DORA: de la regulación a la realidad
Cuando el Reglamento sobre la Resiliencia Operativa Digital («DORA») comenzó a aplicarse en enero de 2025, marcó un cambio estructural en la forma en que se espera que las instituciones financieras europeas gestionen el riesgo tecnológico. DORA trasladó la resiliencia digital —la capacidad de una institución financiera para resistir, responder y recuperarse de disrupciones tecnológicas— desde un debate fundamentalmente técnico al ámbito de los consejos de administración, los equipos jurídicos y la alta dirección. Dieciocho meses después, empieza a perfilarse una imagen clara de la situación del sector y de los ámbitos en los que todavía presenta carencias.
La encuesta europea de Deloitte Luxembourg correspondiente al primer trimestre de 2026, publicada en julio de 2026, recogió respuestas de 50 entidades financieras de 13 países, principalmente bancos y entidades de crédito (52 %), aseguradoras (26 %), así como gestoras de activos e intermediarios. La mayoría de los participantes son entidades pequeñas o medianas: el 67 % declara ingresos anuales inferiores a mil millones de euros y la misma proporción presta servicio a menos de un millón de clientes. Este perfil refleja fielmente el centro financiero luxemburgués, aunque sus conclusiones son relevantes también para cualquier jurisdicción en la que las instituciones de tamaño medio, los grupos transfronterizos y los proveedores de servicios especializados definan el mercado.
El principal resultado invita a la cautela: actualmente, solo el 7 % de los encuestados considera que cumple plenamente con DORA. Otro 44 % espera alcanzar ese nivel antes de finales de 2026, mientras que casi la mitad prevé plazos que se extienden hasta 2027 o 2028. En este contexto, el cumplimiento pleno significa haber abordado todos los artículos tanto a nivel documental como de implementación, un umbral que la mayoría de las instituciones todavía está tratando de alcanzar.
Un escenario a dos velocidades
La encuesta revela una marcada diferencia de madurez entre los cuatro pilares de DORA. La gestión del riesgo TIC (Pilar I) y la gestión y notificación de incidentes (Pilar II) presentan los mayores avances, con más del 60 % de las entidades declarando un grado de implementación de al menos el 90 %. Estos pilares se han beneficiado de marcos regulatorios preexistentes y de prácticas internas ya consolidadas.
El panorama cambia significativamente en las pruebas de resiliencia operativa digital (Pilar III) y la gestión del riesgo de proveedores terceros de TIC (Pilar IV), donde solo alrededor de un tercio de las entidades ha alcanzado un nivel de madurez comparable. Estos pilares exigen capacidades realmente nuevas, como programas estructurados de pruebas, mapeo de la cadena de suministro y renegociación contractual con proveedores, y las instituciones están encontrando considerablemente más dificultades para llevarlos a la práctica.
Para las entidades que operan en distintas jurisdicciones, esta brecha es importante. Un grupo bancario con sede en España, administración de fondos en Luxemburgo y proveedores tecnológicos que prestan servicio a operaciones en Latinoamérica se enfrenta a una complejidad acumulada: múltiples expectativas regulatorias, relaciones con proveedores estructuradas en varios niveles y obligaciones de resiliencia que se extienden mucho más allá del mercado de origen.
Riesgo de terceros: el principal punto de fricción
El desafío más citado —señalado por el 32 % de los encuestados— es la negociación de acuerdos contractuales revisados con proveedores de TIC para incorporar las cláusulas exigidas por DORA. Otro 29 % identifica como principal dificultad la realización de procesos de due diligence y evaluaciones de riesgos sobre los proveedores.
No se trata de preocupaciones abstractas. La encuesta revela que el 27 % de las instituciones no ha logrado alcanzar un acuerdo sobre los plazos de notificación de incidentes, ya que algunos proveedores se niegan a comprometerse a informar a sus clientes de un incidente en un plazo inferior a 72 horas. Al mismo tiempo, el 41 % de las entidades todavía excluye a los proveedores de la validación de sus planes de respuesta a incidentes, y solo el 13 % forma a los proveedores sobre su función y los incluye en simulaciones de resiliencia ante crisis.
La visibilidad de la cadena de suministro sigue siendo la principal brecha sin resolver: el 83 % de las entidades únicamente ha mapeado a sus proveedores directos, de primer nivel —es decir, las empresas con las que contratan directamente—, y solo el 15 % ha alcanzado el segundo nivel —los subproveedores de esas empresas—; ninguna ha mapeado la cadena completa tal como exige la plantilla de reporte del registro de información de DORA. El 61 % de las entidades dispone de estrategias de salida —planes documentados para cambiar a un proveedor alternativo o internalizar los servicios en caso de fallo de un proveedor— para proveedores no sustituibles que respaldan funciones críticas, pero el 39 % aún no las ha documentado. Las inspecciones in situ de proveedores críticos, uno de los elementos fundamentales del reglamento, se encuentran todavía en una fase inicial para la mayoría de las entidades, y el 29 % ni siquiera ha comenzado.
En los centros financieros en los que unos mismos proveedores prestan servicio a varias instituciones, la visibilidad incompleta de la cadena de suministro no es solo una deficiencia a nivel de cada entidad, sino una cuestión sistémica de mayor alcance.
“Un grupo bancario con sede en España, administración de fondos en Luxemburgo y proveedores tecnológicos que prestan servicio a operaciones en Latinoamérica se enfrenta a una complejidad acumulada: múltiples expectativas regulatorias, relaciones con proveedores estructuradas en varios niveles y obligaciones de resiliencia que se extienden mucho más allá del mercado de origen.”
Evaluación: amplitud sin profundidad
La mayoría de las instituciones realiza actualmente análisis de vulnerabilidades, pruebas de penetración anuales y simulacros de copias de seguridad y conmutación por error, es decir, comprobaciones estándar destinadas a verificar si los sistemas y mecanismos de recuperación funcionan según lo previsto. Sin embargo, las pruebas avanzadas siguen siendo limitadas. Las pruebas de penetración basadas en amenazas (Threat-Led Penetration Testing, TLPT), una modalidad más sofisticada en la que especialistas independientes simulan ciberataques realistas contra sistemas en producción y que es obligatoria en virtud del artículo 26 de DORA para las instituciones de importancia sistémica, siguen siendo adoptadas únicamente por una parte de los encuestados. Además, solo el 12 % de las entidades incluye escenarios relacionados con la insolvencia de proveedores de TIC o con riesgos políticos en la jurisdicción del proveedor al probar sus planes de continuidad de negocio, una carencia especialmente llamativa dadas las actuales condiciones geopolíticas.
Fundamentos de gobernanza y brechas persistentes
En el lado positivo, el 62 % de las instituciones identifica sus funciones críticas e importantes (Critical or Important Functions, CIF) —las actividades empresariales cuya interrupción tendría las consecuencias más graves— mediante un enfoque liderado por el negocio y basado en un análisis de impacto empresarial (Business Impact Analysis), evaluando el impacto sobre los clientes, la estabilidad financiera y las obligaciones regulatorias. La mayoría mantiene un número manejable de CIF, y el 49 % identifica menos de diez.
Sin embargo, los criterios aplicados al vincular los activos TIC con esas funciones revelan un desequilibrio. Todos los encuestados tienen en cuenta la disponibilidad, pero solo el 15 % aplica la tríada CIA completa: confidencialidad, integridad y disponibilidad. Para las instituciones dedicadas a la gestión de activos, la gestión patrimonial privada o la administración de fondos, donde la integridad y la confidencialidad de los datos son tan relevantes como la disponibilidad del servicio, esta brecha merece una atención inmediata.
Los presupuestos reflejan un ritmo gradual: el 68 % prevé gastar menos de dos millones de euros en el cumplimiento de DORA durante 2026, al margen de las actividades habituales del negocio. Los equipos centrales siguen siendo reducidos. Esto plantea una pregunta legítima sobre si los actuales niveles de inversión son suficientes para cerrar las brechas más exigentes dentro de los plazos que las propias instituciones prevén.
Prioridades estratégicas para la dirección
Para los consejos de administración, responsables de compliance y gestores de riesgos, la encuesta apunta a tres prioridades inmediatas. En primer lugar, acelerar el trabajo en los Pilares III y IV —pruebas de resiliencia y gestión del riesgo de terceros—, donde el déficit de madurez es más acusado. En segundo lugar, ampliar los criterios de resiliencia más allá de la disponibilidad para incluir la confidencialidad y la integridad, especialmente en modelos de negocio que dependen de la sensibilidad de los datos. En tercer lugar, abordar las negociaciones con proveedores, el mapeo de la cadena de suministro y la planificación de estrategias de salida no como meros ejercicios de cumplimiento normativo, sino como decisiones estratégicas de riesgo que requieren inversión sostenida y apoyo de la alta dirección.
DORA no es un proyecto con una fecha de finalización. Es una capacidad continua que las instituciones deben desarrollar, poner a prueba y perfeccionar. Para los grupos transfronterizos que operan en múltiples jurisdicciones, el imperativo es claro: la resiliencia operativa debe gestionarse con el mismo rigor que el capital y la liquidez, porque en un sistema financiero digitalmente interconectado no es menos crítica.
Autores
Stephane Hurtaud
Partner in Technology & Transformation → Cyber, Financial Services
Deloitte Luxembourg
Avelino Álvarez Suárez
Partner Audit and Assurance
Deloitte Luxembourg
