La Comisión Europea presentó el 19 de noviembre de 2025 una propuesta de Reglamento Ómnibus Digital dirigida a simplificar y coordinar distintos componentes del marco regulatorio europeo de la seguridad digital y , en concreto, a un problema conocido por las entidades sometidas simultáneamente a varias normas digitales: un mismo incidente puede activar obligaciones de comunicación distintas, dirigidas a autoridades distintas y tramitadas mediante plataformas, formularios y procedimientos que no siempre están coordinados. La acumulación de estas obligaciones dificulta la gestión del incidente, en momentos en los que sus recursos técnicos y jurídicos deben concentrarse en la contención, recuperación y evaluación de lo ocurrido.
Frente a esta fragmentación, la propuesta COM(2025) 837 final introduce un punto único de entrada para determinadas notificaciones de incidentes. La finalidad es que una entidad pueda presentar la información a través de una infraestructura común y que esta sea transmitida posteriormente a las autoridades competentes conforme a cada uno de los regímenes aplicables. El sistema responde al principio de «notificar una vez, compartir varias veces»: se centraliza el canal de comunicación, aunque no se unifican las obligaciones materiales previstas en cada norma.
Un punto único gestionado por ENISA
La infraestructura se articularía mediante la incorporación de un nuevo artículo 23 bis a la Directiva (UE) 2022/2555, conocida como Directiva SRI 2 o NIS2. ENISA sería responsable de desarrollar y mantener el punto único de entrada y de adoptar las medidas técnicas, organizativas y operativas necesarias para preservar su seguridad, integridad y disponibilidad.
El sistema no sustituiría a las autoridades sectoriales. Su función sería servir como canal técnico para recibir las notificaciones y ponerlas a disposición de los destinatarios definidos en cada instrumento jurídico. Como regla general, ENISA no accedería al contenido de las comunicaciones. La información se transmitiría a las autoridades competentes de acuerdo con las reglas de acceso, confidencialidad y utilización establecidas en cada régimen.
La propuesta exige, además, que la infraestructura permita recuperar, completar y reutilizar la información ya presentada; y que sea interoperable con los sistemas de las entidades y de las autoridades; y de las varias normas de derecho positivo escrito a las que un único incidente pueda quedar sometido.
El punto único comprendería las notificaciones previstas en la Directiva NIS2, el Reglamento general de protección de datos, DORA, el Reglamento eIDAS y la Directiva sobre resiliencia de las entidades críticas. También se prevé incorporar ,mediante la modificación de los correspondientes actos delegados y de ejecución,otras obligaciones sectoriales, entre ellas las relacionadas con la ciberseguridad de los flujos transfronterizos de electricidad y con la aviación. En su desarrollo, ENISA deberá tener en cuenta la plataforma establecida por el Reglamento (UE) 2024/2847, sobre ciberresiliencia, para la notificación de vulnerabilidades activamente explotadas y de incidentes graves que afecten a productos con elementos digitales. Con ello, se busca evitar que surjan nuevas infraestructuras aisladas dentro del propio sistema europeo de notificación.
La modificación de DORA
En lo que respecta al sector financiero, el artículo 8 de la propuesta modifica los primeros párrafos de los apartados 1 y 2 del artículo 19 de DORA. De aprobarse en su actual versión de propuesta, las entidades financieras continuarán obligadas a notificar los incidentes graves relacionados con las tecnologías de la información y la comunicación a la autoridad competente designada de acuerdo con el artículo 46 de DORA. Sin embargo, la comunicación ya no se efectuaría mediante el canal habilitado directamente por dicha autoridad, sino a través del nuevo punto único de entrada previsto en la Directiva NIS2.
También se mantiene la posibilidad de comunicar voluntariamente las ciberamenazas significativas cuando la entidad considere que pueden resultar relevantes para el sistema financiero, los usuarios o los clientes. Estas comunicaciones voluntarias se presentarían igualmente a través del punto común. La autoridad destinataria seguiría siendo la competente conforme a DORA y conservaría la facultad de compartir la información con las demás autoridades previstas en el artículo 19.6 del Reglamento.
El cambio proyectado es, por tanto, esencialmente procedimental. No se modifican la definición de incidente grave relacionado con las TIC, los criterios para su clasificación, los umbrales de relevancia, la secuencia de comunicación ni los plazos aplicables. Tampoco se alteran el contenido de las notificaciones iniciales y de los informes intermedios y finales, las competencias de supervisión o las normas técnicas adoptadas en desarrollo de DORA. El Ómnibus Digital se limita a modificar el lugar y la forma en que la información exigida por el Reglamento y marco DORA se presenta. La centralización del canal no equivale, por tanto, a la unificación de los distintos regímenes jurídicos.
El punto único está destinado a reducir la multiplicación de portales. Pero no elimina por sí mismo las diferencias entre los conceptos, umbrales, plazos y formularios previstos en DORA, el RGPD, NIS2 ni del resto de marcos afectados.
DORA como referencia para otros regímenes
La propuesta reconoce que el sector financiero se encuentra en una posición avanzada en materia de armonización de las comunicaciones de incidentes. DORA ya ha establecido categorías comunes, procedimientos uniformes y modelos normalizados para la notificación inicial y para los informes intermedio y final.
Por esta razón, la Comisión considera en su propuesta que se deberá tener en cuenta la experiencia adquirida con DORA al elaborar modelos comunes para NIS2, el RGPD y la Directiva sobre resiliencia de las entidades críticas. También, que deberá considerar las normas técnicas de regulación adoptadas en desarrollo del Reglamento para reducir el número de campos que deben cumplimentarse y favorecer una mayor coherencia entre los distintos procedimientos.
El objetivo debería ser que la simplificación no se limite a la existencia de una ventanilla común, sino que alcance progresivamente al contenido de los formularios, a las taxonomías utilizadas y a la posibilidad de reutilizar la información ya comunicada.
Implantación y garantías
La puesta en funcionamiento del sistema no sería inmediata. ENISA deberá desarrollar una fase piloto que tenga en cuenta las particularidades de los distintos regímenes. Posteriormente, la Comisión deberá evaluar su funcionamiento, fiabilidad, integridad y confidencialidad, previa consulta a la red de equipos de respuesta a incidentes de seguridad informática y a las autoridades competentes.
Solo después de una evaluación positiva y de la publicación de la correspondiente decisión en el Diario Oficial de la Unión Europea comenzaría a utilizarse el punto único. La propuesta prevé que el mecanismo pueda estar operativo en un plazo de dieciocho meses desde la entrada en vigor del futuro Reglamento. Este periodo podría ampliarse hasta veinticuatro meses cuando no se hubieran alcanzado las garantías exigidas.
Hasta ese momento, las entidades financieras deberán continuar empleando los canales actualmente establecidos conforme a DORA. También deberán preverse vías alternativas para los casos en los que el punto único no esté disponible por razones técnicas.
La infraestructura puede reducir duplicidades y facilitar la coordinación entre autoridades, pero también concentrará información especialmente sensible. Su disponibilidad será esencial para que las entidades puedan cumplir obligaciones sujetas a plazos muy breves. Por ello, la seguridad, resiliencia y continuidad operativa del propio punto único no constituyen aspectos accesorios, sino condiciones indispensables para su implantación.
Las observaciones del Banco Central Europeo
El Banco Central Europeo ha acogido favorablemente el objetivo general de simplificar y armonizar las comunicaciones de incidentes, pero ha formulado importantes reservas sobre la integración inmediata de DORA en el punto único.
En su dictamen de 10 de marzo de 2026, el BCE señala que DORA ya ha simplificado considerablemente el sistema aplicable al sector financiero mediante categorías, modelos, procedimientos comunes y un canal específico de notificación. A su juicio, la creación de un portal único no reducirá de manera suficiente las cargas mientras las entidades sigan obligadas a preparar informes distintos con arreglo a cada legislación. La verdadera simplificación exigiría una mayor convergencia de las taxonomías, plantillas y procedimientos. El BCE advierte asimismo de que las notificaciones de DORA pueden activar procedimientos urgentes de supervisión o de gestión de crisis. La incorporación de un nuevo sistema intermediario podría introducir riesgos de indisponibilidad o retrasar la llegada de la información a la autoridad competente. También recuerda que DORA se aplica desde el 17 de enero de 2025 y que las entidades y supervisores financieros han dedicado importantes recursos a implantar su régimen de notificación.
Por estas razones, el BCE propone excluir inicialmente a DORA del punto único, adquirir experiencia con los demás regímenes y valorar su integración en una fase posterior. Esta posición no cuestiona la conveniencia de coordinar las obligaciones europeas, pero sí pone de manifiesto que la simplificación debe medirse por sus efectos reales y no únicamente por la reducción del número de portales.
Más allá de DORA: el Ómnibus sobre IA y la derogación del Reglamento P2B
La reforma de las notificaciones se integra en una estrategia más amplia de simplificación del marco digital europeo. En este contexto debe mencionarse la propuesta paralela COM(2025) 836 final, conocida como Ómnibus Digital sobre IA.
Se trata, sin embargo, de dos propuestas legislativas diferentes. La propuesta COM(2025) 837 final afecta a distintos componentes del acervo digital y contiene la modificación de DORA relativa al punto único de entrada. La propuesta COM(2025) 836 final, por su parte, modifica el Reglamento (UE) 2024/1689 de Inteligencia Artificial y el Reglamento (UE) 2018/1139, relativo a la aviación civil, con el propósito de simplificar la aplicación de las normas armonizadas sobre inteligencia artificial.
Entre las medidas del Ómnibus sobre IA se encuentran la adaptación de determinadas obligaciones relativas a los sistemas de alto riesgo a la disponibilidad de normas armonizadas y otros instrumentos de apoyo, la extensión de algunas simplificaciones previstas para las pymes a las pequeñas empresas de mediana capitalización y la reducción de ciertas cargas documentales y registrales.
No existe, por tanto, una reforma directa de DORA a través del Ómnibus sobre IA. La relación entre ambas propuestas deriva de su orientación común: facilitar la aplicación del creciente marco digital europeo, limitar los solapamientos y reducir cargas que no resulten necesarias para alcanzar los objetivos regulatorios.
La propuesta COM(2025) 837 final aprovecha también la reforma para derogar el Reglamento (UE) 2019/1150, conocido como Reglamento P2B, relativo a la equidad y transparencia en las relaciones entre las plataformas digitales y sus usuarios empresariales. La Comisión considera que una parte importante de sus previsiones ha quedado desplazada por el Reglamento de Mercados Digitales y el Reglamento de Servicios Digitales.
No obstante, se conservarían algunas de sus disposiciones cuando resulte necesario para mantener la seguridad jurídica de otros actos que contienen remisiones al Reglamento P2B. Es el caso, entre otros, de determinadas referencias incorporadas a la regulación europea del trabajo en plataformas.
Una simplificación todavía en construcción
El Ómnibus Digital representa un intento relevante de ordenar un marco normativo que se ha ido formando mediante instrumentos aprobados en momentos distintos y con finalidades específicas. En el ámbito de los incidentes, su aportación más visible es la sustitución de varios canales de comunicación por una infraestructura común.
Sin embargo, un único punto de entrada no elimina automáticamente la complejidad sustantiva. Mientras cada régimen conserve definiciones, umbrales, plazos y modelos diferentes, las entidades seguirán soportando una parte importante del esfuerzo de clasificación y preparación de la información.
En el caso de DORA, la reforma debe valorarse además a la luz del grado de armonización ya alcanzado en el sector financiero y de la necesidad de garantizar que las comunicaciones urgentes lleguen a los supervisores sin retrasos. La utilidad del nuevo sistema dependerá, en definitiva, de que permita reutilizar realmente la información, reduzca el número de datos que deben aportarse y mantenga un nivel de seguridad y disponibilidad compatible con la criticidad de los incidentes comunicados.
Debe recordarse, finalmente, que ambas iniciativas continúan sometidas al procedimiento legislativo ordinario. Su contenido puede experimentar cambios antes de su eventual aprobación.
Referencias:
COMISIÓN EUROPEA,
- Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifican los Reglamentos (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 y (UE) 2023/2854 y las Directivas 2002/58/CE, (UE) 2022/2555 y (UE) 2022/2557 en lo que respecta a la simplificación del marco legislativo digital y se derogan los Reglamentos (UE) 2018/1807, (UE) 2019/1150 y (UE) 2022/868 y la Directiva (UE) 2019/1024 (Ómnibus Digital), Bruselas, 19 de noviembre de 2025, COM(2025) 837 final, 2025/0360(COD), especialmente considerandos 49 a 57 y arts. 6 y 8, pp. 40-42 y 88-91.
-
Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifican los Reglamentos (UE) 2024/1689 y (UE) 2018/1139 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (Reglamento ómnibus digital sobre IA)
La autora agradece al Dipartimento di Scienze Giuridiche de la Università degli Studi di Firenze y, en particular, al equipo de la profesora Sara Landini el apoyo recibido en el acceso a las fuentes y en el marco del seminario internacional celebrado el 20 de julio de 2026, cuyas aportaciones han contribuido a la preparación de esta entrada.— Texto redactado y revisado por la autora, con apoyo instrumental de herramientas de inteligencia artificial.













