DORA
La EBA recorta sus guías TIC tras DORA: qué cambia de verdad para los proveedores de pago
20 min lectura
Imagen generada por IALa noticia no está en lo que la EBA añade, sino en lo que borra. Y borra mucho: los párrafos 1 a 91 de sus guías de 2019 sobre gestión de riesgos TIC y de seguridad desaparecen para una parte relevante del sector de pagos. No es un ejercicio de poda estilística. Es una limpieza regulatoria forzada por una realidad que ya manda desde el 17 de enero de 2025: DORA ocupa el centro del tablero para la gestión del riesgo TIC en las entidades financieras que entran en su perímetro.
Las Guidelines amending Guidelines EBA/GL/2019/04 on ICT and security risk management (EBA/GL/2025/02), publicadas en inglés el 11 de febrero de 2025, en español el 20 de marzo de 2025 y aplicables desde el 20 de mayo de 2025, hacen algo bastante menos vistoso que aprobar un nuevo paquete de obligaciones, pero bastante más útil para quien tiene que cumplir: aclaran qué deja de aplicarse porque ya está cubierto por DORA y qué fragmento sobrevive para determinados proveedores de servicios de pago. El Banco de España las adoptó como propias el 2 de junio de 2025, así que para el mercado español esto no es teoría comunitaria de despacho; es supervisión doméstica.
A primera vista puede parecer un ajuste administrativo más. No lo es. Si tu entidad sigue usando las antiguas guías EBA/GL/2019/04 como si nada hubiera pasado desde 2025, probablemente está mezclando capas normativas que ya no conviven igual. Y eso, en compliance, sale caro: duplicidades, controles mal mapeados, políticas contradictorias y auditorías que detectan que el inventario normativo va por detrás de la realidad.
El detalle más llamativo es casi un guiño involuntario sobre lo fácil que es tropezar incluso cuando se publica una guía para dar claridad jurídica. El propio documento arrastra un error en la referencia a la definición de “autoridades competentes” del Reglamento (UE) n.º 1093/2010: menciona el artículo 4, apartado 2, letra (vii), cuando la definición relevante para PSD2 está en la letra (vi). No invalida el fondo, pero sí recuerda algo incómodo: si hasta el texto oficial necesita nota al pie correctiva, conviene leer estas piezas con bisturí, no con fe ciega.
No hay “nueva gran obligación”: hay reasignación de mando normativo
Ese es el punto central. La EBA no está levantando un régimen paralelo a DORA. Está haciendo lo contrario: retirando de sus guías de 2019 las secciones que han quedado absorbidas por los requisitos armonizados del Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025. El objetivo declarado en EBA/GL/2025/02 es “simplificar el marco de gestión del riesgo TIC” y “aportar claridad jurídica al mercado”. Esta vez el regulador no está vendiendo humo. Aquí sí hay una simplificación real.
La base jurídica importa. Las guías de 2019 se apoyaban, entre otros preceptos, en el artículo 74 de la Directiva 2013/36/UE (CRD) y en el artículo 95(3) de la Directiva (UE) 2015/2366 (PSD2). Pero el paisaje cambió cuando DORA y la Directiva (UE) 2022/2556 reescribieron la relación entre la normativa sectorial de pagos y el nuevo marco transversal de resiliencia operativa digital.
La clave está en dos movimientos normativos:
Primero, DORA crea un régimen horizontal y directamente aplicable para 21 tipos de entidades financieras, con exigencias sobre gobernanza TIC, gestión de incidentes, pruebas de resiliencia, riesgo de terceros TIC e intercambio de información. No hace falta transposición nacional para que despliegue efectos. Ya los despliega.
Segundo, la Directiva (UE) 2022/2556 ajusta PSD2 para evitar solapes. El documento de la EBA recuerda que el artículo 7, apartado 4, de esa directiva modificó el artículo 95(1) de PSD2 para aclarar que dicho artículo opera “sin perjuicio” de la aplicación del capítulo II de DORA a determinados proveedores de servicios de pago. Traducido al castellano llano: donde DORA manda, PSD2 ya no debe interpretarse como un segundo jefe dando órdenes distintas sobre la misma materia.
La consecuencia práctica es menos glamourosa que un nuevo reglamento, pero más decisiva en el día a día: los equipos de riesgo, seguridad, auditoría interna y cumplimiento tienen que rehacer el mapa de obligaciones para dejar de tratar las guías de 2019 como texto principal en entidades que ya están dentro de DORA.
Qué desaparece exactamente de las guías de 2019
La EBA lo dice sin rodeos: “Paragraphs 1 to 91 which correspond to Sections 1.1 to 1.7 are deleted.” No es un retoque cosmético. Las secciones eliminadas contenían el núcleo de las expectativas sobre medidas de gestión y mitigación del riesgo TIC y de seguridad que, desde 2025, pasan a estar cubiertas por DORA para las entidades incluidas en su ámbito.
Eso significa que las antiguas exigencias EBA/GL/2019/04 sobre gobernanza, estrategia, gestión de activos TIC, seguridad lógica y física, continuidad, gestión de incidentes o seguimiento de riesgos ya no deben leerse como capa autónoma para los PSP cubiertos por DORA. El mando normativo sobre esas materias está en DORA, especialmente en su capítulo II sobre gestión del riesgo TIC y resiliencia operativa.
¿Qué queda entonces en pie? La guía enmendada reduce su alcance a los requisitos sobre relationship management of the payment service users in relation to the provision of payment services. Es decir, conserva el bloque vinculado a la relación con los usuarios de servicios de pago, no el grueso del marco técnico y organizativo de riesgos TIC.
Ese recorte de alcance tiene dos dimensiones concretas:
1. Se estrecha el perímetro subjetivo
La EBA limita el ámbito de las guías a determinados proveedores de servicios de pago: entidades de crédito, entidades de pago, proveedores de servicios de información sobre cuentas, entidades de pago exentas y entidades de dinero electrónico exentas. El documento explica que son los PSP “cubiertos por DORA”.
Aquí conviene precisar algo. El propio texto de antecedentes menciona que algunos PSP quedan fuera de DORA y, para ellos, las guías siguen teniendo relevancia. Cita como ejemplo las post office giro institutions autorizadas por derecho nacional para prestar servicios de pago. No es una categoría con peso sistémico en España, pero el matiz importa a escala europea porque demuestra que el recorte no equivale a derogación universal.
2. Se estrecha el perímetro material
La guía ya no pretende regular el conjunto de la gestión de riesgos TIC y seguridad para las entidades de pagos en el mismo plano que en 2019. Su función residual pasa a ser mucho más concreta: preservar las exigencias ligadas a la gestión de la relación con el usuario de servicios de pago cuando se prestan esos servicios.
La diferencia no es académica. Si antes una entidad podía apoyarse en un único documento EBA para articular gran parte de su marco TIC y de seguridad en pagos, ahora tiene que separar mejor dos universos: el de resiliencia operativa digital de DORA y el de obligaciones específicas hacia el usuario de servicios de pago que PSD2 y la guía enmendada siguen sosteniendo.
Por qué la EBA ha tenido que hacer este ajuste, y por qué llega tarde pero a tiempo
La EBA publicó estas enmiendas el 11 de febrero de 2025, menos de un mes después de la fecha de aplicación de DORA. Lo ideal habría sido tener el recorte perfectamente asentado antes del 17 de enero de 2025, para evitar dudas de arranque. No ocurrió. Tampoco es el fin del mundo. El mercado llevaba meses anticipando que muchas expectativas supervisoras pre-DORA quedarían absorbidas, y las entidades más maduras ya habían empezado a remapear controles antes de que se publicara la versión final.
La razón de fondo es sencilla: mantener intactas las guías de 2019 habría generado un problema clásico de inflación regulatoria. Dos textos supervisores diciendo casi lo mismo, con diferencias de detalle y jerarquía jurídica distinta, es la receta perfecta para que la primera línea haga trabajo duplicado y la tercera línea redacte hallazgos perfectamente inútiles.
DORA no es una guía. Es un reglamento. Y eso importa mucho. Frente a las guías EBA, que operan bajo la lógica de “cumplir o explicar” para autoridades competentes y que luego se proyectan sobre entidades mediante supervisión, DORA introduce obligaciones directas y uniformes en toda la UE. En esa convivencia, el reglamento gana siempre. La EBA, en esencia, se ha retirado de las zonas ya ocupadas por ley.
La parte irónica de todo esto es que la prometida “simplificación regulatoria” europea rara vez simplifica de verdad. Esta vez, por una vez, sí reduce fricción. El precio es que las entidades tienen que rehacer documentación, matrices de control, catálogos de políticas y trazabilidad normativa. Simplificar el marco no significa ahorrarse trabajo este trimestre. Significa evitar trabajo absurdo durante los próximos tres años.
Qué significa esto para DORA en 2026: menos excusas para seguir con mapas normativos híbridos
Estamos en 2026. A estas alturas, una entidad financiera no puede seguir justificando que su marco TIC está “en transición hacia DORA”. Esa ventana se cerró hace tiempo. La guía EBA/GL/2025/02 refuerza precisamente esa idea: la era del parche interpretativo entre PSD2, guías EBA heredadas y requisitos nacionales dispersos terminó para las entidades de pago cubiertas por DORA.
La consecuencia práctica más obvia es documental. Hay políticas internas, procedimientos de incidentes, metodologías de evaluación de riesgos y programas de auditoría que citan todavía EBA/GL/2019/04 como fundamento principal para controles que hoy deberían anclarse en DORA. No es un fallo meramente formal. Si un control está diseñado para responder a una expectativa antigua y no a la formulación concreta de DORA, puede quedarse corto o apuntar al sitio equivocado.
Pongamos varios ejemplos operativos.
Si tu política de terceros TIC sigue construida alrededor de las antiguas expectativas genéricas de outsourcing o seguridad de proveedores, sin remitir al régimen específico de DORA sobre riesgo de terceros TIC y a las exigencias contractuales del artículo 30, hay un problema. Si tu esquema de gobernanza no deja claro el papel del órgano de dirección conforme al artículo 5 de DORA, también. Si tu proceso de clasificación y gestión de incidentes no está alineado con el marco DORA y sus actos de desarrollo, sino con herencias de PSD2 o guías previas, el supervisor probablemente lo verá en minutos.
La guía enmendada de la EBA no crea esas carencias, pero sí las hace más visibles. Desde el momento en que elimina las secciones 1.1 a 1.7, desaparece una coartada habitual: “lo tenemos cubierto porque seguimos las guías de 2019”. Bien por el esfuerzo histórico, pero ya no basta.
La frontera entre DORA y PSD2 no desaparece: se vuelve más incómoda
Aquí está uno de los puntos menos comentados y más relevantes. El ajuste de la EBA no fusiona DORA y PSD2; las obliga a convivir con una separación más precisa. Y esa separación es justo donde muchas entidades tropiezan.
DORA regula resiliencia operativa digital a nivel transversal. PSD2 sigue gobernando elementos nucleares del negocio de pagos, incluida la seguridad en la prestación del servicio, la autenticación reforzada, determinados deberes hacia usuarios y el marco prudencial y operativo propio del sector. La guía EBA/GL/2025/02 se repliega a esa franja que sigue viva en la relación con usuarios de servicios de pago.
¿Dónde está la dificultad? En que un mismo proceso operativo puede tocar ambos mundos a la vez.
Un ejemplo claro: una indisponibilidad del servicio de banca online. Desde DORA, interesa por su impacto en resiliencia operativa, clasificación del incidente, escalado, registro y eventual reporte. Desde la óptica de pagos y relación con usuarios, interesa por continuidad del servicio, comunicación, gestión de reclamaciones y medidas concretas de protección del usuario. No son duplicados exactos. Son capas diferentes sobre el mismo hecho.
Otro ejemplo: la gestión de credenciales y autenticación. PSD2 sigue teniendo su propio universo regulatorio en torno a la autenticación reforzada del cliente y la seguridad de pagos electrónicos, mientras que DORA exige un marco amplio de control, protección, detección, respuesta y recuperación. El error típico consiste en pensar que DORA absorbe toda la seguridad en pagos. No. Absorbe buena parte del armazón TIC y de resiliencia; no deroga la lógica funcional de PSD2 donde esta sigue aplicando.
En otras palabras: si antes el riesgo era la superposición, ahora el riesgo es una mala separación. Y una mala separación se traduce en lagunas. El control está, pero nadie sabe si cubre una exigencia DORA, una obligación PSD2 o ambas. Cuando eso ocurre, el gap analysis suele parecer impecable en PowerPoint y bastante menos convincente cuando toca enseñar evidencias.
Implicaciones para entidades financieras españolas
Para España hay un dato con efecto institucional claro: la Comisión Ejecutiva del Banco de España adoptó estas guías el 2 de junio de 2025 en su papel de autoridad competente de los proveedores de servicios de pago. Eso significa que las entidades supervisadas por Banco de España no deben tratar EBA/GL/2025/02 como un documento europeo interesante pero remoto. Forma parte del marco supervisor que se les va a exigir en inspecciones, requerimientos y revisión continua.
Esto afecta, con intensidades distintas, a varias categorías de mercado.
Bancos con negocio de pagos
En bancos, el reto rara vez es entender que DORA aplica; el reto es evitar la fragmentación interna. Muchas entidades tienen un programa DORA central, un área de pagos que sigue trabajando con lógica PSD2 y equipos de seguridad que han heredado controles de las guías EBA de 2019. Si nadie limpia el inventario normativo, acabarán coexistiendo tres taxonomías para el mismo riesgo. Y sí, eso luego se llama “complejidad organizativa”. Queda más elegante que “no hemos decidido qué norma manda en cada proceso”.
Entidades de pago y de dinero electrónico
Aquí el impacto puede ser más brusco. Estas entidades suelen tener estructuras de control más ligeras y dependen más de documentación normativa de segundo nivel para construir su marco. La guía enmendada les obliga a actualizar de manera expresa políticas, procedimientos y formación. No basta con un anexo que diga “donde pone EBA 2019 léase DORA”. Hay obligaciones cuyo detalle ha cambiado y cuya gobernanza es distinta.
AISP y entidades exentas
La mención expresa a proveedores de servicios de información sobre cuentas y a determinadas entidades exentas no es menor. Durante años, una parte de este segmento ha vivido entre marcos diseñados para actores mayores y adaptaciones de mínimos. La combinación DORA más EBA/GL/2025/02 reduce ese margen de interpretación creativa. Si están en el perímetro señalado, tienen que demostrar qué parte de su marco responde a DORA y qué parte a las obligaciones específicas de pagos. La tesis del “somos pequeños, luego nuestro mapa normativo puede ser ambiguo” no va a impresionar a nadie en supervisión.
Qué deberían revisar ahora los equipos de compliance, riesgo y seguridad
No hace falta montar una gran ceremonia regulatoria. Hace falta revisar cinco piezas concretas que suelen delatar si la entidad ha entendido el cambio o solo lo ha archivado.
1. Inventario normativo y matriz de obligaciones
La primera prueba es casi humillante por su sencillez: abre la matriz de obligaciones y mira cuántos controles clave siguen referenciando EBA/GL/2019/04 como fundamento primario en materias hoy absorbidas por DORA. Si aparecen docenas de referencias a secciones 1.1 a 1.7, la actualización no está hecha. Y si la matriz sigue atribuyendo a PSD2 obligaciones que DORA ya armoniza, peor.
La revisión debe hacerse control por control. No sirve una equivalencia genérica. Hay que reasignar base legal, responsable, evidencia y frecuencia de revisión. Si no, la siguiente auditoría sacará hallazgos de trazabilidad normativa. Son de los más ingratos: no suenan dramáticos, pero obligan a reescribir medio sistema documental.
2. Marco de gobernanza
DORA eleva de forma explícita la responsabilidad del órgano de dirección sobre el marco de gestión del riesgo TIC. La entidad debería comprobar que consejos, comités delegados y foros de riesgo reciben información estructurada y suficiente conforme a ese estándar, no conforme a una práctica heredada de guías previas. Cuando la EBA retira capas redundantes, el foco supervisor sobre la gobernanza DORA se vuelve todavía más nítido.
3. Terceros TIC y contratos
Si hay un área donde más se nota el salto de una guía a un reglamento, es esta. DORA dedica una atención detallada al riesgo de terceros TIC, incluyendo contenido contractual en su artículo 30. Las entidades de pago con proveedores de cloud, procesadores, plataformas de emisión, antifraude o core payments deben revisar si su documentación contractual se rehízo con criterio DORA o si sigue apoyándose en cláusulas históricas inspiradas en marcos anteriores.
La guía EBA/GL/2025/02 no desarrolla esta parte porque justamente deja paso a DORA. Esa ausencia, lejos de relajar, endurece la expectativa: ya no hay refugio en principios generales cuando existe una lista regulatoria más concreta.
4. Incidentes, registro y reporting
El terreno de incidentes es especialmente sensible por el cruce entre pagos, TIC, continuidad, fraude y protección del cliente. La entidad debe tener claro qué incidentes entran en el circuito DORA, cómo se clasifican, qué disparadores activan reporting y cómo se coordina eso con otras obligaciones sectoriales o de protección de datos, como el artículo 33 del RGPD cuando existe violación de datos personales.
El error frecuente es tratar cada régimen como una isla. En la práctica, un incidente serio en pagos puede activar simultáneamente obligaciones DORA, análisis PSD2 de impacto en el usuario y, si hay datos personales comprometidos, notificación a la autoridad de protección de datos en 72 horas bajo RGPD art. 33. Las guías EBA enmendadas no resuelven ese cruce, pero sí obligan a dejar de esconderlo detrás de documentación antigua.
5. Relación con usuarios de servicios de pago
Este punto es el gran superviviente de la guía y, por eso mismo, merece atención específica. Muchas entidades están tan concentradas en DORA que corren el riesgo inverso: pensar que todo lo relevante en seguridad de pagos se ha mudado al reglamento. No. La EBA mantiene el foco donde la relación con el usuario exige medidas concretas vinculadas a la prestación del servicio de pago. Esa parte debe seguir viva en políticas de atención, información, medidas preventivas, respuesta al incidente y canales de comunicación.
Lo que esta enmienda dice, indirectamente, sobre la madurez regulatoria europea
Hay una lectura más amplia. EBA/GL/2025/02 es una señal de que la arquitectura regulatoria pos-DORA empieza a ordenar sus capas. Bruselas y las autoridades europeas no siempre destacan por retirar normas viejas cuando aprueban nuevas. Lo habitual ha sido acumular. Aquí, en cambio, hay una admisión bastante clara de que seguir amontonando textos sobre la misma materia solo genera fricción.
Eso no significa que el problema esté resuelto. DORA convive con PSD2, con CRD, con marcos nacionales, con NIS2 en determinados perímetros y con RGPD cuando hay datos personales. La simplificación es parcial, no total. Pero es relevante porque marca un criterio: donde DORA regula de forma armonizada el riesgo TIC en entidades financieras, las guías sectoriales preexistentes deben apartarse o reducirse.
Este criterio probablemente seguirá apareciendo en otros rincones del ecosistema supervisor. No necesariamente con la misma contundencia, pero sí con la misma lógica. Cada vez que una entidad mantenga capas antiguas sin justificar por qué siguen vigentes tras DORA, asumirá un riesgo creciente de sobrecumplimiento inútil o, peor, de cumplimiento mal orientado.
La madurez regulatoria no consiste en tener más PDFs en la intranet. Consiste en saber cuáles ya no mandan.
El contraargumento: “solo es una guía técnica, no cambia nada material”
Ese argumento tiene algo de verdad y bastante de trampa. Es cierto que EBA/GL/2025/02 no introduce una obligación revolucionaria ni altera el texto de DORA. Las entidades que hicieron bien su transición en 2025 probablemente ya tenían el trabajo avanzado cuando la guía se publicó. Desde esa perspectiva, la enmienda no cambia el fondo, solo lo confirma.
Pero decir que “no cambia nada” sería un error. Cambia la jerarquía práctica de las referencias. Cambia la forma correcta de documentar cumplimiento. Cambia el enfoque de inspección. Y cambia el riesgo de que una entidad parezca alineada sobre el papel mientras sigue anclada en una base normativa desfasada.
Además, la propia eliminación expresa de 91 párrafos tiene valor operativo. Cuando un supervisor, un auditor interno o una segunda línea pregunta por la base de un control, la entidad necesita poder señalar un texto vigente y pertinente. Antes podía subsistir la tentación de mantener una lectura acumulativa de guía antigua más DORA. Después de esta enmienda, esa comodidad interpretativa es más difícil de defender.
En regulación financiera, los cambios más caros no siempre vienen en forma de nueva obligación. A veces vienen en forma de precisión sobre qué obligación ha dejado de ser tu referencia principal. Y es justo ahí donde muchas organizaciones se duermen, porque no hay una fecha límite brillante en rojo ni un gran programa de transformación que vender al consejo.
La pista menos obvia: esta guía también es una prueba para la función de compliance
Hay una lectura interna que los responsables de cumplimiento no deberían pasar por alto. EBA/GL/2025/02 funciona como un test de madurez de la función de compliance regulatorio. No de ciberseguridad, no de continuidad, no de legal drafting. De compliance regulatorio puro.
Una función madura debería haber detectado tres cosas ya en 2025 y tenerlas plenamente implementadas en 2026.
Primero, que DORA desplazaba una parte sustancial del valor operativo de EBA/GL/2019/04 para los PSP dentro de su ámbito.
Segundo, que la publicación de la guía enmendada consolidaba esa lectura y exigía limpieza documental.
Tercero, que el remanente sobre relación con usuarios de servicios de pago seguía siendo jurídicamente relevante y no podía perderse en el entusiasmo dórico del momento.
Si tu organización aún discute si debe mantener referencias masivas a las secciones eliminadas de la guía de 2019, el problema no es interpretativo. El problema es de gobierno del cambio regulatorio.
Qué vigilar en adelante
De aquí en adelante, las entidades deberían vigilar tres frentes.
El primero es supervisor. Banco de España ya adoptó la guía en 2025, así que cualquier revisión temática o inspección vinculada a pagos y resiliencia operativa puede partir de esta delimitación. La pregunta no será si conoces la guía, sino si has reordenado tus controles y tu documentación a la luz de ella.
El segundo es de coherencia interna. Las organizaciones que desplegaron DORA por programa, pero no tocaron marcos de pagos históricos, arrastran incoherencias silenciosas. Suelen aparecer tarde: cuando se revisan contratos, cuando se actualizan taxonomías de incidentes o cuando una auditoría pide rastrear un control desde el requisito legal hasta la evidencia operativa.
El tercero es de interacción normativa. DORA no elimina la necesidad de coordinar con RGPD, con obligaciones de pagos, con continuidad de negocio y, según el caso, con otros marcos sectoriales. La guía EBA/GL/2025/02 simplifica una parte del mapa, pero obliga a dibujar con más precisión la frontera de cada régimen. Si no se hace, el solape reaparece por la puerta de atrás, solo que esta vez disfrazado de “alineamiento documental”.
La conclusión incómoda: borrar también es regular
La EBA ha hecho algo poco espectacular y muy relevante: decirle al mercado qué parte de su viejo manual ya no debe usarse como antes. Las guías EBA/GL/2025/02 no amplían el universo DORA; lo despejan. Y en 2026 eso tiene una consecuencia sencilla: las entidades de pago y los bancos con actividad de pagos ya no deberían operar con un mapa normativo híbrido por inercia.
Si tu marco de gestión del riesgo TIC para pagos sigue descansando en las secciones 1.1 a 1.7 de EBA/GL/2019/04, estás apoyando peso regulatorio sobre una escalera que la propia EBA ha retirado. Si, por el contrario, has migrado el armazón TIC a DORA y has conservado solo la parte de relación con usuarios donde sigue tocando, vas en la dirección correcta.
La lección de fondo merece quedarse. En compliance, a veces el cambio importante no llega cuando aparece una norma nueva, sino cuando el regulador admite por fin que una vieja ya no pinta lo mismo. Esta vez conviene hacerle caso.