DORA 2026: de proyecto regulatorio a evidencia operativa

Entradilla

DORA obliga a las entidades financieras europeas a demostrar que su resiliencia digital no depende de documentos aislados, sino de controles ejecutados, medidos y auditables.

En 2026 el foco estara en la evidencia: mapas de dependencias ICT, pruebas de continuidad, reporting de incidentes y supervision de terceros criticos.

Contexto

El Reglamento (UE) 2022/2554 fija obligaciones sobre gestion de riesgo ICT, notificacion de incidentes, pruebas de resiliencia y control de proveedores. El reto practico esta en conectar esas piezas en un sistema vivo.

Por que importa

Un banco no fallara DORA por no tener una politica. Fallara si no puede probar que identifica sus activos criticos, que testea escenarios severos y que controla a proveedores que sostienen procesos esenciales.

Impacto en empresas

• Inventario de servicios ICT vinculado a procesos criticos.
• Clasificacion de proveedores por criticidad y concentracion.
• Plan de testing con evidencias, hallazgos y remediacion.
• Playbooks de incidentes alineados con plazos regulatorios.

Perspectiva CyberCompliance Pro

La implantacion debe empezar por dependencias reales, no por plantillas genericas. Cada control DORA deberia tener propietario, frecuencia, evidencia y criterio de aceptacion.

Conclusion accionable

1. Mapea procesos criticos y dependencias ICT.
2. Prioriza proveedores criticos.
3. Define evidencias minimas por control.
4. Ejecuta un test de crisis trimestral.
5. Revisa gaps con auditoria interna.