¿Qué es el Reglamento DORA y por qué es importante?
El Reglamento DORA (Digital Operational Resilience Act) tiene como objetivo fortalecer la resiliencia digital y la ciberseguridad en el sector financiero. Desde su primer borrador hasta hoy, está teniendo un gran impacto en la Unión Europea debido a su alcance y sus ambiciones en ciberseguridad.
Con su aprobación, la UE trata de instar a las compañías financieras a identificar y gestionar los posibles riesgos digitales a los que se enfrentan. Así, pone el foco en un sector clave y particularmente sensible a ciberataques, estipulando las obligaciones y procedimientos que deben respetarse.
Te contamos todos los detalles sobre el Reglamento DORA, su importancia y las claves para aplicarlo.
Índice
Qué es el Reglamento DORA
El Reglamento DORA (por sus siglas en inglés, Digital Operational Resilience Act) es una regulación de la Unión Europea que busca unificar la legislación para la gestión de los riesgos digitales en el sector financiero.
Parte de la Ley de Resiliencia Operativa Digital y supone un marco normativo unificado que viene a unir y actualizar diferentes normas ya existentes (EBA, PSD, EIOPA, eIDAS…).
Propuesto por la Unión Europea en septiembre de 2020 y también conocido como reglamento de ciberseguridad, el reglamento DORA busca mitigar los riesgos en el sector financiero derivados de la implantación de las TIC.
En este sentido, pone el foco en que las organizaciones financieras logren la ciberresiliencia: en un contexto en el que los ciberataques continúan proliferando, se busca que las organizaciones puedan continuar funcionando incluso frente a perturbaciones digitales graves.
Aunque más abajo en este artículo entramos en detalle sobre las obligaciones que el Reglamento DORA supone, algunos de sus objetivos incluyen los siguientes:
- Gestión de riesgos en los sistemas
- Clasificación y notificación de incidentes en ciberseguridad
- Pruebas de resiliencia operativa digital
- Establecimiento de acuerdos contractuales entre proveedores de servicios y entidades financieras
- Generación de un marco de supervisión para los proveedores de servicios críticos
- Normativa para el intercambio de información segura
Además, tienen un papel destacado las Autoridades Europeas de Supervisión (AES), incluidas la Autoridad Bancaria Europea (ABE), la Autoridad Europea de Valores y Mercados (AEVM) y la Autoridad Europea de Seguros y Pensiones de Jubilación (AESPJ), que estarán a cargo de las normas técnicas de regulación (NTR) y de las normas técnicas de ejecución (NTE) que deben aplicar las entidades alcanzadas. Finalmente, serán las autoridades nacionales competentes las que deberán supervisar el cumplimiento y aplicación de DORA.
Por qué es importante el Reglamento DORA
Los ataques al sector financiero global y el europeo en particular se están multiplicando, en un contexto en el que existe un aumento global de ataques cibernéticos.
Desde Europa y mediante el Reglamento DORA, se busca generar un marco de ciberresiliencia que garantice la estabilidad financiera en el continente. Así, se adoptan una serie de prácticas que, de forma proactiva, buscan ayudar a las organizaciones a mitigar el impacto de las amenazas cibernéticas para sus sistemas.
A su vez, es de vital importancia dentro del reglamento DORA la voluntad de unificar normativas a nivel europeo. Si hasta ahora se contaban con medidas fragmentarias (cada país contaba con sus propias reglas y marcos para supervisión), la ley consigue aunar y armonizar esfuerzos en torno a ciberresiliencia. Esto es particularmente importante teniendo en cuenta el contexto europeo de unidad legislativa y económica que se viene practicando en las últimas décadas.
Además, como beneficio para las entidades financieras y el resto de entidades afectadas por el Reglamento DORA, aparece una mayor claridad jurídica respecto a sus obligaciones en torno a la ciberseguridad y ciberresiliencia, en un marco también transfronterizo.
Entrada en vigor del Reglamento DORA
El Reglamento DORA fue publicado en el Diario Oficial de la Unión Europea en diciembre de 2022 y entró en vigor el 16 de enero de 2023. Se estableció un plazo de dos años para que las entidades del sector financiero puedan cumplir los requisitos establecidos, es decir, hasta el 16 de enero de 2025.
Las entidades financieras y los proveedores de servicios TIC de terceros tienen hasta el 17 de enero de 2025 para cumplir con las obligaciones establecidas.
Alcance del Reglamento DORA
El Reglamento DORA se aplica a todas las entidades financieras de la UE incluyendo bancos, compañías de seguros, empresas gestoras de fondos de inversión, sociedades de valores, plataformas de negociación, proveedores de servicios de compensación y liquidación de valores y agencias de calificación crediticia.
Además aplica a los proveedores de servicios externos que suministran a las empresas financieras sistemas y servicios de IT como proveedores de servicios en la nube y los centros de datos.
Obligaciones del Reglamento DORA
Es posible dividir las obligaciones que plantea la ley en las siguientes cuatro categorías:
Contar con un marco de gestión
Las entidades financieras deberán elaborar y poner en marcha un marco de gestión de riesgos. Deberán regular qué procedimientos internos y protocolos de actuación se van a poner en marcha en relación con los riesgos tecnológicos concretos a los que se enfrente cada entidad. Se trata, en definitiva, de un inventario de riesgos y de las herramientas con que se cuenta para evitarlos y mitigarlos.
Realizar pruebas periódicas
El Reglamento DORA establece asimismo la obligación de realizar pruebas periódicas a los sistemas y protocolos de las entidades. A través de estos tests, se busca comprobar su robustez y desvelar potenciales vulnerabilidades.
Garantizar la transparencia
Como parte de la estrategia de ciberresiliencia que propone, el reglamento DORA también obliga a las entidades a informar a las partes implicadas en caso de tener lugar un incidente.
Monitorear la cadena de valor
Además, las entidades financieras deberán garantizar el seguimiento de cualquier función tecnológica que subcontrate o delegue a terceros. El monitoreo y control exhaustivo de los proveedores deberá ser revisado periódicamente.
¿Cómo implementar el reglamento DORA?
Como ya mencionamos, el Reglamento DORA viene a poner en marcha una serie de obligaciones en torno a la ciberresiliencia para bancos, compañías de seguros y empresas de inversión y terceros esenciales en el sector. Antes de 2025, las empresas del sector deben revisar sus procesos internos e implementar las prácticas exigidas.
Desde S2 Grupo estamos preparados para acompañar a las entidades financieras europeas en su tránsito hacia la ciberresiliencia. Por ello, contamos con especialistas en Gobierno, Riesgo y Cumplimiento, así como con una diversidad de soluciones en ciberseguridad y acompañamiento personalizado para adaptarse a la entrada en vigor del Reglamento DORA. Ponte en contacto con nosotros y descubre cómo podemos ayudarte.
