Reglamento (UE) 2022/2554, en aplicación desde el 17 de enero de 2025. Al ser un reglamento se aplica de forma directa en todos los Estados miembros, sin transposición nacional que esperar.
Cinco pilares
Gestión del riesgo TIC dentro de un marco de gobernanza del que responde el órgano de dirección. Gestión, clasificación y notificación de incidentes relacionados con las TIC en una plantilla armonizada. Pruebas de resiliencia operativa digital, incluidas pruebas de penetración guiadas por amenazas para las entidades que designen las autoridades. Gestión del riesgo de terceros TIC, con contenido contractual obligatorio, estrategias de salida y un registro de información de todos los acuerdos. E intercambio de información sobre ciberamenazas entre entidades.
Alcanza a los proveedores
Los proveedores TIC que sirven al sector financiero heredan requisitos por vía contractual, y los designados como proveedores terceros críticos quedan bajo supervisión directa de las Autoridades Europeas de Supervisión. Un fabricante de software, un proveedor de nube o un servicio gestionado que venda a finanzas está dentro del perímetro, sea o no una entidad financiera.
Relación con NIS2
NIS2 es una directiva, cubre muchos sectores y se transpone en cada país. DORA es un reglamento, cubre el sector financiero, se aplica de forma directa y es bastante más prescriptivo en materia de pruebas y de contratos con proveedores. Para las entidades financieras DORA funciona como el régimen específico y prevalece donde ambos coincidirían.