Resiliencia operacional y ciberseguridad (DORA / NIS2 / SEC)

Rastrea el endurecimiento regulatorio de la resiliencia operacional digital: la entrada en enforcement de DORA y NIS2 en la UE, las reglas de divulgación de incidentes de la SEC en EE.UU., los plazos de reporte de CIRCIA y la responsabilidad personal de los directivos. Cada entrada documenta la norma, el plazo, el alcance extraterritorial y la sanción.

Snapshot · 8 de junio de 2026

hitos regulatorios

↑ 4 hitos de resiliencia operacional documentados; 2026 es el primer ciclo real de enforcement de DORA y NIS2, con responsabilidad personal de directivos, alcance extraterritorial y plazos de reporte de 72 horas para incidentes y 24 horas para pagos de ransomware

Evolución

Análisis de los datos

Lecturas estadísticas derivadas de los atributos de cada caso registrado. Todas las cifras proceden de los eventos documentados; los importes se calculan solo sobre los casos con cantidad expresada en la moneda indicada, sin convertir entre divisas.

Marco regulatorio

DORA, NIS2, SEC cyber disclosure o CIRCIA: qué régimen genera la obligación.

Jurisdicción

UE, EE.UU., Reino Unido u otras: dónde aplica, con alcance extraterritorial frecuente.

Tipo de obligación

Reporte de incidentes, gestión de riesgo de terceros, responsabilidad de directivos o divulgación pública.

Lectura de los datos

En 2026 la ciberseguridad deja de ser un asunto que un consejo puede delegar en su CISO: DORA y NIS2 entran en su primer ciclo de enforcement con responsabilidad personal de los directivos, alcance extraterritorial y plazos de reporte que se miden en horas.

Alexandra A. Medina · Experta en tecnología · Ciudad de México
8 de junio de 2026 · 5 min de lectura

Durante años, los dos regímenes europeos de ciberresiliencia —el Reglamento de Resiliencia Operativa Digital (DORA) y la Directiva NIS2— se vivieron en los equipos de cumplimiento como fechas en un horizonte lejano. En 2026 eso cambia. DORA, aplicable desde enero de 2025 para entidades financieras, entra en su primer ciclo genuino de supervisión, y los reguladores han señalado que actuarán sobre fallos de reporte de incidentes y deficiencias persistentes en el Registro de Información.

La responsabilidad sube al consejo

NIS2 hace a los órganos de dirección responsables de aprobar y supervisar las medidas de gestión de riesgo, les exige formación y prevé que respondan por los fallos de la entidad. DORA deposita igualmente la responsabilidad última del marco de riesgo TIC en el órgano de dirección. La ciberseguridad ya no es delegable como asunto operativo: es una obligación de gobernanza con consecuencias personales.

Por qué afecta a empresas de EE.UU. y LATAM

El alcance de estas normas es extraterritorial: entidades no europeas quedan dentro de su radio si tienen presencia significativa o prestan servicios al mercado de la UE. Para América Latina, donde muchas empresas operan como proveedores de servicios digitales a clientes europeos, esto significa que el marco europeo de resiliencia se convierte en una exigencia de facto. En EE.UU., la SEC exige a las empresas cotizadas establecer gobernanza de riesgo cibernético para su divulgación anual, y CIRCIA contempla reportar incidentes significativos en 72 horas y pagos de ransomware en 24 horas.

NIS2 amplía el alcance a más de 100.000 entidades en 18 sectores, un salto enorme respecto a la directiva original. El plazo de transposición venció en octubre de 2024, pero solo un número limitado de Estados miembros lo había incorporado a tiempo, lo que crea un mapa desigual que las empresas multinacionales deben rastrear país por país.

Fuentes: ComplianceHub; Moody's; AIGovHub; VinciWorks. Este rastreador distingue entre fecha de vigencia, fecha de transposición y primer caso de aplicación efectiva, y no anticipa sanciones no impuestas.

Eventos documentados (4)

10 de febrero de 2026 US confirmed

EE.UU. · La SEC exige gobernanza de riesgo cibernético para la divulgación anual de las cotizadas

Las reglas de ciberseguridad de la SEC exigen a las empresas cotizadas establecer procesos de gestión y gobernanza de riesgo cibernético para su divulgación anual en el formulario 10-K, incluyendo supervisión del consejo, responsabilidad de la dirección y procesos para evaluar y gestionar riesgos materiales. Tras el primer año de aplicación, el patrón muestra que la mayoría de los incidentes no terminan teniendo impacto material confirmado, aunque las empresas divulgan de forma temprana por precaución. La unidad de la SEC también incrementó el escrutinio sobre las afirmaciones de IA ('AI washing').

ComplianceHub — SEC cybersecurity rules: a year of enforcement and investor scrutiny ↗

5 de marzo de 2026 US confirmed

EE.UU. · CIRCIA: reportar incidentes en 72 horas y pagos de ransomware en 24 horas

La Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica (CIRCIA, 2022) exigirá reportar incidentes cibernéticos significativos en un plazo de 72 horas y los pagos de ransomware en 24 horas. Mientras se finaliza la regla definitiva (prevista para 2025-2026), las organizaciones de sectores de infraestructura crítica deben prepararse para registrar sus sistemas de reporte ante la CISA. El marco se suma a un panorama global —junto a NIS2, DORA y las reglas de la SEC— que exige divulgación más rápida y transparente de incidentes con plazos y formatos distintos.

AIGovHub — Cybersecurity incident response: NIS2, DORA, CISA & SEC compliance ↗

20 de enero de 2026 EU confirmed

UE · NIS2 alcanza a más de 100.000 entidades en 18 sectores, con responsabilidad de directivos

La Directiva NIS2 amplía su alcance a más de 100.000 entidades grandes y medianas en 18 sectores —energía, transporte, banca, infraestructuras de mercado financiero, salud, agua, infraestructura digital, administración pública y espacio—, un aumento significativo respecto a la directiva original. Hace a los órganos de dirección responsables de aprobar y supervisar las medidas de gestión de riesgo, con multas máximas superiores a las de DORA. El plazo de transposición venció el 17 de octubre de 2024, pero solo un número limitado de países lo había incorporado a tiempo.

Moody's — Understanding the NIS2 regulation ↗

15 de enero de 2026 BE confirmed

UE · DORA entra en su primer ciclo real de enforcement para entidades financieras

El Reglamento de Resiliencia Operativa Digital (DORA), aplicable desde enero de 2025 para entidades financieras de la UE, entra en 2026 en su primer ciclo genuino de supervisión. Los reguladores han señalado que actuarán sobre fallos de reporte de incidentes y deficiencias persistentes en el Registro de Información. A diferencia de NIS2, DORA es un reglamento de aplicación directa en todos los Estados miembros, sin necesidad de transposición nacional, y sus estándares técnicos quedaron finalizados, lo que habilita la supervisión efectiva.

ComplianceHub — DORA enforcement arrives and NIS2 hits its October deadline ↗

Metodología

Tipo: event-log
Construcción: Multi-fuente verificada
Cadencia: evento a evento

Se documentan hitos verificables del marco de resiliencia operacional digital: fechas de aplicación y enforcement de DORA y NIS2, reglas de divulgación de la SEC, plazos de CIRCIA y casos que ilustran la responsabilidad de los órganos de dirección. Cada evento se clasifica por norma, jurisdicción, plazo y tipo de obligación. Se distingue entre fecha de vigencia, fecha de transposición y primer caso de aplicación efectiva.