DORA

DORA es un marco horizontal de gestión del riesgo TIC, no una norma específica de criptoactivos. Se articula en cinco pilares: gobernanza y gestión del riesgo TIC, notificación obligatoria de incidentes graves a la autoridad competente, pruebas de resiliencia operativa (incluido el TLPT o pruebas de penetración basadas en amenazas para entidades significativas), gestión del riesgo de terceros TIC con un registro de información de todos los contratos, y supervisión a escala UE de los proveedores terceros críticos (CTPP) mediante un Lead Overseer designado por las ESA (EBA, ESMA, EIOPA).

Forma parte del Digital Finance Package de la UE junto a MiCA, y se acompaña de la Directiva (UE) 2022/2556 que ajusta directivas sectoriales. Su desarrollo se completa con normas técnicas (RTS e ITS) elaboradas conjuntamente por las tres ESA. Aplica a unas veinte categorías de entidades financieras y a sus proveedores tecnológicos.

Para un proyecto de tokenización la lectura es directa. Los proveedores de servicios sobre criptoactivos (CASP) autorizados bajo MiCA entran en el perímetro de DORA. Un emisor de stablecoins o una plataforma de tokenización cumple ambas normas en paralelo: gestiona el riesgo TIC, registra a sus proveedores de nube, custodia y oráculos, y notifica incidentes en plazo. La dependencia de oráculos y custodios externos cuenta como riesgo de terceros TIC.