Desde el 17 de enero de 2025 se aplica DORA a bancos, aseguradoras, empresas de inversión, entidades de pago y muchas otras entidades financieras. El Reglamento exige una gestión documentada de riesgos de TIC, la notificación de incidentes graves, pruebas de resiliencia y el control de sus proveedores de servicios de TIC. Complass le guía por todas las partes y mantiene las evidencias a disposición del supervisor.
Todo servicio de TIC debe figurar en el registro de información, con contrato, función y subcontratistas. El supervisor solicita el registro cada año.
Clasificar rápidamente los incidentes
Que un incidente de TIC sea grave y de notificación obligatoria lo deciden criterios fijos. La notificación inicial se realiza en cuestión de horas.
Responsabilidad del órgano de dirección
El órgano de dirección es responsable del marco de gestión de riesgos de TIC y debe aprobarlo, supervisarlo y revisarlo periódicamente.
Lo que se aplica a su empresa
DORA se aplica directamente en toda la UE. Para las empresas pequeñas y no interconectadas existe un marco simplificado; para la mayoría de las demás, estas obligaciones:
Marco de gestión de riesgos de TIC con estrategia, directrices, protección, detección, respuesta y recuperación, aprobado y supervisado por el órgano de dirección Art. 5 DORAArticle 5 DORAGovernance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗Art. 6 DORAArticle 6 DORAICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗
Registrar los incidentes relacionados con las TIC, clasificarlos con criterios fijos y notificar los incidentes graves en tres fases: notificación inicial, notificación intermedia e informe final Art. 17 DORAArticle 17 DORAICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗Art. 18 DORAArticle 18 DORAClassification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗Art. 19 DORAArticle 19 DORAReporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗
Probar periódicamente la resiliencia operativa digital; las entidades seleccionadas, además, con pruebas de penetración basadas en amenazas Art. 24 DORAArticle 24 DORAGeneral requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗Art. 26 DORAArticle 26 DORAAdvanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗
Gestionar el riesgo de terceros de TIC: estrategia, registro de información de todos los servicios de TIC y estrategias de salida Art. 28 DORAArticle 28 DORAGeneral principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗
Los contratos con proveedores de servicios de TIC deben tener determinados contenidos, por ejemplo descripción del servicio, ubicaciones del tratamiento de datos, colaboración en caso de incidentes, derechos de auditoría y derechos de resolución Art. 30 DORAArticle 30 DORAKey contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗
Las obligaciones de gestión de riesgos, notificación y dirección de la ley alemana BSIG no se aplican a las entidades financieras sujetas a DORA; en esa medida prevalece DORA § 28, apartado 6, BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Versión: 26.09.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
Información general, no asesoramiento jurídico. Esta página resume la situación jurídica de forma simplificada y no sustituye el examen de su caso concreto. Lo determinante es el texto de las leyes y normas.
Empresas típicas
Bancos y cajas de ahorros Ámbito prioritario
Entidades de crédito con TI propia o externalizada, con registro de información y pruebas de resiliencia.
Aseguradoras
Empresas de seguros y reaseguros, salvo las aseguradoras muy pequeñas; los intermediarios solo si son mayores que una empresa mediana (art. 2, apartado 3, de DORA).
Entidades de pago y de dinero electrónico
Servicios de pago con altos requisitos de disponibilidad y de notificación de incidentes.
Empresas de inversión y sociedades gestoras de capital
Según el tamaño, con marco de gestión de riesgos de TIC completo o simplificado; los pequeños gestores registrados de fondos de inversión alternativos están exentos.
Así le ayuda Complass
Aplicar DORA de forma guiada
Fases desde la aplicabilidad hasta la revisión del marco, con plantillas para estrategia, directrices, programa de pruebas y plan de notificación y clasificación.
Plantilla de trabajo para el registro de información, revisión de contratos conforme al art. 30 y plan de salida por servicio de TIC.
Riesgos de TIC y gestión de la continuidad de negocio
Registro de riesgos con apetito de riesgo y plan de tratamiento, además de análisis de impacto en el negocio y planes de emergencia para funciones críticas.
La primera selección cubre las obligaciones en Complass si le son aplicables. Si es así, lo muestra la comprobación de afectación gratuita. Al control de afectación
Lo mínimo que necesita
Si DORA se aplica a su entidad financiera: esta selección cubre en Complass las obligaciones derivadas de ello. Está preseleccionada cuando prueba o hace un pedido.
Dashboard de la dirección: Acreditar que el órgano de dirección establece, aprueba y supervisa la gestión del riesgo de las TIC. (Art. 5 DORA (se abre en una pestaña nueva)) (incluido)
Gestión de la continuidad de negocio (BCM): Continuidad de la actividad de las TIC: análisis de impacto en el negocio, planes de emergencia y ejercicios, ISO 22301 incluida. (Art. 11 DORA (se abre en una pestaña nueva))
Gestión de incidentes: incluido
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica): incluido
Precio de la selección mínima
Concepto
Precio neto al mes
Start S
179 €
DORA
incluido
Gestión de la continuidad de negocio (BCM)
79 €
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)
incluido
Total
258 € netos/mes
Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.
Conviene saber: Puede cumplir las obligaciones también sin Complass. Complass le apoya en la implementación y la acreditación, pero no sustituye el asesoramiento jurídico. Avisos legales
Otros planes
El marco normativo DORA puede utilizarlo hoy. Para los proveedores de TIC del sector financiero estamos preparando la plantilla sectorial «DORA para proveedores de TIC».
disponible
marco normativo DORA
Gestión de riesgos de TIC, notificación de incidentes, pruebas de resiliencia y riesgo de terceros de TIC
Registro de información como plantilla de trabajo
Fase propia para proveedores de servicios de TIC con los requisitos de sus clientes financieros
desde 179 € al mes más IVA en el paquete Start, tamaño S, pago anual
Todos los precios están dirigidos a empresas, no a consumidores. Se entienden netos más IVA con pago anual; con pago mensual se aplica un recargo del 15 %. Vigente a 16/10/2026. Enterprise y grupos empresariales bajo consulta.
Los paquetes marcados como «próximamente» o «en preparación» todavía no pueden reservarse. Indicaremos el precio y el alcance en cuanto un paquete pueda reservarse. Los marcos normativos y las funciones incluidos, en la medida en que estén disponibles, se los mostramos con gusto ya ahora en la demostración.
Preguntas frecuentes
Como banco, ¿también debemos aplicar NIS2?+
Para la gestión de riesgos, las notificaciones y las obligaciones de la dirección prevalece DORA; las disposiciones correspondientes de la ley alemana BSIG no se aplican a las entidades financieras incluidas en el ámbito de DORA (§ 28, apartado 6, BSIG). Otras disposiciones, por ejemplo sobre el registro, no se mencionan en esta excepción. Compruebe estos puntos caso por caso.
¿Se aplica DORA también a las entidades más pequeñas?+
Sí, pero de forma proporcionada. Las empresas de inversión pequeñas y no interconectadas y algunas otras empresas aplican un marco simplificado de gestión de riesgos de TIC (art. 16 de DORA). En Alemania, la ley bancaria (Kreditwesengesetz) extiende además DORA a otras entidades.
¿Ayuda Complass con el registro de información?+
Sí. El marco normativo DORA incluye una plantilla de trabajo para el registro de información conforme a las normas técnicas de ejecución. La presentación ante el supervisor se realiza a través de su canal de notificación.
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.
