El fin de la impunidad del Consejo: La madurez del Gobierno TIC bajo DORA en 2026

La mayoría de edad de la resiliencia operativa

Estamos a mediados de 2026 y el periodo de cortesía regulatoria ha expirado. Si durante 2025 muchas entidades financieras españolas se dedicaron a un ejercicio de "maquillaje de cumplimiento" —rellenando plantillas y ajustando políticas de última hora—, este año la realidad de las inspecciones de la CNMV y el Banco de España ha puesto las cartas sobre la mesa. Ya no basta con tener un documento que diga que el Consejo de Administración es responsable; ahora, los reguladores exigen pruebas de que los consejeros entienden, cuestionan y dirigen activamente la estrategia de resiliencia digital.

El Reglamento (UE) 2022/2554, conocido por todos como DORA, ha dejado de ser una amenaza futura para convertirse en el eje sobre el que pivota la supervivencia de la licencia bancaria o de servicios de inversión. El núcleo de este terremoto regulatorio no reside en los firewalls ni en los SOC, sino en el Artículo 5: la gobernanza y organización. La era en la que el CISO (Chief Information Security Officer) era un técnico que aparecía una vez al año por el Consejo para soltar siglas ininteligibles ha muerto. O, al menos, debería estar en cuidados intensivos si la entidad no quiere enfrentarse a sanciones que pueden alcanzar el 1% de la facturación diaria mundial (Art. 35).

Artículo 5: La silla eléctrica del órgano de dirección

El Artículo 5 de DORA no es una sugerencia de buenas prácticas; es un mandato de responsabilidad civil y administrativa. Establece que el órgano de dirección tiene la "responsabilidad última" del marco de gestión del riesgo TIC. En términos prácticos, esto significa que el Consejo no puede externalizar la culpa. Si un ataque de ransomware paraliza la operativa de pagos porque no se validaron adecuadamente los controles de un tercero (Art. 28), el regulador no preguntará solo al jefe de sistemas; pedirá las actas del Consejo donde se aprobó ese apetito de riesgo.

Bajo el Art. 5, apartado 2, el órgano de dirección debe:

• Aprobar y revisar periódicamente el marco de gestión del riesgo TIC.
• Asignar presupuestos suficientes para la resiliencia operativa digital, no como un gasto, sino como una inversión estratégica.
• Aprobar la política de continuidad del negocio y los planes de recuperación (Art. 11).
• Supervisar los acuerdos con terceros proveedores de servicios TIC.

La ironía aquí es deliciosa: muchos consejeros que históricamente presumían de no saber "nada de ordenadores" se encuentran ahora con que la ley les obliga a tener conocimientos actualizados. El Art. 5, apartado 4 es taxativo: los miembros del órgano de dirección deben seguir una formación específica y periódica para comprender los riesgos TIC y su impacto en las operaciones de la entidad. En 2026, alegar ignorancia técnica ante un inspector es, esencialmente, confesar un incumplimiento legal.

El Marco de Gestión del Riesgo TIC (Art. 6): Más allá del PDF

Si el Artículo 5 define quién manda, el Artículo 6 define qué deben hacer. El marco de gestión del riesgo TIC debe ser "sólido, exhaustivo y estar bien documentado". Pero cuidado: en el entorno actual de 2026, la documentación estática es papel mojado. Los supervisores están buscando la integración del riesgo TIC dentro del marco general de gestión de riesgos de la empresa (ERM).

El marco debe incluir, como mínimo, estrategias, políticas, procedimientos y herramientas para proteger todos los activos de información. Sin embargo, el punto donde la mayoría de las entidades están fallando en las auditorías de este año es en la Estrategia de Resiliencia Operativa Digital (Art. 6, apartado 8). Esta estrategia debe detallar cómo la entidad implementará el marco y debe incluir:

1. Un plan de implementación de capacidades TIC.
2. La definición de los niveles de tolerancia al riesgo TIC (no un genérico "riesgo bajo", sino métricas de RTO y RPO específicas por proceso crítico).
3. La identificación de dependencias críticas de terceros.

¿Tu entidad ha definido ya qué funciones son "críticas o importantes" bajo los criterios del RTS (Regulatory Technical Standards) de la ESMA/EBA? Si la respuesta es que "estamos en ello", llegas tarde. La identificación de estas funciones es el primer paso para aplicar el principio de proporcionalidad que permite DORA, pero también es el imán que atrae la atención del supervisor.

La paradoja de la formación: El Consejo en el aula

Uno de los aspectos más disruptivos de DORA es la obligación de formación para la alta dirección. No hablamos de un curso de phishing de 10 minutos. Hablamos de entender vectores de ataque, resiliencia de la cadena de suministro y el impacto sistémico de una caída de servicios en la nube (especialmente tras los incidentes de concentración en proveedores como AWS o Azure que vimos el año pasado).

En 2026, el CISO ha pasado de ser un "apagafuegos" a ser un educador y un gestor de riesgos. El éxito de la gobernanza TIC depende de la capacidad del CISO para traducir la telemetría técnica en impacto de negocio. Si el Consejo no entiende que una vulnerabilidad en una API de banca abierta puede drenar la liquidez en horas, no podrá tomar decisiones presupuestarias coherentes. La formación del Art. 5.4 es la única defensa del Consejo contra la negligencia profesional.

Checklist de evidencias para auditoría (Gobernanza DORA)

Si recibes una notificación de inspección mañana, estos son los documentos que deben estar listos, firmados y actualizados a fecha de 2026:

Implicaciones para entidades financieras españolas

En el contexto español, la transposición de las directrices de las Autoridades Europeas de Supervisión (ESAs) ha sido especialmente rigurosa. El Banco de España ha integrado las revisiones de DORA dentro de su marco SREP (Supervisory Review and Evaluation Process). Esto significa que una mala nota en gobernanza TIC afecta directamente a los requerimientos de capital (Pilar 2).

Para las entidades de tamaño medio —gestoras de activos, entidades de pago o firmas de inversión—, el reto es el principio de proporcionalidad. DORA permite modular el esfuerzo, pero no exime de la responsabilidad. El error más común en España durante este 2026 está siendo el uso de marcos de control genéricos (como un ISO 27001 básico) que no cubren las especificidades de continuidad operativa y reporte de incidentes graves (Art. 17 a 23) que exige el reglamento.

El CISO como pieza de ajedrez política

La estructura organizativa ha cambiado. DORA exige que la función de control de riesgos TIC sea independiente de la función de ejecución TIC. En plata: el CISO no puede reportar al CIO si queremos evitar conflictos de interés. El CISO debe tener una línea directa con el Consejo. Esta independencia es lo que garantiza que el presupuesto de seguridad no se sacrifique para lanzar una nueva funcionalidad de la App antes de tiempo.

¿Tu entidad ya tiene esto resuelto? Si el CISO sigue bajo el mando del responsable de tecnología, tienes un hallazgo de auditoría garantizado. La gobernanza no es solo quién decide, sino cómo se estructuran los contrapesos para que la resiliencia no sea la hermana pobre de la digitalización.

Conclusión: De la compliance al compromiso

DORA ha venido a recordarnos que en un sistema financiero hiperconectado, la debilidad de uno es el riesgo de todos. El órgano de dirección ya no puede ver la ciberseguridad como un problema de IT, de la misma forma que no vería el riesgo de crédito como un problema de contabilidad. Es riesgo de negocio puro y duro.

La madurez que estamos viendo en este 2026 separa a las entidades que simplemente "cumplen" de aquellas que han entendido que la resiliencia operativa es una ventaja competitiva. Un Consejo que sabe dirigir el riesgo TIC es un Consejo que puede innovar con mayor seguridad y velocidad. El resto, simplemente está esperando a que el próximo incidente de un tercero o una vulnerabilidad zero-day les ponga frente al regulador con las manos vacías.

El laberinto de la doble imposición: Cuando DORA se cruza con NIS2 y GDPR

A estas alturas de 2026, la luna de miel regulatoria ha terminado y las entidades financieras han descubierto que el cumplimiento no es un silo, sino un campo de minas solapado. El mayor quebradero de cabeza para los departamentos de compliance este año no es solo DORA, sino su fricción con la Directiva NIS2. Aunque el Artículo 1 de DORA establece su prevalencia como lex specialis, la realidad operativa es más compleja para los grupos financieros diversificados. Mientras que DORA art. 19 exige una notificación inicial de incidentes graves en plazos que la ESA (European Supervisory Authorities) ha terminado de perfilar en horas críticas, el GDPR art. 33 sigue ahí, imperturbable, con sus 72 horas para brechas de datos personales. La ironía es que un solo ataque de ransomware activa tres cronómetros distintos: el de DORA para la resiliencia operativa, el de NIS2 si la entidad opera servicios esenciales fuera del estricto perímetro financiero, y el del GDPR si los datos de los clientes acaban en un foro de la Dark Web.

Para complicar el escenario, el AI Act art. 6 ha clasificado este año a la mayoría de los sistemas de evaluación de solvencia y detección de fraude basados en IA como de 'alto riesgo'. Esto significa que el marco de gestión de riesgos TIC exigido por DORA art. 6 ya no puede limitarse a la infraestructura física o la nube; debe integrar la gobernanza del dato y la transparencia algorítmica. En las inspecciones de este trimestre, el Banco de España está cruzando los registros de algoritmos con los planes de continuidad de negocio. Si tu IA de scoring cae, ¿tienes un proceso manual validado bajo DORA art. 11 o tu operativa se detiene por completo? La respuesta a esta pregunta está marcando la diferencia entre una recomendación de mejora y un expediente sancionador.

Impacto sectorial: Del búnker bancario a la vulnerabilidad de la 'Insurtech'

El impacto de esta madurez regulatoria en 2026 no es uniforme. La banca tradicional, acostumbrada al látigo de Basilea III, ha absorbido el golpe con mayor entereza, pero el sector asegurador y las fintech están sufriendo un despertar amargo. Para las aseguradoras, la integración de DORA en el ORSA (Own Risk and Solvency Assessment) ha revelado lagunas críticas en la gestión de terceros. Ya no basta con un contrato estándar; el DORA art. 28 obliga a una auditoría profunda de la cadena de suministro TIC. Hemos visto cómo entidades medianas han tenido que rescindir contratos con proveedores de nicho porque estos no podían garantizar las 'cláusulas de salida' o el derecho de auditoría irrestricto que exige el reglamento. El coste de transición se estima en un aumento del 15% en los gastos operativos de TI solo para este ejercicio.

Por otro lado, las infraestructuras de mercado y las fintech de pagos están en el punto de mira por el riesgo sistémico. El Cybersecurity Act art. 46, junto con los esquemas de certificación europeos, se ha convertido en el estándar de facto para demostrar la 'higiene digital' ante los socios bancarios. Las fintech que actúan como proveedores de servicios críticos para grandes bancos están descubriendo que ser 'DORA compliant' es ahora su mejor argumento de ventas, pero también su mayor barrera de entrada. Aquellas que no han mapeado sus dependencias según el NIST CSF 2.0 GV.RM (Gobernanza y Gestión de Riesgos) están quedando fuera de las licitaciones, ya que los grandes bancos no están dispuestos a que un tercero comprometa su propia resiliencia y les acarree sanciones bajo el DORA art. 35, que pueden alcanzar el 1% de su volumen de negocios anual.

Crónica de un colapso anunciado: El protocolo de actuación del Consejo ante un incidente

Imaginemos un escenario real en este julio de 2026: un proveedor de servicios en la nube crítico para la liquidación de valores sufre una interrupción masiva por un ataque de inyección de código. Bajo el nuevo paradigma, el equipo de respuesta no corre solo hacia los servidores, sino hacia el despacho del Secretario del Consejo. El primer paso operativo, según el DORA art. 14, es la activación de la estrategia de comunicación de crisis, que este año ya debe estar testada mediante ejercicios de red teaming o TLPT (Threat Led Penetration Testing).

• T+30 minutos: El CISO debe clasificar el incidente. Si afecta a funciones críticas o importantes, se activa el protocolo de notificación al regulador bajo el DORA art. 19.
• T+2 horas: El Consejo de Administración debe reunirse de urgencia. No para entender el código, sino para autorizar el uso de sistemas de respaldo y decidir sobre la comunicación a los clientes. El NIST CSF 2.0 PR.IR (Protección y Respuesta a Incidentes) dicta que la toma de decisiones debe estar documentada para evitar la responsabilidad personal de los consejeros.
• T+24 horas: Se debe emitir el informe intermedio. Si hay datos personales comprometidos, se sincroniza con el GDPR art. 33. Aquí es donde la mayoría de las empresas fallan: la inconsistencia entre lo que se dice al supervisor financiero y lo que se dice a la Agencia de Protección de Datos.
• Post-incidente: El DORA art. 13 obliga a una revisión completa del marco de gestión de riesgos. El Consejo debe aprobar un plan de remediación con plazos y presupuestos específicos. En 2026, el 'lo estamos mirando' ya no evita la multa.

La convergencia obligatoria: Ciberseguridad y sostenibilidad en el reporte CSRD

Finalmente, 2026 ha traído la unión de dos mundos que antes se ignoraban: la ciberseguridad y la sostenibilidad. Bajo la CSRD art. 1 (Directiva de Informes de Sostenibilidad Corporativa), las empresas deben informar sobre su resiliencia y gobernanza como parte de sus criterios ESG. La ciberseguridad ya no es solo un problema técnico, es un problema de sostenibilidad social. Un fallo en la protección de datos o una caída del servicio que impida a miles de ciudadanos acceder a sus fondos se considera ahora un impacto material negativo en el informe de sostenibilidad.

Esta doble materialidad obliga a que el marco de control interno, a menudo basado en ISO 27001 anexo A, sea auditado no solo por expertos en seguridad, sino por los auditores de cuentas que firman el informe no financiero. El mapeo regulatorio se cierra así en un círculo perfecto: el DORA art. 5 pone la responsabilidad en el Consejo, y la CSRD hace que esa responsabilidad sea pública y comparable para los inversores. Las entidades que han intentado atajar por el camino del 'compliance de papel' se encuentran ahora con que sus primas de riesgo y sus valoraciones de mercado se ven afectadas. En 2026, la resiliencia operativa es, por fin, una métrica de valor financiero real, y el Cyber Resilience Act art. 13 asegura que incluso el software que compran tenga que venir con una 'declaración de conformidad' que alimente este ecosistema de transparencia obligatoriamente transparente.