeñas y no interconectadas.
• Las entidades de pago exentas en virtud de la Directiva (UE) 2015/2366 (PSD2).
• Las entidades exentas en virtud de la Directiva 2013/36/UE cuando el Estado miembro no haya optado por excluirlas de DORA según el artículo 2.4.
• Las entidades de dinero electrónico exentas en virtud de la Directiva 2009/110/CE.
• Los fondos de pensiones de empleo pequeños.

En todos los casos, lo que decide es un estatus definido en otra normativa, no la plantilla. Una entidad de pago pequeña puede acogerse porque la PSD2 la exime, no por ser pequeña. En una respuesta publicada por ESMA en diciembre de 2025, la Comisión Europea confirmó que la elegibilidad se valora caso por caso: si la actividad principal de la entidad no encaja en ninguna de las categorías, aplica el marco completo.

De dónde sale cada estatus

Cada categoría remite a una definición fuera de DORA, y por ahí debe empezar cualquier entidad que quiera comprobar su situación:

• Empresas de servicios de inversión pequeñas y no interconectadas: las que cumplen las condiciones del artículo 12.1 del Reglamento (UE) 2019/2033 sobre empresas de servicios de inversión, que miran, entre otros factores, los activos gestionados, las órdenes de clientes tramitadas, el dinero de clientes que mantienen y el tamaño del balance.
• Entidades de pago exentas: las que un Estado miembro ha eximido de la autorización completa en virtud del artículo 32 de la PSD2, normalmente por su bajo volumen de operaciones. En España, la PSD2 se transpuso mediante el Real Decreto-ley 19/2018.
• Entidades de dinero electrónico exentas: las eximidas en virtud del artículo 9 de la segunda Directiva de dinero electrónico, también por su actividad limitada.
• Entidades de crédito exentas: las entidades concretas que enumera el artículo 2.5 de la Directiva de requisitos de capital, cuando el Estado miembro las ha mantenido dentro de DORA.
• Fondos de pensiones de empleo pequeños: los define el propio DORA en función del número de partícipes de los planes que gestionan.

El estatus puede cambiar. Una entidad de pago exenta que supera el umbral nacional y solicita la autorización completa sale del artículo 16 y pasa al marco completo. Las entidades cercanas a un umbral deberían planificar ese cambio en lugar de descubrirlo al pedir la autorización.

En España, la autoridad competente depende del sector: el Banco de España para entidades de crédito, de pago y de dinero electrónico, la CNMV para empresas de servicios de inversión y la Dirección General de Seguros y Fondos de Pensiones para los fondos de pensiones de empleo.

Qué sigue exigiendo el marco simplificado

El artículo 16.1 enumera ocho obligaciones que se mantienen. Las entidades deben:

• Establecer y mantener un marco de gestión del riesgo TIC sólido y documentado, que incluya la protección de los componentes físicos y las infraestructuras.
• Monitorizar de forma continua la seguridad y el funcionamiento de todos los sistemas TIC.
• Usar sistemas, protocolos y herramientas sólidos, resilientes y actualizados que protejan la disponibilidad, autenticidad, integridad y confidencialidad de los datos.
• Identificar y detectar con rapidez las fuentes de riesgo TIC y las anomalías, y gestionar con prontitud los incidentes relacionados con las TIC.
• Identificar las dependencias clave de proveedores terceros de servicios TIC.
• Garantizar la continuidad de las funciones esenciales o importantes con planes de continuidad y medidas de respuesta y recuperación que incluyan, como mínimo, copias de seguridad y restauración.
• Probar con regularidad esos planes y la eficacia de los controles.
• Incorporar las conclusiones de las pruebas y de los análisis posteriores a incidentes a la evaluación del riesgo, y desarrollar programas de concienciación y formación para la plantilla y la dirección.

El artículo 16.2 añade que el marco debe documentarse, revisarse periódicamente y tras incidentes graves, y mejorarse de forma continua. Si la autoridad competente lo solicita, hay que presentarle un informe sobre esa revisión.

El detalle del Reglamento Delegado 2024/1774

El título III del Reglamento Delegado (UE) 2024/1774, artículos 28 a 41, convierte estas obligaciones en requisitos concretos:

• Gobernanza (artículo 28). El órgano de dirección asume la responsabilidad global del marco simplificado, fija funciones y responsabilidades y se asegura de que la plantilla recibe formación en seguridad TIC. El marco debe someterse a auditoría interna conforme al plan de auditoría de la entidad.
• Política y activos (artículos 29 y 30). Una política de seguridad de la información documentada, y la identificación, clasificación y documentación de las funciones esenciales o importantes y de los activos de información y TIC que las sostienen.
• Gestión del riesgo y seguridad física (artículos 31 y 32). Un proceso para identificar, evaluar y tratar el riesgo TIC, y la protección física y ambiental de los activos TIC.
• Sistemas, protocolos y herramientas (artículos 33 a 38). Medidas adicionales sobre cómo se protegen y operan los sistemas, hasta la adquisición, el desarrollo y el mantenimiento de sistemas TIC (artículo 37) y la gestión de proyectos y cambios (artículo 38).
• Continuidad (artículos 39 y 40). Los componentes del plan de continuidad y cómo se prueba.
• El informe de revisión (artículo 41). Su formato y su contenido.

Simplificado significa menos requisitos y menos detallados que en el marco completo del título II. No significa informal. Una entidad de pago pequeña sigue necesitando políticas escritas, un inventario de activos, un análisis de riesgos, control de accesos, un plan de continuidad probado y una auditoría interna de todo el marco.

Por dónde empezar si no hay marco

Para una entidad que parte de cero, el orden importa más que el volumen. Una secuencia que funciona:

• Confirmar la vía. Contrastar el estatus de la entidad con las definiciones anteriores y dejar la conclusión por escrito, con el razonamiento, para poder enseñársela al supervisor.
• Identificar las funciones esenciales o importantes. Casi todo el marco se dimensiona en función de ellas, así que van primero: qué servicios, si se interrumpen, perjudicarían a los clientes, al mercado o a la continuidad de la entidad.
• Inventariar los activos y proveedores que las sostienen. Sistemas, datos, ubicaciones y los proveedores TIC de los que depende cada función. Ese mismo inventario alimenta el registro de información.
• Evaluar y tratar los riesgos, con un método escrito para que la evaluación se pueda repetir en cada revisión.
• Redactar las políticas que exige el Reglamento Delegado y asignar un responsable a cada control que describen.
• Poner en marcha la monitorización y la gestión de incidentes antes de probar el plan de continuidad, porque la prueba debe ejercitar la detección y la respuesta en las que se apoyaría una interrupción real.
• Probar, revisar e informar. Hacer la primera prueba de continuidad, la auditoría interna y el primer informe de revisión aunque nadie lo haya pedido todavía.

El primer ciclo es el más difícil. A partir de ahí, el informe de revisión se convierte en el registro de cómo evoluciona el marco de un año a otro.

Qué incluye el informe de revisión

El informe de revisión suele ser el primer documento que pide el supervisor, porque resume en un solo sitio el estado del marco. El artículo 41 del Reglamento Delegado exige presentarlo en un formato electrónico que permita búsquedas y fija su contenido, que incluye:

• Quién fue responsable de la revisión y qué periodo cubre.
• Un resumen de las conclusiones, con una autoevaluación de la gravedad de las debilidades, deficiencias y carencias detectadas.
• Las medidas para corregirlas, con fechas previstas, incluido el seguimiento de carencias de informes anteriores que sigan abiertas.
• Una descripción de los cambios importantes en el marco desde el informe anterior.
• Las conclusiones generales y la evolución prevista.

Una entidad que no puede preparar este informe con rapidez suele tener un problema de fondo: el marco existe como conjunto de documentos, pero nadie sigue si sus controles funcionan.

Lo que el artículo 16 no elimina

El artículo 16 deja sin aplicación los artículos 5 a 15 y nada más. El resto de DORA se aplica en sus propios términos, con la proporcionalidad que prevé cada capítulo.

• Gestión y notificación de incidentes (capítulo III). Las entidades con marco simplificado siguen necesitando un proceso para detectar, clasificar y gestionar los incidentes relacionados con las TIC, y deben notificar los graves a su autoridad competente en los plazos de DORA. Los criterios de clasificación están en el Reglamento Delegado (UE) 2024/1772. Los plazos se explican en la guía sobre plazos de notificación de incidentes en NIS2 y DORA.
• Pruebas de resiliencia (capítulo IV). Las obligaciones se ajustan a la entidad, y las pruebas de penetración basadas en amenazas (TLPT) solo afectan a las entidades que designen las autoridades, pero las pruebas no desaparecen. El propio artículo 16.1 exige probar con regularidad los planes de continuidad y los controles.
• Riesgo de terceros TIC (capítulo V). Se mantienen los requisitos contractuales para los servicios TIC y el registro de información que exige el artículo 28.3. El trabajo práctico se explica en la guía sobre gestión de riesgos de terceros con DORA y NIS2.

Por qué estas obligaciones pesan más de lo que sugiere la etiqueta

La lectura errónea más habitual del artículo 16 es entender «simplificado» como «fuera del alcance». Para una fintech o una entidad de pago pequeña puede pasar lo contrario. Estas entidades suelen funcionar casi por completo sobre proveedores en la nube y plataformas externalizadas: sistemas centrales, procesamiento de pagos, identidad, atención al cliente. Cada uno de esos acuerdos tiene que aparecer en el registro de información, y los contratos que sostienen funciones esenciales o importantes necesitan las cláusulas que fija DORA.

Con la notificación de incidentes ocurre lo mismo. Una entidad pequeña sin operaciones de seguridad tiene que ser capaz de detectar un incidente, clasificarlo según los criterios y notificarlo en cuestión de horas. Eso es una capacidad operativa, no un documento, y es la misma que necesita un banco grande, a menor escala.

Las microempresas son otro caso

DORA define la microempresa en su artículo 3, punto 60, por remisión a la Recomendación 2003/361/CE de la Comisión: menos de 10 personas y un volumen de negocios o un balance anual que no supere los 2 millones de euros.

Ser microempresa no sitúa a una entidad bajo el artículo 16. Una microempresa que no sea uno de los cinco tipos enumerados aplica los artículos 5 a 15, pero DORA incluye alivios específicos dentro de esos artículos. Por ejemplo, el artículo 6.4 exige una función de control con un nivel adecuado de independencia para gestionar el riesgo TIC, pero excluye de ese requisito a las microempresas. El considerando 43 explica que las microempresas y las entidades con marco simplificado no necesitan establecer una función dedicada a supervisar los acuerdos con proveedores terceros de servicios TIC.

Hay, por tanto, dos vías distintas hacia un régimen más ligero: el artículo 16 para los tipos de entidad enumerados, y las excepciones para microempresas dentro del marco completo. Conviene saber en cuál está la entidad antes de diseñar nada, porque la documentación que esperará el supervisor no es la misma. Una microempresa en el marco completo documenta frente a los artículos 5 a 15 y el título II del Reglamento Delegado; una entidad del artículo 16, frente al artículo 16 y el título III.

Para la estructura completa del reglamento, consulta DORA: los cinco pilares, explicados.

Construir el marco sobre la ISO 27001

Una entidad que ya opera un sistema de gestión de seguridad de la información conforme a la ISO 27001 parte con buena parte del marco simplificado en marcha. La correspondencia con el artículo 16.1 es estrecha:

• Marco documentado (letra a): el propio SGSI, con su política (apartado 5.2), su análisis de riesgos (6.1.2) y las políticas de seguridad del control 5.1 del anexo A.
• Monitorización y detección (letras b y d): registro de eventos (8.15) y actividades de monitorización (8.16), además de la gestión de incidentes (5.24 a 5.26).
• Sistemas y herramientas seguros (letra c): gestión de vulnerabilidades técnicas (8.8), seguridad de redes (8.20) y criptografía (8.24), entre otros.
• Dependencias de terceros (letra e): los controles de relación con proveedores (5.19 a 5.22).
• Continuidad y copias (letra f): preparación de las TIC para la continuidad (5.30), seguridad durante una interrupción (5.29) y copias de seguridad (8.13).
• Pruebas y aprendizaje (letras g y h): las pruebas de continuidad dentro del 5.30, el aprendizaje de los incidentes (5.27) y la concienciación, educación y formación (6.3).

Las carencias son propias de DORA. La ISO 27001 no exige clasificar y notificar incidentes graves a un supervisor financiero, ni el registro de información sobre acuerdos con terceros TIC, ni un informe de revisión con el formato del artículo 41 del Reglamento Delegado, ni pruebas de continuidad construidas sobre escenarios en los que una función esencial o importante se degrada hasta un nivel inaceptable. Un certificado demuestra que existe un sistema de gestión. No demuestra el cumplimiento de DORA.

Lo práctico es tratar DORA como una ampliación del SGSI y no como un segundo programa: incorporar los requisitos de DORA al alcance y a la declaración de aplicabilidad, relacionar cada obligación del artículo 16 con los controles que la cubren y construir encima lo que falta. La auditoría interna y la revisión por la dirección que ya exige la ISO 27001 pueden cubrir ambos, lo que además satisface la auditoría interna que pide el artículo 28 del Reglamento Delegado.

La otra carencia es operativa. El artículo 16.1 exige monitorizar de forma continua los sistemas TIC y detectar anomalías con rapidez, algo que una política no resuelve por sí sola. Qalea combina una plataforma de cumplimiento con el acompañamiento de un equipo de seguridad: la plataforma relaciona los controles ISO 27001 existentes con los requisitos de DORA y del Reglamento Delegado y sigue las carencias, y nuestro equipo trabaja con el vuestro en el marco, el informe de revisión y el registro. Qalea también opera EDR, SIEM y un SOC 24/7, de modo que las obligaciones de monitorización y detección del artículo 16.1 se cubren con controles que funcionan de forma continua y dejan registros que la autoridad puede revisar.