El Reglamento de Resiliencia Operativa Digital, conocido como DORA, establece una norma europea única sobre cómo las entidades financieras gestionan el riesgo tecnológico. Se aplica en la Unión Europea desde principios de 2025, y 2026 es la fase en la que las expectativas de supervisión, la notificación de incidentes y la supervisión de terceros se aplican de forma activa y ya no solo se anticipan. Para las plataformas cripto y de pago, esto cambia las condiciones en las que se toman las decisiones tecnológicas.
DORA suele interpretarse como una simple norma de ciberseguridad. El marco es más amplio. La capacidad de seguir operando pese a las interrupciones — caídas, incidentes cibernéticos, el fallo de un proveedor crítico — se trata como un resultado supervisado, acompañado de gobernanza, pruebas y evidencias. Para un proveedor de servicios de criptoactivos autorizado conforme a MiCA, o para una entidad de dinero electrónico o de pago, DORA no es una capa opcional. El marco acompaña a la autorización y da forma a la arquitectura que la sostiene.
Este artículo explica qué exige DORA a las plataformas cripto y de pago en el plano tecnológico y operativo, quién entra en el ámbito y cómo es un modelo operativo listo para DORA desde una perspectiva de planificación y adquisición. No interpreta la norma; describe las consecuencias técnicas y operativas que se derivan de ella.
Qué regula DORA
DORA reúne en un solo marco reglas que antes estaban dispersas entre regímenes nacionales y orientaciones sectoriales, y cubre todo el ciclo de vida del riesgo tecnológico. En lugar de prescribir controles concretos, define resultados que una entidad financiera debe poder demostrar: que el riesgo ICT se gobierna a nivel de dirección, que los incidentes se detectan y se notifican en plazos definidos, que la resiliencia se somete a prueba y que la dependencia de proveedores externos se comprende y se controla.
El cambio práctico va de la intención documentada a la capacidad demostrable. Una política que describe un proceso de respuesta a incidentes ya no basta por sí sola; la organización debe poder mostrar que el proceso funciona, que las funciones están asignadas y que existen evidencias de pruebas y remediación. Por eso conviene tratar DORA como una cuestión de arquitectura y operación antes que como una cuestión puramente jurídica.
Quién entra en el ámbito
DORA se aplica a un amplio conjunto de entidades financieras, y ambos tipos de plataforma que aborda esta base de conocimiento están incluidos. Los proveedores de servicios de criptoactivos autorizados conforme a MiCA entran en el ámbito, al igual que las entidades de dinero electrónico y las entidades de pago. Las plataformas de negociación, los servicios de custodia, las funciones de intercambio y ejecución de órdenes, y la infraestructura de pago y de dinero electrónico quedan comprendidas en el marco. La tecnología que sustenta una plataforma de intercambio cripto o una plataforma de dinero electrónico y de pago queda, por tanto, dentro del ámbito igual que la actividad autorizada a la que da soporte.
Las obligaciones se aplican de forma proporcionada. Una entidad más pequeña, con una oferta de servicios reducida, soporta expectativas más ligeras que una gran plataforma multiactivo o una plataforma de pago de alto volumen; ninguna entidad incluida queda, sin embargo, exenta de los requisitos básicos sobre riesgo ICT, notificación de incidentes y gestión de terceros. La proporcionalidad determina la profundidad y el formalismo, no si los requisitos se aplican.
Nota: DORA ya está en aplicación y no es una obligación futura. Para los nuevos proyectos cripto y de pago en la UE, el marco de resiliencia debería diseñarse desde el principio en lugar de añadirse tras el lanzamiento, porque las evidencias que DORA espera son difíciles de reconstruir a posteriori.
Los pilares de la resiliencia operativa
DORA organiza sus expectativas en torno a un pequeño número de ámbitos conectados entre sí. Cada uno se traduce en decisiones concretas de arquitectura y operación para una plataforma cripto o de pago, y cada uno produce evidencias que un supervisor o un auditor puede examinar.
| Ámbito de resiliencia | Implicación para la plataforma |
|---|---|
| Gestión de riesgos ICT y gobernanza | Responsabilidad de los riesgos tecnológicos a nivel de dirección, con un marco definido que vincula sistemas, dependencias y controles con funciones responsables. |
| Detección y notificación de incidentes | Clasificación de los incidentes relacionados con las ICT y capacidad de notificar los significativos a los supervisores en plazos definidos, con apoyo de monitorización y pistas de auditoría. |
| Pruebas de resiliencia | Pruebas periódicas de los sistemas críticos, con pruebas basadas en amenazas más exigentes para las entidades grandes, y remediación documentada de los hallazgos. |
| Riesgo de terceros ICT | Un registro de las dependencias tecnológicas externas, controles contractuales y planes de salida y continuidad para los proveedores críticos. |
| Intercambio de información | Mecanismos para intercambiar inteligencia sobre ciberamenazas con pares, cuando proceda, que retroalimentan la monitorización y la defensa. |
Estos ámbitos son interdependientes. La notificación de incidentes depende de la monitorización y la clasificación; el riesgo de terceros depende de un inventario preciso de las dependencias; las pruebas solo tienen sentido cuando los hallazgos alimentan la remediación. Una plataforma que los trata como tareas de cumplimiento separadas tiende a producir documentación sin capacidad real, que es precisamente lo que el marco pretende sacar a la luz.
Riesgo de terceros ICT y supervisión
Las plataformas cripto y de pago dependen en gran medida de la tecnología externa: alojamiento en la nube, servicios de custodia y de gestión de claves, conexiones de datos de mercado y de liquidez, proveedores de filtrado y verificación, y rieles de pago. DORA exige que cada una de estas dependencias se identifique, se evalúe y se gobierne, con especial atención a los servicios difíciles de sustituir a corto plazo.
El marco introduce además una supervisión europea directa de los mayores proveedores de tecnología del sector financiero. Las Autoridades Europeas de Supervisión han comenzado a designar a los proveedores terceros de servicios ICT críticos, situando a los grandes proveedores de nube e infraestructura bajo un régimen de supervisión formal. Para una plataforma, esto no elimina la responsabilidad. La obligación de comprender el riesgo de concentración, de mantener derechos contractuales adecuados y de prever la pérdida de un proveedor crítico sigue recayendo en la entidad regulada. Apoyarse en un proveedor designado no sustituye la propia planificación de resiliencia de la plataforma.
DORA y MiCA para las plataformas cripto
Para las plataformas cripto, DORA y MiCA operan de forma conjunta. MiCA regula la autorización y la conducta como proveedor de servicios de criptoactivos; DORA regula la resiliencia operativa de la tecnología que presta esos servicios. El período de transición de MiCA ha terminado. Los nuevos proyectos de criptoactivos en la UE deben diseñarse desde el principio para un modelo operativo de CASP autorizado. Ese modelo operativo incorpora ahora las expectativas de resiliencia de DORA como una característica permanente y no como un añadido posterior.
En la práctica, esto significa que las mismas decisiones de arquitectura sirven a ambos marcos. Una propiedad clara de los sistemas, un despliegue controlado, una infraestructura monitorizada, una recuperación probada y unas relaciones con terceros gobernadas respaldan la autorización MiCA y satisfacen DORA en paralelo. Tratarlos como un único programa de ingeniería, en lugar de como dos ejercicios de cumplimiento separados, suele ser más eficiente y produce evidencias más coherentes.
Cómo es una arquitectura lista para DORA
Una plataforma lista para DORA es aquella cuyo diseño presupone la interrupción y produce evidencias como subproducto de la operación normal. A alto nivel, esto supone una infraestructura que el operador puede observar y controlar, procesos de despliegue y de cambio que dejan un registro auditable, mecanismos de recuperación probados en lugar de supuestos, y una visión mantenida de los servicios externos de los que depende la plataforma. Un despliegue dedicado o en las propias instalaciones puede reforzar esta posición al mantener la propiedad y el acceso de auditoría en manos del operador; el modelo adecuado depende, no obstante, de la escala y del apetito de riesgo.
Nada de esto se reduce a comprar una única herramienta. La resiliencia es una propiedad de cómo se organizan los sistemas, los procesos y los proveedores, y debe mantenerse a medida que la plataforma cambia. No emitimos dictámenes jurídicos ni garantizamos autorizaciones. Implementamos los requisitos regulatorios y de auditoría en la tecnología, la infraestructura y las operaciones, de modo que una plataforma cripto o de pago pueda mostrar — y no solo afirmar — que opera dentro de las expectativas de resiliencia que fija DORA.
Resumen y próximos pasos
DORA ha convertido la resiliencia operativa en un resultado supervisado para las plataformas cripto y de pago en toda la Unión Europea. El marco se aplica ya, se aplica a los CASP autorizados conforme a MiCA y a las entidades de dinero electrónico y de pago, y favorece a las plataformas que integran resiliencia y evidencias en su arquitectura en lugar de añadirlas después. Para los nuevos proyectos, la vía más eficiente consiste en alinear desde el principio el programa tecnológico con DORA y MiCA de forma conjunta.
Las organizaciones que planifican o revisan una plataforma en la UE pueden empezar por nuestro enfoque de la preparación regulatoria en la UE y, cuando la cuestión es cómo estructurar la construcción, por nuestra asesoría de arquitectura fintech.
Integre la resiliencia y las evidencias en la plataforma, no a su alrededor. Grumpio estructura la tecnología cripto y de pago en torno a los requisitos que los supervisores y los auditores examinan realmente.