Cumplimiento de la normativa DORA

Desarrolla una verdadera resiliencia operativa digital

evoila ayuda a las entidades financieras y a sus proveedores de TIC a cumplir con los requisitos de DORA, la gestión de riesgos de TIC, la notificación de incidentes y las pruebas basadas en amenazas que resistan cualquier escrutinio.

Evalúa tu grado de preparación para la DORA

La ley DORA ya está en vigor. Esto es lo que exige realmente

DORA convierte la resiliencia operativa digital en un requisito obligatorio para las entidades financieras y los proveedores de TIC críticos en toda la UE. No se trata de un simple ejercicio de cumplimiento puntual. Requiere una gestión continua de los riesgos de las TIC, una notificación estructurada de incidentes, pruebas de resiliencia y supervisión de los riesgos de terceros. evoila te ayuda a convertir estos requisitos en un marco operativo con responsabilidades claras, controles bien definidos y pruebas que se mantengan firmes ante cualquier inspección.

  • Un análisis claro de las deficiencias en relación con los cinco pilares de DORA
  • Gestión de riesgos de las TIC y notificación de incidentes adaptadas a las expectativas de los organismos de supervisión
  • Una guía para las pruebas de penetración basadas en amenazas (TLPT) para las entidades incluidas en el ámbito de aplicación

Las inspecciones regulatorias ya no son una preocupación para el futuro

Si no puedes demostrar tu marco de resiliencia, no solo te expones a las conclusiones, sino también a la propia auditoría.

El reto

Tienes que demostrar tu capacidad de recuperación constantemente

DORA sustituye un mosaico de normas nacionales por una única norma de la UE muy exigente para el sector financiero y se basa en pruebas, no en buenas intenciones. Las entidades deben demostrar una gestión sólida de los riesgos de TIC, clasificar y notificar los incidentes en plazos muy ajustados, poner a prueba su resiliencia operativa (incluidas pruebas avanzadas basadas en amenazas) y gestionar activamente los riesgos de TIC de terceros. Muchas instituciones ya tienen algunos de estos elementos en marcha, pero no como un marco integrado y supervisable. Los proveedores de TIC del sector también se ven afectados. Las consecuencias de no cumplir los requisitos:

Controles de riesgos de las TIC fragmentados

La mayoría de las organizaciones tienen políticas. Pocas cuentan con una estructura de gobernanza que se ajuste claramente a los cinco pilares de DORA. Las deficiencias se hacen evidentes justo cuando más cuestan: durante una inspección de supervisión.

Notificación de incidentes bajo presión

Los plazos de clasificación y notificación de incidentes de DORA son muy estrictos. Si no hay un flujo de trabajo integrado desde la detección hasta la notificación, el tiempo se agota antes de que los datos estén listos.

Pruebas que tienen que ir más allá

Los análisis de vulnerabilidades no son suficientes. Las entidades importantes deben realizar pruebas de penetración basadas en amenazas (TLPT) según el marco TIBER-EU. Preparar y llevar a cabo estas pruebas requiere unos conocimientos profundos de seguridad ofensiva que la mayoría de los equipos de cumplimiento normativo no tienen a nivel interno.

El riesgo de terceros que no puedes pasar por alto

Tu resiliencia depende en gran medida de la solidez de tus proveedores clave de TIC. La normativa DORA exige un registro de información, procesos de supervisión y controles contractuales. El riesgo de concentración es un aspecto específico en el que se centra la supervisión.

La buena noticia: los cinco pilares de DORA se corresponden directamente con una hoja de ruta estructurada para su implementación

Si ya tienes la norma ISO 27001 implantada, ya tienes a tu alcance una parte importante del marco necesario.

Nuestra solución

Un marco práctico que abarca los cinco pilares de DORA


En evoila, estructuramos el trabajo de DORA en torno a sus cinco pilares, para que no se pase nada por alto y todo quede documentado. Evaluamos tu situación actual, creamos los componentes que faltan en el marco y demostramos la resiliencia mediante pruebas, combinando nuestra experiencia en GRC con ingeniería de seguridad práctica. No nos limitamos a ninguna herramienta en concreto y nos basamos en una estructura reconocida conforme a la norma ISO 27001. Para el pilar de pruebas avanzadas, nos conectamos directamente con nuestra práctica de seguridad ofensiva. Nuestros servicios DORA incluyen:

Marco de gestión de riesgos de las TIC

Gobernanza, políticas y controles que se ajustan a los requisitos de DORA

Gestión y notificación de incidencias

procesos de clasificación y presentación de informes diseñados para cumplir los plazos de DORA, vinculados a la detección

Pruebas de resiliencia operativa digital

desde evaluaciones de vulnerabilidad hasta pruebas de penetración basadas en amenazas (TLPT)

Riesgo de terceros en el ámbito de las TIC

registro de información, procesos contractuales y de supervisión para proveedores clave

Evaluación de las carencias y hoja de ruta

situación actual respecto a los cinco pilares, ordenada por orden de prioridad en cuanto a la preparación para la supervisión

Análisis técnico en profundidad

Los pilares de DORA como marco operativo

DORA es un método muy detallado y técnico. Lo difícil es convertir los requisitos en un marco que funcione en el día a día y que genere pruebas cuando sea necesario.

Gestión de riesgos en las TIC

Correlacionamos los requisitos de DORA con los controles de la norma ISO 27001, de modo que un SGSI se convierte en el núcleo operativo que demuestra la gobernanza, la gestión de activos y las medidas de protección.

Véase también la norma ISO 27001 y la solución ISMS

Clasificación y notificación de incidentes

Aplicamos criterios para clasificar los incidentes relacionados con las TIC y un flujo de trabajo de notificación que se ajusta a los plazos de DORA, vinculado a la supervisión y la detección, para que los datos ya estén disponibles cuando empiece a correr el plazo.

Pruebas de resistencia

DORA exige un programa de pruebas; las entidades importantes deben realizar pruebas de penetración basadas en amenazas siguiendo marcos como TIBER-EU. evoila ofrece todo el abanico de pruebas, desde la evaluación de vulnerabilidades hasta simulacros de ataque (red teaming) basados en amenazas, alineados con el modelo MITRE ATT&CK.

Riesgos de las TIC relacionados con terceros

Te ayudamos a crear el registro de información, a evaluar el riesgo de concentración y a estructurar los controles contractuales y de seguimiento que exige la DORA para los proveedores clave.

Para proveedores de TIC

Si trabajas en el sector financiero, te ayudamos a demostrar tu propia resiliencia para que tus clientes puedan confiar en ti en el marco de la DORA.

Ventajas técnicas

Esto es lo que obtienes en los cinco pilares

1. Marco de gestión de riesgos de las TIC

gobernanza, políticas y controles que cumplan con los requisitos de DORA

2. Flujo de trabajo de incidencias listo para generar informes

Clasificación y presentación de informes adaptadas a los plazos de DORA, integradas con la detección desde el primer día.

3. Funcionalidad TLPT

Pruebas de resiliencia basadas en TIBER-EU y MITRE ATT&CK, realizadas por nuestro equipo de seguridad ofensiva.

4. El riesgo de terceros, bajo control

Registro de información, procesos de supervisión y evaluación del riesgo de concentración, elaborado según las normas de supervisión.

5. Estructura básica de la norma ISO 27001

Un núcleo operativo que da servicio tanto a DORA como a la norma. Es una opción eficiente para las organizaciones que ya cuentan con la certificación.

6. Evaluación de las carencias y hoja de ruta

Situación actual respecto a los cinco pilares, ordenados por prioridad en cuanto a la preparación para la supervisión

Tu socio ideal

GRC y Offensive Security. Un solo equipo, no dos proveedores.

DORA abarca tanto la gobernanza como las pruebas técnicas exhaustivas. Pocos socios cubren ambos ámbitos.

evoila pone en contacto a consultores de GRC con equipos de seguridad ofensiva y de SOC/MDR, para que podamos desarrollar tu marco de riesgos de TIC y llevarte a cabo las pruebas de resiliencia que exige la DORA, incluyendo una vía hacia el TLPT. No dependemos de herramientas concretas, nos basamos en la reconocida norma ISO 27001 (la propia evoila cuenta con la certificación ISO 27001) y vinculamos la notificación de incidentes con la detección real. Si eres proveedor de TIC para el sector, te ayudamos a convertirte en el eslabón de confianza en la cadena DORA de tus clientes.

Operaciones con certificación ISO 27001

Cumplimos con los mismos estándares operativos que ayudamos a nuestros clientes a poner en práctica.

Experiencia técnica en todo el grupo evoila

Los especialistas en seguridad, la nube y GRC colaboran cuando DORA requiere tanto gobernanza como implementación técnica.

Práctica de seguridad ofensiva para la realización del TLPT

Pruebas de seguridad (red teaming) y cumplimiento normativo, todo bajo un mismo techo, sin subcontrataciones.

Independiente de herramientas, sin dependencia de un proveedor concreto

Creamos lo que mejor se adapta a tu entorno, no a nuestra cartera de socios.


Servicios y ofertas de bienvenida

Empieza como mejor te venga

1 | Evaluación de deficiencias de DORA

Una evaluación detallada de tu gestión de riesgos de TIC, controles de resiliencia, presentación de informes y riesgos de terceros. Obtendrás una visión clara de las carencias y una hoja de ruta con prioridades para estar preparado para DORA.

2 | Implementación y pruebas de DORA

Un programa por fases para poner en marcha los controles de DORA más importantes, recopilar pruebas válidas para una auditoría y preparar a tu organización para las pruebas de resiliencia y el escrutinio de los supervisores.

Tu resiliencia necesita pruebas, no solo buenas intenciones.

DORA está bajo supervisión. La revisión llegará. Asegúrate de que tu estructura esté lista antes de que llegue.

Evalúa tu grado de preparación para la DORA

Hagamos que DORA te resulte menos abrumador. Hablemos.

Desde las primeras evaluaciones hasta las pruebas más avanzadas, te ayudaremos a cumplir con los requisitos sin complicaciones innecesarias.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

Preguntas frecuentes

Preguntas frecuentes sobre el cumplimiento de la ley DORA

La normativa DORA se aplica a una amplia gama de entidades financieras (bancos, aseguradoras, empresas de inversión y de pagos) y a los proveedores de TIC esenciales que les prestan servicio. Si tienes dudas, hacemos una breve evaluación para confirmar tu situación y tus obligaciones.

Las pruebas de penetración basadas en amenazas simulan ataques reales contra tu entorno en producción. DORA exige a las entidades importantes que realicen pruebas avanzadas basadas en amenazas, normalmente bajo el marco TIBER-EU. evoila te ayuda a prepararlas y llevarlas a cabo.

La norma ISO 27001 es voluntaria; NIS2 y DORA son normativas vinculantes de la UE. La DORA se aplica específicamente al sector financiero y va más allá en materia de resiliencia operativa, pruebas y riesgos de terceros. Un SGSI conforme a la norma ISO 27001 es la base ideal para cumplirla.

Sí, en principio. La ley DORA amplía la supervisión a los proveedores externos de TIC que son fundamentales. Tus clientes del sector financiero te pedirán pruebas de tu resiliencia. Te ayudamos a desarrollarla y a demostrarla para que sigas siendo un proveedor viable.

Una evaluación de las deficiencias lleva semanas; desarrollar todo el marco y el programa de pruebas lleva varios meses, dependiendo del nivel de madurez. Establecemos prioridades en función del riesgo de supervisión, de modo que se aborden primero las áreas más expuestas.