Home / Services / Compliance & Strategy / Cumplimiento del reglamento DORA
Compliance & Strategy
Reglamento DORA para una resiliencia demostrable
Acompañamos a entidades financieras en la adaptación al reglamento DORA: alcance, análisis de brechas y plan de actuación para la gestión del riesgo TIC, los incidentes, las pruebas de resiliencia y los proveedores críticos.
Requisitos de DORA repartidos entre áreas sin coordinar: un cumplimiento verificable
El cumplimiento DORA es obligatorio para bancos, aseguradoras, entidades de pago y otras entidades financieras desde enero de 2025. Exige gestionar el riesgo TIC, notificar incidentes graves, probar la resiliencia y controlar a los proveedores tecnológicos, con evidencias que el supervisor puede pedir en cualquier momento.
Tratar DORA como un proyecto de documentación o repartirlo entre tecnología, riesgos y compras deja huecos. Los requisitos se solapan, los controles no se conectan con los riesgos reales y el registro de proveedores o el reporte de incidentes se resuelven a mano en cada ocasión.
En CGC trabajamos el alcance, el análisis de brechas y el plan de actuación, y conectamos cada requisito de DORA con responsables, controles y evidencias. Tu organización demuestra su resiliencia operativa digital con un modelo que se mantiene, no con un esfuerzo puntual.
Los requisitos de DORA, bajo control
Gestión del riesgo TIC
Definimos o revisamos el marco de gestión del riesgo TIC: gobierno, identificación de activos, protección, detección, respuesta y recuperación, alineado con los requisitos del reglamento. Las capacidades de recuperación ante desastres se prueban junto con los planes de continuidad.
Gestión y notificación de incidentes
Establecemos cómo clasificar los incidentes relacionados con las TIC, cuándo notificar al supervisor y quién lo hace, con procedimientos y plantillas listos para usar.
Pruebas de resiliencia operativa digital
Diseñamos el programa de pruebas de resiliencia que corresponde a tu entidad, coordinamos su ejecución y hacemos seguimiento de las mejoras hasta su cierre.
Riesgo de proveedores TIC
Organizamos el registro de información de proveedores TIC, evaluamos su criticidad y revisamos que los contratos incluyan las cláusulas que exige DORA.
Cuéntanos en qué punto estáis con DORA y te ayudamos a cerrar brechas.
Cómo trabajamos para sostener el cumplimiento
Alcance y análisis de brechas
Determinamos cómo aplica DORA a tu entidad, incluido el principio de proporcionalidad, y evaluamos la situación actual frente a cada requisito del reglamento y sus normas técnicas.
Plan de actuación priorizado
Convertimos las brechas en un plan de actuación con responsables, plazos y prioridades según el riesgo, coordinado entre tecnología, riesgos, cumplimiento y compras.
Implantación y evidencias
Acompañamos la puesta en marcha de políticas, procesos y controles, y organizamos las evidencias para responder a auditorías internas y requerimientos del supervisor.
Seguimiento y acompañamiento
Documentamos el modelo y acompañamos a los responsables en los primeros ciclos de revisión, pruebas y reporte, para que el cumplimiento se mantenga con autonomía.
Proyectos que ya ordenan el riesgo
Seguros · Compliance & Strategy
Análisis de riesgo tecnológico con DORA en un grupo asegurador
Outcome
Riesgo inherente y residual medido con los controles de DORA en todo el grupo.
El reto: evaluar el riesgo tecnológico de cada sociedad del grupo con los controles de DORA. Construimos un modelo de datos, una aplicación para mantener amenazas y salvaguardas y un cuadro de mando que calcula el riesgo.
Preguntas frecuentes para cumplir DORA con criterio
¿Qué es el reglamento DORA y a quién se aplica?
DORA es el Reglamento (UE) 2022/2554 de resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025. Se aplica a bancos, aseguradoras, entidades de pago, empresas de inversión y otras entidades financieras, y establece un régimen de supervisión para los proveedores TIC críticos.
¿Qué exige el cumplimiento DORA a una entidad financiera?
El cumplimiento DORA exige cinco bloques: gestión del riesgo TIC, gestión y notificación de incidentes, pruebas de resiliencia operativa digital, gestión del riesgo de proveedores TIC e intercambio de información sobre amenazas. Cada bloque se aplica con proporcionalidad según el tamaño y el perfil de riesgo de la entidad.
¿Qué relación hay entre DORA y NIS2 en el sector financiero?
Para las entidades financieras, DORA es la norma específica y prevalece sobre NIS2 en materia de ciberseguridad y riesgo TIC. Aun así, muchos proveedores y grupos con actividad no financiera deben cumplir ambas, y conviene usar un catálogo de controles común para no duplicar el trabajo.
¿Qué es el registro de información de proveedores TIC de DORA?
Es el inventario que cada entidad debe mantener con todos sus acuerdos con proveedores de servicios TIC, indicando cuáles sostienen funciones críticas o importantes. El supervisor puede solicitarlo, por lo que debe estar completo y actualizado. Te ayudamos a construirlo y a integrarlo en la gestión de terceros.
¿Puede CGC ayudarnos si ya hemos empezado la adaptación a DORA?
Sí. Partimos de lo que ya tiene tu entidad, revisamos el avance frente a cada requisito y nos centramos en las brechas pendientes y en hacer el modelo sostenible. Es habitual que la primera fase de adaptación haya dejado tareas manuales o evidencias dispersas que conviene ordenar.
Otros servicios para reforzar tu resiliencia
Hablemos del cumplimiento DORA de tu organización
Cuéntanos qué tipo de entidad sois, en qué punto está vuestra adaptación a DORA y qué os preocupa del próximo requerimiento o auditoría. Un consultor revisará tu caso y te propondrá una primera sesión de diagnóstico.
Certifications