En materia de supervisión, el Banco de España es la autoridad competente para las entidades de crédito y ha publicado la guía de notificación de incidentes graves bajo DORA. La DGSFP supervisa aseguradoras y reaseguradoras. Ambas actúan coordinadas con las Autoridades Europeas de Supervisión — EBA, EIOPA y ESMA — que desde noviembre de 2025 ejercen supervisión directa sobre los 19 proveedores TIC críticos designados.
Para el sector asegurador, DORA iguala el nivel de exigencia con la banca: pólizas, siniestros y datos de asegurados en entornos de pruebas quedan bajo el mismo marco de control que cualquier dato financiero crítico. No es un requisito periférico — es el punto donde muchas aseguradoras tienen la mayor brecha de exposición sin saberlo.
Qué cambia con DORA para equipos de tecnología y datos
DORA incrementa el nivel de exigencia en tres dimensiones que afectan a cómo se gestionan datasets fuera de producción:
- Gobierno y control del riesgo TIC: políticas, procesos y controles técnicos definidos, operativos y revisables.
- Evidencia verificable: trazabilidad y resultados reproducibles que permitan demostrar ejecución de controles.
- Riesgo de terceros TIC: el control debe mantenerse cuando el dato se consume en proveedores y servicios externos.
En ejecución, esto se materializa en tres frentes:
- Seguridad: define políticas, segregación, acceso mínimo, monitorización y logging.
- Plataforma de datos/DevSecOps: implementa pipelines de publicación, transformaciones y validaciones.
- Gestión de terceros: gobierna inventario de proveedores, accesos, caducidad y evidencias asociadas.
Control del dato en entornos no productivos: requisito operativo y verificable
Los estándares técnicos complementarios de DORA sobre gestión del riesgo TIC concretan controles aplicables a entornos no productivos. En particular, establecen que estos entornos deben almacenar únicamente datos anonimizados, seudonimizados o aleatorizados - lo que convierte la seguridad de datos en entornos no productivos en el eje técnico de cumplimiento.
El mismo RTS contempla una excepción acotada: los datos de producción reales pueden usarse en pruebas específicas, durante un tiempo limitado, con aprobación previa de la función responsable y notificación a la función de gestión del riesgo TIC.
Operativamente, el control no se mide solo por el endurecimiento del entorno; se mide por el ciclo de vida completo del dataset: qué entra, cómo se transforma, quién lo usa, cuánto tiempo existe y qué evidencia queda. La siguiente sección detalla cómo implementarlo sin ralentizar el delivery.
Cómo implementar datos seguros en cualquier entorno sin frenar el delivery
La forma de escalar cumplimiento y agilidad es convertirlo en un servicio interno: entregar datasets útiles por finalidad, con salvaguardas incorporadas, automatizadas y auditables.
Clasificación y reglas de tratamiento
Empieza por una clasificación de datos accionable y automatizable:
- Datos personales y categorías especiales (según contexto de negocio).
- Datos financieros y operativos (por ejemplo: cuentas, pólizas, siniestros, pagos, pricing, fraude).
- Identificadores y claves de relación (necesarios para consistencia).
- Secretos operativos: credenciales, tokens, claves API, certificados (no deben propagarse).
A cada clase, asigna una regla por defecto de transformación:
- Enmascaramiento para preservar formatos y utilidad operativa.
- Seudonimización cuando necesitas consistencia y trazabilidad controlada.
- Anonimización o aleatorización cuando el riesgo y el caso de uso lo exigen.
El criterio técnico es mantener utilidad minimizando reidentificación: consistencia por campo, preservación de formato y, cuando aplique, preservación de relaciones.
Publicación controlada de datasets por entorno y finalidad
Estandariza un flujo de publicación que produzca datasets listos para usar según destino:
- Selección de origen y alcance (tablas/campos, ventanas temporales, subconjuntos).
- Transformación aplicada con reglas versionadas.
- Validaciones automáticas: integridad referencial, constraints, distribuciones y checks de fuga.
- Publicación al entorno o destino (incluye proveedores si aplica).
- Caducidad y rotación: expiración automática del dataset y revocación de accesos.
Este enfoque reduce proliferación de copias y hace que la evidencia de control sea un subproducto del proceso.
Excepciones con aprobación, caducidad y trazabilidad
Cuando se requiera una excepción, conviértela en un procedimiento controlado:
- Solicitud con motivo, alcance, plazo y entorno.
- Aprobación por propietario del dato y Seguridad.
- Controles reforzados: segregación, acceso mínimo, logging exhaustivo.
- Expiración automática y evidencia de retirada o borrado.
Esto permite cumplir el requisito de excepción acotada y gobernada, en línea con los estándares técnicos.
Terceros TIC: control cuando el dato sale de tu perímetro
DORA refuerza la gestión del riesgo de terceros TIC y la necesidad de mantener un registro de acuerdos y dependencias TIC. Para equipos de datos, el punto crítico es asegurar que el control se mantiene cuando datasets se consumen en plataformas externas (cloud, servicios gestionados, consultoras o tooling).
En términos operativos, el control con terceros se sostiene con tres elementos:
- Inventario y clasificación de destinos: qué proveedores acceden a datos, con qué finalidad y bajo qué contexto (entorno, proyecto, servicio).
- Condiciones de salida: qué categorías de datos pueden compartirse, qué transformaciones son obligatorias y qué excepciones están permitidas.
- Trazabilidad hacia el proveedor: capacidad de reconstruir qué dataset se entregó, a quién y bajo qué condiciones.
Con esto, el registro contractual se complementa con evidencia técnica de uso real.
Cumplimiento DORA: qué evidencia auditable debe demostrar tu entidad
El cumplimiento de DORA no se demuestra con documentación estática. El regulador espera artefactos técnicos reproducibles por ejecución: qué dataset se entregó, a qué entorno o tercero, qué reglas se aplicaron, qué validaciones pasó y cuándo expiró. Un paquete mínimo de evidencia por publicación incluye:
· Identificador del dataset y su versión (origen, alcance, timestamp).
· Reglas de transformación aplicadas y su versión.
· Resultados de validación: integridad referencial y checks de fuga.
· Destino con vigencia explícita y permisos asignados.
· Evidencia de expiración, retirada o borrado verificable.
Sin estos artefactos, una auditoría del supervisor no tiene nada que revisar — y la entidad no puede demostrar control real.
Cómo encaja Gigantics en un programa de resiliencia operativa digital
Gigantics centraliza la entrega gobernada de datasets a entornos internos y de terceros, aplicando políticas de transformación y trazabilidad para reducir exposición de datos sensibles sin perder utilidad operativa.
- Políticas consistentes y versionadas de enmascaramiento, seudonimización, anonimización o aleatorización por dominio de datos.
- Mantenimiento de la integridad referencial: preservación de formatos, consistencia entre campos y relaciones.
- Evidencias por ejecución: registro de qué dataset se entregó, a qué entorno o tercero, qué reglas se aplicaron y cuál es su vigencia/caducidad, facilitando auditoría y control cuando el dato sale del perímetro.
