Reglamento DORA: guía completa en español (2026)

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué es el reglamento DORA?

El reglamento DORA es el Reglamento (UE) 2022/2554, sobre la resiliencia operativa digital del sector financiero. Obliga a 21 tipos de entidades —20 categorías del sector financiero (letras a-t del art. 2) más los proveedores tecnológicos que les dan servicio (letra u)— a prevenir, resistir y recuperarse de los incidentes que afecten a sus sistemas. Es plenamente aplicable en España desde el 17 de enero de 2025, sin necesidad de ley nacional (art. 64).

DORA son las siglas de Digital Operational Resilience Act. Su lógica es sencilla: un banco puede tener el balance impecable y aun así caer si su plataforma de pagos se congela un lunes por la mañana. Hasta 2025, cada supervisor financiero fijaba sus propias reglas de ciberseguridad; DORA las unifica en una sola norma europea, directamente exigible. Y —esto es lo que sorprende a casi todos— alcanza también a las empresas de tecnología que dan servicio a esas entidades.

¿Cuándo fue la entrada en vigor de DORA y por qué no lo encuentras en el BOE?

DORA entró en vigor el 16 de enero de 2023 y es aplicable desde el 17 de enero de 2025 (art. 64). No lo busques como norma española en el BOE: al ser un reglamento europeo, aplica directamente sin ley nacional. En la web del BOE sí aparece, pero como el Diario Oficial de la UE reproducido, con la referencia DOUE-L-2022-81962, no con un número BOE-A.

Aquí está la confusión que arrastra media internet, y que resuelve una sola distinción del art. 288 del Tratado de Funcionamiento de la UE:

• Un reglamento obliga en todos sus elementos y se aplica directamente en cada país de la UE. No necesita que España haga nada: vincula desde la fecha que él mismo fija.
• Una directiva, en cambio, solo marca el resultado que hay que alcanzar y deja que cada país elija cómo llegar a él. Por eso necesita una ley nacional que la traslade.

DORA es un reglamento; NIS2 es una directiva. De ahí la asimetría que confunde a todo el mundo: DORA ya te obliga, mientras NIS2 espera su ley española (lo vemos más abajo).

¿Y qué encuentras si buscas «reglamento DORA BOE»? La ficha DOUE-L-2022-81962, que reproduce el Diario Oficial de la UE (serie L 333, de 27 de diciembre de 2022, páginas 1 a 79). Es el texto europeo alojado en boe.es, no una norma española, y por eso no lleva número BOE-A.

El error que de verdad cuesta dinero es leer «no hay ley DORA en el BOE» como «todavía no me toca». Es al revés: las obligaciones vinculan a las entidades financieras españolas —y, por contrato, a sus proveedores— desde el 17 de enero de 2025. Lo único que España tiene pendiente es la norma que concretará las sanciones nacionales y ajustará la supervisión (Banco de España, CNMV y DGSFP): a fecha de agosto de 2026, el Consejo de Ministros aprobó el 14 de julio de 2026 el Proyecto de Ley de digitalización y modernización del sector financiero —la norma que fija ese régimen de infracciones y sanciones DORA— y lo remitió a las Cortes Generales, donde se publicó en el Boletín Oficial de las Cortes Generales el 27 de julio de 2026. Sigue sin ser ley, pero las obligaciones de DORA no dependen de ella.

Los 5 pilares del reglamento DORA: el resumen que necesitas

Todo DORA cabe en cinco bloques de obligaciones. Este es el resumen, con los artículos para que puedas ir al texto cuando lo necesites:

Dos avisos que la mayoría de resúmenes se salta.

Primero, los plazos de notificación de incidentes. El desarrollo técnico de la notificación de incidentes graves (arts. 19-20) —el Reglamento Delegado (UE) 2025/301— fija tres hitos: un informe inicial en un máximo de 4 horas desde que clasificas el incidente como grave (y nunca más de 24 horas desde que lo detectas), uno intermedio a las 72 horas y el final en un mes. Cuidado si vienes de NIS2: no son los mismos plazos, aunque se parezcan. Mezclarlos es el desliz más repetido de la red.

Segundo, la proporcionalidad. DORA no pide lo mismo a un gran banco que a una gestora pequeña: las microempresas quedan fuera de varias obligaciones —entre ellas las pruebas TLPT— y existe un marco simplificado de gestión del riesgo para las entidades de menor tamaño (art. 16).

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

¿A quién aplica el reglamento DORA?

La normativa DORA enumera 21 tipos de entidades en su art. 2, de la letra a) a la u). Las letras a) a t) son las «entidades financieras» —entidades de crédito, de pago, empresas de servicios de inversión, aseguradoras y reaseguradoras, gestoras de fondos, plataformas de criptoactivos, fondos de pensiones de empleo…—; la letra u) son los proveedores terceros de servicios de TIC. Si no tienes claro tu caso, empieza por comprobar si estás en las 21 categorías.

Y aquí hay un matiz que a muchas pymes se les escapa: DORA no solo va de bancos. Si tu empresa presta servicios tecnológicos —software, alojamiento, soporte, nube— a una entidad financiera, la norma te llega igualmente, pero por otra puerta: el contrato. Tu cliente te exigirá las cláusulas del art. 30 (derecho de auditoría, localización de los datos, plan de salida, asistencia en incidentes) y te incluirá en su registro de proveedores (art. 28.3). Quien no pueda firmar esas cláusulas se queda fuera del mercado financiero. Lo desarrollamos si eres proveedor tecnológico.

Un escalón más arriba: los proveedores tecnológicos considerados críticos para el sistema financiero pasan a estar bajo la supervisión directa de las autoridades europeas de supervisión, que los designan (art. 31) y pueden imponerles multas coercitivas de hasta el 1 % del volumen de negocios diario medio mundial del ejercicio anterior, diarias durante un máximo de 6 meses (art. 35). Para la inmensa mayoría de proveedores, sin embargo, DORA se juega en el contrato, no en Bruselas.

DORA y NIS2: por qué las financieras no cumplen el art. 21 de NIS2

Si tu empresa es financiera, quizá te preguntes si además tienes que cumplir NIS2. La respuesta corta es no: para las entidades financieras, DORA actúa como lex specialis —norma especial— frente a NIS2, como recoge su propio considerando 16. El art. 1.2 de DORA y el considerando 28 de la Directiva NIS2 lo dejan claro: a estas entidades se les aplican las reglas de DORA sobre riesgo TIC y notificación de incidentes en lugar de los arts. 21 y 23 de NIS2.

La diferencia de fondo es la misma que la del BOE: DORA es un reglamento y aplica directo; NIS2 es una directiva y necesita una ley española que la traslade. Ese estado legislativo cambia con el tiempo, así que aquí lo tienes siempre actualizado:

El régimen sancionador también difiere. NIS2 fija sus multas en la propia directiva; DORA, en cambio, remite el detalle a cada país. Para que veas la magnitud de lo que está en juego con NIS2 —y por qué merece la pena saber cuál de las dos normas te aplica—:

Un último matiz para no equivocarse: que una entidad financiera cumpla DORA y no NIS2 no significa que sus proveedores tecnológicos se libren de NIS2. Un proveedor de servicios gestionados de TIC puede estar sujeto a NIS2 por derecho propio —por su propio sector— y, a la vez, soportar por contrato las exigencias DORA de sus clientes financieros. Dos marcos, dos motivos distintos. La comparación completa está en DORA frente a NIS2.

Por dónde empezar

No esperes a que aparezca una ley en el BOE: si eres una entidad financiera o das servicio a una, las obligaciones ya corren. Tres movimientos concretos para esta semana:

1. Sitúate. Confirma si tu actividad encaja en alguna de las 21 letras del art. 2 —o si le prestas servicios a quien sí encaja—.
2. Ordena tus contratos TIC. Identifica cuáles sustentan funciones esenciales: son los que DORA vigila con lupa (arts. 28 y 30).
3. Mide tu capacidad de notificar. Un incidente grave hay que reportarlo en 4 horas; es el requisito que más pilla desprevenidas a las áreas técnicas.

Con esas tres respuestas sabrás si DORA te afecta, por qué puerta y qué es lo primero que tienes que arreglar.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.