La respuesta breve
Una simulación DORA para el consejo debe comprobar si los directivos reciben información útil, deciden a tiempo y documentan sus decisiones mientras los equipos operativos gestionan el incidente. Parte de una interrupción realista, distingue la clasificación del incidente de la urgencia para la actividad y practica el procedimiento real de notificación, con sus distintos plazos. Esta guía ofrece un escenario ficticio de 90 minutos, preguntas para quien dirige el ejercicio, un registro de decisiones y una tabla de acciones posteriores. Es una propuesta práctica, no un formato exigido por DORA ni una prueba de cumplimiento. Adapta el escenario, las competencias y las obligaciones de notificación a tu entidad antes de utilizarlo.
1. Evalúa las decisiones, no la capacidad de recitar la normativa
La difícil decisión del consejo en un incidente grave de tecnología rara vez es «¿Debemos tomarnos esto en serio?». Es más probable que sea si se detiene un servicio empresarial, se opera con controles reducidos, se financia una alternativa de emergencia o se hace una declaración al cliente cuando los hechos aún no están completos. Un simulacro expone estas tensiones antes de un incidente real.
Los artículos 17–19 de DORA abordan la gestión, la clasificación y la notificación de incidentes. El artículo 17 contempla el escalado a los altos directivos pertinentes y la información al órgano de dirección sobre los incidentes graves, sus efectos, la respuesta y los controles adicionales. Eso no convierte al consejo en el responsable operativo del incidente. El ejercicio debe comprobar que las responsabilidades y las vías de escalado funcionan de forma coordinada.
Fija tres resultados concretos: una decisión clara con responsable, una tarea de notificación asignada a alguien y un registro de los hechos disponibles al decidir. No des el ejercicio por superado solo porque todos han asistido. Descubrir que nadie puede entrar en el portal de notificación durante un fallo del sistema de identidad ya puede ser un resultado útil.
El ejercicio que aparece a continuación es material de formación ficticio. No sustituye a las pruebas técnicas de recuperación, a un programa completo de pruebas de resiliencia ni a las pruebas de penetración orientadas a amenazas. La duración de 90 minutos es un formato sugerido, no un mínimo regulatorio.
2. Distingue la clasificación, la urgencia y el escalado al consejo
Un incidente puede necesitar la atención de la dirección antes de que se determine su clasificación normativa. A la inversa, un incidente grave sujeto a notificación puede requerir un aviso rápido aunque la recuperación avance bien. No hagas depender ninguna de esas decisiones de que el presidente esté disponible para aprobar una nota de prensa.
Las reglas de clasificación detalladas están en el Reglamento Delegado (UE) 2024/1772. El artículo 8 combina la afectación a servicios críticos con determinadas condiciones de importancia; no convierte automáticamente cualquier interrupción técnica en un incidente grave. Las reglas también contemplan los incidentes recurrentes. Usa una ficha de clasificación aprobada que aplique los criterios y umbrales reales, en vez de improvisar un semáforo de riesgo durante la reunión.
Para el ejercicio, encarga a una persona de cumplimiento o riesgos la propuesta de clasificación y los hechos que la respaldan. El responsable del incidente establece las prioridades operativas. Una persona autorizada prepara y envía la notificación. El reparto real de competencias puede ser distinto en tu entidad: déjalo claro antes de introducir el primer cambio del escenario.
- ¿Qué se sabe sobre los servicios, clientes, transacciones y datos afectados?
- ¿Qué es una estimación, qué la respalda y cuándo se actualizará?
- ¿Qué criterios de clasificación se cumplen, no se cumplen o siguen siendo inciertos?
- ¿Quién puede decidir y actuar si la persona normalmente responsable no está disponible?
Registra por separado cuándo la entidad tiene conocimiento del incidente y cuándo lo clasifica como grave. Informar después a los directivos no reinicia el primer plazo. Detectar el incidente y clasificarlo son hechos distintos que deben quedar situados con precisión en la cronología.
3. Practica el cálculo de los plazos con un ejemplo
El siguiente resumen trata de la notificación de incidentes graves relacionados con las TIC conforme a lo dispuesto en el artículo 5 del Reglamento Delegado (UE) 2025/301. Ante un incidente, consulta el texto normativo y sigue el procedimiento de tu autoridad competente.
| Fase | Plazo ordinario |
|---|---|
| Notificación inicial | Tan pronto como sea posible; dentro de las cuatro horas tras la clasificación como grave y, en todo caso, antes de las 24 horas desde que se tenga constancia del incidente. |
| Excepción de clasificación posterior | Si la clasificación como grave se produce más de 24 horas después de que la entidad tenga conocimiento del incidente, la notificación debe enviarse en las cuatro horas siguientes a esa clasificación. |
| Informe intermedio | En las 72 horas siguientes al envío de la notificación inicial, aunque la situación o la gestión no hayan cambiado. Se requiere un informe intermedio actualizado sin demora indebida y, en todo caso, cuando se hayan recuperado las actividades habituales. |
| Informe final | No más tarde de un mes después del informe intermedio, o del informe intermedio actualizado más reciente si aplica. |
En nuestro ejemplo ficticio, la detección ocurre el martes a las 09:00 y la clasificación como grave a las 10:00. El plazo normal de notificación inicial es a las 14:00 de ese martes, sujeto al deber de notificar cuanto antes. Si se presenta a las 11:30, el plazo de 72 horas para el informe intermedio concluye a las 11:30 del viernes. Una actualización posterior cambia el punto de referencia para el plazo de un mes del informe final. Un mes no equivale a 30 días.
Los plazos no se suspenden automáticamente el fin de semana. Cuando sea aplicable, el artículo 5, apartado 4, permite presentar hasta el mediodía del siguiente día laborable si la fecha límite cae en fin de semana o festivo en el Estado miembro de la entidad. El apartado 5 excluye de esta posibilidad las notificaciones iniciales y los informes intermedios de entidades de crédito, entidades de contrapartida central, operadores de centros de negociación y otras entidades financieras identificadas como esenciales o importantes según NIS2. En virtud del apartado 6, las autoridades pueden excluir también a otras entidades significativas o sistémicas después de informarlas; la decisión se aplica a los incidentes notificados tras esa comunicación. Comprueba la aplicabilidad antes de acogerte a esta posibilidad.
Si no puedes cumplir un plazo, informa a la autoridad competente sin demora indebida y, como máximo, al vencer ese plazo, explicando los motivos. Esto no concede una prórroga automática.
4. Prepara el espacio y las reglas del ejercicio
Invita al presidente o a un directivo delegado para decidir, a un responsable de servicio, al responsable del incidente, a representantes de riesgos o cumplimiento, asesoría jurídica y comunicación, y a alguien que registre las decisiones. Incluye a quien gestione el proveedor si el servicio depende de una plataforma externa. En una organización pequeña, una persona puede asumir varios papeles, pero deja claras las responsabilidades.
Envía unos materiales breves de preparación: descripción del servicio, vías de escalado, objetivos de recuperación, procedimiento de notificación, contactos actualizados y registro de decisiones en blanco. Pide que se utilicen los procedimientos reales de la entidad. Quien dirige el ejercicio controla los hechos ficticios y el avance del tiempo. Quien toma notas registra las decisiones, no transcribe todas las conversaciones.
Mantén separado el tiempo del ejercicio del tiempo del escenario. Una discusión de cinco minutos puede representar una hora en el incidente ficticio, pero el facilitador debe anunciar el salto. Etiqueta cada mensaje y borrador como “EJERCICIO”. No envíes notificaciones de práctica a un regulador, cliente o proveedor salvo que se haya acordado su participación. Usa una ruta segura de envío ficticio.
Nuestra entidad ficticia ofrece un servicio de pagos al cliente a través de una plataforma de procesamiento externa. A las 09:00 del martes, operaciones detecta fallos en el procesamiento de pagos. La causa es incierta. Para este ejercicio, la organización ha considerado que la función soportada es crítica o importante. Aun así, los participantes deben aplicar los criterios de clasificación de incidentes graves; la sola etiqueta de función no determina ese resultado.
5. Sigue esta agenda de 90 minutos
Este programa da prioridad a las decisiones frente a las diapositivas. Quien dirige el ejercicio debe cortar las especulaciones técnicas prolongadas y pedir una decisión, una información necesaria o una acción con responsable. No resuelvas todas las dudas por los participantes: decidir qué pruebas hacen falta es parte de la práctica.
| Minutos del ejercicio | Actividad | Resultado |
|---|---|---|
| 0–10 | Confirma el alcance, los roles, la autoridad y los hechos del escenario. | Responsable designado para la toma de decisiones, jefe del incidente y persona encargada del registro. |
| 10–25 | Primer cambio: interrupción e información incompleta. | Prioridades iniciales, solicitudes de información y decisión de escalado. |
| 25–45 | Segundo cambio: clasificación como grave y procedimiento de notificación. | Inicios y vencimientos de plazo registrados, responsabilidad de notificación asignada y plan de envío. |
| 45–65 | Tercer cambio: recuperación anunciada, presión de los clientes e incertidumbre sobre el proveedor. | Condiciones de recuperación, decisión sobre comunicación y próxima revisión. |
| 65–80 | Compara las decisiones con los planes e identifica carencias. | Hallazgos priorizados con observaciones de apoyo. |
| 80–90 | Acuerda responsables, fechas y pruebas para dar las acciones por cerradas. | Seguimiento de acciones y una nueva prueba dirigida. |
Si se pospone una decisión, quien redacte el acta debe registrar quién volverá con qué pruebas y para cuándo. “Involucraremos al departamento legal” no es una acción finalizada si nadie identifica el contacto legal, la pregunta que debe responderse o el plazo disponible. El mismo estándar se aplica a “llamar al proveedor” y a “activar el plan de recuperación”.
6. Introduce tres cambios que obliguen a valorar consecuencias
Primer cambio: el servicio falla, pero la causa es incierta
A las 09:15 del escenario aumentan los pagos fallidos. El proveedor reconoce un problema en la plataforma, pero no estima cuándo lo resolverá. Algunos clientes vuelven a intentarlo, lo que puede dificultar la conciliación de las transacciones. Operaciones puede limitar temporalmente el procesamiento, pero eso interrumpiría también el servicio a clientes que quizá no estén afectados.
Pregunta: ¿qué perjuicio a los clientes se pretende limitar y cuál puede causar la restricción? ¿Quién está autorizado a modificar el servicio? ¿Qué hechos mínimos hacen falta ahora? ¿Cómo distinguirá el equipo una transacción retrasada de otra que debe repetirse? El resultado esperado es una decisión operativa acotada, un responsable y una hora de revisión, no una hipótesis sobre la causa técnica.
Segundo cambio: clasificación confirmada y responsable habitual de notificaciones ausente
A la hora del escenario 10:00, el facilitador presenta una evaluación que demuestra que se cumplen tanto la condición de servicios críticos afectados como los umbrales de materialidad aplicables. Para el ejercicio, el equipo autorizado clasifica el incidente como grave a las 10:00. El responsable habitual de notificaciones no está disponible. El sustituto nunca ha usado el portal de envío y no sabe si su acceso funciona.
Pide a los participantes que identifiquen el procedimiento y completen una notificación inicial simulada con los datos disponibles. Registra lo que se desconoce y quién debe aclararlo. ¿Cuál es el primer plazo? ¿Quién envía? ¿Quién comprueba la recepción? ¿Se puede actuar sin esperar a la próxima reunión del consejo? Utiliza el Reglamento de Ejecución (UE) 2025/302 para las plantillas y los procedimientos de notificación; el registro de decisiones del ejercicio no sustituye al formulario reglamentario.
Tercer cambio: el proveedor anuncia la recuperación, pero faltan comprobaciones
A la hora del escenario 11:15, el proveedor informa que el procesamiento se ha restablecido. La conciliación interna todavía no ha confirmado que los intentos duplicados se hayan gestionado correctamente. Un cliente principal solicita una declaración pública asegurando que ningún registro se ha visto afectado. El responsable del servicio propone reabrir inmediatamente; el líder del incidente quiere una validación adicional.
Pregunta qué pruebas justifican reabrir y quién puede aceptar el riesgo operativo residual. ¿Puede recuperarse el servicio por fases? ¿Qué se puede comunicar con exactitud ahora? ¿Qué actualización necesita la autoridad competente? Define las condiciones para volver a la normalidad, quién hará las comprobaciones adicionales y la hora del siguiente punto de situación. No premies la reapertura más rápida si los participantes no explican cómo verificarán los registros de los clientes.
7. Mantén un registro de decisiones que muestre el razonamiento
Un buen registro permite reconstruir por qué se tomó una decisión razonable con información incompleta. Debe distinguir una decisión de un supuesto e identificar quién puede cambiarla. El siguiente ejemplo es ficticio e ilustra un método de registro, no una respuesta recomendada para cualquier incidente de pago.
| Campo | Ejemplo resuelto |
|---|---|
| Hora y decisión | 09:25: limitar las nuevas órdenes de pago por el canal afectado hasta completar la conciliación. |
| Información disponible | Aumentan los pagos fallidos; el proveedor no da un plazo de recuperación; queda por confirmar si los nuevos intentos han generado duplicados. |
| Opciones consideradas | Continuar sin cambios, limitar nuevas órdenes o dirigir las transacciones que cumplan los requisitos a una alternativa aprobada. |
| Motivo y autoridad | Limitar la incertidumbre adicional sobre el procesamiento; decisión tomada por el directivo autorizado responsable del servicio. |
| Responsable y próxima revisión | El responsable de operaciones implementa y comunica el impacto a las 09:45. |
| Condiciones para la revisión | Resultado de conciliación validado y una recomendación de recuperación aprobada. |
Conserva en la cronología del incidente las horas de conocimiento, clasificación y envío, junto al registro de decisiones. Usa una misma zona horaria. Guarda las fuentes de los hechos relevantes y las estimaciones anteriores cuando cambien. Corregir el número de clientes afectados no debe borrar sin rastro el dato en que se basó la decisión inicial.
8. Convierte las observaciones en acciones con resultados verificables
Empieza la revisión posterior con observaciones: ¿qué decisión se retrasó, qué dato faltó y qué proceso no se pudo demostrar? Evita conclusiones generales como «la comunicación fue deficiente» sin un ejemplo. Pregunta qué decisiones habrían cambiado si el incidente hubiera empezado fuera de horario o afectado a las herramientas habituales de colaboración.
Conserva la versión del escenario, asistentes y funciones, decisiones importantes, ficha de clasificación, notificaciones simuladas, carencias observadas y decisiones de seguimiento. Protege los materiales según su sensibilidad. El objetivo es mejorar el trabajo de la organización, no difundir innecesariamente datos reales de clientes o información reservada de proveedores.
| Brecha observada | Acción y responsable | Plazo propuesto | Evidencia de cierre |
|---|---|---|---|
| El suplente no pudo demostrar su acceso al sistema de notificación. | El responsable de cumplimiento verifica el acceso del suplente autorizado al sistema de notificación y las instrucciones correspondientes. | En un plazo de dos semanas. | Prueba controlada de acceso superada y calendario de guardias actualizado. |
| La aprobación para la recuperación carecía de criterios de integridad de datos. | El responsable del servicio y operaciones definen la validación y la aprobación final. | En el plazo de un mes. | Lista de comprobación aprobada utilizada en un ejercicio de recuperación específico. |
| Las actualizaciones del proveedor no detallaron el impacto en el negocio. | El responsable de la relación con el proveedor revisa las preguntas de escalado y la disponibilidad de los contactos. | Antes de la próxima revisión del servicio. | Ruta de escalado acordada, demostrada en una discusión conjunta. |
Estos plazos son ejemplos de decisiones de gestión, no fechas límite legales. Designa a alguien que compruebe el cierre y sigue documentando los riesgos residuales sin resolver. Incorpora los hallazgos importantes al cuadro de mando para el consejo. Si el ejercicio revela una dependencia externa sin alternativa viable, utiliza la guía de riesgos de terceros para vincular el hallazgo con los contratos, la concentración y la planificación de salida.
9. Conecta la formación de los directivos con la siguiente comprobación
El seguimiento más útil es un ejercicio breve que compruebe si se ha corregido una debilidad. Si faltaba acceso al portal de notificación, haz que el suplente demuestre cómo lo utiliza. Si no estaban claras las condiciones para reabrir un servicio, vuelve a probarlas. Repetir la presentación con las mismas carencias pendientes aporta pocas garantías adicionales.
Utiliza la guía de requisitos DORA para la formación del consejo para relacionar el ejercicio con la formación continua del órgano de dirección. El curso de BlueTeam Academy «Formación DORA en ciberseguridad para administradores y directivos» introduce los conceptos de gobernanza para los equipos de dirección de entidades financieras dentro del alcance de DORA. La finalización del curso o el registro de asistencia no demuestra el cumplimiento organizativo. Combina esa base con tu propio contexto de servicio, decisiones observadas y mejoras verificadas.
Preguntas que hacen los líderes
¿Todo incidente TIC debe notificarse como grave según DORA?
No. Aplica las reglas de clasificación y umbrales de materialidad del Reglamento Delegado (UE) 2024/1772. Una preocupación operativa grave puede requerir escalado interno mientras la evaluación regulatoria se sigue desarrollando. Registra la evaluación y revísala a medida que los hechos cambien.
¿El plazo inicial de notificación DORA es siempre de 24 horas?
No. La regla ordinaria exige notificar cuanto antes, en las cuatro horas siguientes a la clasificación como grave y, como máximo, 24 horas después de tener conocimiento del incidente. Se aplica una regla específica cuando la clasificación se produce más de 24 horas después de ese momento. Registra por separado el inicio y el vencimiento de cada plazo.
¿Una simulación cubre todos los requisitos DORA sobre pruebas?
No. Este ejercicio de consejo simula decisiones ejecutivas y coordinación. No demuestra recuperación técnica ni sustituye el programa de pruebas de resiliencia, pruebas especializadas o pruebas de penetración dirigidas por amenazas.
¿Debería el consejo aprobar cada notificación de incidente?
Reparte las competencias de forma que se pueda notificar a tiempo e informar adecuadamente al órgano de dirección. No añadas una aprobación que haga imposible cumplir el plazo legal. Antes del incidente, documenta quién puede enviar las notificaciones, quién le sustituye y qué vía de escalado se utiliza.
Fuentes y lecturas adicionales
Legislación principal y material supervisor. Los ejemplos prácticos y plantillas de esta guía son sugerencias, no formularios regulatorios prescritos.
- Reglamento (UE) 2022/2554: gestión de incidentes, clasificación y notificación
- Reglamento Delegado (UE) 2024/1772: clasificación y umbrales de materialidad
- Reglamento Delegado (UE) 2025/301: contenido y plazos de los informes
- Reglamento de Ejecución (UE) 2025/302: plantillas y procedimientos de reporte
Esta guía es didáctica. Confirme el alcance de su entidad, el marco aplicable y los requisitos del supervisor con su equipo legal y de cumplimiento.
