Guía NIS2 · 8 min
NIS2 vs DORA: en qué se diferencian, dónde se solapan y cuál se le aplica
NIS2 y DORA son los dos regímenes de ciberresiliencia de la UE con más probabilidades de aterrizar en el mismo escritorio en 2026, y se confunden constantemente. Persiguen el mismo objetivo (la resiliencia operativa y cibernética) y se apoyan en muchos de los mismos controles, pero apuntan a organizaciones distintas, y para el sector financiero uno gana donde chocan. Esta guía expone la diferencia, el solapamiento y cómo saber cuál es el suyo, con una respuesta clara para los equipos de cadena de suministro y de terceros que acaban sirviendo a clientes bajo ambos.
Puntos clave
- NIS2 es amplio y transversal; DORA es el régimen específico de TIC del sector financiero.
- Para las entidades financieras DORA es lex specialis: prevalece sobre las disposiciones NIS2 que se solapan.
- En cualquier caso, ambos le hacen responsable del riesgo de terceros y esperan una garantía continua, no anual.
Qué es cada uno
Ambos salieron del mismo paquete de resiliencia de la UE de 2022, pero son instrumentos distintos dirigidos a poblaciones distintas.
NIS2: amplio, transversal
Una directiva (transpuesta a derecho nacional, plazo 17 de octubre de 2024) que cubre entidades esenciales e importantes en energía, transporte, salud, agua, infraestructura digital, administración pública, fabricación y más. Fija una base de medidas de gestión de riesgos (art. 21) y de notificación de incidentes (art. 23).
DORA: sector financiero, centrado en TIC
Un reglamento (directamente aplicable, en vigor desde el 17 de enero de 2025) para el sector financiero de la UE (bancos, aseguradoras, empresas de inversión, proveedores de criptoactivos y más) junto con la supervisión de sus proveedores TIC terceros críticos. Fija reglas detalladas de gestión del riesgo TIC, pruebas de resiliencia y gobernanza de terceros.
Dónde se solapan
Implemente bien uno y mucho del otro le resultará familiar. Ambos exigen:
- Responsabilidad de la dirección: el liderazgo debe asumir y supervisar el riesgo cibernético/TIC, y puede ser considerado responsable.
- Medidas de gestión de riesgos: controles documentados y proporcionados a lo largo del ciclo de vida de la seguridad.
- Notificación de incidentes: notificación estructurada a las autoridades en plazos definidos.
- Riesgo de terceros y de cadena de suministro. Usted responde del riesgo cibernético que aportan sus proveedores.
- Pruebas y mejora continua: la resiliencia se juzga con el tiempo, no se certifica una vez y se guarda.
La regla clave: DORA es lex specialis para las entidades financieras
Los dos regímenes se redactaron para no regular por duplicado. Para una entidad financiera, DORA es lex specialis: la ley más específica que prevalece. Donde DORA y NIS2 cubrirían el mismo terreno de gestión del riesgo TIC o de notificación de incidentes, se aplican los requisitos de DORA y las disposiciones NIS2 equivalentes no se apilan encima.
En la práctica, un banco no lleva dos programas cibernéticos paralelos. Sigue DORA para el riesgo TIC, las pruebas, la notificación de incidentes y la supervisión de terceros. NIS2 sigue moldeando el ecosistema a su alrededor (muchos de sus proveedores incluidos) pero en los temas que se solapan la entidad financiera misma se rige por DORA.
Lex specialis se aplica donde el acto sectorial impone requisitos al menos equivalentes a NIS2. La frontera puede ser matizada para grupos mixtos; confirme su estatus con su autoridad competente.
Vea cómo puntúan realmente sus proveedores
7 días gratuitos · sin tarjeta de crédito · cancele cuando quiera
¿Cuál se le aplica?
Una ayuda rápida para decidir. Para muchas organizaciones la respuesta honesta es «uno directamente, el otro a través de sus clientes».
Una entidad financiera (banco, aseguradora, empresa de inversión, proveedor de criptoactivos…)
DORA se aplica como lex specialis a su riesgo TIC; las disposiciones NIS2 equivalentes no se aplican encima.
Una entidad de sector crítico fuera de las finanzas (energía, salud, transporte, agua, infraestructura digital, administración pública…)
Se aplica NIS2. Compruebe los sectores del anexo I/II y los umbrales de tamaño para confirmar su nivel.
Un proveedor TIC de entidades financieras
El régimen de terceros de DORA le alcanza a través de los contratos de sus clientes, y los mayores proveedores pueden ser designados críticos y supervisados directamente por las AES. Si además es un proveedor TIC o de servicios gestionados del anexo I, puede estar también en el ámbito de NIS2.
Un proveedor de una entidad NIS2
La obligación de cadena de suministro de NIS2 (art. 21(2)(d)) le alcanza mediante la diligencia debida de sus clientes (cuestionarios, solicitudes de evidencia, monitoreo continuo) aunque no esté designado.
La conclusión para los equipos de cadena de suministro
Tanto si su cliente responde ante DORA como ante NIS2, la exigencia hacia usted converge. Ambos hacen a las organizaciones responsables del riesgo cibernético de sus proveedores, y ambos tratan la resiliencia como algo que se evalúa de forma continua en lugar de atestiguarse una vez al año. Así que la pregunta para un proveedor rara vez es «¿NIS2 o DORA?». Es «¿puedo demostrar, a petición, que mi seguridad se sostiene?»
Por eso la garantía de terceros se vuelve continua a ambos lados de la línea. El registro de información DORA de un banco y el programa de proveedores NIS2 de un fabricante piden a sus proveedores lo mismo: una prueba actual y respaldada del nivel de seguridad, no una hoja de cálculo que era cierta la primavera pasada.
Fuentes: Reglamento (UE) 2022/2554 (DORA) y Directiva (UE) 2022/2555 (NIS2). Confirme la frontera de solapamiento con su autoridad nacional competente y la orientación pertinente de las AES.
Cómo ayuda norppa.io
norppa.io le da la garantía continua y respaldada por evidencia sobre proveedores y proveedores TIC que tanto NIS2 como DORA esperan ahora. Cada dominio monitorizado se comprueba en más de cien puntos de control cada día, los sensibles al tiempo cada seis horas, con hallazgos listos para exportar a su registro de información DORA o a su expediente de proveedores NIS2.
Los cuestionarios de autoevaluación captan los controles de proceso y contractuales, y cada respuesta se coloca junto al perfil técnico en vivo. De modo que, cite el auditor de su cliente DORA o NIS2, puede mostrar evidencia actual y corroborada en lugar de afirmaciones.