NIS2 sector bancario: qué sustituye DORA y qué debe aún tu MSP

El director de riesgos de una entidad de crédito regional te reenvía un cuestionario NIS2 que ha recibido su consejo. Tu MSP aloja su herramienta de tickets y gestiona sus equipos. Su pregunta: «¿Tenemos que responderlo, o basta con DORA?»

La respuesta sincera: ambas cosas. En el sector bancario NIS2, DORA sustituye la mayor parte de las obligaciones de NIS2, pero el banco no desaparece de NIS2. Y tú, como proveedor, entras en un reglamento completamente distinto.

NIS2 sector bancario: DORA es lex specialis, no una exención

NIS2 (Directiva (UE) 2022/2555) incluye a las entidades de crédito en el anexo I, sector 3 (banca), y a los centros de negociación y las entidades de contrapartida central en el sector 4 (infraestructuras de los mercados financieros). Estos clientes están, por tanto, en el ámbito por sector.

El artículo 4 de NIS2 hace después la criba. Cuando un acto sectorial de la Unión exige medidas de gestión de riesgos de ciberseguridad o la notificación de incidentes significativos, y esas exigencias son al menos equivalentes, las disposiciones correspondientes de NIS2 no se aplican, incluidas las de supervisión y ejecución del capítulo VII.

El considerando 28 de NIS2 establece que el Reglamento (UE) 2022/2554 (DORA) debe considerarse un acto sectorial de la Unión. El considerando 16 de DORA lo califica de lex specialis respecto a NIS2. Y el artículo 1, apartado 2, de DORA lo confirma a efectos del artículo 4 de NIS2.

Léelo con cuidado. DORA desplaza determinadas disposiciones de NIS2. No convierte al banco en una entidad ajena a NIS2.

Qué sustituye DORA y quién supervisa

Obligación NIS2	Qué se aplica a una entidad financiera DORA
Artículo 21, medidas de gestión de riesgos	Marco DORA de gestión del riesgo de las TIC
Artículo 21, apartado 2, letra d (cadena de suministro)	Normas DORA sobre riesgo de terceros de TIC (capítulo V, artículos 28 a 44)
Artículo 23, notificación de incidentes	Notificación DORA de incidentes graves relacionados con las TIC
Capítulo VII, supervisión y sanciones	Supervisor financiero y sanciones DORA

DORA se aplica directamente desde el 17 de enero de 2025. En España, la autoridad de referencia para las entidades de crédito es el Banco de España, y DORA actúa como norma especial. El vacío está en el otro lado: NIS2 sigue sin transponerse.

No todos los clientes financieros están en NIS2

Aquí fallan la mayoría de los cuestionarios. NIS2 solo nombra a las entidades de crédito y a las infraestructuras de los mercados financieros. El artículo 2, apartado 1, de DORA es mucho más amplio: incluye entidades de pago, empresas de inversión, depositarios centrales de valores, registros de operaciones y empresas de seguros y reaseguros.

Una aseguradora o una entidad de pago está, por tanto, solo bajo DORA. Enviarle un análisis de brechas NIS2 hace perder tiempo a ambas partes. Un banco, un centro de negociación o una contrapartida central necesita las dos lecturas, con DORA aportando el contenido.

Dos relojes de notificación, un MSP en medio

NIS2 exige una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final al mes. DORA aplica otro reloj a los incidentes graves relacionados con las TIC. Según el Reglamento Delegado (UE) 2025/301, la notificación inicial vence a las cuatro horas de clasificar el incidente como grave, y en todo caso a las 24 horas de su detección. El informe intermedio sigue en las 72 horas posteriores a la notificación inicial, y el informe final en el mes siguiente al último informe intermedio.

Tu cliente bancario notifica bajo DORA. Tus clientes no financieros notificarán bajo NIS2 cuando España la transponga. Si operas un SOC o una cola de tickets compartidos, el mismo suceso puede activar dos relojes el mismo día. Tu runbook necesita, por cliente, un indicador del régimen aplicable. La parte NIS2 se explica en NIS2 Incident Reporting: The 24-Hour, 72-Hour and 1-Month Deadlines.

Dónde se ve arrastrado tu MSP

Esta es la realidad comercial. Un banco sujeto a DORA debe gestionar el riesgo de terceros de TIC conforme al capítulo V: un registro de información de todos los acuerdos contractuales sobre servicios de TIC y las disposiciones contractuales mínimas del artículo 30 en tu contrato: descripción de los servicios, ubicaciones, asistencia en incidentes, derechos de auditoría y acceso, y estrategia de salida.

El 18 de noviembre de 2025, las Autoridades Europeas de Supervisión (AES) publicaron la primera lista de proveedores terceros críticos de servicios de TIC designados bajo DORA. La mayoría de los MSP no figuran en ella. Tus clientes bancarios trasladarán igualmente las mismas expectativas a ti.

Además, tienes tus propias obligaciones NIS2. La gestión de servicios de TIC entre empresas figura en el anexo I, por lo que un MSP suele ser entidad esencial o importante por derecho propio. Dos regímenes, una empresa. El solapamiento práctico se trata en NIS2 vs. DORA y en NIS2 Supply Chain Security.

En España, la transposición de NIS2 sigue pendiente

DORA es un reglamento, NIS2 una directiva. España incumplió el plazo de transposición del 17 de octubre de 2024. El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que a la fecha de consulta no constaba publicado en el BOE. El 8 de julio de 2026 la Comisión remitió a España al Tribunal de Justicia de la UE. Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018 a las entidades designadas bajo NIS1.

En la práctica: para tus clientes bancarios, DORA ya se aplica por completo. Para el resto de tu cartera, no hay todavía una ley NIS2 española que cite como base. Fuera de España los márgenes varían: en Alemania, el § 28, apartado 6, de la BSIG desactiva una lista de disposiciones NIS2 para las entidades DORA, e Italia adoptó el decreto D.Lgs. 23/2025 para DORA.

Si el grupo bancario de tu cliente opera en varios países, nuestra guía sobre qué regulador supervisa a tu cliente te ayudará.

Qué hacer esta semana

1. Lista todos tus clientes financieros y clasifícalos: entidad de crédito o infraestructura de mercado (NIS2 y DORA) u otra entidad financiera (solo DORA).
2. Revisa cada contrato frente al artículo 30 de DORA. Los derechos de auditoría y las condiciones de salida son la carencia habitual.
3. Añade un indicador de régimen a tu runbook de incidentes: reloj DORA de cuatro horas o reloj NIS2 de 24 horas.
4. Prepara ya tu propio expediente NIS2, sin esperar a la ley española.
5. Ten listos los datos que el banco necesita para su registro de información: servicios, subcontratistas, ubicación de los datos.

Empieza por tu propia casa. Inicia un NIS2 Quick Scan gratuito para obtener una evaluación de preparación de tu propia situación de cumplimiento y responde al cuestionario del banco con evidencias en lugar de promesas.

DORA sustituye el reglamento del banco. No sustituye las preguntas que tus clientes te harán a ti.