Dos siglas que han generado bastante ruido en el sector en los últimos meses: DORA e IDD. La buena noticia, para empezar con tranquilidad, es que ninguna de las dos va a suponer un terremoto para una correduría pequeña de Castellón. Pero conviene entender bien qué dice cada una, porque la letra pequeña —o su ausencia— es precisamente donde el Colegio puede aportar más valor.

DORA: la norma de ciberresiliencia… que no aplica a la mayoría de mediadores

El Reglamento de Resiliencia Operativa Digital (DORA, Reglamento (UE) 2022/2554) entró en vigor el 16 de enero de 2023 y es plenamente exigible en toda la Unión Europea desde el 17 de enero de 2025. Su objetivo es reforzar la seguridad informática de bancos, aseguradoras y otras entidades financieras, obligándolas a gestionar el riesgo tecnológico, notificar incidentes y probar periódicamente su resiliencia frente a ciberataques.

Aquí está el dato que más tranquilidad debería dar a una correduría pequeña: tras dos años de negociación liderados por ADECOSE junto con la federación europea de mediadores BIPAR, el Parlamento Europeo acordó excluir expresamente del ámbito de aplicación de DORA a los intermediarios de seguros, reaseguros y seguros complementarios que sean microempresas, pequeñas o medianas empresas —es decir, con menos de 250 empleados—, salvo que dependan exclusivamente de sistemas de venta automatizados.

En la práctica, esto significa que la inmensa mayoría de las corredurías y agencias de la provincia —que operan con equipos reducidos y trato personal con el cliente, no con plataformas de venta automatizada— quedan fuera de las obligaciones formales de DORA: no deben implantar el marco completo de gestión de riesgo TIC, ni las pruebas avanzadas de resiliencia, ni los protocolos de notificación de incidentes que sí son exigibles a las aseguradoras.

Sin embargo, conviene no confundir «no estar obligado por DORA» con «no tener ninguna responsabilidad en ciberseguridad». Las aseguradoras con las que trabaja cualquier correduría sí están plenamente sujetas al reglamento, lo que incluye supervisar la resiliencia de sus proveedores externos de tecnología, entre los que en ocasiones se puede incluir a plataformas de gestión que utilizan los propios mediadores. Es razonable esperar que, con el tiempo, algunas compañías trasladen contractualmente ciertos requisitos mínimos de seguridad a sus mediadores, aunque no exista una obligación legal directa sobre estos últimos.

Además, el propio sector recuerda que la mediación ya cumple, por otras vías normativas, obligaciones similares en materia de protección de la información: la normativa de protección de datos y la propia Directiva de Distribución de Seguros ya exigen salvaguardar adecuadamente los datos de los clientes y el dinero de las primas que un mediador retiene temporalmente.

IDD: la directiva que ya conocéis, con un capítulo de formación que conviene repasar

La Directiva de Distribución de Seguros (Directiva (UE) 2016/97, conocida como IDD) lleva en vigor desde 2018 y su transposición española estableció, entre otras cosas, un régimen de formación continua obligatoria según el nivel de responsabilidad de cada profesional. El Real Decreto 287/2021 fija, por ejemplo, que el personal de Nivel 1 —responsables de la actividad de distribución en aseguradoras y corredurías— debe superar al menos 300 horas de formación inicial y 25 horas de formación continua cada año.

El incumplimiento de estas obligaciones no es un asunto menor: la propia IDD contempla sanciones que pueden alcanzar los 5.000.000 € o el 5% de la facturación anual para personas jurídicas, y hasta 700.000 € para personas físicas, importes muy superiores a los que preveía la anterior Ley 26/2006.

La revisión en marcha: la Retail Investment Strategy (RIS)

Aquí llega la parte más «nueva» de este artículo. La Comisión Europea lleva desde 2023 trabajando en un paquete normativo llamado Retail Investment Strategy (RIS), que no sustituye la IDD, sino que la modifica —junto con otras cuatro normas financieras (MiFID II, Solvencia II, UCITS y AIFMD)— para reforzar la protección del inversor minorista. El 18 de diciembre de 2025, el Consejo y el Parlamento Europeo alcanzaron un acuerdo político sobre el texto definitivo. El texto definitivo de la Retail Investment Strategy (RIS) fue ratificado por el Consejo de la Unión Europea el 5 de junio de 2026. Se prevé su votación en el Parlamenteo Europeo en noviembre y su puesta en marcha definitiva entre el 2028 y el 2029.

Es importante acotar bien a quién afecta esta reforma: no a la distribución general de seguros de hogar, auto o salud, sino específicamente a los llamados productos de inversión basados en seguros (IBIPs), como los seguros de vida unit-linked o vinculados a fondos de inversión. Para estos productos, la RIS introduce un marco de «value for money» —justificar que los costes son proporcionados al valor ofrecido— alineado con las exigencias que ya existen en MiFID II para productos de inversión puros.

Para una correduría generalista de Castellón que no comercialice seguros de vida-ahorro vinculados a fondos, el impacto directo de la RIS será limitado. Pero para quienes sí trabajan con este tipo de productos —o lo hacen a través de acuerdos de bancaseguros—, es una reforma que merece la pena empezar a seguir con margen, ya que aún quedan más de dos años hasta su aplicación efectiva.

El mensaje de fondo, para tranquilidad de cualquier correduría pequeña de la provincia, es que ni DORA ni la revisión de la IDD representan una avalancha inmediata de obligaciones nuevas para el día a día de la mediación. DORA excluye expresamente a la inmensa mayoría de mediadores por su tamaño, y la reforma de la IDD a través de la RIS se concentra, de momento, en un segmento concreto de productos de inversión. Aun así, mantener al día la formación continua exigida por la IDD y aplicar unas mínimas buenas prácticas de ciberseguridad —aunque no sean obligatorias por DORA— siguen siendo la mejor forma de que el Colegio y sus colegiados se anticipen a cualquier desarrollo normativo futuro, en lugar de reaccionar a él.