El 28 de septiembre de 2026 Fide, bajo el marco de actividades del Foro de Mercados Financieros, celebró la sesión “DORA en España: balance de su implementación y prioridades supervisoras”, centrada en valorar el grado de implantación del Reglamento (UE) 2022/2554 sobre resiliencia operativa digital (DORA) tras más de un año de plena aplicación y en identificar las principales prioridades supervisoras y áreas de mejora para las entidades financieras.
Intervinieron como ponentes Francisco del Olmo, Subdirector de Fintech y Ciberseguridad, Departamento de Estrategia e Innovación, Dirección General de Política Estratégica y Asuntos Internacionales, CNMV, e Israel Hernández, Socio Business Solutions, PwC. IT Risk & Cybersecurity. Antonio del Campo, Presidente de Honor del Instituto de Oficiales de Cumplimiento, Consejero Académico de Fide, moderó la sesión.
La sesión partió de una idea central: DORA ya no debe entenderse como un proyecto de adecuación con una fecha límite, sino como una disciplina permanente de gestión y demostración de la resiliencia operativa digital. El 17 de enero de 2025 quedó atrás y, con independencia del nivel de cumplimiento alcanzado entonces, las entidades deben integrar los controles en su operativa ordinaria, cerrar las brechas pendientes y generar evidencias suficientes de que las medidas funcionan de forma efectiva.
Del cumplimiento formal a la resiliencia por diseño
Se destacó que la adaptación a DORA debe avanzar desde el cumplimiento documental hacia un modelo de “resilience and compliance by design”. Esto exige incorporar la resiliencia a la arquitectura, la infraestructura, las operaciones y la toma de decisiones diaria. El ciclo de cumplimiento debe ser recurrente: identificar y priorizar gaps en función del riesgo, integrar controles en el negocio ordinario, diseñar con resiliencia desde el inicio, conservar evidencias y someter las decisiones a un verdadero challenge por parte del órgano de administración.
Desde la perspectiva supervisora de la CNMV, el objetivo no es que las entidades alcancen una puntuación teórica del 100 %, sino comprobar un compromiso real y una evolución sostenida de la madurez. La supervisión combina una visión general con una atención específica a los ámbitos de mayor relevancia o riesgo, como la continuidad de negocio, los incidentes, las pruebas o la gestión de terceros TIC.
Enfoque supervisor de la CNMV y principales ámbitos de actuación
La CNMV explicó que su actuación en relación con DORA se articula fundamentalmente en cinco ámbitos: autorización, supervisión, gestión de incidentes, proveedores TIC y pruebas de resiliencia. Este marco se aplica, dentro de sus competencias, a distintos tipos de entidades, entre ellas empresas de servicios de inversión, gestoras, infraestructuras de mercado, infraestructuras de mercado basadas en DLT y proveedores de servicios de criptoactivos. La intensidad y el enfoque supervisor se adaptan al perfil de riesgo de cada entidad.
En materia de incidentes, se señaló que las comunicaciones se reciben a través de la sede electrónica. La prioridad inicial es que la entidad gestione el incidente y recupere su operativa; posteriormente, una vez controlada la situación, el supervisor analiza con la entidad la gestión realizada, las causas y las lecciones extraídas.
Gobernanza y marco de gestión de riesgos TIC
Uno de los principales ámbitos de mejora observados es la gobernanza. Se insistió en que las funciones pueden delegarse, pero no las responsabilidades. El órgano de administración debe comprender los riesgos TIC, disponer de los conocimientos necesarios para cuestionar las decisiones que se le presentan, recibir información sobre hallazgos significativos y participar en el seguimiento de su subsanación.
La CNMV observó carencias en la aplicación efectiva del modelo de tres líneas de defensa, en la separación e independencia de funciones y en la asignación clara de responsabilidades. También se detectan estrategias de resiliencia demasiado genéricas, políticas y procedimientos que no siempre están suficientemente aterrizados en la operativa, metodologías de riesgo poco maduras y una integración insuficiente de los resultados de auditoría dentro del marco general de gestión de riesgos TIC.
Continuidad de negocio y pruebas: demostrar que la resiliencia funciona
En continuidad de negocio, se subrayó la necesidad de partir de la identificación de las funciones esenciales o críticas y de realizar análisis de impacto que permitan fijar métricas como los objetivos de tiempo y punto de recuperación (RTO y RPO). A partir de ello, los planes de continuidad deben someterse a pruebas periódicas y basadas en riesgo. Cuando se detecten deficiencias, debe existir un plan de subsanación, un seguimiento formal y un reporte adecuado al órgano de administración.
Las pruebas de resiliencia no deben limitarse a ejercicios formales o superficiales: deben generar una utilidad real y permitir comprobar si los controles resisten escenarios exigentes. El programa debe cubrir, según el riesgo, vulnerabilidades, escenarios, continuidad y pruebas de penetración, cerrando siempre el ciclo mediante hallazgo, remediación, repetición de la prueba y evidencia. Para las entidades seleccionadas, las pruebas avanzadas TLPT constituyen el ejercicio más exigente y deben realizarse, como regla general, al menos cada tres años sobre sistemas en producción que soporten funciones críticas o importantes.
Gestión de incidentes y aprendizaje continuo
Otro punto de atención es la capacidad de detectar, evaluar, clasificar y responder a incidentes TIC. Se observaron procedimientos excesivamente dependientes de la detección manual por usuarios, carencias en el registro y seguimiento, así como dificultades para clasificar y notificar correctamente los incidentes graves. La existencia de un procedimiento de respuesta claro desde el momento de la detección resulta esencial.
La sesión destacó igualmente el valor de las “lecciones aprendidas”. Los resultados de incidentes, activaciones de planes de continuidad y pruebas deben retroalimentar la gestión de riesgos TIC y servir para revisar la efectividad de las medidas existentes. Sin recursos suficientes y equipos adecuadamente capacitados, este aprendizaje continuo resulta difícil de consolidar.
Terceros TIC: el reto de mayor complejidad práctica
La gestión de terceros fue identificada como uno de los problemas más difíciles de resolver. DORA exige conocer y controlar una red creciente de dependencias, que incluye proveedores directos y cadenas de subcontratación, además de gestionar riesgos de concentración y disponer de estrategias de salida. El reto no se limita a adaptar contratos: exige conectar servicio, función, proveedor, contrato y subcontratistas, mantener un registro de información fiable y reducir la elevada carga manual que aún existe en muchas entidades.
Desde la experiencia supervisora de la CNMV se señalaron procedimientos de evaluación de terceros todavía limitados, estrategias de salida insuficientes, riesgos de terceros no siempre integrados en el marco general de riesgos y dificultades para elaborar el registro de proveedores TIC que debe ser reportado. Asimismo, se recordó la necesidad de adecuar el clausulado de los acuerdos, incluidos los intragrupo cuando la prestación TIC procede de otras entidades del grupo.
La supervisión de los proveedores terceros críticos adquiere además una dimensión europea. Las Autoridades Europeas de Supervisión han designado 19 proveedores terceros de servicios TIC como críticos bajo DORA, entre ellos Amazon Web Services, Google Cloud, IBM o Microsoft, cuya supervisión se articula mediante equipos conjuntos en los que participan las autoridades europeas y nacionales.
Nuevas amenazas y evolución de las prioridades supervisoras
La resiliencia operativa debe evolucionar al ritmo de las amenazas. Se analizó especialmente el efecto de la inteligencia artificial en el panorama de ciberamenazas y la expectativa del BCE de que las entidades significativas evalúen el incremento de los riesgos cibernéticos habilitados por IA y definan un plan de acción antes del 31 de octubre de 2026. Entre los ámbitos prioritarios se encuentran los activos expuestos a Internet, cloud y terceros; la gestión de vulnerabilidades y parcheado; el refuerzo de la monitorización y detección; el gobierno TIC y los recursos; la respuesta a incidentes y el modelado de amenazas.
En este contexto, se puso de manifiesto que la rapidez con la que aparecen nuevas vulnerabilidades puede tensionar los procesos tradicionales de prueba y despliegue de parches. Por ello, las entidades deberán equilibrar velocidad de respuesta, control del cambio y evidencia de las decisiones adoptadas.
DORA dentro de un marco más amplio de resiliencia
Finalmente, se recordó que DORA convive con otros marcos europeos y nacionales de resiliencia, cuya aplicabilidad dependerá de la entidad, su actividad y su perfil de riesgo. Entre ellos se encuentran NIS2, la Directiva CER sobre resiliencia de entidades críticas, la normativa española de protección de infraestructuras críticas y las expectativas del Single Resolution Board sobre continuidad operativa en resolución. Todos estos marcos comparten capacidades como la identificación de servicios críticos, el mapa de dependencias, la gestión de crisis, las pruebas, la continuidad, la gestión de terceros y la generación de evidencias.
Se planteó, asimismo, la conveniencia de reforzar una visión transversal de resiliencia dentro de las organizaciones. Aunque DORA no exige una figura denominada “Head of Resilience”, se defendió la utilidad de contar con una función capaz de integrar negocio, tecnología, riesgos y terceros y de proporcionar al órgano de administración una visión de extremo a extremo sobre los servicios críticos.
Conclusiones
- DORA no es un hito regulatorio ya superado, sino un proceso permanente de gestión, prueba y mejora de la resiliencia operativa digital.
- El foco supervisor se desplaza progresivamente desde la mera existencia de políticas hacia su implantación efectiva, la calidad de las evidencias y la capacidad de las entidades para demostrar que sus controles funcionan.
- La gobernanza es un elemento nuclear: el órgano de administración conserva la responsabilidad, debe comprender los riesgos TIC y realizar un seguimiento y challenge efectivos.
- Las pruebas deben ser periódicas, basadas en riesgo y suficientemente exigentes. Las deficiencias detectadas han de traducirse en remediación, re-test y evidencia.
- La continuidad de negocio debe construirse a partir de funciones esenciales, análisis de impacto y objetivos de recuperación claros, evitando planes genéricos desconectados del riesgo.
- La gestión de terceros TIC continúa siendo uno de los principales retos por la escala de las dependencias, la subcontratación, la concentración, los registros de información y la necesidad de estrategias de salida viables.
- Las nuevas amenazas, especialmente las habilitadas por IA, elevan las expectativas supervisoras y obligan a acelerar la gestión de vulnerabilidades, monitorización, gobierno y respuesta.
- La resiliencia debe incorporarse por diseño y coordinarse con el conjunto de marcos regulatorios aplicables. El objetivo final no es “estar compliant”, sino poder mantener y recuperar los servicios críticos ante disrupciones reales.
Resumen elaborado para Fide por Silvia Lázaro, Junior Consultant ECIJA
