Un reglamento, no una directiva: aplicación directa sin margen de interpretación nacional
El Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), establece requisitos de resiliencia operativa digital para entidades financieras y sus proveedores críticos de tecnología, con aplicación directa en todos los Estados miembros. A diferencia de una directiva, que requiere transposición nacional con cierto margen de adaptación, un reglamento europeo se aplica tal cual, sin que cada país pueda modificar sustancialmente su contenido.
Los cinco pilares de DORA
- Gestión del riesgo de TIC: marco integral de gestión de riesgos tecnológicos, con responsabilidad explícita del órgano de dirección.
- Gestión, clasificación y notificación de incidentes relacionados con las TIC, con plazos de notificación a los reguladores muy ajustados.
- Pruebas de resiliencia operativa digital, incluidas pruebas de penetración basadas en amenazas (TLPT) para las entidades más significativas.
- Gestión del riesgo de terceros proveedores de TIC, con un registro detallado de todos los proveedores tecnológicos críticos y sus subcontratistas.
- Intercambio de información sobre amenazas y vulnerabilidades entre entidades del sector.
Lo que muchas entidades ya tienen resuelto
Las entidades financieras con un SGSI maduro conforme a ISO 27001, o con controles ENS ya implantados si trabajan con el sector público, suelen tener bien cubiertos los aspectos generales de gestión del riesgo tecnológico y la mayor parte de los controles técnicos exigidos por DORA en materia de seguridad de la información.
Lo que con más frecuencia se queda a medias
- El registro completo de proveedores críticos de TIC, incluyendo la cadena de subcontratación de esos proveedores, no solo la relación directa. Muchas entidades tienen mapeados a sus proveedores directos, pero no a los subcontratistas de esos proveedores.
- Las cláusulas contractuales específicas exigidas por DORA en los contratos con proveedores de TIC, que van más allá de las cláusulas de seguridad genéricas habituales: derecho de acceso, auditoría y estrategias de salida definidas.
- Las pruebas de resiliencia operativa, particularmente las pruebas avanzadas basadas en amenazas para las entidades que entran en ese ámbito, que requieren una capacidad de planificación y ejecución que muchas entidades todavía no han desarrollado internamente.
- La coordinación entre el área de seguridad de la información y el área de continuidad de negocio, que DORA exige tratar de forma integrada y que en muchas organizaciones siguen siendo funciones separadas con poca comunicación entre sí.
El impacto en los proveedores tecnológicos, no solo en las entidades reguladas
DORA no afecta únicamente a bancos, aseguradoras y otras entidades financieras directamente reguladas: cualquier proveedor tecnológico que preste servicios críticos a estas entidades se ve indirectamente alcanzado, porque las entidades reguladas deben trasladar exigencias contractuales específicas a esos proveedores. Un proveedor de software o de infraestructura cloud que trabaje con clientes del sector financiero europeo necesita entender qué se le va a exigir, aunque él mismo no sea una entidad financiera.
El momento de cerrar los huecos es ahora, no en la siguiente auditoría
DORA está en plena fase de aplicación efectiva en el sector, y los supervisores financieros europeos están reforzando su capacidad de verificación. Las entidades que todavía tengan huecos en el registro de proveedores o en sus contratos deberían priorizarlo antes de que sea una revisión regulatoria, y no un ejercicio de contenido posterior, quien detecte la carencia.
Evalúa el estado de cumplimiento de DORA en tu organización
Te ayudamos a identificar los huecos entre tu situación actual y los requisitos del reglamento.
Cuéntanos tu caso →Respuesta en menos de 24 h. Sin compromiso.