Introducción a DORA

La regulación DORA, abreviatura del ingles “Digital Operational Resilience Act”, es la respuesta de la Unión Europea al creciente riesgo que supone la dependencia tecnológica en el sector financiero. A diferencia de enfoques anteriores basados en asignar capital para cubrir pérdidas operativas, DORA establece mecanismos para prevenir, detectar y recuperarse de incidentes de ciberseguridad en el ámbito corporativo y la industria financiera. Este reglamento fue publicado en diciembre de 2022 y se aplicará plenamente desde el 17 de enero de 2025.

DORA surgió para llenar un vacío en la normativa financiera europea: antes de su creación las entidades gestionaban el riesgo operativo con asignaciones de capital, pero este método no abarcaba los riesgos propios de la era digital. Los objetivos del reglamento son:

1. Establecer un nivel común de resiliencia operativa digital para todas las entidades financieras de la UE.
2. Armonizar la gestión del riesgo TIC, la notificación de incidentes, las pruebas de resiliencia y la supervisión de proveedores de tecnología.
3. Impulsar la cooperación entre autoridades mediante un marco de supervisión y coordinación.

El alcance de DORA es amplio. Se aplica a bancos, entidades de pago, empresas de inversión, aseguradoras, reaseguradoras, proveedores de servicios de criptoactivos y mercados financieros. También incluye a los respectivos proveedores de tecnología (TIC) que prestan servicios a estas entidades, incluso si están fuera de la UE.

Una característica clave es la designación de proveedores de terceros críticos (CTPP). Los criterios de la Comisión Europea clasifican como críticos a los proveedores que atienden al menos al 10 % de las entidades financieras o soportan funciones esenciales de instituciones sistémicas.

Gestión del riesgo TIC

Las entidades deben implantar un marco integral de gestión del riesgo TIC que cubra identificación, protección, detección, respuesta y recuperación. Este marco debe incluir un inventario completo de funciones y sistemas TIC, evaluaciones periódicas de vulnerabilidades y ciberamenazas y asignación de responsabilidades a nivel de dirección. Las entidades deben detectar y clasificar incidentes de forma estandarizada y notificar los incidentes mayores a las autoridades competentes. El esquema de “reporting” incluye clasificación por grado de severidad, comunicación rápida a las autoridades y, cuando proceda, a los clientes, así como notificación voluntaria de amenazas significativas.

Gestión y notificación de incidentes

Las entidades deben detectar y clasificar incidentes de forma estandarizada y notificar los incidentes mayores a las autoridades competentes. El esquema de “reporting” incluye clasificación por grado de severidad, comunicación rápida a las autoridades y, cuando proceda, a los clientes, así como notificación voluntaria de amenazas significativas.

Pruebas de resiliencia operativa

Para evaluar su fortaleza, las entidades deben realizar pruebas periódicas de resiliencia digital. Estas pruebas incluyen evaluaciones de penetración (pentests), simulaciones y pruebas basadas en amenazas (TLPT), obligatorias al menos cada tres años para instituciones sistémicas.

Gestión del riesgo de terceros

Este pilar exige un control exhaustivo de la red de proveedores tecnológicos y cadena de suministro: registro normalizado de todos los contratos y subcontrataciones, evaluación de riesgos antes de contratar a un proveedor TIC, contratos que incluyan cláusulas obligatorias sobre seguridad, notificación de incidentes y derechos de auditoría, así como estrategias multi-proveedor para evitar la concentración de riesgos

Intercambio de información

DORA fomenta la cooperación entre entidades mediante acuerdos para compartir inteligencia de amenazas cibernéticas. Estos acuerdos deben especificar condiciones de participación y protección de la confidencialidad

DORA se implementa en tres niveles:

• Nivel 1: Reglamento (EU) 2022/2554 y Directiva (EU) 2022/2556, que establecen los principios generales.
• Nivel 2: Normas técnicas (RTS e ITS) que detallan procedimientos, como clasificación de incidentes, contenidos de contratos y plantillas de registro.
• Nivel 3: Guías y preguntas frecuentes de las autoridades de supervisión, que clarifican la aplicación práctica.

El reglamento entró en vigor en enero de 2023, pero la fecha de aplicación obligatoria es el 17 de enero de 2025, dejando un periodo limitado para adaptar los sistemas.

Las entidades financieras deben desarrollar un programa de cumplimiento que incluya:

• Marco de gestión del riesgo TIC con análisis de todas las funciones y amenazas.
• Monitorización continua de sistemas y herramientas.
• Planes de continuidad y recuperación, con copias de seguridad segregadas.
• Gestión de proveedores TIC, con registro detallado de acuerdos y procesos de concentración de riesgos.
• Clasificación y reporte de incidentes siguiendo los criterios armonizados.
• Participación del consejo de administración y de la alta dirección en la gobernanza del riesgo TIC.

Los proveedores de servicios TIC deben adecuar sus procesos para apoyar el cumplimiento de sus clientes financieros. Las responsabilidades principales son:

• Facilitar información sobre sus mecanismos de seguridad y arquitectura.
• Permitir auditorías y pruebas de penetración coordinadas.
• Notificar incidentes y colaborar en la gestión de crisis.
• Adaptar los contratos para cumplir con las cláusulas obligatorias de DORA.

Si un proveedor es designado como CTPP, estará bajo supervisión directa de una Autoridad de Supervisión y deberá cumplir con criterios estrictos de gobernanza, seguridad y reportes. Los proveedores críticos que operan fuera de la UE deberán constituir una filial europea en el plazo de un año para seguir prestando servicios.

DORA interactúa con otras leyes de la UE:

• NIS 2 y la Directiva NIS (ciberseguridad): proporcionan un marco general, pero DORA establece requisitos específicos para el sector financiero.
• PSD2 y MiCA: contienen obligaciones de seguridad para proveedores de servicios de pago y criptoactivos, que se complementan con los procedimientos de DORA.
• Régimen del Reino Unido: se centra en principios y resultados más que en reglas prescriptivas, mientras que DORA es detallado.

Hasta enero de 2025, la regulación obligaba a entidades y proveedores a acelerar sus proyectos de adecuación. Algunos estándares técnicos todavía están en proceso de adopción, lo que añade incertidumbre. Las autoridades europeas han realizado ejercicios de prueba y han publicado guías y preguntas frecuentes para apoyar la transición.

Se espera que las Autoridades de Supervisión publiquen la primera lista de proveedores críticos en 2025. Además, las enmiendas y guías futuras, como la guía de supervisión publicada en julio de 2025, seguirán evolucionando el marco. Las empresas que se anticipen y adopten buenas prácticas de ciber-resiliencia pueden obtener ventajas competitivas.

DORA es una regulación que busca transformar y reforzar la resiliencia operativa digital del sector financiero europeo. Se enfoca principalmente en la gestión de riesgos, incidentes, pruebas, control de proveedores y cooperación entre entidades financieras. Cumple la misión de rellenar un vacío regulatorio en el ámbito de la ciberseguridad y adapta la supervisión del sector financiero a la era digital. La implementación de DORA exigirá coordinación entre entidades, proveedores de tecnología y autoridades reguladoras, pero establecerá una base para un sistema financiero más seguro y fiable. Es importante destacar que esta regulación tiene un impacto muy grande en instituciones financieras, tanto las grandes como aquellas menos conocidas, suponiendo un gran impacto a nivel de costes para cumplir con semejantes requisitos. Además, este impacto afecta sustancialmente a los proveedores de tecnología, que en consecuencia ahora tienen que incurrir en grandes costes y procesos de implementación de controles de ciberseguridad y protocolos similares. Esto puede tener a corto plazo un impacto negativo en la industria, al ralentizar procesos, extender procesos de contratación, e involucración de costosos consultores externos.