DORA y cadena de custodia digital en banca: guía perito 2026

Resumen ejecutivo: DORA × cadena de custodia

⚠️ Aviso de fuentes: este artículo prioriza normativa y sedes oficiales (EUR-Lex / BOE / supervisores), complementadas por fuentes sectoriales identificadas en la bibliografía. Las cifras concretas de multa por entidad financiera dependen del desarrollo doméstico (la ley de digitalización del sector financiero, tramitada como Proyecto de Ley 121/000105 y aún no aprobada). No se citan sentencias DORA porque no se han localizado resoluciones firmes sobre el reglamento en las fuentes consultadas.

El 17 de enero de 2025 entró en plena aplicación el Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act). Para un perito informático forense que trabaja con litigios civiles, despachos de banca o aseguradoras, DORA no es solo un marco de cumplimiento: es una capa documental obligatoria que el banco genera y conserva, y que se convierte en material probatorio desde el momento en que un cliente sufre daño por una incidencia TIC.

Esta guía explica, desde la cabina del perito, cómo se cruza DORA con la cadena de custodia digital que ya aplicamos bajo ISO/IEC 27037:2012, qué documentos pasa a generar la entidad financiera, cómo se solicitan en juicio y qué papel juega el dictamen pericial cuando el cliente reclama.

Si has llegado aquí desde un litigio concreto donde tu cliente ha sufrido un fallo TIC en un banco, una caída del procesador de pagos, una brecha de datos o una operación no autorizada, sigue leyendo: el orden de las preguntas que debes hacerte está en la última sección.

Solicita una consulta gratuita si quieres que valoremos tu caso concreto antes de actuar.

1. Qué es DORA y por qué cambia la pericial bancaria

DORA es un reglamento europeo de aplicación directa (no requiere transposición), publicado en el DOUE el 27 de diciembre de 2022 y plenamente aplicable desde el 17 de enero de 2025. Su finalidad es asegurar que las entidades financieras europeas pueden resistir, responder y recuperarse ante incidentes TIC graves manteniendo la prestación de servicios esenciales.

A diferencia de NIS2 (Directiva (UE) 2022/2555), que es horizontal a múltiples sectores, DORA actúa como acto jurídico sectorial específico (lex specialis) sobre banca, fintech y seguros a efectos del art. 4 NIS2. Para las entidades financieras cubiertas con requisitos equivalentes se aplican las disposiciones sectoriales de DORA; que además siga aplicando NIS2 en un punto concreto no se presume por todo lo que DORA no mencione, sino que exige comprobar el ámbito subjetivo y el precepto desplazado.

1.1 Cinco pilares con relevancia probatoria

DORA se estructura en cinco pilares. Cada uno puede generar documentación relevante para una investigación; su utilidad probatoria depende del documento concreto, no de una jerarquía fijada de antemano por el reglamento:

1.2 Ámbito subjetivo en España: entidades financieras y proveedores TIC

El art. 2.1 DORA enumera 21 tipos de sujetos (letras a) a u)), pero el propio art. 2.2 reserva el nombre de «entidades financieras» a las 20 letras a) a t): entidades de crédito, entidades de pago, AIS, EDE, ESIs, CASP (criptoactivos), DCV, ECC, centros de negociación, registros de operaciones, AIFMD, UCITS, proveedores de servicios de suministro de datos, aseguradoras y reaseguradoras, intermediarios de seguros, fondos de pensiones de empleo, ECAI (calificación crediticia), administradores de índices de referencia, plataformas de financiación participativa y registros de titulizaciones. La letra u), los proveedores terceros de servicios TIC, es una categoría separada: las entidades deben gestionar su riesgo, y los que se designen CTPP quedan bajo supervisión europea directa (capítulo V), pero DORA no los somete automáticamente a todas sus obligaciones como si fueran entidades financieras.

📌 España adicional: el Real Decreto-ley 8/2023, art. 4, publicado en BOE el 28 de diciembre de 2023, extiende las obligaciones del Capítulo II DORA (gestión del riesgo TIC) a los operadores de sistemas y esquemas de pago, operadores de mecanismos o infraestructuras digitales de pago y procesadores de pagos que la propia norma define. No extiende por sí solo el régimen PIR del Capítulo III. Su disposición transitoria difiere la aplicación del art. 4.3 hasta el 18 de enero de 2025.

Las microempresas en mediación de seguros y reaseguros están excluidas (art. 2.3). El resto de entidades pequeñas dentro del ámbito aplican un marco simplificado (art. 16 + RTS 2024/1774). Para los proveedores TIC no hay umbral de tamaño: cuando prestan servicio a una entidad financiera entran en el juego contractual y de gestión de riesgo que DORA impone a esa entidad, y si son designados críticos, en la supervisión directa de las AES.

1.3 Supervisores españoles: el reparto de competencias

Esto importa al perito porque el expediente DORA está en sede del supervisor que corresponda, y el cauce procesal para solicitarlo (art. 328 LEC, oficios del juez instructor en penal) varía ligeramente.

2. El expediente PIR: notificación del incidente grave en 4 h, 72 h y 1 mes

El núcleo procesal de DORA para el perito es el procedimiento de Notificación de Incidente Grave (PIR) del art. 19, desarrollado por tres normas que conviene no confundir porque cada una responde a una pregunta distinta: el Reglamento Delegado (UE) 2024/1772 fija cuándo un incidente es grave (criterios y umbrales); el Reglamento Delegado (UE) 2025/301 fija el contenido y los plazos de los tres informes —es de donde salen las 4 h, las 72 h y el mes—; y el Reglamento de Ejecución (UE) 2025/302 fija los formularios, campo a campo, y qué campo es obligatorio en cada informe. Para pedir un expediente completo hay que saber los tres: el tercero es el que dice qué debería contener el documento que se reclama.

2.1 Plazos legales obligatorios

2.2 Criterios de “incidente grave” (art. 18 + RTS 2024/1772)

Una incidencia TIC es grave —y por tanto desencadena PIR— cuando afecta a un servicio esencial y concurre, además, o bien el supuesto especial de acceso malicioso no autorizado con posible pérdida de datos, o bien al menos dos de los demás umbrales reglamentarios (Reglamento Delegado (UE) 2024/1772). Los vectores que el reglamento pondera son:

• Número/relevancia de clientes afectados (umbral cuantitativo + cualitativo de tipos de cliente).
• Duración del incidente y de la indisponibilidad operativa.
• Extensión geográfica (más de un Estado miembro).
• Pérdida o compromiso de datos (integridad, confidencialidad, autenticidad).
• Criticidad de servicios afectados (ej. caída de pagos vs. retraso en informe interno).
• Consecuencias económicas acumuladas, directas e indirectas.

Los incidentes recurrentes con misma causa raíz aparente —al menos dos veces en seis meses— se evalúan conjuntamente y se notifican como un único incidente grave cuando, agregados, cumplen los criterios.

2.3 Por qué este expediente importa al perito

El expediente PIR es documentación regulatoria potencialmente relevante, con tres rasgos que hay que comprobar antes de apoyarse en él:

1. Lo presenta la propia entidad —o un tercero en quien externaliza la obligación de notificar—, de modo que sus afirmaciones son declaraciones de parte: pueden ser una fuente documental de peso, pero no se transforman en hechos ciertos por estar presentadas ante la Administración.
2. El justificante de recepción que devuelve la sede del supervisor acredita que el fichero se presentó y cuándo, no que su contenido haya sido aceptado como correcto.
3. Integra plazos: si el banco notifica fuera del plazo aplicable —cuatro horas desde la clasificación como grave, con un máximo de 24 horas desde que conoce el incidente— o no aporta el informe intermedio en las 72 horas siguientes a la notificación inicial, hay incumplimiento regulatorio que el supervisor puede sancionar y que el perito puede invocar como indicio de negligencia organizativa en un proceso civil.

2.4 Cómo solicitar el expediente en un proceso civil

El cauce depende de en poder de quién esté el documento: si lo tiene la parte demandada, el art. 328 LEC (exhibición entre partes); si obra en un tercero no litigante, el art. 330 LEC; y si hay que requerir a una entidad de Derecho público, el art. 332 LEC y la normativa de confidencialidad aplicable. Para el caso ordinario —el documento en poder del banco demandado— la operativa es:

📌 Realismo procesal: la entidad puede oponerse alegando confidencialidad, secreto comercial o que la información obra en sede del supervisor. La decisión sobre la exhibición corresponde al tribunal, que pondera la pertinencia y la proporcionalidad de lo pedido; cuanto más concreta sea la motivación técnica (qué dato buscas, qué incidencia con qué cliente, qué hito DORA), más defendible es la solicitud.

3. RoI / REGIS: el activo probatorio que el banco no sabe que ha creado

El Registro de Información (Register of Information, RoI / REGIS) del art. 28 DORA es una de las fuentes documentales más útiles para valorar la diligencia debida del banco en materia de proveedores TIC.

3.1 Qué es y qué contiene

El RoI es un registro normalizado en el que toda entidad financiera enumera todos sus acuerdos contractuales TIC: con qué proveedor, qué función, criticidad, datos tratados, ubicación geográfica, derechos de auditoría, plan de salida, fecha de contrato y dependencias subcontratadas. Sus plantillas armonizadas están en el Reglamento de Ejecución (UE) 2024/2956; el Reglamento Delegado (UE) 2025/532 regula, aparte, las condiciones de la subcontratación de servicios TIC que sustentan funciones esenciales.

DORA distingue dos obligaciones: la entidad comunica anualmente al supervisor información resumida sobre los acuerdos nuevos y las categorías de proveedores, y entrega el registro completo cuando la autoridad se lo requiere. No existe en las fuentes oficiales un vencimiento general español el 15 de abril: la guía operativa de la CNMV para 2026, por ejemplo, configuró el registro completo bajo requerimiento y abrió un plazo del 1 al 29 de marzo. La fecha y el canal se comprueban en el requerimiento de cada supervisor.

3.2 Por qué es prueba decisiva

En un litigio civil donde el cliente reclama daños por fallo del proveedor TIC del banco (caída procesador de pagos, fuga de datos en cloud externalizado, error CRM filial), la pregunta nuclear es: ¿el banco actuó con la diligencia debida en la elección y supervisión de ese proveedor?

El RoI prueba (o no) cuatro cosas:

• Que la dependencia estaba identificada y clasificada (función crítica o no).
• Que se hizo due diligence previa (criterios art. 28-29 DORA + Reg. Delegado 2024/1773).
• Que el contrato incluye las cláusulas mínimas del art. 30 DORA (auditoría, niveles de servicio, datos, salida, cooperación con autoridades).
• Que existía plan de continuidad y plan de salida documentados.

Si el RoI omite un proveedor crítico, o las cláusulas del art. 30 no constan, o no hay plan de salida, la entidad lo tiene mucho más difícil para ampararse en el “fallo del proveedor” ante el cliente. Ahora bien, una casilla o una fecha del RoI no prueban por sí solas que la diligencia se ejecutara: son indicios que deben contrastarse con contratos, informes y evidencias de ejecución. DORA no crea una inversión automática de la carga de la prueba; eso lo decide la norma sustantiva y el tribunal en cada caso.

3.3 Lectura forense del RoI por un perito

Un perito que recibe un RoI debe verificar:

• Coherencia temporal: la fecha de contrato vs. fecha de incidente. Si el proveedor no estaba en RoI a fecha de incidente, hubo gap.
• Función crítica o importante: clasificación obligatoria. Si el banco minimizó la criticidad, el perito puede argumentar incumplimiento art. 28.
• Subcontratación: el proveedor reportado puede subcontratar (Reg. Delegado 2025/532 acota cuándo). Comprobar la cadena.
• Concentración: si una función crítica depende de un solo proveedor (ejemplo: AWS, designado CTPP por las AES el 18 nov 2025), la entidad debe evaluar y gestionar ese riesgo de concentración con criterios cualitativos (art. 29); el reglamento no fija un porcentaje único que lo active.
• Derechos de auditoría e inspección: para las funciones esenciales o importantes, el contrato debe garantizar los derechos de acceso, inspección y auditoría (art. 30.3.e). Su ausencia es un defecto contractual relevante.

4. Cómo se cruza DORA con la cadena de custodia ISO/IEC 27037

Los peritos llevamos años aplicando la norma ISO/IEC 27037:2012 para la identificación, recopilación, adquisición y preservación de evidencia digital. DORA no la sustituye: la enriquece con obligaciones documentales superpuestas del lado de la entidad financiera.

4.1 ¿Qué cambia en la cadena de custodia digital con DORA?

4.2 Plazos de retención derivados de DORA

DORA no fija un plazo único universal de retención. El art. 6 + RTS 2024/1774 requieren retención proporcional al riesgo y suficiente para auditorías y para investigar incidentes graves.

DORA no fija un plazo universal, y conviene no tomar prestados mínimos de normas que no lo dicen: el art. 30 de la LOPDGDD regula los representantes de responsables no establecidos en la UE, no la retención de logs, y la Ley 7/2020 es la del sandbox financiero, no una «ley de servicios de pago». El plazo se justifica caso por caso según la finalidad, la criticidad, la política aprobada por la entidad y la normativa sectorial que resulte aplicable. Verifica siempre por sector y tipo de log antes de afirmar un plazo numérico en el informe pericial.

4.3 La cadena de custodia se vuelve bidireccional

Antes de DORA, la cadena de custodia la llevaba el perito (lado externo). Ahora la entidad tiene además su propia obligación de trazabilidad interna (lado regulado): el Reglamento Delegado (UE) 2024/1774 exige una política de registros que los proteja frente a manipulación, supresión y acceso no autorizado, con sincronización horaria fiable. No impone universalmente un hash, una firma electrónica concreta ni el rótulo jurídico de «cadena de custodia».

Por eso, en una pericial no basta con constatar que falta un hash o una firma: hay que identificar qué control de integridad era exigible a esos registros, si se aplicó y qué efecto técnico tiene cualquier desviación. Una copia de logs sin integridad verificable es un indicio que investigar, no una prueba automática de incumplimiento.

5. Incidente DORA → reclamación civil del cliente: el flujo completo

Esta es la trayectoria típica de un caso real:

5.1 La cuestión del “fallo del proveedor”

DORA no impone responsabilidad solidaria expresa entidad-proveedor, y mantiene a la entidad plenamente responsable del cumplimiento de sus obligaciones regulatorias cuando externaliza servicios TIC. El régimen de responsabilidad frente al cliente sigue el cauce contractual y sectorial aplicable (LCS / LSP / Cc). Sobre esa base, refuerza el deber de vigilancia: a una entidad que no documentó RoI, due diligence, derechos de auditoría ni plan de salida le resulta mucho más difícil ampararse en el “fallo del proveedor”.

Esto importa al perito porque esa documentación —o su ausencia— es un indicio de peso. Pero DORA no crea por sí solo una inversión automática de la carga de la prueba: qué debe probar cada parte lo fija la norma sustantiva y lo aprecia el tribunal a la vista de todo el material.

5.2 Doble notificación: DORA ≠ RGPD

No son sustitutivas — son paralelas. Una misma incidencia puede activar ambos relojes con criterios y receptores distintos. El perito puede tener que cruzar dos expedientes diferentes (uno en sede supervisor, otro en AEPD) para reconstruir el evento.

🔗 Ver Hogan Lovells — Notificación brechas sector asegurador DORA / RGPD para el detalle por sector.

6. Estructura del dictamen pericial de incidente DORA

Cuando un perito recibe el encargo de auditar un incidente DORA en banca, el informe pericial puede estructurarse tomando como referencia los criterios de la UNE 197001:2019 —de aplicación voluntaria salvo que una ley, contrato o pliego la imponga— con adaptaciones específicas al caso DORA:

6.1 Errores que invalidan un dictamen pericial DORA

• Citar “DORA exige conservar logs 5 años” como dogma — es proporcional al riesgo.
• Afirmar “el banco incumplió DORA” sin cruzar el RoI ni el expediente PIR.
• Confundir notificación PIR (DORA) con notificación brecha datos (RGPD) — son paralelas.
• Citar sentencias DORA como si estuvieran localizadas — a día de hoy no se han localizado resoluciones firmes sobre el reglamento; describe la búsqueda, no proclames una inexistencia universal.
• Usar las cifras “5M / 10M / 15M €” de multa sin verificar que están en el texto — no figuran como tales en arts. 50-57 DORA UE.

7. Casos didácticos: incidencias pre-DORA que hoy serían PIR

7.1 Caída CrowdStrike 19 julio 2024

Microsoft estimó que la actualización defectuosa de CrowdStrike afectó a ~8,5 millones de dispositivos Windows —menos del 1 % del parque— y el INCIBE documentó interrupciones en múltiples sectores a nivel mundial. Si ocurriese hoy bajo DORA aplicable:

• Notificación PIR dentro de las 4 h siguientes a la clasificación como grave (por número de clientes afectados + duración).
• Activación de las cláusulas del contrato con CrowdStrike (que no figura entre los primeros CTPP designados).
• Análisis post-incidente en informe final 1 mes.
• Posibles reclamaciones de comercios sin TPV durante horas → necesidad de pericial cliente-cliente.

7.2 Incidente Redsys 2023

Caída del procesador de pagos español. El art. 4 del RDL 8/2023 extiende a los operadores y procesadores de pagos las obligaciones del Capítulo II de DORA —no el régimen PIR del Capítulo III—, de modo que en sentido estricto DORA UE no cubría a Redsys como CTPP. No consta en la norma que esa caída fuera la que motivó la ampliación. Hoy un episodio similar:

• Podría activar la notificación PIR de cada banco emisor cuyo propio incidente alcanzara los criterios de gravedad; la obligación de Redsys depende de su régimen (Capítulo II en España), no del PIR del Capítulo III.
• El comercio perjudicado podría reclamar al banco con pericial sobre cadena dependencias TIC.

7.3 La ruptura de la cadena de custodia como causa de nulidad

Cuando los hashes no coinciden entre la evidencia original y la copia aportada, hay un indicio técnico de que los objetos no son idénticos, y hay que investigar el algoritmo, el momento de cálculo, la adquisición y el almacenamiento. Su efecto procesal no es automático: el tribunal valora la autenticidad, la integridad, la contradicción y el resto del material probatorio. Por eso la disciplina de la ISO/IEC 27037 —y, del lado de la entidad, la trazabilidad interna que ahora exige DORA— es inseparable de la fuerza de la prueba digital: sin integridad verificable, la prueba se debilita y puede acabar sin valor.

⚠️ Aviso ético: estos casos se citan como ejemplos didácticos. No afirmamos que CrowdStrike ni Redsys hayan incumplido DORA —de hecho, ambos episodios son anteriores a su plena aplicación— y no hay sentencia ni resolución firme que lo establezca a la fecha.

8. Sanciones DORA: lo verificable y lo que circula sin verificar

Lo verificable:

• Art. 35 DORA — sanciones coercitivas a CTPPs: hasta 1 % de la facturación mundial media diaria del CTPP, durante hasta 6 meses. Es la única cifra explícita del reglamento.
• Arts. 50-57 DORA: los Estados miembros deben establecer regímenes “efectivos, proporcionados, disuasorios” y medidas administrativas (cese, retirada de autorización, amonestación pública). El art. 50 no incluye entre esas medidas una indemnización civil de daños, que sigue el cauce del régimen general de responsabilidad.
• España (RDL 8/2023, art. 4): aplica el régimen sancionador de la legislación sectorial vigente (LOSSEC, LMV refundida, LSSP, etc.) hasta que se apruebe la ley de digitalización del sector financiero. A 6 de septiembre de 2026 ese texto se tramita como Proyecto de Ley 121/000105, presentado el 17 de julio de 2026 y en fase de comisión y enmiendas; aún no está aprobado.

Lo que circula sin verificar en blogs:

• Cifras “hasta 5M € / 10M € / 15M €” o “3 % / 5 % / 10 %” de facturación. No las he localizado en los arts. 50-57 DORA. Parecen una confusión con NIS2 / RGPD. No las cites en informe sin verificar fuente primaria.

A la fecha no se ha localizado ninguna sanción DORA pública firme en España ni a nivel de las AES. Esta constatación describe el resultado de la búsqueda en las fuentes oficiales disponibles y no acredita una inexistencia universal.

9. Preguntas frecuentes (FAQ)

¿Desde cuándo es obligatorio DORA en España y a quién aplica?

DORA es plenamente aplicable desde el 17 de enero de 2025 y aplica a las 20 categorías de entidades financieras del art. 2.1, letras a)-t) (bancos, fintech, EDE, ESIs, criptoactivos, aseguradoras, fondos de pensiones, etc.), y a los proveedores terceros de servicios TIC (letra u), como categoría separada. El RDL 8/2023 art. 4 extendió en España las obligaciones del Capítulo II a los operadores y procesadores de pagos.

¿Qué documentos genera la entidad en una incidencia y cuáles puedo solicitar en juicio?

Genera al menos: notificación PIR inicial, informe intermedio, informe final, logs internos asociados, comunicaciones a clientes si las hubo y registros de acceso al sistema afectado. Pueden solicitarse por el cauce de exhibición que corresponda —art. 328 LEC si obran en la parte demandada, art. 330 o 332 si están en un tercero o una entidad pública— con motivación adecuada, o vía oficios del juez instructor en penal.

¿La notificación PIR es prueba pre-constituida?

Es la etiqueta que circula, pero conviene matizarla. El PIR lo presenta la propia entidad (o un tercero en quien externaliza la notificación), y el justificante del supervisor acredita la recepción, no que su contenido sea correcto. Una declaración privada dirigida a la Administración no se convierte por ello en documento público del art. 317.5 LEC ni queda inmune a impugnación: es una fuente documental relevante cuya autoría, autenticidad y contenido deberán acreditarse y valorarse en el proceso. En su parte fáctica/técnica, el perito la contrasta con los logs internos.

Si mi cliente sufre daño por una caída de un proveedor TIC del banco (tipo Redsys), ¿demando al banco o al proveedor?

Normalmente al banco, aunque la identificación del demandado depende de la relación contractual concreta. La entidad financiera responde frente al cliente por la calidad del servicio y mantiene una acción de regreso contra su proveedor TIC. DORA no impone responsabilidad solidaria, pero refuerza el deber de vigilancia: si la entidad no documentó RoI, due diligence ni cláusulas del art. 30, le será mucho más difícil ampararse en el “fallo del proveedor”.

¿Puedo solicitar el RoI del banco para acreditar que conocía el riesgo del proveedor?

Sí, con el cauce que corresponda según en poder de quién esté (art. 328 LEC si lo tiene el banco demandado; art. 330 o 332 en otro caso). La entidad puede oponer confidencialidad o secreto comercial, y el tribunal decide ponderando pertinencia y proporcionalidad. El RoI es un documento normalizado a escala UE; la entidad comunica anualmente información resumida y entrega el registro completo cuando el supervisor lo requiere.

¿DORA exige conservar logs durante un plazo concreto?

No fija plazo único. El art. 11 + RTS 2024/1774 exigen retención proporcional al riesgo y suficiente para auditorías + investigación. El plazo concreto se justifica según finalidad, criticidad, política aprobada y normativa sectorial aplicable; no debe tomarse prestado del art. 30 LOPDGDD ni de la Ley 7/2020, que regulan otra cosa. Verifica antes de afirmar un plazo.

¿Qué multa puede recibir un banco por incumplir DORA en España?

El régimen sancionador en España aplica vía legislación sectorial vigente (LOSSEC, LMV, etc.). Las cifras concretas no están unificadas. La única cifra explícita en DORA UE es el art. 35: hasta 1 % de facturación mundial diaria para CTPPs. La ley de digitalización del sector financiero se tramita como Proyecto de Ley 121/000105 (presentado el 17 de julio de 2026) y sigue pendiente de aprobación.

¿Las pruebas TLPT que hace el banco bajo DORA son confidenciales o pueden solicitarse en juicio?

Son altamente confidenciales (Reglamento Delegado 2025/1190 sobre TLPT + marco TIBER-EU/TIBER-ES del Banco de España). En un litigio donde se discute la diligencia debida pueden solicitarse por el cauce de exhibición aplicable con motivación reforzada. La entidad puede invocar su protección y el juez decide ponderando los intereses en juego, con las modulaciones de acceso que estime (por ejemplo, limitar qué se exhibe y cómo).

Soy abogado de un comercio que vendió por TPV durante una caída del procesador. ¿Qué pericial necesito?

Pericial que reconstruya:

1. La cronología del incidente con timestamps verificables.
2. La afectación específica al TPV de tu cliente (logs entidad emisora + logs proveedor + tu cliente).
3. La existencia o no de notificación PIR del banco emisor en plazo.
4. La valoración cuantitativa del daño (operaciones perdidas × ticket medio × margen).
5. Coherencia o no con la documentación DORA exigible a la entidad.

Solicita una consulta gratuita y valoramos tu caso.

¿Qué diferencia hay entre la notificación DORA y la notificación brecha datos a la AEPD?

Son independientes y paralelas. DORA (notificación inicial en 4 h desde que se clasifica el incidente como grave, al supervisor sectorial) se activa por incidente TIC grave en función de servicio, duración e impacto operativo. RGPD (72 h a la AEPD) se activa por riesgo para los derechos y libertades del afectado por compromiso de datos personales. Una misma incidencia puede activar una, la otra o ambas. El perito puede tener que reconstruir dos expedientes en sedes distintas.

10. Conclusiones

DORA reescribe el ecosistema regulatorio de la banca, fintech y seguros desde el 17 de enero de 2025, y con ello reescribe el ecosistema probatorio que un perito informático forense puede explotar en litigios civiles del cliente perjudicado.

Cinco take-aways operativos:

1. El expediente PIR (notificación inicial, informe intermedio y final) es documentación regulatoria solicitable por el cauce de exhibición que corresponda; su valor probatorio se acredita, no se presume.
2. El RoI / REGIS es un activo probatorio único: prueba (o no) la diligencia debida del banco frente a sus proveedores TIC.
3. La cadena de custodia ISO/IEC 27037 sigue aplicando en el lado del perito; ahora tiene espejo regulatorio del lado de la entidad.
4. La doble notificación DORA + RGPD obliga a cruzar dos expedientes en sedes distintas.
5. No hay sentencias DORA firmes a la fecha — no las cites; cita el reglamento, los RTS y los supervisores.

Si tu cliente ha sufrido daño por una incidencia TIC en un banco, fintech o aseguradora, conviene no dejar correr el tiempo: los cómputos regulatorios de DORA arrancan con la clasificación del incidente, la retención de logs sigue la política de la entidad y los plazos procesales o de prescripción de tu reclamación dependen de la acción y de la norma sustantiva. Solicita una consulta gratuita y valoraremos juntos qué evidencia podemos solicitar y cómo cruzarla.

Referencias y fuentes

Normativa UE primaria

• Reglamento (UE) 2022/2554 (DORA) — texto consolidado en español
• Directiva (UE) 2022/2556 (acompañamiento sectorial)
• Directiva (UE) 2022/2555 (NIS2 / SRI 2)
• DORA en BOE (DOUE)
• Resumen oficial EUR-Lex

Estándares técnicos de desarrollo (RTS/ITS)

• Reglamento Delegado (UE) 2024/1772 — Criterios clasificación incidentes graves
• Reglamento Delegado (UE) 2024/1773 — Política proveedores TIC funciones esenciales
• Reglamento Delegado (UE) 2024/1774 — Marco gestión riesgo TIC
• Reglamento de Ejecución (UE) 2024/2956 — Plantillas del Registro de Información (RoI)
• Reglamento Delegado (UE) 2025/301 — Contenido y plazos de los informes de incidente
• Reglamento Delegado (UE) 2025/532 — Subcontratación de servicios TIC (texto oficial)

España — extensión y supervisión

• Real Decreto-ley 8/2023, art. 4 (BOE 28 dic 2023)
• Ley 1/2000 de Enjuiciamiento Civil (arts. 328, 330, 332) — texto consolidado
• Ley 39/2015 (LPAC), art. 53 — texto consolidado
• Banco de España — Trámite PIR Notificación de incidentes graves DORA
• Banco de España — Guía proceso notificación incidentes graves DORA v1.0 (20 feb 2025)
• Banco de España — TIBER-ES
• Banco de España — Guía implantación TIBER-ES
• CNMV — FAQ DORA
• CNMV — Procedimiento notificación 28.3
• CNMV — Guía operativa de reporte del registro completo DORA (2026)
• DGSFP — Reglamento DORA
• DGSFP — Sede notificación incidentes
• Proyecto de Ley de Digitalización del Sector Financiero (121/000105, Congreso)

Autoridades europeas

• EBA — Designación CTPPs nov 2025
• ESMA — Designación CTPPs
• EIOPA — Designación CTPPs (nov 2025)
• EBA — Primer paquete RTS DORA
• BCE — TIBER-EU framework
• BCE — TIBER-EU update DORA (feb 2025)

ENISA + INCIBE

• ENISA — Threat Landscape Finance Sector
• INCIBE — Qué es el Reglamento DORA
• INCIBE — DORA ya es obligatorio: notificar incidentes
• INCIBE — Cómo determinar si te aplica DORA
• INCIBE — Análisis incidente CrowdStrike 19 jul 2024

RGPD y cruce regulatorio

• AEPD — Notificación brecha datos personales art. 33 RGPD
• Hogan Lovells — Notificación brechas sector asegurador DORA / RGPD

Análisis sectorial (despachos y consultoras)

• Uría — Reglamento DORA: un cambio de paradigma
• KPMG — DORA un año después (ene 2026)
• PwC España — Digital Operational Resilience Act (DORA)
• Andersen España — DORA tormenta perfecta regulación ciberseguridad financiero
• ILP Abogados — Cláusulas esenciales derecho auditoría DORA
• CMS — Operadores y procesadores de pagos en España bajo DORA
• Tarlogic — Reglamento DORA banco resistir ciberataque

Proveedores designados CTPP

• AWS — Designado CTPP bajo DORA
• Google Cloud — Compliance DORA

Contenido propio relacionado

• Cadena de custodia digital: guía ISO 27037 para evidencia electrónica (2026)
• Cómo preparar evidencia digital para un proceso judicial
• Validar un informe pericial informático en juicio
• Servicio: Peritaje Cloud AWS
• Glosario: Cadena de custodia
• Glosario: Evidencia digital