DORA, para dummies
De qué trata
Contenido (17 capítulos)
- Qué es DORA, a quién se aplica y desde cuándo
- Conceptos clave explicados desde cero
- Pilar 1: gobierno y marco de gestión del riesgo TIC
- Pilar 2: incidentes TIC, clasificación y notificación
- Pilar 3: pruebas de resiliencia operativa digital
- Pilar 4: riesgo de proveedores TIC, contratos y salida
- Pilar 5: intercambio de información y régimen de supervisión
- El Registro de Información (RoI): qué es, calendario, formato y validaciones
- Las 15 plantillas del registro, una a una, y cómo rellenarlas
- Los documentos de gobierno TIC que exige DORA y cómo aprobarlos
- Puesta en marcha paso a paso y calendario anual tipo
- Qué debe tener preparado una gestora ante una inspección de la CNMV sobre DORA
- Glosario completo
- Bibliografía y fuentes
- Cómo se ha verificado este manual
- Cómo te ayuda Edilia Compliance
- Anexo. Herramientas de IA de uso general: riesgos y cómo usarlas bien
Muestra gratuita: la presentación
Para quién es este manual. Para quien parte de cero: no hace falta saber qué es DORA ni entender de tecnología. Cada concepto se explica la primera vez que aparece, con ejemplos de una gestora pequeña (la «Gestora Mirador», inventada) y analogías cortas. Cada capítulo empieza con un «En una frase» y termina con un cuadro «Lo que tienes que recordar». El rigor normativo se mantiene: cada afirmación lleva entre paréntesis la norma y el artículo de donde sale, que se corresponden con el capítulo 14 (Bibliografía y fuentes).
De qué trata. Del Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), aplicable desde el 17 de enero de 2025, y de cómo se aplica a las gestoras de fondos y a las empresas de servicios de inversión supervisadas por la CNMV. Explica sus cinco pilares, el Registro de Información de proveedores tecnológicos (plantilla por plantilla), los documentos de gobierno que hay que tener aprobados, cómo ponerlo todo en marcha paso a paso, qué preparar ante una inspección y qué calendario seguir cada año. Es una guía del tema, válida con independencia de la herramienta que uses para llevar los registros; lo que hace la aplicación de Edilia Compliance se recoge solo en el último capítulo.
Lo esencial en cinco ideas
- DORA te obliga a demostrar que tus sistemas informáticos, y los proveedores tecnológicos de los que dependes, aguantan un fallo o un ciberataque (DORA, art. 3.1 y arts. 5 a 45).
- Le aplica a las SGIIC (sociedades gestoras de instituciones de inversión colectiva), a las empresas de servicios de inversión y a las SGEIC (sociedades gestoras de entidades de inversión colectiva de tipo cerrado) que no estén en la exclusión de los gestores pequeños (DORA, art. 2.1 y 2.3.a). La microempresa tiene excepciones, no exención (DORA, art. 3.60).
- Un incidente grave se notifica a la CNMV en 4 horas desde que lo clasificas como grave (y como tope 24 horas desde que lo conoces), con informe intermedio a las 72 horas e informe final en un mes (RTS 2025/301, art. 5).
- Debes mantener un registro de todos tus contratos con proveedores tecnológicos y entregarlo a la CNMV cuando lo pida, con referencia a 31 de diciembre; en 2026 fue del 1 al 29 de marzo y en Excel (DORA, art. 28.3; Guía CNMV 2026).
- Cumplir exige decisiones del órgano de dirección, pruebas reales y comunicación directa con la CNMV: ningún programa informático certifica el cumplimiento ni sustituye una auditoría o una prueba real (DORA, arts. 5 y 24).
Lo que este manual no es
Es una guía divulgativa a 26 de octubre de 2026: no certifica que cumplas DORA ni sustituye el asesoramiento profesional, una auditoría, una prueba de penetración real, la aprobación de tu consejo o la comunicación con la CNMV. Si la norma o los procedimientos de la CNMV cambian, mandan la norma y la CNMV.
Cómo leer las citas y las marcas
- Entre paréntesis encontrarás la norma y el artículo, con nombres cortos: DORA, RTS (reglamento delegado de normas técnicas de regulación), ITS (reglamento de ejecución), FAQ CNMV, Guía CNMV, etc. Todos están desarrollados en el capítulo 14.
- El capítulo 15 explica cómo se ha verificado cada fuente, con fecha de consulta y método, y qué límites tiene.
- Los plazos expresados en horas son horas corridas. Cuando aparece una cifra de días, se dice siempre si son naturales o hábiles.
- Las fechas de este manual están vigentes a 26 de octubre de 2026. La sección de ciberseguridad de la CNMV es la fuente viva de los procedimientos.
A quién se aplica este manual
El Reglamento (UE) 2022/2554 fija su ámbito en el art. 2.1. Esta es la lectura para cada tipo que gestiona Edilia Compliance.
| Tipo de entidad o vehículo | ¿Aplica? | Por qué |
|---|---|---|
| SGEIC y SGIIC | Sí | Gestores de fondos de inversión alternativos (art. 2.1.k) y sociedades de gestión (art. 2.1.l). Quedan fuera los gestores del art. 3.2 de la Directiva 2011/61/UE (art. 2.3.a). |
| SGC y AV/SVB (empresas de servicios de inversión) | Sí | AV/SVB son empresas de servicios de inversión (art. 2.1.e). La SGC también lo es (Ley 6/2023, art. 128.1), pero Compliance no la incluye hoy en su ámbito DORA porque la lista de la CNMV no la menciona. |
| EAF | Sí | Es empresa de servicios de inversión (art. 2.1.e), como confirma la FAQ de la CNMV sobre DORA. |
| EAFN | No | La FAQ de la CNMV dice que las EAFN no están sujetas a DORA, porque no se les aplica la definición de empresa de servicios de inversión (RD 813/2023, art. 7). |
| SGFT | No | No figura en el art. 2.1 ni en la lista de la CNMV. No debe confundirse con los registros de titulizaciones (art. 2.1.t), que son otra figura. |
| PSC/MiCA (proveedores de servicios de criptoactivos) | Sí | Proveedores de servicios de criptoactivos autorizados con arreglo a MiCA (art. 2.1.f). |
| PSFP (financiación participativa) | Sí | Proveedores de servicios de financiación participativa (art. 2.1.s). |
| Vehículos de capital riesgo: FCR, SCR, ECR, ECR-Pyme, EICC, FCRE (EuVECA), FESE (EuSEF) y FILPE (ELTIF) | Por su gestora | Los vehículos no son entidades financieras del art. 2.1 por sí mismos: el sujeto es su gestor (art. 2.1.k). |
| Vehículos IIC: FI, SICAV, FIL, SIL, ETF, FIAMM, FII y SII | Por su gestora | Los vehículos no son entidades financieras del art. 2.1 por sí mismos: el sujeto es su sociedad de gestión (art. 2.1.l). |
| FT (fondos de titulización) | No | DORA no menciona los fondos de titulización; solo los registros de titulizaciones (art. 2.1.t). |
Los tipos y vehículos son los que Edilia Compliance da de alta (nueve tipos de entidad y diecisiete de vehículo). El detalle por tipo, obligación a obligación, está en el Tomo I.