Desde el 17 de enero de 2025 se aplica en toda la Unión Europea el Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act). Su objetivo es que bancos, empresas de inversión, entidades de pago, aseguradoras, proveedores de criptoactivos y otras entidades financieras estén preparados para resistir y recuperarse de fallos tecnológicos y ciberataques. Es una norma pensada para las entidades, pero tiene efectos indirectos para ti como cliente. Esta guía explica cuáles.
Qué exige DORA a las entidades
El reglamento se organiza en varios bloques:
- Gestión del riesgo tecnológico: marcos de control, protección de sistemas, copias de seguridad y planes de continuidad.
- Gestión y notificación de incidentes: clasificar los incidentes tecnológicos y comunicar los graves al supervisor.
- Pruebas de resiliencia: evaluar periódicamente sus sistemas, incluidas pruebas avanzadas para las entidades más relevantes.
- Riesgo de terceros proveedores: controlar a los proveedores tecnológicos (como servicios en la nube), con supervisión europea directa de los considerados críticos.
- Intercambio de información: se permite que las entidades compartan información sobre ciberamenazas.
Antes de DORA, estas obligaciones estaban repartidas en normas y guías sectoriales distintas para bancos, aseguradoras o empresas de inversión. El reglamento las unifica en un marco común para todo el sector financiero europeo y, al tratarse de un reglamento, se aplica directamente sin necesidad de una ley española que lo incorpore. Las autoridades nacionales, como el Banco de España, la CNMV o la DGSFP, supervisan su cumplimiento en sus respectivos ámbitos.
El bloque de terceros proveedores es especialmente relevante: buena parte de los servicios digitales de los bancos dependen de unos pocos grandes proveedores tecnológicos. DORA obliga a las entidades a controlar los contratos con ellos y a tener planes de salida, y permite a las autoridades europeas supervisar directamente a los proveedores considerados críticos.
Qué cambia para ti como cliente
| Aspecto | Qué implica DORA |
|---|---|
| Fallos del servicio | Las entidades deben estar mejor preparadas para evitar caídas prolongadas y recuperar el servicio |
| Información ante incidentes | Si un incidente grave afecta a los intereses financieros de los clientes, la entidad debe informarles sin demora indebida y explicar las medidas adoptadas |
| Seguridad de tus datos | Se refuerzan los controles sobre sistemas y proveedores que tratan tu información |
| Supervisión | Los supervisores reciben notificaciones de incidentes graves y pueden exigir correcciones |
Lo que DORA no cambia
Es importante no sobrevalorar la norma:
- No crea un derecho de indemnización nuevo: si sufres un perjuicio por un fallo de la entidad, la reclamación se basa en tu contrato y en la normativa sectorial aplicable.
- No modifica las reglas de las operaciones no autorizadas: siguen rigiéndose por el Real Decreto-ley 19/2018.
- No se aplica a plataformas no autorizadas: un falso broker no está sujeto a supervisión, por lo que DORA no te protege frente a él.
- No elimina la ingeniería social: la mayoría de los fraudes a particulares no se deben a fallos tecnológicos del banco, sino a engaños dirigidos a la persona.
Cuidado con los mensajes sobre «incidentes de seguridad»
La obligación de informar a los clientes sobre incidentes graves tiene un efecto secundario: los estafadores pueden aprovecharla. Es habitual recibir correos, SMS o llamadas que dicen que tu banco «ha sufrido un ciberataque» y que debes «verificar tus datos», «mover tu dinero a una cuenta segura» o instalar una aplicación. Ninguna entidad legítima te pedirá eso.
Consejo: si recibes un aviso de incidente, no uses los enlaces ni los teléfonos del mensaje. Entra en la app oficial o llama al número que figura en tu tarjeta o en la web oficial de tu entidad.
Este patrón de suplantación es muy similar al que describimos en la guía sobre suplantación de organismos públicos.
Qué hacer si un fallo tecnológico de tu entidad te perjudica
- Haz capturas de pantalla del error y anota fecha y hora.
- Guarda cualquier comunicación de la entidad sobre el incidente.
- Reclama por escrito al servicio de atención al cliente, explicando el perjuicio concreto (por ejemplo, una orden que no se ejecutó).
- Si no estás de acuerdo con la respuesta, acude al servicio de reclamaciones del supervisor competente.
- Si además ha habido operaciones que no reconoces, trátalas como posibles operaciones no autorizadas y denúncialas.
Si tienes dudas sobre una incidencia con tu broker, puedes consultar nuestros servicios para problemas con plataformas de inversión o iniciar una consulta.
