¿A quién aplica DORA? Las 21 entidades del art. 2

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿A quién aplica DORA?

DORA aplica a 21 tipos de entidad del artículo 2.1 del Reglamento (UE) 2022/2554: veinte categorías financieras —de bancos y aseguradoras a gestoras de fondos, plataformas de crowdfunding o exchanges de criptoactivos— más los proveedores terceros de servicios de TIC (la letra u). Si tu actividad necesita autorización financiera para operar, casi seguro estás dentro; las exclusiones son las seis tasadas del art. 2.3.

Y no hay que esperar a ninguna ley española: al ser un reglamento europeo, DORA se aplica de forma directa desde el 17 de enero de 2025 (art. 64), sin transposición.

Las 21 entidades del art. 2.1: el ámbito de aplicación de DORA, letra a letra

El art. 2.2 parte la lista en dos: las letras a) a t) son las «entidades financieras»; la u) son los proveedores terceros de servicios de TIC. Estas son las 21, con un ejemplo español de cada una para que ubiques la tuya:

Fíjate en el salto de la última fila: la letra u) no es una entidad financiera, es tu proveedor de tecnología. DORA es la primera norma que mete de lleno al proveedor informático en el perímetro regulado del sector financiero.

Las cuatro entidades que DORA pilla por sorpresa

Los listados que traduce la competencia se quedan en la tabla. El valor está en las cuatro fronteras donde la gente se equivoca al leer el ámbito de aplicación:

1. «Fintech exenta» no es «fintech fuera». Las letras b) y d) incluyen expresamente a las entidades de pago y de dinero electrónico exentas de licencia plena por PSD2 y por la directiva de dinero electrónico. Estar exento de la autorización no te saca de DORA: solo te rebaja al marco simplificado del art. 16. Es la confusión más cara del ámbito.

2. La cripto ya es «entidad financiera». Desde que un exchange o un custodio español obtiene su autorización MiCA (Reglamento (UE) 2023/1114), entra automáticamente en DORA por la letra f). No hay periodo de gracia por ser un sector nuevo.

3. En las gestoras la línea no es «pequeña», es «sub-umbral». Solo escapan los gestores de fondos alternativos por debajo de los umbrales del art. 3.2 de la AIFMD: menos de 100 M€ gestionados con apalancamiento, o menos de 500 M€ sin apalancamiento ni reembolsos durante cinco años. Una gestora de 120 M€ con ocho empleados está dentro de DORA aunque sea microempresa: el umbral de patrimonio gestionado de la AIFMD y la condición de microempresa (facturación o balance no superior a 2 M€, art. 3.60) son dos ejes independientes. El primero decide si entras en DORA; el segundo solo modula tus obligaciones una vez dentro.

4. La letra u) no exige licencia, exige contrato. El proveedor TIC entra sin autorización ninguna: le llegan las cláusulas contractuales que cada cliente financiero está obligado a imponerle y su inscripción en el registro de información, la primera obligación visible de DORA. Si las autoridades europeas lo designan crítico, pasa a supervisión directa. Todo el detalle, en qué le exige DORA a los proveedores TIC.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

¿A quién NO aplica DORA? Las exclusiones del art. 2.3

Fuera del ámbito solo quedan seis grupos tasados (art. 2.3). No existe un «somos pequeños» genérico: o encajas en una de estas seis puertas, o estás dentro.

• Gestores de fondos alternativos sub-umbral (art. 3.2 de la AIFMD): los de la frontera del punto 3 anterior.
• Aseguradoras y reaseguradoras excluidas de Solvencia II por tamaño (art. 4 de la Directiva 2009/138/CE).
• Fondos de pensiones de empleo cuyos planes, en conjunto, no cuenten con más de 15 partícipes.
• Personas físicas o jurídicas exentas por los arts. 2 y 3 de MiFID II (Directiva 2014/65/UE).
• Intermediarios de seguros, de reaseguros y de seguros complementarios que sean microempresas o pymes: aquí sí entra tu correduría de barrio.
• Instituciones públicas de giro postal.

Cuidado con una tentación: DORA permite a cada Estado excluir además a ciertas entidades públicas de la directiva bancaria (art. 2.4), una opción que España no ha ejercido a fecha de esta guía. En la lista de esa directiva el único candidato español es el Instituto de Crédito Oficial (CRD IV, art. 2.5, punto 9). Para cualquier otra entidad no existe exclusión nacional posible: solo valen las seis de arriba.

Estar dentro no es cumplir lo mismo: proporcionalidad

DORA no le pide lo mismo a un banco sistémico que a una entidad de pago exenta. El art. 4 ordena aplicar el marco «teniendo en cuenta el tamaño y el perfil de riesgo, así como la naturaleza, escala y complejidad» de cada entidad. En la práctica, esa proporcionalidad tiene dos palancas concretas:

• Marco simplificado de gestión del riesgo TIC (art. 16): un régimen más ligero para entidades pequeñas y específicas —empresas de inversión pequeñas y no interconectadas, entidades de pago y de dinero electrónico exentas, o fondos de pensiones de empleo con planes que no superen los 100 partícipes—.
• Condición de microempresa (menos de 10 empleados y 2 M€, art. 3.60): exime de algunas obligaciones, como las pruebas de penetración avanzadas.

El error a evitar es leer «proporcionalidad» como «no me aplica». Modula el cuánto, nunca el si.

¿DORA o NIS2? La frontera para tu proveedor TIC

Si eres una entidad financiera de las letras a) a t), DORA funciona como lex specialis frente a NIS2: cumples DORA en gestión de riesgo TIC y notificación de incidentes, no los artículos 21 y 23 de NIS2 (DORA, art. 1.2, y considerando 28 de NIS2).

Pero si prestas servicios TIC gestionados, puedes estar sujeto a NIS2 por derecho propio (Anexo I de la Directiva (UE) 2022/2555, «gestión de servicios TIC de empresa a empresa») y, a la vez, soportar las exigencias contractuales de DORA que te trasladen tus clientes financieros. Dos marcos, no uno.

El estado de la transposición de NIS2 en España lo tienes aquí, siempre actualizado:

Tu siguiente paso

Localiza tu letra en la tabla y comprueba si caes en alguna de las seis exclusiones del art. 2.3. Si estás dentro y eres una entidad financiera, tu primera tarea material es el registro de todos tus contratos TIC; si eres el proveedor, prepárate para las cláusulas que te llegarán por contrato. Para el recorrido entero, tienes la guía DORA completa.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.