Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014, (UE) no 909/2014 et (UE) 2016/1011 (Texte présentant de l’intérêt pour l
Fecha y vigencia tomadas de la base de datos de la Oficina de Publicaciones de la UE el 28 de agosto de 2026. Esta página explica cómo se cumple, no sustituye al texto oficial ni constituye asesoramiento jurídico.
Cuatro fases. La primera es la que casi nadie hace y la que evita reclamar durante semanas a quien no emite el documento.
Fijar de quién sale cada documento antes de pedir nada. Es lo que evita reclamar durante semanas a quien no lo emite.
La petición sale sola por el canal donde esa persona sí contesta, insiste cuando toca y cambia de canal si no hay respuesta.
Qué se mira de cada documento cuando llega: vigencia, alcance y que corresponde al lote, la obra o el envío.
Dónde queda archivado, atado a qué expediente, y con qué aviso antes de que caduque.
¿Es este tu caso? Cuéntanoslo y lo montamos contigo — el proceso se define una vez y sirve para los siguientes cien.
La referencia 32022R2554 se convierte en un control distinto cuando se separan su objeto, quién aporta cada evidencia y qué decisión debe poder reconstruirse después.
En DORA, IT/CISO debe delimitar este ámbito antes de automatizarlo. La evidencia se vincula a 32022R2554, a su versión vigente y a la decisión tomada sobre este punto concreto.
En DORA, IT/CISO debe documentar este ámbito antes de automatizarlo. La evidencia se vincula a 32022R2554, a su versión vigente y a la decisión tomada sobre este punto concreto.
| Evidencia o dato | Quién lo aporta | Momento del control | Rastro que debe quedar |
|---|---|---|---|
| Certificación de seguridad vigente | Proveedor | A quién le toca | DORA · 32022R2554 · control 1: origen, fecha, versión y resultado de revisión. |
| Informe de auditoría o pentest | Auditor | A quién le toca | DORA · 32022R2554 · control 2: origen, fecha, versión y resultado de revisión. |
| Contrato de encargado del tratamiento | Proveedor | A quién le toca | DORA · 32022R2554 · control 3: origen, fecha, versión y resultado de revisión. |
| Plan de continuidad y recuperación | Proveedor | Recogida | DORA · 32022R2554 · control 4: origen, fecha, versión y resultado de revisión. |
La fuente oficial define la obligación. El proceso interno debe traducirla en información, responsables, revisión y evidencia sin sustituir la interpretación profesional.
Comprueba en 32022R2554 qué productos, actividades, territorios y fechas afectan realmente a la organización.
IT/CISO suele coordinar este control, con apoyo jurídico o técnico cuando la interpretación lo requiera.
La propuesta de proceso identifica qué información habría que confirmar antes de implantar un flujo para DORA.
Registra fuente, versión, vigencia, decisión y fecha de próxima revisión; un cambio normativo no debe quedar oculto en una plantilla antigua.
Completa los campos entre corchetes y pégalo para empezar a configurar el proceso con tu contexto.
OPERATIVA — DORA
La fuente oficial define la obligación. El proceso interno debe traducirla en información, responsables, revisión y evidencia sin sustituir la interpretación profesional.
Fase 1 — Delimitar la operación
Documentos: referencia normativa o contractual aplicable y descripción de la actividad que se revisa.
Datos: operación [referencia], objeto [producto, servicio o centro], mercado [país], responsable [rol] y fecha objetivo [fecha].
Control: confirmar el alcance con el responsable competente; no tratar todas las evidencias de esta plantilla como obligaciones universales.
Fase 2 — Certificación de seguridad vigente
Documentos o evidencias: Certificación de seguridad vigente.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Certificación de seguridad vigente» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 3 — Informe de auditoría o pentest
Documentos o evidencias: Informe de auditoría o pentest.
Origen de la información: Auditor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Informe de auditoría o pentest» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 4 — Contrato de encargado del tratamiento
Documentos o evidencias: Contrato de encargado del tratamiento.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Contrato de encargado del tratamiento» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 5 — Plan de continuidad y recuperación
Documentos o evidencias: Plan de continuidad y recuperación.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Plan de continuidad y recuperación» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 6 — Cerrar y conservar
Documentos: conjunto de evidencias revisadas y decisiones sobre las excepciones.
Datos: estado de cada requisito, aprobación, fecha de cierre y próxima revisión.
Destino: expediente de DORA.
Control: separar lo exigible por norma, contrato o política interna. Esta configuración operativa no sustituye una evaluación jurídica ni acredita por sí sola el cumplimiento.Code Contract lo pide por donde esa persona sí contesta, insiste solo, lo lee al entrar y lo deja demostrable. Y quien lo manda no se registra en nada.