DORA y seguros en España: qué cambia para aseguradoras y grandes brokers en la gestión de siniestros

El Reglamento DORA (Digital Operational Resilience Act) entró en aplicación en enero de 2025 y obliga a las entidades financieras europeas, incluidas aseguradoras y grandes intermediarios de seguros, a demostrar que sus sistemas digitales son suficientemente robustos para resistir y recuperarse de incidentes graves. Para los directores de siniestros y de tecnología en aseguradoras medianas y grandes, DORA seguros España plantea una pregunta concreta: ¿hasta qué punto afecta a los procesos de gestión de siniestros y qué deben hacer de forma diferente a partir de ahora? Este artículo responde esa pregunta con detalle práctico.

Qué es DORA y a quién afecta en el sector seguros

DORA es un reglamento de la Unión Europea, de aplicación directa en todos los Estados miembros, que establece requisitos de resiliencia operativa digital para el sector financiero. A diferencia de una directiva, no necesita transposición nacional: desde el 17 de enero de 2025, las entidades obligadas deben cumplirlo sin excepciones.

En el sector asegurador español, el reglamento se aplica a las entidades de seguros y reaseguros de cierto tamaño, así como a los grandes intermediarios de seguros que superen los umbrales definidos en la norma. Las microempresas y las entidades más pequeñas tienen requisitos simplificados, pero los grandes brokers y las aseguradoras medianas y grandes están en el núcleo de la obligación.

El punto de partida es entender que DORA no regula solo los sistemas informáticos: regula la capacidad de la entidad para mantener sus funciones críticas operativas cuando algo falla. Y pocas funciones son tan críticas como la gestión de siniestros, que mueve dinero, datos de clientes y compromisos contractuales en tiempo real.

Los cinco pilares de DORA que impactan en la gestión de siniestros

DORA estructura sus obligaciones en cinco áreas: gestión del riesgo TIC, gestión y notificación de incidentes, pruebas de resiliencia operativa digital, gestión del riesgo de terceros proveedores TIC, e intercambio de información. Todas ellas tienen implicaciones directas o indirectas sobre la operativa de siniestros.

La gestión del riesgo TIC obliga a identificar y documentar todos los activos digitales que soportan funciones críticas. En una aseguradora, el sistema de tramitación de expedientes, las plataformas de peritación y las integraciones con proveedores externos forman parte de ese mapa. Si no están inventariados y clasificados por criticidad, la entidad ya está incumpliendo.

La gestión y notificación de incidentes es quizá el cambio más visible para las áreas de siniestros. DORA establece plazos muy concretos: la notificación inicial de un incidente grave a la autoridad competente debe producirse en un plazo máximo de cuatro horas desde la clasificación como grave, y el informe intermedio en 72 horas. Eso exige procesos internos maduros, no improvisación.

El riesgo de terceros proveedores TIC es especialmente relevante cuando la tramitación de siniestros se apoya en plataformas externas, empresas de peritación con herramientas propias o gestores delegados. La entidad aseguradora sigue siendo responsable de que esos terceros cumplan los estándares exigidos por DORA, lo que traslada la exigencia de diligencia debida a toda la cadena de valor.

El punto crítico: clasificar qué es un incidente grave en siniestros

Uno de los mayores retos prácticos de DORA compliance para aseguradoras es determinar cuándo un problema técnico escala a la categoría de incidente grave notificable. La norma proporciona criterios orientadores, pero su aplicación requiere decisiones rápidas y criterio técnico.

Los criterios incluyen el número de clientes afectados, el volumen de transacciones interrumpidas, la duración de la interrupción y el impacto en la reputación o en otras entidades. En un entorno de siniestros, una caída del sistema de tramitación durante un fin de semana con catástrofe climatológica puede cruzar varios de esos umbrales al mismo tiempo.

El problema que detectamos con frecuencia es que las aseguradoras tienen equipos de tecnología con criterio para evaluar la dimensión técnica del incidente, y equipos de siniestros con criterio para evaluar el impacto operativo, pero no siempre existe un protocolo conjunto que permita clasificar y escalar en los tiempos que DORA exige. La coordinación entre áreas no es opcional: es una obligación regulatoria.

Veamos un ejemplo ilustrativo. Supongamos una aseguradora mediana que gestiona siniestros de hogar. Un proveedor externo de peritación sufre una caída de su plataforma un viernes por la tarde. El departamento de tecnología lo registra como incidente de nivel 2. El área de siniestros, sin embargo, detecta que hay cientos de expedientes abiertos que no pueden avanzar y que varios clientes llevan días esperando resolución urgente. Las cifras son inventadas para el ejemplo, pero el escenario describe una situación donde la clasificación interna del incidente puede no coincidir con los criterios de gravedad de DORA, lo que genera un riesgo de notificación tardía a la autoridad.

Resiliencia digital en seguros: más que recuperar sistemas, recuperar procesos

La resiliencia digital en seguros que exige DORA va más allá de tener un plan de recuperación ante desastres. Lo que el reglamento pide es demostrar, mediante pruebas reales, que la entidad puede mantener o recuperar sus funciones críticas dentro de tiempos predefinidos. Para las aseguradoras más grandes, eso incluye pruebas de penetración avanzadas (TLPT) coordinadas con la autoridad supervisora.

Para los directores de siniestros, esto se traduce en una pregunta concreta: ¿cuánto tiempo puede estar inactivo el sistema de tramitación antes de que la entidad incumpla sus compromisos contractuales con los asegurados? La respuesta determina el objetivo de tiempo de recuperación (RTO) que debe documentarse y probarse.

Un aspecto que a menudo se infravalora es el de los procesos manuales de contingencia. DORA no prohíbe el papel como alternativa temporal, pero sí exige que esa alternativa esté diseñada, entrenada y documentada. Un procedimiento de contingencia que nadie conoce y que nunca se ha practicado no es un plan de contingencia: es una lista de buenas intenciones.

La resiliencia digital en seguros también implica que los datos de siniestros estén protegidos y sean recuperables. Las obligaciones de integridad y disponibilidad de la información encajan directamente con los requisitos de protección de datos ya existentes, pero DORA añade la dimensión de los tiempos de recuperación y la trazabilidad de los incidentes.

Gestión de terceros: el reto de los proveedores en la cadena de siniestros

La gestión de siniestros moderna es una cadena de múltiples actores: plataformas de tramitación, empresas de peritación, redes de reparadores, gestores delegados, y cada vez más, proveedores tecnológicos especializados. DORA exige que la aseguradora evalúe y gestione el riesgo TIC de todos los proveedores que prestan servicios que soportan funciones críticas.

Esto significa, en la práctica, que los contratos con proveedores tecnológicos que intervienen en la cadena de siniestros deben incluir cláusulas específicas sobre resiliencia, notificación de incidentes, auditoría y derechos de salida. Las revisiones periódicas de riesgo de proveedor pasan de ser una buena práctica a ser una obligación regulatoria.

El registro de información contractual que exige DORA sobre proveedores TIC críticos es otro punto de fricción habitual. Muchas entidades tienen los contratos dispersos en distintas áreas de negocio, sin un inventario centralizado que permita identificar rápidamente qué proveedor soporta qué función crítica. Construir ese inventario lleva tiempo, y el plazo de cumplimiento ya está corriendo.

Para las corredurías y brokers grandes que también quedan dentro del ámbito de DORA, el desafío es similar pero con menos recursos para abordarlo. Puedes conocer más sobre cómo funciona la gestión de siniestros para corredurías y los estándares de operativa y trazabilidad que aplicamos en la gestión externalizada.

Por dónde empezar: un enfoque práctico para directores de siniestros

El error más frecuente al abordar DORA compliance en una aseguradora es tratarlo únicamente como un proyecto de tecnología. Los directores de siniestros tienen mucho que decir en el análisis de impacto, porque conocen cuáles son las funciones realmente críticas, cuáles son los tiempos de respuesta que los asegurados esperan y cuáles son los proveedores de los que depende la operativa diaria.

Un punto de partida razonable es realizar un mapeo de procesos críticos de siniestros con criterio de criticidad DORA: ¿qué procesos, si fallan, generan incumplimiento contractual o regulatorio en menos de 24 horas? Esa lista suele ser más corta de lo que se imagina, y concentrar los esfuerzos iniciales en ella permite avanzar sin paralizarse.

El segundo paso es revisar los protocolos de clasificación y escalado de incidentes. Si hoy un técnico de TIC detecta una caída del sistema de tramitación, ¿quién decide si es un incidente grave notificable a la DGSFP? ¿Existe ese proceso documentado? ¿Se ha probado alguna vez? Esas preguntas tienen respuesta técnica, pero también organizativa, y las dos áreas deben trabajar juntas.

Por último, la documentación no es burocracia: es la prueba de cumplimiento que el supervisor puede requerir en cualquier momento. Los registros de incidentes, las actas de las pruebas de resiliencia, los contratos actualizados con proveedores y las políticas de gestión del riesgo TIC son el expediente de cumplimiento que la entidad debe ser capaz de presentar de forma ordenada y completa.

Conclusión

DORA seguros España no es una norma de futuro: es una obligación en vigor desde enero de 2025 con impacto directo en cómo las aseguradoras y los grandes brokers gestionan sus siniestros, clasifican sus incidentes y controlan a sus proveedores tecnológicos. Las entidades que lo traten como un proyecto exclusivo de tecnología llevan la parte más difícil: la operativa de siniestros es el corazón de la función crítica que DORA quiere proteger, y los directores de siniestros son parte indispensable de la solución.