Ley de Resiliencia Operativa Digital (DORA)
Criptografía e infraestructura de clave pública (PKI) para entidades financieras de la UE
| Región | La legislación de la Unión Europea es de aplicación directa en todos los Estados miembros de la UE; se extiende a los proveedores externos de TIC, independientemente de dónde tengan su sede) |
| Ámbito de aplicación | Entidades financieras: bancos , aseguradoras, empresas de inversión, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos, centros de negociación y contrapartes centrales —aproximadamente 22 000 entidades repartidas en 20 categorías— Proveedores externos críticos de TIC (CTPP): proveedores de servicios en la nube y tecnológicos designados para la supervisión directa de la UE, incluidos los principales hiperescaladores designados en noviembre de 2025 Órganos de gestión: directivos que aprueban el marco de gestión de riesgos de las TIC y asumen la responsabilidad última del mismo |
| Apartados pertinentes | Artículo 9: Protección y prevención: autenticación sólida y protección de claves criptográficas. Artículo 6 de las RTS: Política de cifrado y controles criptográficos. Artículo 7 de las RTS: Gestión de claves criptográficas a lo largo de todo su ciclo de vida. Artículos 28 a 30: Gestión de riesgos de terceros en el ámbito de las TIC y el Registro de Información |
Visión general
La Ley de Resiliencia Operativa Digital (Reglamento (UE) 2022/2554) es el reglamento de aplicación directa de la UE que armoniza la gestión de riesgos de las tecnologías de la información y la comunicación (TIC) en todo el sector financiero. Entró en vigor el 16 de enero de 2023 y se aplica desde el 17 de enero de 2025, sin que sea necesaria su transposición a la legislación nacional ni se hayan establecido períodos transitorios adicionales.
La DORA agrupa las obligaciones en cinco pilares: gestión de riesgos de las TIC, notificación de incidentes, pruebas de resiliencia operativa digital, gestión de riesgos de terceros en el ámbito de las TIC y acuerdos de intercambio de información. El artículo 9 exige a las entidades financieras que implementen mecanismos de autenticación sólidos y medidas de protección para las claves criptográficas, y las Normas Técnicas Regulatorias que lo acompañan van más allá: el artículo 6 exige una política documentada y basada en el riesgo sobre el cifrado y los controles criptográficos que abarque los datos en reposo, en tránsito y en uso, mientras que el artículo 7 exige una gestión formal del ciclo de vida de las claves criptográficas, incluido un registro de certificados y de dispositivos de almacenamiento de certificados, así como su renovación inmediata antes de su vencimiento.
Por qué es importante
La DORA se aplica directamente a unas 22 000 entidades financieras de toda la UE, con multas que pueden alcanzar hasta el 10 % de la facturación global anual en el caso de las infracciones más graves. La aplicación de la normativa se está intensificando en lugar de estabilizarse: las autoridades nacionales comenzaron a recopilar los registros anuales de información sobre los acuerdos con terceros en materia de TIC en 2025, y las estimaciones actuales indican que solo alrededor de la mitad de las instituciones afectadas cumplen plenamente la normativa, incluso después de que haya vencido el plazo de aplicación.
El alcance de la normativa a terceros es una característica determinante. En noviembre de 2025, las autoridades de supervisión de la UE designaron a los primeros proveedores externos de TIC críticos sujetos a supervisión directa, entre los que se incluyen las principales plataformas en la nube, lo que significa que la garantía criptográfica de una entidad financiera depende ahora de las pruebas que pueda obtener de sus proveedores, y no solo de su propio entorno.
Cómo se aplica esto a la criptografía
DORA aborda la criptografía a través de varias áreas de control interrelacionadas. Las áreas clave con implicaciones criptográficas directas son:
| Sección | Función | Lo que dice | Productos complementarios |
| RTS, artículo 6 | Política de cifrado y controles criptográficos | Una política documentada y basada en el riesgo que abarque el cifrado de los datos en reposo, en tránsito y en uso, vinculada a la clasificación de datos aprobada y a los resultados de la evaluación de riesgos de las TIC. | Command |
| RTS, artículo 7 | Gestión del ciclo de vida de las claves criptográficas | Controles que protegen las claves a lo largo de todo su ciclo de vida frente a la pérdida, el acceso no autorizado y la divulgación, con procedimientos documentados de sustitución para las claves perdidas, comprometidas o dañadas. | EJBCA |
| RTS, artículo 7, apartados 4 y 5 | Registro de certificados y dispositivos de almacenamiento de claves | Un registro actualizado de todos los certificados y dispositivos de almacenamiento de certificados que soporten funciones críticas o importantes, con renovación automática con suficiente antelación a su vencimiento. | Command |
| Artículo 9, apartado 4, letra d) | Autenticación fuerte y protección de credenciales | Mecanismos de autenticación basados en certificados y resistentes al phishing, así como la protección de las claves criptográficas en las que se basan. | EJBCA |
| Artículos 28 a 30 | Garantía criptográfica de terceros en las TIC | Un inventario de componentes criptográficos que sirve de base para las evaluaciones de riesgo de los proveedores y para las cláusulas contractuales necesarias en los acuerdos con terceros en el ámbito de las TIC. | AgileSec |
| Artículos 24 a 27; pruebas de penetración basadas en amenazas | Pruebas de resiliencia de los activos criptográficos | Infraestructura de certificados y controles criptográficos incluidos en el ámbito de las pruebas de resiliencia operativa digital y del TLPT para entidades significativas. | EJBCA / Command |
Preparación para la auditoría
Las evaluaciones y los exámenes, ya sean realizados por la propia organización, llevados a cabo por un organismo regulador o revisados por un evaluador independiente, se centran en las pruebas demostradas y no únicamente en las declaraciones de política. Áreas clave que suelen analizar los examinadores y evaluadores:
- Documentación sobre la política de cifrado: ¿Ha elaborado y documentado la organización una política sobre cifrado y controles criptográficos vinculada a su clasificación de datos y a su evaluación de riesgos?
- Pruebas clave sobre el ciclo de vida: ¿Puede la organización demostrar que cuenta con controles que protegen las claves criptográficas frente a la pérdida, la violación de la seguridad y la divulgación no autorizada a lo largo de todo su ciclo de vida?
- Registro de certificados y dispositivos de almacenamiento de claves: ¿Existe un registro actualizado de certificados y dispositivos de almacenamiento de certificados para los activos que soportan funciones críticas o importantes?
- Ajustamiento a las normas de autenticación: ¿Existen mecanismos de autenticación sólidos basados en las normas pertinentes, con claves criptográficas protegidas adecuadamente?
- Diligencia debida criptográfica de terceros: ¿Se evalúa la solidez de las prácticas criptográficas de los proveedores externos de TIC, incluidos los CTPP, como parte del Registro de Información y de la revisión contractual?
- Alcance de las pruebas de resiliencia: ¿ Las pruebas de resiliencia operativa digital, incluidas las de TLPT cuando proceda, abarcan la infraestructura de certificados y los controles criptográficos?
LLEVA ESTO A LA DIRECCIÓN
La normativa DORA se aplica sin excepción desde el 17 de enero de 2025 y menciona directamente la criptografía: el artículo 9 y sus normas técnicas de apoyo exigen una política de cifrado documentada y una gestión del ciclo de vida de las claves, no un compromiso general con una seguridad «adecuada». Las multas pueden alcanzar el 10 % de nuestra facturación anual global, y aproximadamente la mitad del sector sigue trabajando para subsanar la brecha entre lo que tienen documentado y lo que realmente pueden demostrar.
La dimensión de los terceros es la que más probabilidades tiene de ponernos en apuros. Nuestra garantía criptográfica debe extenderse ahora a los entornos de nuestros proveedores de servicios en la nube y de tecnología, varios de los cuales están ahora bajo la supervisión directa de las autoridades de la UE. Si no podemos presentar un certificado vigente y un registro de dispositivos de almacenamiento de claves, junto con pruebas de las prácticas criptográficas de nuestros proveedores, no podremos completar con confianza nuestra presentación en el Registro de Información.
Cumplimientos normativos relacionados
Preparación para la era poscuántica en el sector de los servicios financieros
Reglamento General de Protección de Datos (RGPD)
