DORA vs NIS2: cuál aplica a tu empresa (y cuándo las dos)

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

DORA vs NIS2: ¿cuál aplica a tu empresa?

Depende de qué eres. Si eres entidad financiera, te aplica DORA, que desplaza a NIS2 en lo operativo (regla lex specialis). Si estás en los sectores de los Anexos de NIS2 y llegas a tamaño mediano, te aplica NIS2. Y si eres proveedor de servicios TIC, cargas con las dos a la vez.

Ese “las dos a la vez” es donde la mayoría se equivoca, y en las dos direcciones. El banco cree que todavía tiene que montar el esquema de notificación de NIS2 (no: DORA se lo quita). Y el proveedor de soporte informático cree que, por cumplir DORA para su cliente financiero, ya se libra de NIS2 (justo al revés). Vamos por partes; si quieres el mapa completo del reglamento financiero, tienes la guía DORA.

La diferencia entre DORA y NIS2 arranca en la regla lex specialis

Lex specialis significa “ley especial”: cuando dos normas regulan lo mismo, la más específica desplaza a la general. Aquí la mecánica está escrita con nombre y apellidos.

El artículo 4.1 de la Directiva (UE) 2022/2555 (NIS2) dice que, cuando un acto sectorial de la Unión impone obligaciones de gestión de riesgos y de notificación cuyo efecto sea como mínimo equivalente al de NIS2, esas entidades dejan de aplicar las disposiciones de NIS2, incluidas las de supervisión. El artículo 1.2 del Reglamento (UE) 2022/2554 (DORA) cierra el círculo: DORA “se considerará un acto jurídico sectorial” a efectos de ese artículo 4. Y por si quedara duda, el considerando 16 de DORA se autodefine como lex specialis respecto a NIS2.

¿Qué desplaza exactamente? El considerando 28 de NIS2 y las Directrices de la Comisión sobre el artículo 4 de NIS2 (2023/C 328/02) lo enumeran: gestión de riesgos TIC, gestión y notificación de incidentes, pruebas de resiliencia, intercambio de información y riesgo de terceros pasan a regirse por DORA. Los Estados miembros no aplican a esas entidades financieras las obligaciones equivalentes de NIS2, ni su supervisión ni su ejecución. Las Directrices dedican, además, un apéndice entero a DORA.

Pero DORA no borra NIS2 del todo para las financieras. Siguen dentro los marcos nacionales de gestión de crisis cibernéticas (art. 9 de NIS2) y la red EU-CyCLONe (art. 16), los Estados deben incluir al sector financiero en sus estrategias de ciberseguridad, y las autoridades de DORA tienen que trasladar los incidentes graves a los equipos de respuesta (CSIRT) de NIS2. El desplazamiento es operativo, no total.

Un matiz que cambia el resultado en España: el artículo 1.2 de DORA ancla todo esto en “las normas nacionales de transposición del artículo 3” de NIS2 —las que definen quién es entidad esencial o importante—. Es decir, que tu entidad financiera quede limpiamente en el régimen DORA depende de esa transposición nacional, cuyo estado tienes aquí:

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

¿Estás en DORA, en NIS2 o en las dos a la vez?

Aquí es donde la comparativa se vuelve útil de verdad. Repasemos los tres perfiles.

El banco (y las infraestructuras de mercado). Los bancos sí figuran en NIS2: el Anexo I incluye “Banca” (entidades de crédito) e “Infraestructuras de los mercados financieros” (centros de negociación y entidades de contrapartida central). Precisamente por eso hizo falta el artículo 4: sin él, un banco tendría dos regímenes solapados. Con él, la parte de ciberseguridad se rige por DORA. Si dudas de si tu actividad entra en algún anexo, empieza por comprobar si estás en NIS2 por tu sector.

El proveedor de servicios TIC: el caso frontera que casi nadie resuelve bien. Aquí está la clave. La lex specialis es un escudo que solo protege a las entidades financieras —las letras a) a t) del artículo 2.1 de DORA—. El proveedor tercero de servicios TIC es la letra u), y el artículo 2.2 deja claro que no es “entidad financiera”. Traducción: el proveedor TIC no tiene escudo.

Imagina un proveedor de soporte gestionado con clientes en banca y clientes en industria. Ese proveedor:

• Está en NIS2 por derecho propio: el Anexo I, punto 9, incluye a los proveedores de servicios gestionados (MSP) y de servicios de seguridad gestionados (MSSP) de tamaño mediano (arts. 6.39 y 6.40). Le tocan de lleno los artículos 20, 21 y 23.
• Está en DORA por vía contractual: al servir a un cliente financiero, las cláusulas obligatorias del artículo 30 de DORA le caen encima, y figura en el registro de información de ese cliente (art. 28.3).

Nadie le “desactiva” NIS2, porque no es entidad financiera. Resultado: acumula los dos regímenes a la vez.

En una frase, para quien solo escanea: el proveedor TIC cumple NIS2 como sujeto propio y DORA como proveedor contratado, y ninguna de las dos normas borra a la otra. Este es el mapa de qué obligación manda en cada dimensión:

Ese triple frente es el coste oculto del caso frontera: una autoridad de NIS2, las auditorías contractuales de cada cliente financiero y, si las Autoridades Europeas de Supervisión te designan proveedor crítico, su vigilancia directa. Y los regímenes son independientes; el importe máximo de las sanciones de cada régimen depende de tu perfil. Para el lado de NIS2 —donde el listón cambia según seas entidad esencial o importante— tienes el cuadro completo aquí:

Falta una pieza para cerrar el mapa: la regla de retorno. El propio artículo 4.2 de NIS2 añade que, si el acto sectorial “no cubre a todas las entidades de un sector concreto”, NIS2 “seguirá aplicándose a las entidades no cubiertas”. Es decir: quien se sale de DORA pero sigue en los anexos de NIS2 no queda en tierra de nadie. Vuelve al régimen NIS2.

Plazos de notificación: DORA corre más deprisa que NIS2

Si solo te llevas un dato práctico de la comparativa, que sea este: cuando hay incidente, DORA arranca antes.

• NIS2 (art. 23.4): alerta temprana en 24 horas, notificación en 72 horas e informe final en 1 mes.
• DORA (art. 19 + RTS (UE) 2025/301): notificación inicial en 4 horas desde que clasificas el incidente como grave —y como mucho 24 horas desde que lo conoces—, informe intermedio en 72 horas y final en 1 mes.

La ventana de 4 horas de DORA no tiene equivalente en NIS2, y por eso el proveedor TIC con clientes financieros nota que el reloj contractual le aprieta antes que el regulatorio propio. Si quieres el detalle de qué se notifica en cada fase, revisa los plazos de notificación comparados.

Tu siguiente paso

Coge un folio y responde a una sola pregunta: ¿qué es tu empresa a ojos de estas normas? Si eres entidad financiera, trabaja sobre DORA y no montes el aparato de NIS2 en paralelo. Si eres proveedor de servicios TIC con algún cliente en banca o seguros, asume desde ya que vives bajo los dos y diseña un sistema único que cubra el requisito más exigente de cada dimensión —casi siempre, el de DORA—. Esa decisión de encuadre te ahorra rehacer el trabajo dos veces.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.