No es otro ISO. Es un reglamento europeo de obligado cumplimiento con plazos, sanciones y supervisores activos.
Miguel Ángel Carriazo
7 mayo 2026
9 min de lectura
Ficha rápida
Los contendientes de un vistazo
DORA
ISO 27001
Tipo
Reglamento UE 2022/2554 — aplicación directa
Norma internacional — voluntaria
En vigor
17 enero 2025
2005 / revisión 2022
Alcance
Entidades financieras y proveedores TIC críticos que operan en la UE — categorías de entidades financieras definidas en el artículo 2
Cualquier organización, sector y tamaño
Sanciones
Régimen de supervisión y sanciones conforme al Reglamento y al marco sectorial aplicable
Ninguna — es voluntaria
Diferencia clave vs NIS2
Reglamento — aplica igual en todos los estados miembro sin transposición nacional
—
Cinco pilares
Gestión de riesgos TIC, notificación de incidentes, pruebas de resiliencia, riesgo de terceros, intercambio de información
93 controles en Anexo A — enfoque SGSI
Relación entre ambos
ISO 27001 proporciona la base estructural. DORA exige que esa base funcione bajo supervisión regulatoria con requisitos mucho más específicos.
Reglamento financiero · Sistema de gestión
ISO 27001 aporta estructura; DORA exige resiliencia digital específica y supervisable
La comparación es una herramienta de decisión. El solapamiento ayuda a reutilizar controles; las diferencias determinan qué debes gobernar y demostrar.
DORA
Resiliencia operativa digital para el sector financiero
El Digital Operational Resilience Act es un reglamento europeo — no una directiva. Esto significa que aplica de forma directa e igual en todos los estados miembro desde el 17 de enero de 2025, sin posibilidad de interpretación nacional. A diferencia de NIS2, no hay transposición: lo que dice el texto es lo que se exige.
Aplica a las categorías de entidades financieras enumeradas en su artículo 2: bancos, aseguradoras, gestoras de activos, plataformas de trading, entidades de pago, fondos de inversión y proveedores críticos de servicios TIC que les dan soporte. Los proveedores TIC también pueden quedar afectados indirectamente por las obligaciones contractuales y de gestión de terceros de las entidades financieras.
Su objetivo no es proteger la información en sentido amplio. Es garantizar que las entidades financieras puedan resistir, responder y recuperarse de perturbaciones TIC sin interrumpir servicios críticos para el sistema financiero.
Lo que comparten
Dónde ISO 27001 da ventaja para DORA
Una organización con ISO 27001 bien implantado no parte de cero para DORA. Hay una base estructural aprovechable directamente.
Área
ISO 27001 aporta
Aplicación en DORA
Gestión de riesgos
Marco estructurado — cláusulas 6.1.2 y 6.1.3
Base para el marco de gestión de riesgos TIC del Art. 6 DORA
Gestión de incidentes
Proceso completo — A.5.24 a A.5.28
Base para clasificación y notificación de incidentes del Art. 17–23 DORA
Gestión de proveedores
Controles A.5.19 a A.5.23
Base para gestión de riesgo de terceros TIC del Art. 28–44 DORA
Continuidad operativa
A.5.29, A.5.30
Base para planes de continuidad TIC del Art. 11 DORA
Auditoría y mejora
Cláusulas 9.1, 9.2, 9.3
Base para revisión y evaluación del marco de resiliencia
Inventario de activos
A.5.9 — inventario de activos de información
Base para el Registro de Información DORA — pero con requisitos de formato específicos
Los gaps que más duelen
Donde DORA exige mucho más que ISO 27001
Aquí está el núcleo de la batalla. Cuatro áreas donde ISO 27001 proporciona un punto de partida pero DORA eleva el listón de forma significativa.
Área
ISO 27001
DORA
Pruebas de resiliencia
Pruebas periódicas recomendadas — sin requisitos de frecuencia ni metodología específicos
Pruebas continuas y rigurosas obligatorias: vulnerabilidades, pentesting, simulaciones de escenario. Las entidades significativas deben realizar TLPT (Threat-Led Penetration Testing) con metodología TIBER-EU
Notificación de incidentes
Proceso de gestión documentado — sin plazos regulatorios ni formato obligatorio
Notificación inicial dentro de las ventanas regulatorias aplicables tras la clasificación como grave; informe intermedio y final conforme al marco de reporting DORA y sus normas técnicas
Riesgo de terceros TIC
Gestión de proveedores documentada — A.5.19 a A.5.23
Due diligence exhaustivo, cláusulas contractuales específicas obligatorias, estrategias de salida documentadas, visibilidad de subcontratistas, supervisión directa de proveedores críticos por el regulador
Registro de Información
Inventario de activos — formato libre, uso interno
Registro de Información en formato legible por máquina (XML o CSV), remisible al supervisor. No es una lista interna — es un documento regulatorio
Implicación del órgano de dirección
Liderazgo y compromiso exigido — cláusula 5.1
El órgano de dirección aprueba, supervisa y es responsable directo del marco de resiliencia TIC. Formación específica obligatoria en riesgos TIC para la alta dirección
Intercambio de información
Discrecional según partes interesadas
DORA fomenta acuerdos de intercambio de información sobre ciberamenazas entre entidades del sector financiero — con garantías de confidencialidad específicas
¿Cuándo aplica cada uno?
La decisión en una tabla
Situación
DORA
ISO 27001
Entidad financiera en la UE
✓ Obligatorio desde enero 2025
✓ Mejor base estructural para cumplirlo
Proveedor TIC crítico de entidad financiera
✓ Supervisión directa del regulador europeo
✓ Exigido contractualmente por tu cliente financiero
Proveedor TIC no crítico de entidad financiera
Te alcanza vía cláusulas contractuales del Art. 28
✓ Respuesta más sólida ante tu cliente
Entidad financiera fuera de la UE con clientes en la UE
✓ DORA aplica igualmente
✓ Base recomendable
Organización fuera del sector financiero
No aplica directamente
✓ ISO 27001 es la referencia
Ya tienes ISO 27001 y eres entidad DORA
Haz el gap analysis. Tu base cubre parte — pero TLPT, Registro de Información y notificación con plazos son nuevos.
Cubre la estructura. Los cuatro gaps críticos de DORA requieren trabajo adicional específico.
El aviso que más se ignora
El mapping ISO 27001 → DORA no garantiza cumplimiento
Hay un error muy extendido: hacer un mapping de controles ISO 27001 contra los artículos de DORA y concluir que el solapamiento equivale a cumplimiento. No equivale.
DORA es un reglamento con requisitos prescriptivos que van más allá de cualquier control ISO. El Threat-Led Penetration Testing con metodología TIBER-EU no tiene equivalente en ISO 27001. El Registro de Información en formato XML/CSV remisible al supervisor no es un inventario de activos. Las ventanas regulatorias de reporting y la clasificación DORA no quedan demostradas por un proceso genérico de incidentes.
El mapping es un punto de partida útil para identificar dónde ya tienes base y dónde tienes brecha. No es una declaración de cumplimiento.
Los supervisores europeos — autoridades competentes y Autoridades Europeas de Supervisión — ya están activos. Esperan evidencia operativa, no documentación de políticas.
Cómo decidir
La certificación puede darte ventaja, pero el gap debe hacerse contra DORA y sus normas técnicas
DORA se aplica desde el 17 de enero de 2025 y establece requisitos uniformes de resiliencia operativa digital para entidades financieras dentro de su ámbito. ISO 27001 puede proporcionar una base madura de gobierno, evaluación del riesgo, incidentes, proveedores, continuidad y mejora. Esa base es valiosa, pero el análisis debe bajar a los requisitos específicos de DORA.
El marco DORA incluye obligaciones detalladas sobre gestión del riesgo TIC, clasificación y reporting de incidentes, programa de pruebas de resiliencia, riesgo de terceros TIC y registro de información contractual. Para determinadas entidades identificadas por la autoridad competente, el TLPT añade una capa avanzada de pruebas guiadas por amenazas.
No mediría “porcentaje de cobertura ISO”. Mediría qué procesos DORA ya tienen soporte maduro y qué requisitos específicos siguen sin evidencia.
Ref.
Qué revisaría
Qué necesito demostrar
DEC-01
Marco de riesgo TIC
Qué procesos del SGSI se reutilizan y qué ajustes DORA necesitan.
DEC-02
Incidentes
Clasificación y reporting conforme a criterios y ventanas regulatorias aplicables.
DEC-03
Terceros TIC
Contratos, funciones críticas, subcontratación y estrategia de salida.
DEC-04
Pruebas
Programa de resiliencia y TLPT cuando la entidad sea identificada.
DEC-05
Registro de información
Datos contractuales y relaciones requeridas por las plantillas regulatorias.
Mi enfoque
Usaría ISO 27001 como acelerador, nunca como declaración de equivalencia.
GRCREAL
Empezaría por mapear funciones críticas o importantes, servicios TIC, procesos existentes del SGSI y terceros. Después revisaría cada bloque DORA buscando evidencia operativa. El objetivo no es rehacer el sistema de gestión, sino identificar dónde la regulación exige más precisión, trazabilidad o capacidad de reporte.
También corregiría un error frecuente: tratar el registro de información como un inventario técnico. Su valor está en relacionar entidad, función, servicio TIC, acuerdo contractual y proveedor. Esa cadena requiere colaboración de negocio, compras, legal, arquitectura y riesgo.
Cuando el mapping termina en un porcentaje verde, desconfío. Cuando termina en propietarios, brechas y evidencias, empieza a ser útil.
Veredicto GRCREAL
ISO 27001 pone el suelo. DORA pone el techo.
ISO 27001 proporciona la estructura. DORA exige que esa estructura funcione bajo supervisión regulatoria con requisitos mucho más específicos, plazos legales y escrutinio directo del supervisor.
Si eres entidad financiera o proveedor TIC crítico: DORA no es opcional desde enero 2025. ISO 27001 es el mejor punto de partida — pero necesitas un gap analysis específico contra los cinco pilares de DORA para saber exactamente dónde estás.
Si ya tienes ISO 27001: tienes ventaja real en gestión de riesgos, incidentes, proveedores y continuidad. El trabajo adicional se concentra en pruebas de resiliencia avanzadas, Registro de Información en formato regulatorio, plazos de notificación y gobernanza del órgano de dirección.
DORA no es otro ISO. Es la señal de que el sector financiero europeo ha decidido que la resiliencia digital ya no es opcional ni autoregulable.
¿Eres entidad financiera o proveedor TIC y aún no has hecho el gap analysis DORA?
Los supervisores europeos ya están activos. El gap analysis ahora es mucho más barato que una sanción después.
Sobre el autor
Miguel Ángel Carriazo · vCISO
vCISO · Arquitecto de Soluciones de Infraestructura y Ciberseguridad | Gobierno, Riesgo y Cumplimiento (GRC) | Gobierno de IA · ISO 42001 | Fundador de GRCreal