DORA y la formación en concienciación sobre seguridad: lo que el artículo 13 exige a todos los empleados (2026)

En resumen: La Ley de Resiliencia Operativa Digital (DORA, Reglamento (UE) 2022/2554) es de aplicación para bancos, aseguradoras, empresas de inversión, entidades de pago, fondos de pensiones y otras entidades financieras de la UE desde el 17 de enero de 2025. El artículo 13, apartado 6, establece que los programas de sensibilización sobre seguridad de las TIC y la formación en resiliencia operativa digital son módulos obligatorios en la formación del personal, tanto para todos los empleados como para la alta dirección, con un nivel de profundidad adecuado a cada función. El artículo 5 atribuye la responsabilidad final sobre los riesgos de las TIC al órgano de dirección, que debe presupuestar dicha formación y mantener sus propios conocimientos al día mediante formación periódica y específica. En los Países Bajos, el DNB y la AFM supervisan el cumplimiento y pueden imponer multas. Lo que quieren ver son pruebas: quién recibió formación, sobre qué, con qué frecuencia y si ello modificó el comportamiento.

Resumen de los requisitos de formación de DORA

La DORA no cuenta con un capítulo específico dedicado a la formación. Las obligaciones se recogen en varios artículos y en una norma técnica. Esto es lo que significan y lo que hay que exponer cuando el supervisor lo solicite.

¿A quiénes se aplica la DORA?

El artículo 2, apartado 1, enumera veinte tipos de entidades financieras. Entre ellas figuran: entidades de crédito, entidades de pago y de dinero electrónico, empresas de inversión, proveedores de servicios de criptoactivos, centros de negociación, gestores de fondos, aseguradoras, intermediarios de seguros, entidades de pensiones, agencias de calificación crediticia y plataformas de financiación colectiva.

Hay excepciones. Los intermediarios de seguros que sean microempresas, pequeñas o medianas empresas quedan fuera del ámbito de aplicación, al igual que las entidades de pensiones con un máximo de 15 afiliados en total. Las empresas de inversión pequeñas y no interconectadas, las entidades de pago y de dinero electrónico exentas y las pequeñas entidades de pensiones operan bajo un marco simplificado de riesgos de TIC, tal y como se establece en el artículo 16. Incluso ese régimen más flexible les exige desarrollar programas de sensibilización y formación en resiliencia para el personal y la dirección, «en función de las necesidades y del perfil de riesgo de TIC».

Los proveedores externos de servicios de TIC son el último punto de la lista. La mayoría está sujeta a la normativa DORA a través de los contratos con sus clientes. Los de mayor tamaño están supervisados directamente: el 18 de noviembre de 2025, las Autoridades Europeas de Supervisión publicaron la primera lista de proveedores externos críticos de TIC, compuesta por 19 empresas que abarcan desde la nube a hiperescala hasta el software financiero.

Los cinco pilares, en resumen

El artículo 1 establece el ámbito de aplicación de la DORA, que suele agruparse en cinco pilares:

• Gestión de riesgos de las TIC. Un marco documentado, gobernanza y controles (artículos 5 a 16). La formación se enmarca en este ámbito.
• Notificación de incidencias. Clasificar las incidencias graves relacionadas con las TIC y comunicarlas al supervisor.
• Pruebas de resiliencia operativa digital. Un programa de pruebas basado en el riesgo y, para las entidades designadas, pruebas de penetración orientadas a las amenazas al menos cada tres años (artículo 26).
• Riesgos de terceros en el ámbito de las TIC. Requisitos contractuales, un registro anual de información y la supervisión de los proveedores críticos.
• Intercambio de información. Intercambio voluntario de información sobre amenazas entre entidades financieras.

Lo que establece el artículo 13, apartado 6, sobre la formación

La frase clave es breve: «Las entidades financieras deberán desarrollar programas de sensibilización sobre seguridad de las TIC y formación en resiliencia operativa digital como módulos obligatorios en sus planes de formación del personal. Dichos programas y cursos de formación se aplicarán a todos los empleados y al personal directivo, y tendrán un nivel de complejidad acorde con el alcance de sus funciones».

Tres palabras lo dicen todo. «Obligatorio» significa que un curso de formación en línea opcional en la intranet no cumple los requisitos. «Todos» significa tanto la recepcionista como el director financiero, no solo una selección de puestos de alto riesgo. «Adecuada» significa que un módulo genérico para todos tampoco es suficiente: un desarrollador con acceso a producción necesita una formación más profunda que un compañero del departamento de instalaciones. El mismo párrafo añade que, cuando proceda, los proveedores externos de servicios de TIC deben incluirse en la formación, y el artículo 30, apartado 2, letra i), exige que los contratos establezcan las condiciones para ello.

El artículo 13 se titula «Aprender y evolucionar»: los incidentes y los resultados de las pruebas deben incorporarse al marco. Un programa que nunca cambia tras un incidente real de phishing no se ajusta a esa lógica.

Artículo 5: La junta directiva asume la responsabilidad

En virtud del artículo 5, apartado 2, el órgano de dirección define, aprueba, supervisa y es responsable de todo el marco de gestión de riesgos de las TIC. La letra a) le atribuye «la responsabilidad última de la gestión de los riesgos de las TIC de la entidad financiera». La letra g) le obliga a asignar y revisar periódicamente el presupuesto, incluyendo explícitamente los programas de sensibilización y formación a que se refiere el artículo 13, apartado 6.

El apartado 4 del artículo 5 se refiere a continuación a los propios miembros del consejo de administración: «deberán mantenerse activamente al día con los conocimientos y habilidades suficientes para comprender y evaluar el riesgo de las TIC y su impacto en las operaciones de la entidad financiera, incluso mediante la realización periódica de formación específica, acorde con el riesgo de las TIC que se gestione». La DNB incluyó esa frase en sus propias diapositivas dirigidas a las aseguradoras en noviembre de 2024. La misma lógica se aplica a la NIS2: nuestro artículo sobre la NIS2 y la responsabilidad del consejo de administración explica cómo funciona la responsabilidad personal en este contexto, y la formación de los ejecutivos muestra cómo puede ser un programa para el consejo de administración.

Qué esperan los supervisores: el ejemplo de DNB y la AFM

En los Países Bajos, el DNB y la AFM supervisan la aplicación de DORA. El DNB anunció en diciembre de 2024 que DORA sustituye a su documento «Good Practice Informatiebeveiliging 2023» para las entidades incluidas en su ámbito de aplicación, y que se aplica de forma basada en el riesgo y proporcional: cuestionarios, entrevistas e inspecciones in situ, respaldadas por medidas que van desde una carta hasta una multa. El Gobierno neerlandés confirma que ambos organismos supervisores pueden imponer multas a las entidades financieras que incumplan la normativa. En España, la supervisión de DORA corresponde al Banco de España, la CNMV y la Dirección General de Seguros y Fondos de Pensiones (DGSFP), cada uno en su ámbito.

La sensibilización no es una cuestión secundaria para ellos. En una presentación dirigida a las aseguradoras el 12 de noviembre de 2024, la DNB enumeró los resultados de sus inspecciones de 2024. Una de ellas: es necesario prestar más atención a los programas de formación y sensibilización. La AFM había publicado una ficha informativa a principios de ese año basada en una autoevaluación de 2023 realizada por 212 empresas de inversión. En cuanto al tema «sensibilización y formación», el 37 % aún no alcanzaba el nivel esperado. Esas cifras son anteriores a la DORA, pero muestran en qué ámbitos el supervisor esperaba que se trabajara: cabe esperar que la cuestión de la formación vaya acompañada de una solicitud de datos cuantitativos.

Relación entre DORA y NIS2

Muchas entidades financieras también son entidades esenciales o importantes en el marco de la Directiva NIS2. El artículo 1, apartado 2, de la DORA resuelve este solapamiento: para dichas entidades, la DORA se considera un acto jurídico de la Unión específico del sector en el sentido del artículo 4 de la Directiva NIS2. En la práctica, la DORA prevalece cuando ambas normativas regulan el mismo ámbito, razón por la cual a menudo se la denomina «lex specialis». El Gobierno neerlandés lo expresa claramente: cuando las normas se solapan, prevalecen las disposiciones de la DORA para las entidades financieras.

En los Países Bajos, la Directiva NIS2 se aplica a través de la Ley de Ciberseguridad (Cyberbeveiligingswet), en vigor desde el 15 de agosto de 2026. Para un banco o una aseguradora, esto significa que la DORA constituye el marco principal en materia de riesgos de TIC y formación, mientras que la Directiva NIS2 sigue siendo relevante para las entidades del grupo y los proveedores que no pertenecen al ámbito financiero. Nuestra guía sobre la Directiva NIS2 para 2026 aborda quiénes entran en su ámbito de aplicación, y la explicación de las diferencias entre la Directiva NIS1 y la NIS2 ilustra cómo se ha ampliado dicho ámbito. En España, la ley que transpone NIS2 todavía no se ha publicado en el BOE.

Un plan de implantación práctico

1. Asigna los roles a los riesgos. Enumera las funciones que conllevan autoridad para realizar pagos, acceso a la producción, datos de clientes o contacto con proveedores. Estas funciones se analizan con mayor detalle; todos reciben la información básica.
2. Deja constancia por escrito de la decisión del consejo de administración. El presupuesto, el alcance y el propio programa de formación del consejo deben quedar aprobados en el acta, tal y como exigen el artículo 5, apartado 2, letra g), y el artículo 5, apartado 4.
3. Haz que la línea de base sea obligatoria y continua. Un ritmo breve y recurrente a lo largo del año funciona mejor que un módulo anual y te proporciona datos cada mes.
4. Incorpora simulaciones de phishing y un canal de notificación. Analiza quién hace clic y quién lo notifica, y asegúrate de que todo el mundo sepa dónde debe informar.
5. Incorporar a los proveedores. Incluir la cláusula de formación prevista en el artículo 30, apartado 2, letra i), en los contratos de TIC nuevos y renovados.
6. Cierra el ciclo. Tras cada incidente grave o prueba, adapta el contenido, registra el cambio e inclúyelo en el informe anual dirigido al órgano de gestión.

Cómo las simulaciones de phishing y la formación continua aportan pruebas

La DORA no menciona expresamente las simulaciones de phishing. El artículo 25 enumera las pruebas que puede incluir un programa de pruebas de resiliencia, desde análisis de vulnerabilidades hasta pruebas basadas en escenarios, y deja la elección en manos de la entidad. Las simulaciones siguen siendo la forma más directa de demostrar que la formación modifica el comportamiento, y se ajustan a lo dispuesto en el artículo 13, apartado 4, que exige a las entidades supervisar la eficacia de su estrategia de resiliencia. Un certificado de finalización acredita que una persona ha completado un módulo. Una disminución de la tasa de clics y un aumento de la tasa de notificaciones indican que ha funcionado.

Ahí es también donde la formación continua da sus frutos. Con Guardey, cada empleado realiza un reto gamificado de unos tres minutos cada semana, los equipos compiten en una tabla de clasificación y se incluyen simulaciones de phishing. El resultado es un registro por persona y por semana, que puedes entregar al auditor en informes aceptados para NIS2, ISO 27001 y más de 40 marcos normativos adicionales. ¿Ya trabajas con la norma ISO 27001? Nuestra guía de formación en concienciación sobre seguridad según la norma ISO 27001 se adapta perfectamente a DORA.

Preguntas más frecuentes

¿Es obligatoria la formación en concienciación sobre seguridad según la ley DORA?

Sí. El artículo 13, apartado 6, establece que los programas de sensibilización sobre seguridad de las TIC y la formación en resiliencia operativa digital deben ser módulos obligatorios en la formación del personal, tanto para todos los empleados como para la alta dirección. Las entidades sujetas al régimen simplificado del artículo 16 también deben impartirlos, en función de sus necesidades y de su perfil de riesgo.

¿Es obligatorio que los miembros del consejo reciban formación en el marco de la DORA?

Sí. El artículo 5, apartado 4, exige a los miembros del órgano de dirección que mantengan al día sus conocimientos y competencias, entre otras cosas mediante la realización periódica de formación específica, en proporción al riesgo de TIC que se gestione.

¿Desde cuándo se aplica la ley DORA?

Desde el 17 de enero de 2025. DORA es un reglamento, por lo que se aplica directamente en todos los Estados miembros sin necesidad de transposición nacional.

¿Sustituye DORA a NIS2 para las entidades financieras?

Cuando ambas normativas regulen los mismos aspectos, prevalecerá la DORA. El artículo 1, apartado 2, establece que la DORA es la normativa sectorial aplicable a las entidades financieras que también sean entidades esenciales o importantes con arreglo a la NIS2.

¿Quién supervisa DORA en España?

El Banco de España, la CNMV y la DGSFP, cada uno para sus propias entidades. En los Países Bajos son DNB y la AFM. Las Autoridades Europeas de Supervisión supervisan a los proveedores terceros críticos de servicios TIC.