Para las entidades financieras de la UE, la criptografía contemplada en la Ley de Resiliencia Operativa Digital (DORA) ya no es un simple detalle técnico de fondo. Se trata de una obligación legal vinculante. En virtud de la DORA, el cifrado, la gestión de claves y la gestión de certificados son ahora controles cuya cumplimiento los inspectores pueden exigirte que demuestres.
Lo que está en juego es muy concreto. La DORA es de aplicación desde el 17 de enero de 2025 y afecta a unas 22 000 entidades en toda la UE. Las infracciones más graves pueden acarrear multas de hasta el 10 % de la facturación global anual de una entidad.
Esta guía explica detalladamente cuáles son los requisitos reales de DORA en materia de criptografía e infraestructura de clave pública (PKI), qué artículos son relevantes y qué aspectos examinan los evaluadores. Está dirigida a los responsables de seguridad y cumplimiento normativo que ahora deben convertir estos requisitos en pruebas fehacientes.
Qué es DORA y por qué existe
La Ley de Resiliencia Operativa Digital, el Reglamento (UE) 2022/2554, es el reglamento de aplicación directa de la UE para la gestión de los riesgos relacionados con las tecnologías de la información y la comunicación (TIC) en el sector financiero. Al tratarse de un reglamento y no de una directiva, se aplica de manera uniforme en todos los Estados miembros sin necesidad de transposición a la legislación nacional.
La DORA entró en vigor el 16 de enero de 2023 y comenzó a aplicarse el 17 de enero de 2025. Puede consultar el texto completo en EUR-Lex.
El reglamento se suele describir en términos de cinco pilares:
- Gestión de riesgos en las TIC
- Gestión, clasificación y notificación de incidentes relacionados con las TIC
- Pruebas de resiliencia operativa digital
- Gestión de los riesgos de terceros en el ámbito de las TIC, incluida la supervisión directa por parte de la UE de los proveedores designados como críticos
- Intercambio de información y datos de inteligencia,
Los controles criptográficos se integran en el primero, el tercero y el cuarto de estos pilares, como sección específica de la Norma Técnica Reguladora (NTR) sobre gestión de riesgos de las TIC, como parte de lo que debe abarcar la resiliencia y como cuestiones de garantía relativas a los proveedores. La PKI constituye el marco directo que define cómo se cumplen estas obligaciones en la práctica.
A quiénes se aplica DORA
DORA se dirige a tres grandes grupos de destinatarios, y cada uno de ellos desempeña un papel específico en el cumplimiento de las normas criptográficas.
- Entidades financieras: aproximadamente 22 000 organizaciones repartidas en 20 categorías, entre las que se incluyen bancos, aseguradoras, empresas de inversión, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos, centros de negociación y contrapartes centrales. No todas las entidades incluidas en el ámbito de aplicación reciben el mismo trato. Es posible que algunas entidades pequeñas queden sujetas a un marco simplificado, por lo que es importante conocer cuáles son los requisitos exactos para su organización.
- Proveedores externos de TIC de importancia crítica (CTPP): los principales proveedores de tecnología, incluidas las plataformas de nube a hiperescala. Las autoridades de la UE designaron a los primeros CTPP en noviembre de 2025, sometiéndolos a supervisión directa.
- Órganos de gestión: consejos de administración y altos directivos que aprueban el marco de gestión de riesgos de las TIC y asumen la responsabilidad última del mismo.
Este último punto es importante. La gobernanza criptográfica es ahora una responsabilidad que recae en el consejo de administración, y no solo una tarea operativa.
Por qué es importante ahora el cumplimiento de las normas de criptografía de la DORA
Se está intensificando la aplicación de la normativa. Más allá del límite máximo del 10 % de la facturación establecido para las multas, las autoridades nacionales comenzaron a recopilar, a partir de 2025, registros anuales de información sobre los acuerdos con terceros en el ámbito de las TIC. Los organismos de supervisión disponen ahora de una visión clara y estructurada de quiénes prestan tus servicios críticos.
El aspecto relacionado con terceros es el cambio más notable. Dado que DORA amplía la garantía criptográfica a tus proveedores, tu propio cumplimiento normativo depende cada vez más de las pruebas que puedas obtener de ellos.
El grado de preparación sigue siendo desigual. Muchas instituciones sujetas a la normativa aún no cumplen plenamente los requisitos, lo que deja una brecha significativa entre lo que exige la DORA y lo que la mayoría de los programas pueden demostrar en la actualidad.
Cómo se relaciona DORA con la criptografía y la PKI
La esencia del cumplimiento de la norma DORA consiste en traducir los términos generales sobre resiliencia en controles criptográficos específicos. En los apartados siguientes se analizan cada una de las áreas de control, ofreciendo una visión centrada en las respuestas sobre lo que debe hacer su entidad.
Artículo 9 de la DORA: autenticación fuerte y protección de claves
El artículo 9, apartado 4, letra d), exige mecanismos de autenticación sólidos y la protección de las claves criptográficas en las que se basan. En la práctica, esto apunta hacia una autenticación basada en certificados y resistente al phishing, en lugar de a secretos compartidos.
Esta obligación consta de dos partes. Por un lado, debes implementar una autenticación sólida y, por otro, debes proteger las claves y los certificados que garantizan su fiabilidad.
Artículo 6 del RTS: la política de cifrado y controles criptográficos
El artículo 6 de la RTS exige una política documentada y basada en el riesgo sobre el cifrado y los controles criptográficos. La política debe abarcar los datos en reposo, los datos en tránsito y, cuando sea posible, los datos en uso.
Es fundamental que esta política no se aplique de forma aislada. Debe estar vinculada a su esquema de clasificación de datos aprobado y a los resultados de su evaluación de riesgos de las TIC, de modo que el nivel de protección se adapte al grado de sensibilidad de los datos.
El apartado 4 del artículo 6 añade una obligación con visión de futuro: la política debe prever la actualización o la modificación de la tecnología criptográfica a medida que avance el criptoanálisis, y las entidades que no puedan hacerlo deberán adoptar, en su lugar, medidas de mitigación y seguimiento.
El artículo 6, apartado 5, exige que dichas excepciones se registren con una explicación motivada, es decir, un registro auditable en el que se indique en qué aspectos su sistema de criptografía no cumple con las mejores prácticas.
Artículo 7 del RTS: gestión del ciclo de vida de las claves criptográficas
El artículo 7 de la RTS exige una gestión formal de las claves criptográficas a lo largo de todo su ciclo de vida. Las claves deben protegerse contra la pérdida, el acceso no autorizado y la divulgación en todas las fases.
El artículo también exige estar preparado para hacer frente a posibles fallos. Es necesario contar con procedimientos documentados para sustituir las claves perdidas, comprometidas o dañadas, sin interrumpir los servicios críticos.
El registro de certificados y dispositivos de almacenamiento de claves
Los apartados 4 y 5 del artículo 7 del RTS exigen que se mantenga un registro actualizado de todos los certificados y de todos los dispositivos de almacenamiento de certificados que soporten funciones críticas o importantes. Se trata de un inventario dinámico, no de una hoja de cálculo que se elabora una sola vez.
El registro también debe permitir la renovación automática con suficiente antelación a la fecha de caducidad, de modo que la caducidad de un certificado que haya pasado desapercibida nunca provoque una interrupción del servicio. El artículo 7, apartado 5, exige la renovación oportuna de los certificados antes de su caducidad, lo cual, dada la magnitud del parque actual de certificados, solo puede garantizarse de forma fiable mediante la automatización y demostrarse ante un auditor.
Artículos 20 y 21 de la RTS: control de acceso y gestión de identidades
En conjunto, los artículos 20 y 21 exigen que se asigne a cada persona y sistema una única identidad verificada y que, a continuación, se le conceda únicamente el acceso que necesite. El nivel de seguridad de la autenticación, la frecuencia de las revisiones y el grado de automatización varían en función de la importancia del activo.
El artículo 20 establece la identidad. Exige una identidad única por cuenta, que abarque tanto a su propio personal como al de sus proveedores de TIC, y que se gestione a lo largo de todo su ciclo de vida, desde su creación hasta su extinción. Abarca tanto a los sistemas como a las personas, lo que lo convierte en el vínculo más sólido entre la identidad y las máquinas en las normas técnicas de aplicación (RTS). También exige que los registros de identidad se mantengan tras las reorganizaciones y la finalización de un contrato.
El artículo 21 regula el alcance de dicha identidad. Exige el principio del mínimo privilegio, la separación de funciones, la prohibición de cuentas anónimas o compartidas y controles de acceso físico. Sus aspectos más destacados son un ciclo de revisión de seis meses para todo aquello que respalde funciones críticas o importantes, y cuatro criterios que activan la autenticación fuerte: acceso remoto, acceso privilegiado, funciones críticas o importantes y activos de acceso público.
Artículos 28 a 30 de la DORA: garantía criptográfica de terceros
Los artículos 28 a 30 regulan el riesgo de terceros en el ámbito de las TIC. En lo que respecta a la criptografía, esto implica elaborar un inventario de componentes que sirva de base para las evaluaciones de riesgo de los proveedores y que defina las cláusulas contractuales de tus acuerdos de TIC.
Esos mismos acuerdos se recogen en el Registro de Información. Cuando los controles criptográficos de un proveedor son deficientes, esa deficiencia se convierte en un problema de cumplimiento para ti, por lo que las pruebas aportadas por el proveedor deben formar parte del contrato.
Artículos 24 a 27 de la DORA: pruebas de resiliencia de los activos criptográficos
Los artículos 24 a 27 incluyen la criptografía en el ámbito de las pruebas de resiliencia operativa digital. La infraestructura de certificados y los controles criptográficos deben someterse a prueba; no debe darse por sentado que funcionan.
En el caso de las entidades importantes, esto se extiende a las pruebas de penetración basadas en amenazas (TLPT). Los activos criptográficos deben someterse a las mismas pruebas rigurosas y basadas en la inteligencia que se aplican al resto de sus sistemas críticos.
Cómo prepararse para una inspección de la DORA: qué aspectos analizan los inspectores
Las evaluaciones DORA se centran en las pruebas. Utiliza esta lista de comprobación para autoevaluarte en función de las preguntas que es más probable que te planteen los supervisores.
- Política de cifrado: ¿Puede elaborar una política documentada y basada en el riesgo, vinculada a la clasificación de datos y a los resultados de la evaluación de riesgos?
- Ciclo de vida de las claves: ¿Puede explicar cómo se protegen y se sustituyen las claves a lo largo de todo su ciclo de vida?
- Registro de certificados: ¿Está actualizado tu registro de certificados y dispositivos de almacenamiento de certificados, y permite la renovación automática?
- Autenticación: ¿Cumplen tus mecanismos de autenticación con los requisitos de seguridad y resistencia al phishing exigidos para las funciones críticas?
- Verificación por terceros: ¿Puede demostrar que ha llevado a cabo la debida diligencia en materia de criptografía y que cuenta con las disposiciones contractuales pertinentes para sus proveedores de TIC?
- Pruebas de resiliencia: ¿Incluyen vuestras pruebas y el alcance del TLPT la infraestructura criptográfica y de certificados?
Si alguna de las respuestas es «todavía no», esa laguna es precisamente donde la evaluación ejercerá presión.
De cara al futuro: agilidad criptográfica y preparación para la era poscuántica
En la actualidad, DORA no exige el uso de criptografía poscuántica. Sin embargo, sus expectativas en materia de «criptoagilidad», expresadas a través de las disposiciones sobre claves y certificados recogidas en los artículos 6 y 7 de las RTS, apuntan hacia los mismos fundamentos que exigirá una futura migración a la criptografía poscuántica.
Esa base consiste en un inventario criptográfico completo, además de la capacidad de rotar y volver a emitir claves y certificados a escala empresarial. Las entidades que desarrollen esta disciplina para DORA ahora estarán en una posición mucho más ventajosa cuando la migración a sistemas a prueba de cuántica pase de la fase de planificación a la de ejecución.
En otras palabras, el trabajo que realizas hoy para cumplir con DORA es el mismo que te permitirá reducir los riesgos de tu transición poscuántica mañana.
Cómo puede ayudarteKeyfactor
KeyfactorLa plataforma de […] se ajusta perfectamente a los controles criptográficos de DORA mencionados anteriormente, por lo que la evidencia que necesitas proviene de un único lugar, en lugar de tener que recurrir a un conjunto heterogéneo de herramientas.
- Keyfactor AgileSec: elabora el inventario criptográfico de terceros y la garantía que exigen los artículos 28 a 30.
- EJBCA: admite la gestión del ciclo de vida de las claves criptográficas y la autenticación sólida basada en certificados en todos los dispositivos, cargas de trabajo y usuarios.
- Keyfactor Command: ofrece gestión de identidades, visibilidad de las políticas y el registro de dispositivos de almacenamiento de certificados y claves que exige DORA, con renovación automática antes de la fecha de caducidad. Esto se convierte en un componente esencial a la hora de prepararse para inspecciones y auditorías.
Todas estas capacidades se unen en el plano de control de confianza deKeyfactor , un único sistema de registro que supervisa, analiza, aprovisiona, coordina y gestiona los activos criptográficos. Cuando las pruebas de DORA se centralizan en un único plano de control, las inspecciones se convierten en un mero ejercicio de elaboración de informes, en lugar de en un simulacro de emergencia.
Próximos pasos:
El cumplimiento de la normativa DORA es una capacidad operativa continua, no un proyecto puntual. La normativa ya está en vigor, su aplicación es real y los controles criptográficos ocupan un lugar central en ella.
Tanto si estás poniendo en marcha tu programa como si ya se encuentra en una fase más avanzada, hay cuatro pasos que te permitirán generar un impulso duradero:
- Consigue una visibilidad completa de tus activos criptográficos.
- Documentar una política de cifrado y controles criptográficos basada en el riesgo.
- Formalizar la gestión del ciclo de vida de las claves, incluidos los procedimientos de sustitución.
- Crea y automatiza tu registro de certificados y dispositivos de almacenamiento de claves.
¿Estás listo para saber cuál es tu situación? Solicitar una demo Evalúa tu preparación criptográfica para DORA con Keyfactor .
¿Tienes dudas sobre la criptografía DORA? Tenemos las respuestas.
¿Cuándo empezó a aplicarse la DORA a las entidades financieras?
La DORA entró en vigor el 16 de enero de 2023 y se aplica desde el 17 de enero de 2025. Dado que es directamente aplicable en todos los Estados miembros de la UE, no ha sido necesaria su transposición a la legislación nacional ni se ha establecido ningún período transitorio adicional.
¿A quién se aplica la DORA?
DORA abarca aproximadamente 22 000 entidades financieras repartidas en 20 categorías, desde bancos y aseguradoras hasta entidades de pago y proveedores de servicios de criptoactivos. También incluye a los proveedores externos de TIC críticos y a los órganos de gestión que aprueban el marco de gestión de riesgos de las TIC.
¿Qué requisitos establece la ley DORA en materia de cifrado?
De conformidad con el artículo 6 de las RTS, las entidades deben disponer de una política documentada y basada en el riesgo sobre el cifrado y los controles criptográficos que abarque los datos en reposo, en tránsito y en uso. Dicha política debe estar vinculada a la clasificación de datos aprobada y a los resultados de la evaluación de riesgos de las TIC.
¿Qué dice la DORA sobre la gestión de claves criptográficas?
El artículo 7 de la RTS exige una gestión formal de las claves criptográficas a lo largo de todo su ciclo de vida, protegiéndolas contra la pérdida, el acceso no autorizado y la divulgación. Asimismo, exige que se disponga de procedimientos documentados para sustituir las claves perdidas, comprometidas o dañadas.
¿Necesito un registro de certificados conforme a la DORA?
Sí. Los apartados 4 y 5 del artículo 7 del RTS exigen que exista un registro actualizado de todos los certificados y dispositivos de almacenamiento de certificados que soporten funciones críticas o importantes. El registro debe permitir la renovación automática con suficiente antelación a la fecha de caducidad.
¿Cuáles son las sanciones por incumplir la ley DORA?
Las infracciones más graves pueden acarrear multas de hasta el 10 % de la facturación global anual de una entidad. Se está intensificando la aplicación de la normativa, y las autoridades nacionales comenzaron a recopilar en 2025 los registros anuales de información sobre los acuerdos con terceros en materia de TIC.
¿Cómo afecta la ley DORA a mis proveedores externos?
DORA amplía las garantías criptográficas a los terceros del sector de las TIC con arreglo a los artículos 28 a 30, por lo que tu cumplimiento depende de las pruebas que puedas obtener de los proveedores. En noviembre de 2025, las autoridades de la UE designaron a los primeros proveedores externos críticos del sector de las TIC sujetos a supervisión directa, entre los que se incluyen las principales plataformas en la nube.
¿Cómo se relaciona DORA con la preparación para la era poscuántica?
Las expectativas de DORA en materia de «criptoagilidad» apuntan hacia la misma base que necesitará una futura migración poscuántica: un inventario criptográfico completo y la capacidad de rotar claves y certificados a gran escala. Desarrollar esa disciplina ahora sirve tanto para DORA en la actualidad como para la futura migración poscuántica.
