DORA frente a NIS2: qué obligaciones se aplican a tu organización
Dos normativas dominan hoy las conversaciones de los equipos europeos de seguridad y cumplimiento: DORA, el Reglamento sobre resiliencia operativa digital, y NIS2, la segunda Directiva sobre seguridad de las redes y la información. Ambas abordan la ciberresiliencia. Ambas dan un peso importante al riesgo de terceros. Y con frecuencia se confunden entre sí, lo que puede llevar a las organizaciones a duplicar esfuerzos o, peor, a dejar lagunas sin cubrir. Este artículo expone con claridad qué exige cada normativa y cómo se relacionan.
Dos orígenes distintos, una preocupación compartida
NIS2 es una directiva que abarca dieciocho sectores críticos de la Unión Europea, desde la energía y el transporte hasta las infraestructuras digitales y la administración pública. Al ser una directiva y no un reglamento, debe transponerse al derecho nacional, lo que significa que el calendario de aplicación y los requisitos concretos pueden variar algo según el país.
DORA, en cambio, es un reglamento que se aplica directa y uniformemente en toda la Unión Europea a veinte categorías de entidades financieras, entre ellas bancos, aseguradoras, empresas de inversión y proveedores de servicios de criptoactivos. No requiere transposición nacional y sus requisitos sobre gestión del riesgo de TIC y supervisión de terceros son considerablemente más detallados que los de NIS2.
La relación jurídica entre ambas
El artículo 1, apartado 2, de DORA establece expresamente que DORA actúa como lex specialis para las entidades financieras incluidas en su ámbito de aplicación. En la práctica, esto significa que, cuando NIS2 y DORA regulan la misma materia, DORA prevalece para las entidades financieras. Un banco que cumple plenamente sus obligaciones de DORA habrá cumplido también, en la mayoría de los casos, los requisitos equivalentes de NIS2. NIS2 sigue aplicándose a cualquier ámbito que DORA no cubra específicamente.
Para las organizaciones ajenas al sector financiero, NIS2 se aplica en sus propios términos, y su obligación del artículo 21 de gestionar la seguridad de la cadena de suministro es el equivalente más cercano a lo que DORA exige, con mucho más detalle, a las entidades financieras.
Comparación de los requisitos sobre terceros
Con arreglo a DORA, las organizaciones deben mantener un registro de información que enumere cada tercero de TIC que dé soporte a funciones críticas o importantes, con el detalle de los subcontratistas, la ubicación de los datos y las estrategias de salida. Los proveedores deben evaluarse por su criticidad y los incidentes deben notificarse a la autoridad de supervisión financiera competente en un plazo breve, entendido en la práctica como veinticuatro horas.
Con arreglo a NIS2, la obligación sobre la cadena de suministro es menos prescriptiva en su redacción, pero exige igualmente que las entidades esenciales e importantes evalúen y gestionen las prácticas de seguridad de sus proveedores. Los plazos de notificación de incidentes son en la práctica muy similares, aunque la autoridad receptora difiere de la de DORA.
Por qué esta distinción importa en el día a día
Saber qué normativa se aplica, y en qué medida, determina cómo debe estructurar un equipo su inventario de proveedores, sus plantillas de evaluación y sus flujos de informes. Una entidad financiera que crea un registro conforme con DORA puede, por lo general, ampliar la misma estructura para cumplir NIS2, siempre que la evaluación de criticidad y los elementos de la cadena de suministro estén claramente documentados. Una entidad no financiera sujeta únicamente a NIS2 puede aplicar una versión más ligera de la misma disciplina.
Este es precisamente el tipo de complejidad que una plataforma específica está diseñada para absorber. Cynapze permite a los equipos ejecutar un único programa de riesgo de terceros asociado a ambos marcos normativos a la vez, en lugar de mantener dos procesos paralelos y a menudo duplicados. Reservar una demo es una forma sencilla de ver cómo funciona esa asociación en la práctica.
Conclusión
DORA y NIS2 no son marcos normativos competidores. Son dos expresiones de la misma expectativa de fondo: que las organizaciones comprendan y gestionen activamente el riesgo que introducen sus terceros. Las entidades financieras deben tratar DORA como la norma principal y usar NIS2 para cubrir las lagunas restantes. Cualquier otra entidad regulada debe considerar NIS2 como la base. En ambos casos, la respuesta práctica es la misma: crear un programa claro y bien documentado en lugar de dos separados.
Habla con el equipo de Cynapze para ver cómo una sola plataforma puede respaldar el cumplimiento de ambas normativas.
