DORA vs NIS2
Comparativa entre el marco de resiliencia digital del sector financiero de la UE y su directiva de ciberseguridad intersectorial
Comparativa rápida
Visión comparada de las principales dimensiones regulatorias
| Dimensión | DORA | NIS2 |
|---|---|---|
| Instrumento jurídico | Reglamento (UE) 2022/2554, directamente aplicable en todos los Estados miembros | Directiva (UE) 2022/2555, que requiere la transposición nacional por cada Estado miembro |
| Ámbito | Solo el sector financiero: bancos, aseguradoras, empresas de servicios de inversión, entidades de pago, proveedores de servicios de criptoactivos y proveedores terceros críticos de servicios TIC | Intersectorial: entidades esenciales e importantes de 18 sectores, como la energía, el transporte, la sanidad, las infraestructuras digitales, la administración pública y otros |
| Objetivo principal | Garantizar la resiliencia operativa digital de las entidades financieras frente a interrupciones de las TIC y ciberataques | Alcanzar un elevado nivel común de ciberseguridad en toda la UE para las redes y los sistemas de información |
| Gestión de riesgos | Marco detallado de gestión del riesgo de las TIC con requisitos prescriptivos de identificación, protección, detección, respuesta, recuperación y aprendizaje | Enfoque basado en el riesgo que exige medidas técnicas, operativas y organizativas adecuadas y proporcionadas al riesgo |
| Notificación de incidentes | Notificación en tres fases a los supervisores financieros: notificación inicial (en las 4 horas siguientes a la clasificación), informe intermedio (en 72 horas) e informe final (en 1 mes) | Alerta temprana en 24 horas, notificación completa del incidente en 72 horas e informe final en 1 mes a los CSIRT nacionales o a las autoridades competentes |
| Pruebas de resiliencia | Programa obligatorio de pruebas de resiliencia operativa digital, con pruebas de penetración basadas en amenazas (TLPT) cada 3 años para las entidades significativas | No prescribe un régimen de pruebas específico; las medidas de seguridad deben ser adecuadas, pero los requisitos de pruebas se dejan a la aplicación nacional |
| Gestión de terceros | Marco integral del riesgo de las TIC derivado de terceros, con cláusulas contractuales obligatorias, registro de proveedores terceros y supervisión a escala de la UE de los proveedores TIC críticos | Requisitos de seguridad de la cadena de suministro, incluida la diligencia debida sobre los proveedores, pero menos prescriptivos que DORA en cuanto a mecanismos contractuales y de supervisión concretos |
| Sanciones | Las determinan los Estados miembros; para los proveedores TIC críticos, hasta el 1 % de la facturación diaria media mundial por cada día de incumplimiento (máximo 6 meses) | Entidades esenciales: multas máximas nacionales de al menos 10 millones de euros o el 2 % de la facturación anual mundial, la cifra mayor; entidades importantes: al menos 7 millones de euros o el 1,4 % |
Diferencias clave
Lo que distingue a estas normativas
- DORA
DORA es lex specialis para los servicios financieros
DORA prevalece sobre NIS2 para las entidades financieras. Cuando ambas normativas regulan lo mismo, como la notificación de incidentes o la gestión de riesgos de ciberseguridad, las entidades financieras deben seguir los requisitos más prescriptivos de DORA en lugar de los de NIS2.
- NIS2
NIS2 abarca 18 sectores, no solo el financiero
NIS2 se aplica de forma amplia a la energía, el transporte, la sanidad, el agua, las infraestructuras digitales, la administración pública, el espacio, los servicios postales, la gestión de residuos, la fabricación, la alimentación y la química, mucho más allá del foco financiero de DORA.
- DORA
DORA exige pruebas de penetración avanzadas
DORA exige a las entidades financieras significativas realizar pruebas de penetración basadas en amenazas (TLPT) conforme al marco TIBER-EU al menos cada tres años. NIS2 no prescribe una metodología ni una frecuencia de pruebas concretas.
- NIS2
NIS2 fija niveles mínimos para las multas máximas
NIS2 obliga a los Estados miembros a fijar multas máximas de al menos 10 millones de euros o el 2 % de la facturación para las entidades esenciales, la cifra mayor, mientras que DORA deja la mayoría de las cuantías a la discreción nacional y solo especifica multas coercitivas para los proveedores TIC críticos.
- DORA
DORA crea un marco de supervisión directa de la UE para los proveedores TIC críticos
DORA establece un mecanismo único de supervisor principal a través del cual las Autoridades Europeas de Supervisión supervisan directamente a los proveedores terceros críticos de servicios TIC. NIS2 confía la aplicación a las autoridades nacionales competentes.
- NIS2
NIS2 introduce la responsabilidad personal de la alta dirección
NIS2 permite expresamente a los Estados miembros exigir responsabilidad personal a los órganos de dirección por los incumplimientos e inhabilitar temporalmente a personas para cargos directivos. DORA exige la rendición de cuentas de la dirección, pero no llega tan lejos en materia de responsabilidad personal.
Dónde se solapan
Ámbitos en los que ambas normativas coinciden
- Ambas exigen a las organizaciones implantar medidas de gestión de riesgos de ciberseguridad, con gobernanza al más alto nivel de dirección
- Ambas obligan a notificar a tiempo los incidentes a las autoridades competentes mediante procesos de notificación en varias fases
- Ambas tratan la gestión del riesgo de la cadena de suministro y de terceros como un componente crítico de la postura de ciberseguridad
- Ambas hacen responsable a la alta dirección de la gobernanza y el cumplimiento en materia de ciberseguridad
- Ambas fomentan el intercambio de información sobre ciberamenazas entre entidades para reforzar la resiliencia colectiva
¿Cuál se aplica a tu caso?
Escenarios habituales y qué normativa prevalece
Eres un banco o una aseguradora que opera en la UE
DORA es tu principal obligación de cumplimiento y prevalece como lex specialis. Aun así, también debes evaluar NIS2 en los aspectos que DORA no cubre específicamente, sobre todo si la transposición nacional añade requisitos.
Eres una empresa tecnológica que presta servicios en la nube a entidades financieras
Puedes estar sujeta tanto a DORA (como proveedor tercero crítico de servicios TIC para el sector financiero) como a NIS2 (como proveedor de infraestructura digital). Debes cumplir los requisitos contractuales y de supervisión de DORA que te trasladan tus clientes financieros y, a la vez, las obligaciones de NIS2.
Eres un proveedor sanitario o una empresa energética en la UE
NIS2 es tu principal normativa de ciberseguridad. DORA no se aplica a tu sector. Céntrate en los requisitos de NIS2 de gestión de riesgos, notificación de incidentes y seguridad de la cadena de suministro tal como se hayan transpuesto en tu Estado miembro.
Eres una fintech que también presta servicios de infraestructura digital
Probablemente estés sujeta a DORA y a NIS2. Identifica con cuidado los requisitos que se solapan: DORA prevalece en tus actividades de servicios financieros, mientras que NIS2 se aplica a tu papel más amplio como infraestructura digital. Un enfoque de cumplimiento integrado reducirá las duplicidades.
Preguntas frecuentes
Preguntas habituales sobre estas normativas
Lee las guías completas
Más comparativas
Gestiona DORA y NIS2 a la vez con Reversa
Gestiona las obligaciones de ciberseguridad que se solapan desde una única plataforma. Identifica controles comunes, elimina el trabajo duplicado y sigue los cambios de ambos marcos.
- 01Reunión inicial
- 02Demostración sobre tu caso
- 03Despliegue en semanas