NIS2 vs DORA: 7 diferencias que importan para su SOC

NIS2 (Directiva (UE) 2022/2555) y DORA (Reglamento (UE) 2022/2554) persiguen el mismo resultado: resiliencia operativa bajo supervisión. Llegan por instrumentos jurídicos distintos, con alcances distintos y niveles de prescripción distintos. Para un SOC la distinción no es académica. Determina qué reloj de incidentes corre, qué régimen de testing debe evidenciar y quién en su organización responde personalmente.

Diferencia 1: alcance

NIS2 cubre entidades esenciales e importantes en un conjunto amplio de sectores: energía, transporte, salud, agua potable, infraestructura digital, administración pública y otros. Como directiva, solo obliga cuando cada Estado miembro la transpone a su derecho nacional; el plazo de transposición venció el 17 de octubre de 2024 y el avance en la UE sigue siendo desigual, así que las obligaciones exactas dependen de su jurisdicción. DORA es un reglamento: aplica directamente, sin transposición, desde el 17 de enero de 2025, a entidades financieras como bancos, aseguradoras, empresas de inversión, entidades de pago y proveedores de servicios de criptoactivos, y se extiende a los proveedores TIC designados como críticos.

Diferencia 2: prevalencia

DORA es lex specialis para el sector financiero. Donde ambos instrumentos podrían aplicar a una entidad financiera, prevalecen los requisitos de DORA sobre gestión de riesgo TIC, reporte de incidentes y testing. La lectura práctica: una entidad financiera regulada construye su programa alrededor de DORA; el resto de entidades en alcance, alrededor de NIS2 según su transposición nacional. La intención se solapa; las obligaciones no se suman sin más.

Ambos textos subieron la responsabilidad en el organigrama, pero con distinta fuerza. NIS2 exige que los órganos de dirección aprueben las medidas de gestión de riesgos de ciberseguridad, supervisen su implantación y reciban formación; sus miembros pueden responder por los incumplimientos. DORA va más lejos: el órgano de dirección asume la responsabilidad final explícita del riesgo TIC, debe definir funciones y responsabilidades, aprobar la estrategia de resiliencia operativa digital y mantener conocimiento suficiente para cuestionarla.

Para el SOC esto cambia el producto de reporte. Un informe al consejo que resume volúmenes de alertas no evidencia supervisión. Lo que busca un evaluador: aprobación documentada del marco de riesgo TIC por el consejo, cuestionamiento recogido en actas y una línea base de madurez que el consejo haya visto de verdad. Las cifras de capacidad sin contexto de madurez no sobreviven a una entrevista supervisora.

NIS2 trata la seguridad de la cadena de suministro como una de las medidas de gestión de riesgos exigidas: política, diligencia debida, seguridad en las relaciones con proveedores. DORA le dedica un capítulo entero. Las entidades financieras deben mantener un registro de información que cubra todos los acuerdos contractuales TIC, evaluar la criticidad de cada proveedor, incorporar cláusulas prescritas en los contratos (derechos de auditoría y acceso, estrategias de salida, cooperación en incidentes) y aceptar un marco de supervisión a nivel UE para los proveedores designados críticos.

Si su SOC está parcial o totalmente externalizado, esta es la diferencia que golpea primero. Un MSSP que sirve a una entidad financiera hereda obligaciones de DORA de forma transitiva, por contrato. Los expedientes de selección, los SLA y las cláusulas de salida se convierten en evidencia regulatoria, no solo en higiene de compras. Documente el proceso de selección; los supervisores piden trazabilidad.

NIS2 exige políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos, incluidas pruebas de seguridad regulares, pero no nombra metodología. DORA prescribe un programa de pruebas de resiliencia operativa digital con testing anual de los sistemas críticos y, para las entidades identificadas como significativas, pruebas de penetración guiadas por amenazas (TLPT) al menos cada tres años según el artículo 26. El TLPT se ejecuta contra sistemas de producción reales, parte de inteligencia de amenazas sobre los actores que atacan su sector y está alineado con el marco TIBER-EU.

Ordene la madurez antes del TLPT. Un TLPT contra un SOC que nunca ha medido su madurez produce hallazgos que nadie puede priorizar. Una evaluación independiente de madurez del SOC establece primero qué capacidades de detección y respuesta existen y a qué nivel; el TLPT las prueba después bajo presión realista. Los datos SOC-CMM de 2026 muestran que las autoevaluaciones sobreestiman la madurez en torno a 0,6 puntos, así que una línea base interna por sí sola es un punto de partida débil.

Diferencia 6: reporte de incidentes

NIS2 fija una cadencia cerrada para incidentes significativos: alerta temprana en 24 horas, notificación del incidente en 72 horas, informe final en un mes. DORA empieza antes en el proceso: las entidades deben clasificar cada incidente relacionado con TIC contra criterios de gravedad, y los incidentes graves activan una notificación inicial seguida de informes intermedios y finales al supervisor financiero, con plazos definidos en normas técnicas. La consecuencia práctica para el SOC: la lógica de clasificación, los umbrales de gravedad y las plantillas de informe deben existir antes del incidente, dentro de los runbooks, no improvisarse durante uno.

Diferencia 7: sanciones

NIS2 establece multas administrativas de hasta 10 millones EUR o el 2% de la facturación anual mundial para entidades esenciales, y de hasta 7 millones EUR o el 1,4% para entidades importantes, la cifra que sea mayor. DORA deja la mayor parte del régimen sancionador a los supervisores financieros nacionales dentro de sus competencias, pero añade un instrumento propio: los proveedores TIC críticos pueden afrontar multas coercitivas de hasta el 1% de su facturación media diaria mundial mientras persista el incumplimiento. Mecánicas distintas, mismo mensaje: los fallos de resiliencia ahora tienen precio.

La mayoría de los grupos en alcance de ambos regímenes no necesita dos programas. Necesita un único marco de controles con una capa de mapeo regulatorio encima.

• Clasifique primero: determine por entidad legal si aplica DORA, NIS2 o ninguno. La prevalencia resuelve la mayoría de los solapamientos aparentes.
• Construya un único conjunto de controles para riesgo TIC, terceros, testing y respuesta a incidentes; mapee cada control al artículo de NIS2 o DORA que satisface.
• Ejecute un único proceso de incidentes con dos formatos de salida: la cadencia NIS2 de 24h/72h/1 mes y los informes progresivos de DORA parten de los mismos hechos.
• Mantenga un único pack de evidencia. Una evaluación independiente de madurez del SOC contra el SOC-CMM, con sus cinco dominios y 27 aspectos, da a ambos supervisores la misma línea base defendible y una hoja de ruta priorizada.

El hallazgo que conviene llevarse: NIS2 y DORA discrepan en la mecánica, no en la dirección. Construya la capacidad una vez, evidénciela de forma independiente y repórtela dos veces.