Proveedor TIC de entidad financiera
3.500 € – 6.000 € + IVA
- ~30 personas
- Te exigen cláusulas DORA
- Cuestionarios y evidencias
Reglamento DORA (UE) 2022/2554
Reglamento DORA: cumplimiento para entidades financieras y proveedores TIC
DORA está en vigor desde enero de 2025. Si eres entidad financiera, te ayudamos a montar el marco completo. Si eres su proveedor TIC, a superar sus exigencias sin volverte loco.
DORA (Reglamento UE 2022/2554) se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, entidades de pago, gestoras y otras entidades financieras, e indirectamente a sus proveedores TIC por contrato. En L4E, un proyecto DORA va de 3.500 € a 15.000 € según el punto de partida.
- Documentación a nuestro cargo
- Medidas técnicas si las necesitas
- Consultores que auditan para certificadoras ENAC
- Reunión semanal
- Plan y precio cerrados por escrito
Actualizado: octubre de 2026 · Revisado por el equipo de auditores ENS e ISO 27001 de L4E
Presupuesto DORA en 24 h
Te llamamos, entendemos tu caso y te mandamos una propuesta cerrada.
En 30 segundos
DORA: lo que necesitas saber
| Qué es | Reglamento europeo de resiliencia operativa digital del sector financiero. |
|---|---|
| Norma | Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025, directamente y sin transposición. |
| A quién aplica | Entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras, gestoras, proveedores de criptoactivos y otras. A los proveedores TIC les llega por contrato. |
| Cinco pilares | Gestión del riesgo TIC, gestión y notificación de incidentes, pruebas de resiliencia, riesgo de terceros TIC e intercambio de información. |
| Supervisión | Banco de España, CNMV o DGSFP según el tipo de entidad. |
¿Es tu caso?
¿Quién necesita DORA? Te lo van a pedir si…
- Eres una fintech, entidad de pago, gestora, aseguradora o correduría y tu supervisor te pide evidencias.
- Eres proveedor TIC (software, cloud, soporte, ciberseguridad) de un banco o aseguradora y te han enviado las cláusulas DORA.
- Tienes que entregar el registro de información de proveedores TIC.
- Ya tienes ISO 27001 y quieres saber qué te falta para DORA.
Reglamento DORA: resumen de los cinco pilares
- Gestión del riesgo TIC: marco de gobierno aprobado por el órgano de dirección, inventario de activos, protección, detección, respuesta y recuperación.
- Incidentes TIC: clasificación y notificación de incidentes graves al supervisor.
- Pruebas de resiliencia operativa digital: programa anual de pruebas y, para entidades designadas, pruebas TLPT.
- Riesgo de terceros TIC: registro de información, cláusulas contractuales del artículo 30 y estrategias de salida.
- Intercambio de información sobre ciberamenazas entre entidades.
DORA es de aplicación directa: normas técnicas y supervisores
Al ser un reglamento, DORA se aplica directamente en España desde el 17 de enero de 2025, sin ley de transposición. Se desarrolla mediante normas técnicas de regulación y de ejecución (RTS e ITS) de las autoridades europeas (EBA, EIOPA y ESMA). En España supervisan el Banco de España, la CNMV y la Dirección General de Seguros y Fondos de Pensiones, según el tipo de entidad.
DORA para proveedores TIC
Si das servicios TIC a una entidad financiera, tus contratos deben incluir las cláusulas del artículo 30: descripción del servicio, ubicación de los datos, niveles de servicio, colaboración en incidentes y pruebas, derechos de auditoría y salida. Los proveedores designados como críticos quedan además bajo supervisión directa europea.
Proceso
Cómo implantamos DORA, paso a paso
Con calendario desde el primer día y una reunión de seguimiento de 30 minutos cada semana.
- Semanas 1–3
Análisis de brecha
Revisamos lo que tienes frente a los requisitos de DORA y sus normas técnicas, según tu tipo y tamaño de entidad.
- Semanas 3–8
Marco de gestión del riesgo TIC
Políticas, estrategia de resiliencia digital, inventario de activos y procesos, y papel del órgano de dirección.
- Semanas 4–10
Incidentes
Clasificación de incidentes y procedimiento de notificación al supervisor, alineado con los plazos de DORA.
- Semanas 4–12
Terceros TIC
Registro de información, revisión de contratos (artículo 30), evaluación de proveedores y estrategias de salida.
- Semanas 10–16
Pruebas de resiliencia
Programa de pruebas: análisis de vulnerabilidades, pentesting, pruebas de continuidad. Las ejecutamos nosotros.
- Continuo
Seguimiento
Revisión anual del marco, formación y apoyo en requerimientos del supervisor.
Lo que hacemos nosotros
- Toda la documentación, adaptada a vuestra forma de trabajar
- Análisis de riesgos y plan de tratamiento
- Formación de la plantilla y de la dirección
- Auditoría interna y preparación de la auditoría
- Evidencias listas para la autoridad y para tus clientes
Tus deberes (y los nuestros)
Seamos francos: tienes deberes. Nadie conoce tu empresa como tú, así que necesitamos que nos cuentes cómo trabajáis (procesos, sistemas, proveedores, quién decide qué) y que nos des acceso a la información. Nosotros convertimos ese conocimiento al lenguaje de la norma de DORA: políticas, procedimientos, registros y evidencias que un auditor entiende.
Tú: conocimiento de tu empresa
L4E: método, documentación, técnica y auditorías
- Una persona de referencia y 30 minutos de reunión a la semana
- Contarnos cómo trabajáis y darnos acceso a la información
- Revisar y aprobar los documentos
La balanza está claramente de nuestro lado, pero sin tu parte no hay certificación posible.
Medidas técnicas
Medidas técnicas de DORA: si hay que configurar, configuramos
Somos una ingeniería informática especializada en ciberseguridad. Implantamos las medidas técnicas que pide DORA con nuestro equipo, o le decimos a tu IT exactamente qué hacer y lo revisamos.
- Inventario de activos TIC y dependencias
- Detección y respuesta a incidentes (SOC 24/7)
- Pentesting y análisis de vulnerabilidades periódicos
- Copias, recuperación y pruebas de continuidad
- Gestión de accesos privilegiados y MFA
- Monitorización de proveedores TIC críticos
Precio
¿Cuánto cuesta DORA? Ejemplos orientativos
Tres perfiles de empresa para que tengas un orden de magnitud antes de hablar con nosotros.
Entidad financiera pequeña
9.000 € – 15.000 € + IVA
- Fintech, entidad de pago o gestora
- Marco de riesgo TIC completo
- Registro de terceros
Alineamiento con ISO 27001 previa
5.000 € – 8.000 € + IVA
- SGSI certificado
- Cerramos lo específico de DORA
- Incidentes, pruebas y terceros
Son ejemplos para que tengas un orden de magnitud, no tarifas. Cada proyecto lo validamos contigo en una llamada de 20 minutos. Ojo: una empresa de 10 personas no siempre es más barata que una de 100. Pesan más los sistemas, las sedes, si desarrolláis software y el punto de partida que la plantilla. Incluye consultoría, documentación, formación, auditoría interna y acompañamiento a la auditoría. No incluye la auditoría de la certificadora ni las medidas técnicas, que presupuestamos aparte si las necesitas.
Auditoría externa: DORA no tiene una certificación propia: se demuestra ante el supervisor y ante tus clientes financieros. ISO 27001 es la base más usada para hacerlo y sí se certifica.
Casos
Casos de DORA: lo hemos hecho antes
KRATA · ISO 27001 + DORA
SGSI ISO 27001 y alineamiento con DORA para trabajar con clientes bancarios
Implantamos el SGSI conforme a ISO/IEC 27001 y lo alineamos con los requisitos de DORA que sus clientes financieros exigen a sus proveedores TIC.
Nuestros clientes
Confianza que se construye con hechos.
Ecosistema
Socios de los clústeres de Madrid y colaboradores de la UFV
Normas relacionadas
Normas relacionadas: si necesitas más de una, se nota en el precio
Dudas
Preguntas frecuentes sobre DORA
¿Me afecta DORA si no soy un banco?
Directamente afecta a una lista amplia de entidades financieras: aseguradoras, gestoras, entidades de pago, empresas de inversión, proveedores de criptoactivos… Si eres proveedor TIC de cualquiera de ellas, te afecta por contrato: te pedirán cláusulas, evidencias y colaboración en incidentes y pruebas.
¿Qué es el registro de información?
Es el inventario de todos los acuerdos con proveedores de servicios TIC que las entidades financieras deben mantener y entregar al supervisor. Te ayudamos a construirlo y a mantenerlo.
¿DORA y NIS2 se solapan?
En el sector financiero, DORA es la norma específica y prevalece en las materias que regula. Aun así, comparten enfoque, así que el trabajo se aprovecha.
¿ISO 27001 sirve para DORA?
Es una base excelente: gestión de riesgos, controles, proveedores e incidentes ya están ordenados. Lo que falta suele ser lo específico de DORA (notificación, pruebas de resiliencia, registro de terceros, estrategias de salida). Lo hicimos así para KRATA.
¿Hacéis vosotros las pruebas de resiliencia?
Sí. Somos una ingeniería con equipo de ciberseguridad: análisis de vulnerabilidades, pentesting y pruebas de continuidad. Las pruebas TLPT avanzadas solo se exigen a algunas entidades designadas por el supervisor.
¿Qué son los RTS e ITS de DORA?
Son las normas técnicas que desarrollan DORA: concretan el marco de riesgo TIC, la clasificación y notificación de incidentes, el registro de información o las pruebas TLPT. Las elaboran las autoridades europeas de supervisión y se publican como reglamentos delegados y de ejecución.
Actualidad
Artículos sobre DORA
Novedades, guías y proyectos de cumplimiento normativo y ciberseguridad. Más en el blog de L4E.
Fuentes oficiales
Contenido revisado en octubre de 2026. La normativa cambia: si ves algo desactualizado, avísanos.
Nuestras oficinas
Oficina comercial
Paseo de la Castellana 40, 8ª planta, 28046 Madrid
Oficina técnica
Calle Aguacate 41, Edif. B3, planta 3ª, 28054 Madrid
Sí, somos reales. Con oficina, café y ganas de escucharte.
Contacto
Cuéntanos qué te preocupa. Nosotros lo convertimos en un plan.
Puedes escribirnos, llamarnos o venir a vernos. En L4E no escondemos al equipo detrás de un formulario: nos gusta hablar contigo, entenderte y resolverlo rápido. A veces, una conversación clara soluciona lo que cien correos no pueden.
Oficina comercial: +34 914 05 91 34 · Oficina técnica: +34 91 693 34 69 · info@l4e.es
Hablemos
Déjanos tus datos y te llamamos nosotros.