Cumplimiento de DORA No es una fecha límite. Es una obligación continua.

Preguntas Frecuentes

¿Cuáles son los 5 pilares del cumplimiento de DORA?

DORA se estructura en torno a cinco pilares de resiliencia de las TIC: Gestión de riesgos de las TIC, Notificación de incidentes de las TIC, Pruebas de resiliencia operativa digital, Gestión de riesgos de las TIC por terceros e Intercambio de información. Cada pilar impone requisitos operativos específicos: las entidades financieras no solo deben contar con marcos documentados, sino también demostrar un cumplimiento continuo y auditable en los seis pilares. Para los equipos de operaciones de red, esto significa que el descubrimiento continuo de activos, la captura de evidencia de incidentes, las pruebas de resiliencia y la visibilidad de terceros son obligaciones regulatorias, no buenas prácticas opcionales.

¿Cómo genera la desviación de la configuración un riesgo de incumplimiento de DORA?

DORA exige que su red opere de forma coherente con su marco documentado de gestión de riesgos de TIC. Las desviaciones en la configuración —cambios en los dispositivos de red, el enrutamiento o las políticas de seguridad que se desvíen del diseño aprobado— crean una brecha entre el estado documentado y el comportamiento operativo real. Si esta brecha persiste durante una revisión de supervisión, se convierte en un riesgo de incumplimiento. Detectar y corregir estas desviaciones en tiempo real, en lugar de descubrirlas durante la preparación de la auditoría, es fundamental para mantener una postura DORA sólida.

¿Qué pruebas exige DORA para la notificación de incidentes de TIC?

Según el artículo 19 de la DORA, los incidentes graves de TIC deben notificarse a los supervisores en un plazo de 24 horas desde su clasificación. Los reguladores exigen pruebas contemporáneas: documentación recopilada durante el incidente, no reconstruida posteriormente. Esto incluye registros de diagnóstico, análisis de la causa raíz, cronogramas de respuesta y acciones tomadas. Los equipos de operaciones de red deben poder generar un registro de auditoría que muestre qué sucedió, cuándo sucedió, quién respondió y cuál fue el resultado. Las pruebas reconstruidas a posteriori no se consideran fiables para la revisión de los supervisores.

¿Se aplica DORA a entornos de nube y redes de terceros?

Sí. El alcance de DORA se extiende más allá de la infraestructura local e incluye servicios en la nube, proveedores de TIC de terceros y cualquier proveedor que respalde una función crítica o importante. Las entidades financieras están obligadas a gestionar y supervisar el riesgo de las TIC de terceros, incluidos los entornos en la nube y los servicios externalizados. Para los equipos de operaciones de red, esto significa que la visibilidad híbrida —la capacidad de supervisar circuitos en la nube, proveedores de servicios de Internet, entornos de coubicación y redes conectadas de terceros— es un requisito normativo, no solo una ventaja operativa. Los puntos ciegos en entornos de nube o de terceros representan riesgos de incumplimiento de DORA.

¿Cómo puede la automatización de redes contribuir a la preparación para la auditoría DORA?

La automatización de la red facilita el cumplimiento de DORA de tres maneras. Primero, crea un inventario de activos de TIC actualizado continuamente, cumpliendo así con el requisito de documentación del pilar de gestión de riesgos. Segundo, estandariza los flujos de trabajo de respuesta a incidentes para que las acciones de diagnóstico sean consistentes, repetibles y se registren automáticamente, generando la evidencia contemporánea que DORA espera. Tercero, permite realizar pruebas de resiliencia programadas y bajo demanda con resultados exportables. En conjunto, estas capacidades transforman el cumplimiento, pasando de una auditoría periódica intensiva a un estado operativo continuo, tal como lo exige DORA.

¿Cuál es la sanción por incumplimiento de DORA?

La aplicación de la DORA está vigente desde enero de 2025. Las autoridades supervisoras pueden imponer multas administrativas de hasta el 1 % del volumen de negocios global anual total de una entidad financiera por incumplimiento. Para las instituciones sistémicas, las sanciones pueden incluir amonestaciones públicas, restricciones operativas o la revocación de la autorización para operar. Además de las multas, el incumplimiento genera riesgo reputacional e interrupciones operativas durante la revisión supervisora. Las entidades financieras que no pueden demostrar evidencia auditable de resiliencia de las TIC enfrentan un riesgo de incumplimiento significativamente mayor que aquellas con programas de cumplimiento continuo y bien estructurados.

¿Cuánto tiempo se tarda en evaluar las deficiencias en el cumplimiento de la normativa DORA?

Una evaluación estructurada de la resiliencia de la red DORA —que compara su entorno actual con los cinco pilares de las TIC— puede completarse en aproximadamente 30 minutos utilizando herramientas automatizadas de detección de red y análisis de brechas. El resultado es un mapa de brechas que muestra dónde la postura de su red cumple con los requisitos de DORA, dónde existen desviaciones o puntos ciegos y qué áreas presentan el mayor riesgo de auditoría. NetBrainLa evaluación gratuita de resiliencia de red DORA ofrece esta funcionalidad en una sola sesión, sin necesidad de scripts ni configuración previa.