DORA frente a NIS2: qué cubre ya un programa NIS2
Para las entidades financieras de la UE, DORA sustituye a las normas de seguridad de NIS2. La mayor parte del trabajo es la misma; las diferencias están en el riesgo de terceros, las pruebas y la notificación.
Si trabaja en una entidad financiera de la UE, la pregunta no es si DORA o NIS2 se aplica a su programa de seguridad. NIS2 permite que un acto sectorial de la Unión con requisitos de ciberseguridad al menos equivalentes tenga prioridad, y para el sector financiero ese acto es el Reglamento sobre Resiliencia Operativa Digital, Reglamento (UE) 2022/2554, que se aplica desde el 17 de enero de 2025.
La pregunta práctica es otra: si ya ha construido un programa NIS2, o gestiona uno para el resto de su grupo, ¿cuánto se traslada? Nuestros datos responden a eso artículo por artículo.
El dato principal
De los 22 artículos de DORA, 20 (91%) se corresponden con algo en NIS2, 1 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Léalo como «dónde ya apunta su trabajo con NIS2», no como «completado». No hay ninguna correspondencia publicada que vincule DORA con NIS2, así que cada vínculo aquí es editorial de ControlMapping: hemos asignado DORA a nivel de párrafo y punto a los mismos temas de seguridad del Reglamento de Ejecución de NIS2, y el motivo de cada vínculo se muestra en la página del requisito.
DORA artículo por artículo
| DORA | Requisito | Coincidencia | NIS2 |
|---|---|---|---|
| Art.5(2)(a) | Governance and organisation | Editorial | 2.17.11.22.2 |
| Art.6(1) | ICT risk management framework | Editorial | 2.17.113.113.2 |
| Art.7 | ICT systems, protocols and tools | Sin correspondencia en nuestros datos | — |
| Art.8(1) | Identification | Editorial | 12.112.42.16.5 |
| Art.9(1) | Protection and prevention | Editorial | 3.212.212.31.1 |
| Art.10(1) | Detection | Editorial | 3.23.410.210.4 |
| Art.11(1) | Response and recovery | Editorial | 4.14.33.13.5 |
| Art.12(1) | Backup policies and procedures, restoration and recovery procedures and methods | Editorial | 4.24.1 |
| Art.13(1) | Learning and evolving | Editorial | 3.53.68.18.2 |
| Art.14(1) | Communication | Editorial | 4.3 |
| Art.16(1) | Simplified ICT risk management framework | Editorial | 2.17.1 |
| Art.17(1) | ICT-related incident management process | Editorial | 3.13.54.3 |
| Art.18(1) | Classification of ICT-related incidents and cyber threats | Editorial | 3.13.33.5 |
| Art.19(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | Editorial | 3.3 |
| Art.24(1) | General requirements for the performance of digital operational resilience testing | Editorial | 2.17.1 |
| Art.25(1) | Testing of ICT tools and systems | Editorial | 6.56.10 |
| Art.26(1) | Advanced testing of ICT tools, systems and processes based on TLPT | Editorial | 6.56.10 |
| Art.27(1) | Requirements for testers for the carrying out of TLPT | Editorial | 6.56.10 |
| Art.28(2) | General principles | Editorial | 5.16.15.2 |
| Art.29(1) | Preliminary assessment of ICT concentration risk at entity level | Editorial | 5.16.1 |
| Art.30(2) | Key contractual provisions | Editorial | 5.15.26.112.5 |
| Art.45(1) | Information-sharing arrangements on cyber threat information and intelligence | 2.14.36.10 |
La coincidencia es amplia porque ambos textos describen el mismo programa: un marco documentado de gestión de riesgos, identificación de activos, protección y detección, gestión de incidentes, continuidad de negocio y seguridad de proveedores. Cuando DORA tiene un equivalente directo en el Reglamento de Ejecución, coincide el tema; el detalle, a menudo, no.
Lo que añade DORA
- Un registro de información. El artículo 28, apartado 3, exige un registro de todos los acuerdos contractuales para servicios TIC, mantenido a nivel de entidad y de grupo, con informes anuales a la autoridad competente. NIS2 le pide gestionar la seguridad de los proveedores; no exige un registro regulado.
- Cláusulas contractuales obligatorias. El artículo 30 enumera lo que debe contener todo contrato de servicios TIC, incluidos el lugar de tratamiento de los datos, el acceso a los datos y su devolución, la asistencia en caso de incidente sin coste adicional o con un coste fijado de antemano, y los derechos de resolución. Los contratos para funciones críticas o importantes añaden derechos de auditoría, participación en pruebas dirigidas por amenazas y periodos de salida.
- Riesgo de concentración y salida. Antes de contratar, el artículo 29 pregunta si un proveedor sería difícil de sustituir y cómo afectan las cadenas de subcontratación; el artículo 28, apartado 8, exige estrategias de salida probadas para funciones críticas o importantes.
- Pruebas de penetración dirigidas por amenazas. Las entidades seleccionadas por su autoridad deben ejecutar TLPT sobre sistemas de producción en vivo al menos cada tres años (artículo 26), con probadores que cumplan los requisitos del artículo 27. El Reglamento de Ejecución de NIS2 le pide evaluar la eficacia de sus medidas; no prescribe TLPT.
- Clasificación de incidentes e informes por fases. El artículo 18 fija los criterios que determinan si un incidente es grave, y el artículo 19 exige una notificación inicial, informes intermedios y un informe final. NIS2 tiene su propio plazo: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. Si notifica con ambos regímenes en distintas partes de un grupo, mantenga dos procedimientos.
- Funciones del órgano de administración. Ambos hacen responsable a la dirección. DORA detalla lo que el órgano de administración debe aprobar, desde la estrategia de resiliencia operativa digital hasta la política sobre servicios TIC prestados por terceros (artículo 5, apartado 2).
La otra dirección
De los 49 puntos de requisito de NIS2, 44 (90%) se corresponden con algo en DORA, 5 solo guardan una relación tangencial y 0 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Partiendo de DORA, el Reglamento de Ejecución de NIS2 añade poco que sea nuevo en sustancia. Algunos puntos de requisito solo comparten un resultado general con DORA en nuestros datos, normalmente porque DORA cubre el tema en sus normas técnicas, que no asignamos. Revíselos:
| NIS2 | Requisito | Coincidencia | DORA |
|---|---|---|---|
| 6.2 | Secure development life cycle | Art.8(1)Art.8(4)Art.8(6) | |
| 6.3 | Configuration management | Art.28(8)Art.30(2) | |
| 6.9 | Protection against malicious and unauthorised software | Art.9(1)Art.10(1)Art.10(3)Art.10(2) | |
| 10.1 | Human resources security | Art.5(4)Art.10(3)Art.13(6) | |
| 10.3 | Termination or change of employment procedures | Art.10(3) |
Si ya ha construido para NIS2
- Confirme qué régimen se aplica a cada entidad del grupo. Las entidades financieras siguen DORA; otras empresas del grupo pueden seguir bajo NIS2.
- Reutilice el núcleo. La evaluación de riesgos, los inventarios de activos, el control de acceso, el registro de eventos, la respuesta a incidentes y los planes de continuidad se trasladan; ajuste sus frecuencias de revisión a las de DORA (por ejemplo, el marco de gestión de riesgos TIC se revisa al menos una vez al año).
- Construya la capa de terceros. Empiece pronto el registro de información y revise sus plantillas de contrato frente al artículo 30. Suele ser la mayor parte del trabajo nuevo.
- Planifique las pruebas. Aunque su autoridad no le haya seleccionado para TLPT, el artículo 24 exige un programa de pruebas, con pruebas anuales de los sistemas que respaldan funciones críticas o importantes.
- Separe los procedimientos de notificación cuando ambos regímenes se apliquen en el grupo.
Puntos clave
- El trabajo con NIS2 cubre la mayor parte de la materia de DORA; el análisis de brechas lo muestra requisito por requisito.
- El trabajo distintivo de DORA es el riesgo de terceros: el registro, las cláusulas contractuales, la concentración de riesgo y la salida.
- Las pruebas de penetración dirigidas por amenazas y la clasificación de incidentes de DORA no tienen equivalente en NIS2.
Próximos pasos
La página del marco DORA enumera cada artículo que asignamos con su texto oficial, la comparativa NIS2 vs DORA muestra ambas direcciones completas, y nuestra guía de NIS2 cubre el lado de NIS2.
Preguntas
¿Debe una entidad financiera cumplir tanto DORA como NIS2?
Para su gestión del riesgo TIC y la notificación de incidentes, una entidad financiera dentro del ámbito de DORA sigue DORA: NIS2 permite que un acto sectorial de la Unión con requisitos al menos equivalentes tenga prioridad, y DORA es ese acto para el sector financiero. Los grupos que también incluyen entidades no financieras, y los proveedores TIC que atienden a bancos, pueden seguir cumpliendo ambos.
¿Existe una correspondencia oficial entre DORA y NIS2?
No hay ninguna correspondencia publicada que vincule ambos. Los vínculos de ControlMapping son editoriales: hemos asignado DORA, a nivel de párrafo y punto, a los mismos temas de seguridad del Reglamento de Ejecución de NIS2, y cada vínculo muestra su motivo.
¿Qué exige DORA que NIS2 no exige?
Principalmente un registro de información sobre todos los contratos de servicios TIC, una lista detallada de cláusulas contractuales obligatorias, una evaluación del riesgo de concentración TIC, estrategias de salida y pruebas de penetración dirigidas por amenazas al menos cada tres años para las entidades que selecciona su autoridad.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-13Requisitos de MFA comparados en 11 marcos de seguridadQué marcos exigen MFA, a quién y con qué rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 y HIPAA, comparados en paralelo.