DORA: qué exige y cómo demostrar que cumple
Respuesta breve
DORA (Reglamento de Resiliencia Operativa Digital) es un reglamento de la UE, en vigor desde enero de 2025, para las entidades financieras de la UE y sus proveedores terceros críticos de TIC. Exige la gestión del riesgo TIC (artículos 5-16), la clasificación y notificación de los incidentes TIC graves (artículos 17-23), con una notificación inicial en un plazo de 4 horas tras la clasificación, un informe intermedio en 72 horas y un informe final en 1 mes, pruebas de resiliencia (artículos 24-27) y la gestión del riesgo de terceros TIC (artículos 28-44). ROOTKey asigna estos requisitos a su infraestructura existente, con pruebas criptográficas verificables y auditables.
- Sanción a proveedores TIC críticos
- 1%del volumen de negocios diario medio mundial, por día, hasta 6 meses
- Notificación inicial
- 4htras la clasificación de un incidente grave
- Tipos de entidad
- 20+financieras incluidas en el reglamento
- Aplicación obligatoria
- Ene 2025en vigor en toda la Unión Europea
A quién se aplica y qué está en juego
DORA (Reglamento de Resiliencia Operativa Digital) entró en vigor en enero de 2025. Se aplica a las entidades financieras de la UE, incluidos bancos, aseguradoras, empresas de inversión, proveedores de servicios de criptoactivos y sus proveedores terceros críticos de TIC. Las sanciones varían según el tipo de entidad.
| Entidad | Sanción |
|---|---|
| Proveedores terceros críticos de servicios de TIC | Multas coercitivas de hasta el 1% del volumen de negocios diario medio mundial del ejercicio anterior, impuestas por día hasta el cumplimiento y durante seis meses como máximo (art. 35, apartados 7 y 8) |
| Entidades financieras | Sanciones administrativas y medidas correctoras establecidas por cada Estado miembro (art. 50); DORA no fija un importe a escala de la UE |
Fuente: Reglamento (UE) 2022/2554 en EUR-Lex, artículos 35 y 50.
DORA en cinco minutos
Una explicación en lenguaje sencillo del reglamento: a quién afecta, qué exige y dónde encaja la integridad de los datos.
NIS2, DORA y el RGPD se explican en el mismo formato en la lista Compliance de nuestro canal de YouTube.
Qué exige DORA, artículo por artículo
DORA exige marcos documentados de gestión del riesgo de TIC, planes de continuidad de negocio, clasificación y notificación de incidentes, pruebas de resiliencia operativa digital y gestión del riesgo de TIC de terceros con evidencias de auditoría inmutables. Así se corresponde cada requisito con ROOTKey.
| Artículo | Requisito | ROOTKey | Estado |
|---|---|---|---|
| Artículos 5-16Gestión del riesgo TIC | Las entidades financieras deben implantar un marco sólido de gestión del riesgo TIC con políticas documentadas, controles y mecanismos de continuidad. | Registro inmutable de políticas TIC con hash criptográfico verificable por versión e historial anclado - la manipulación retroactiva es detectable criptográficamente. | Cubierto |
| Artículos 17-23Clasificación de incidentes | Clasificación, monitorización y notificación de incidentes TIC graves con criterios definidos y plazos de notificación establecidos. | Marcas de tiempo firmadas criptográficamente para cada evento. Cadena de custodia verificable con exportación estructurada a los reguladores en segundos. El informe indica qué cambió, quién, cuándo y dónde. | Cubierto |
| Artículos 24-27Pruebas de resiliencia | Programa de pruebas periódicas de resiliencia operativa digital, incluidas evaluaciones de vulnerabilidades y pruebas basadas en amenazas. | Recovery Points con verificación criptográfica de la integridad - evidencia verificable de que los sistemas de recuperación no se vieron comprometidos antes de someterlos a pruebas. | Cubierto 26 · parcial |
| Artículos 28-44Riesgo de terceros TIC | Gestión rigurosa del riesgo de los proveedores terceros de TIC, incluidas la diligencia debida, los contratos y los derechos de auditoría. | Verificación criptográfica de acceso por diseño: cada acceso de terceros se autentica con prueba criptográfica y se registra de forma inmutable, sin confianza implícita. | Autenticado · registrado de forma inmutable |
Artículos 19-20: plazos de notificación de incidentes
DORA obliga a notificar a las autoridades competentes los incidentes de TIC relevantes. El anclaje mediante hash criptográfico de ROOTKey crea cronologías de incidentes inviolables que constituyen la base probatoria de la comunicación regulatoria.
| Plazo | Fase | Detalle |
|---|---|---|
| T0 | Detección y clasificación | Logs con marcas de tiempo inmutables y exportación estructurada - evidencia verificable del momento de detección y clasificación, lista en minutos. |
| 4h | Notificación inicial | Notificación inicial a la autoridad competente en un plazo de 4 horas tras la clasificación de un incidente grave. |
| 72h | Informe intermedio | Informe intermedio en un plazo de 72 horas tras la notificación inicial. |
| 1 mes | Informe final | Informe final en 1 mes. |
Cómo encaja ROOTKey: sobre su infraestructura, no en lugar de ella
ROOTKey no sustituye a los sistemas existentes. Añade una capa de verificación criptográfica mediante API - sin migraciones, sin vendor lock-in.
- Evidencia criptográfica auditable
- Cada acción crítica genera una prueba independiente, verificable por auditores externos sin acceder a los datos originales.
- Recovery points verificables
- Backups con integridad verificada criptográficamente: fecha, contenido e integridad, todo verificable.
- Marcas de tiempo inmutables
- Cadena de custodia de cada evento de seguridad, con evidencia verificable de cuándo ocurrió.
Cualquier archivo, la misma prueba
PDF, imágenes, Word, Excel, PowerPoint, tablas y bases de datos: sea cual sea el archivo, ROOTKey lo compara con el original sellado y muestra solo lo que se ha alterado.
- Despliegue
- SaaS · Cloud privada · On-premise
- Conectores
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · tablas y bases de datos · REST API y webhooks
Integración: operativo en días, no en meses
API REST documentada y webhooks, soporte enterprise dedicado. ROOTKey se adapta a su infraestructura - y no al revés.
Integración mediante API
REST API documentada y webhooks. Operativo en días, sin sustituir la infraestructura existente.
Pruebas automáticas
Cada evento crítico genera una prueba criptográfica inmutable y auditable, con un esfuerzo operativo mínimo.
Notificación instantánea
Panel de cumplimiento en tiempo real y exportación de evidencias para los reguladores en segundos.
Preguntas frecuentes
¿Qué es DORA y quién tiene que cumplirlo?
DORA (Reglamento de Resiliencia Operativa Digital) entró en vigor en enero de 2025. Se aplica a las entidades financieras de la UE, incluidos bancos, aseguradoras, empresas de inversión, proveedores de servicios de criptoactivos y sus proveedores terceros críticos de TIC.
¿Qué exige DORA en materia de gestión del riesgo de TIC?
DORA exige marcos documentados de gestión del riesgo de TIC, planes de continuidad de negocio, clasificación y notificación de incidentes, pruebas de resiliencia operativa digital y gestión del riesgo de TIC de terceros con evidencias de auditoría inmutables.
¿Cómo apoya ROOTKey la notificación de incidentes de DORA?
DORA obliga a notificar a las autoridades competentes los incidentes de TIC relevantes. El anclaje mediante hash criptográfico de ROOTKey crea cronologías de incidentes inviolables que constituyen la base probatoria de la comunicación regulatoria.
¿Cuáles son las sanciones por incumplir DORA?
Los proveedores terceros críticos de servicios de TIC se enfrentan a multas coercitivas de hasta el 1% del volumen de negocios diario medio mundial del ejercicio anterior, impuestas por día durante seis meses como máximo (art. 35). Las sanciones para las entidades financieras las establece cada Estado miembro (art. 50); DORA no fija un importe a escala de la UE.