La transformación digital ha convertido a la tecnología en una pieza esencial del sector financiero. Bancos, aseguradoras, empresas de inversión y otros servicios financieros dependen cada vez más de plataformas cloud, aplicaciones, redes, proveedores tecnológicos y sistemas de datos para operar.
Pero esta dependencia también genera nuevos riesgos. ¿Qué ocurre cuando una plataforma crítica deja de funcionar? ¿Qué pasa si un proveedor tecnológico sufre un ciberataque? ¿Cómo puede una institución financiera garantizar que sus servicios continúen operativos frente a una interrupción digital?
Para responder a estos desafíos, la Unión Europea puso en marcha DORA (Digital Operational Resilience Act), una regulación que establece un marco común para fortalecer la resiliencia operativa digital del sector financiero.
DORA es aplicable desde el 17 de enero de 2025 y establece requisitos armonizados relacionados con la gestión de riesgos de tecnologías de la información y comunicación (TIC), reporte de incidentes, gestión de riesgos de terceros y pruebas de resiliencia.
¿Qué es DORA y por qué es importante?
El Digital Operational Resilience Act es una regulación europea diseñada para garantizar que las entidades financieras puedan resistir, responder y recuperarse de incidentes y disrupciones relacionadas con las tecnologías digitales.
Su importancia está relacionada con un cambio fundamental en el sector financiero: la seguridad ya no puede centrarse únicamente en proteger sistemas internos.
Las organizaciones dependen de múltiples servicios tecnológicos externos, desde proveedores cloud y plataformas de software hasta servicios de infraestructura, conectividad y ciberseguridad. Por ello, un problema en un proveedor puede terminar afectando la continuidad de una institución financiera.
DORA busca establecer un enfoque más uniforme para gestionar estos riesgos dentro de la Unión Europea. La regulación abarca 21 tipos de entidades financieras, incluyendo diferentes organizaciones de los sectores bancario, de seguros, pensiones, mercados financieros y servicios de pago.
De la ciberseguridad a la resiliencia digital
Uno de los conceptos centrales de DORA es la resiliencia operativa digital.
Esto significa que no basta con prevenir ataques. Las organizaciones también necesitan estar preparadas para detectar incidentes, responder rápidamente, mantener sus operaciones críticas y recuperarse después de una interrupción.
Por eso, la regulación incorpora requisitos relacionados con:
- Gestión de riesgos TIC.
- Reporte de incidentes tecnológicos importantes.
- Pruebas de resiliencia operativa.
- Gestión de riesgos asociados a proveedores tecnológicos.
- Gobernanza y responsabilidades.
- Continuidad del negocio.
- Gestión de terceros y subcontratación.
En otras palabras, DORA propone una visión más amplia de la ciberseguridad: proteger los sistemas, pero también garantizar que el negocio pueda continuar funcionando cuando ocurre un incidente.
El gran desafío: los proveedores tecnológicos
Uno de los aspectos más relevantes de DORA es la gestión del riesgo relacionado con terceros.
Las instituciones financieras deben tener una visión clara de los servicios tecnológicos de los que dependen y de las relaciones contractuales con sus proveedores TIC.
Desde la aplicación de DORA, las entidades dentro de su alcance deben mantener un registro completo de sus acuerdos contractuales con proveedores de servicios TIC. Estos registros permiten a las organizaciones gestionar mejor el riesgo de terceros y a las autoridades europeas supervisar estas relaciones.
Esto es especialmente relevante en un contexto donde las organizaciones utilizan cada vez más servicios cloud y plataformas tecnológicas externas.
Un fallo en un proveedor puede generar un efecto en cadena. Por eso, la pregunta ya no es solamente:
“¿Qué tan segura es mi empresa?”
También es:
“¿Qué tan resiliente es todo el ecosistema tecnológico del que depende mi empresa?”
DORA y el cloud: una relación cada vez más importante
La adopción de cloud ha transformado la infraestructura tecnológica de las organizaciones financieras. Sin embargo, también ha aumentado la dependencia de proveedores externos.
DORA introduce mecanismos para supervisar a determinados proveedores TIC considerados críticos para el sector financiero.
Las autoridades europeas pueden designar como Critical ICT Third-Party Providers (CTPPs) a proveedores cuya importancia y nivel de dependencia dentro del sistema financiero europeo representen un riesgo significativo. Las autoridades supervisoras europeas —EBA, EIOPA y ESMA— participan en este proceso y pueden realizar actividades de supervisión sobre estos proveedores.
En noviembre de 2025, las autoridades europeas publicaron la primera lista de proveedores TIC críticos designados bajo DORA, después de analizar la información proporcionada por las entidades financieras y evaluar factores como la importancia sistémica, las funciones críticas soportadas y la posibilidad de sustituir sus servicios.
Esto representa un cambio importante: la resiliencia del sector financiero también depende de la resiliencia de su ecosistema tecnológico.
¿Qué deben hacer las organizaciones?
Cumplir con DORA no consiste simplemente en implementar una nueva herramienta de ciberseguridad.
Las organizaciones necesitan desarrollar una estrategia integral que combine personas, procesos y tecnología.
Entre las principales acciones se encuentran:
1. Identificar los riesgos tecnológicos
Las organizaciones deben conocer sus activos, sistemas, aplicaciones, servicios y dependencias tecnológicas para identificar cuáles son críticos para el negocio.
2. Fortalecer la gestión de incidentes
Los equipos deben contar con procesos claros para detectar, analizar, responder y reportar incidentes relacionados con las TIC.
DORA establece requisitos específicos para la notificación de incidentes importantes, incluyendo elementos y plazos definidos mediante normas técnicas regulatorias.
3. Evaluar a los proveedores
La gestión de terceros se convierte en una pieza fundamental. Las organizaciones necesitan conocer qué servicios reciben, qué riesgos existen y qué mecanismos de control y continuidad están establecidos.
4. Realizar pruebas de resiliencia
Las empresas deben comprobar que sus sistemas y procesos realmente pueden resistir diferentes escenarios de interrupción.
No se trata únicamente de tener un plan de contingencia documentado, sino de comprobar que funciona.
5. Fortalecer las capacidades de los equipos
La tecnología por sí sola no garantiza resiliencia.
Los profesionales necesitan conocimientos actualizados en áreas como ciberseguridad, cloud, gestión de riesgos, redes, continuidad operativa, protección de datos y respuesta ante incidentes.
¿Qué cambia para los profesionales de TI?
DORA también tiene implicaciones para el talento tecnológico.
A medida que las organizaciones financieras aumentan sus exigencias de resiliencia digital, crece la necesidad de profesionales capaces de conectar diferentes áreas de tecnología y seguridad.
Un especialista en ciberseguridad, por ejemplo, necesita comprender cada vez más sobre cloud, infraestructura, identidad, datos y continuidad operativa.
Del mismo modo, los profesionales de cloud deben considerar aspectos relacionados con seguridad, disponibilidad, gobernanza y gestión de riesgos.
Esto refuerza una tendencia que ya está transformando el mercado tecnológico: los perfiles especializados necesitan desarrollar capacidades multidisciplinarias.
DORA y América Latina: ¿por qué debería importarnos?
Aunque DORA es una regulación de la Unión Europea, sus implicaciones pueden trascender las fronteras europeas.
Las organizaciones latinoamericanas que trabajan con instituciones financieras europeas o que forman parte de sus cadenas de suministro tecnológicas pueden encontrarse con nuevos requisitos relacionados con seguridad, gestión de proveedores, continuidad y resiliencia.
Además, DORA puede convertirse en una referencia para entender hacia dónde está evolucionando la regulación internacional en materia de ciberseguridad y resiliencia digital.
Para las empresas latinoamericanas, observar esta evolución puede ayudar a anticiparse a futuras exigencias regulatorias y fortalecer sus propias estrategias de seguridad.
El futuro de la ciberseguridad financiera
DORA representa un cambio de perspectiva: la ciberseguridad deja de ser únicamente una cuestión de protección y pasa a formar parte de la capacidad de una organización para mantener su operación frente a situaciones adversas.
En un sector cada vez más dependiente de cloud, datos, automatización, Inteligencia Artificial y proveedores tecnológicos, la resiliencia digital será cada vez más importante.
El desafío para las organizaciones no será solamente evitar los incidentes, sino desarrollar la capacidad para resistirlos, responder rápidamente y recuperarse sin comprometer las operaciones críticas.
Para los profesionales de tecnología, esto abre nuevas oportunidades de especialización en ciberseguridad, cloud, gestión de riesgos, redes, observabilidad y resiliencia digital.
DORA demuestra que el futuro de la seguridad financiera no depende únicamente de proteger la infraestructura: depende de construir organizaciones capaces de seguir funcionando en un entorno digital cada vez más complejo.
¿Tu equipo está preparado para los nuevos desafíos de la ciberseguridad?
Fortalece las habilidades necesarias para proteger infraestructuras, gestionar riesgos y responder ante nuevas amenazas.
👉 Conoce nuestras soluciones de capacitación en Ciberseguridad y lleva las capacidades de tu equipo al siguiente nivel dando clic aquí.
Mayra Toullier
Especialista en Marketing Digital y Administración con experiencia en la planificación y ejecución de estrategias digitales para empresas de diversos sectores. Experta en gestión de redes sociales, análisis de resultados, gestión de eventos y creación de contenido. Capaz de liderar proyectos que incrementen la interacción y ventas digitales, con una formación constante y orientada a resultados.
