¿Qué es el Reglamento DORA y por qué es importante?

El Reglamento DORA (Digital Operational Resilience Act) tiene como objetivo fortalecer la resiliencia digital y la ciberseguridad en el sector financiero. Desde su primer borrador hasta hoy, está teniendo un gran impacto en la Unión Europea debido a su alcance y sus ambiciones en ciberseguridad.

Con su aprobación, la UE trata de instar a las compañías financieras a identificar y gestionar los posibles riesgos digitales a los que se enfrentan. Así, pone el foco en un sector clave y particularmente sensible a ciberataques, estipulando las obligaciones y procedimientos que deben respetarse.

Te contamos todos los detalles sobre el Reglamento DORA, su importancia y las claves para aplicarlo. 

Qué es el Reglamento DORA

El Reglamento DORA (por sus siglas en inglés, Digital Operational Resilience Act) es una regulación de la Unión Europea que busca unificar la legislación para la gestión de los riesgos digitales en el sector financiero.

Parte de la Ley de Resiliencia Operativa Digital y supone un marco normativo unificado que viene a unir y actualizar diferentes normas ya existentes (EBA, PSD, EIOPA, eIDAS…). 

Propuesto por la UE en septiembre de 2020 y también conocido como reglamento de ciberseguridad, el reglamento DORA busca mitigar los riesgos en el sector financiero derivados de la implantación de las TIC.

En este sentido, pone el foco en que las organizaciones financieras logren la ciberresiliencia: en un contexto en el que los ciberataques continúan proliferando, se busca que las organizaciones puedan continuar funcionando incluso frente a perturbaciones digitales graves.

Aunque más abajo en este artículo entramos en detalle sobre las obligaciones que el Reglamento DORA supone, algunos de sus objetivos incluyen los siguientes:

• Gestión de riesgos en los sistemas
• Clasificación y notificación de incidentes en ciberseguridad
• Pruebas de resiliencia operativa digital
• Establecimiento de acuerdos contractuales entre proveedores de servicios y entidades financieras
• Generación de un marco de supervisión para los proveedores de servicios críticos
• Normativa para el intercambio de información segura.

¿Por qué es importante el Reglamento DORA?

Los ataques al sector financiero global y el europeo en particular se están multiplicando, en un contexto en el que existe un aumento global de ataques cibernéticos.

Desde Europa y mediante el Reglamento DORA, se busca generar un marco de ciberresiliencia que garantice la estabilidad financiera en el continente. Así, se adoptan una serie de prácticas que, de forma proactiva, buscan ayudar a las organizaciones a mitigar el impacto de las amenazas cibernéticas para sus sistemas.

A su vez, es de vital importancia dentro del reglamento DORA la voluntad de unificar normativas a nivel europeo. Si hasta ahora se contaban con medidas fragmentarias (cada país contaba con sus propias reglas y marcos para supervisión), la ley consigue aunar y armonizar esfuerzos en torno a la ciberresiliencia. Esto es particularmente importante teniendo en cuenta el contexto europeo de unidad legislativa y económica que se viene practicando en las últimas décadas. 

Además, como beneficio para las entidades financieras y el resto de entidades afectadas por el Reglamento DORA, aparece una mayor claridad jurídica respecto a sus obligaciones en torno a la ciberseguridad y ciberresiliencia, en un marco también transfronterizo.

¿Cuándo entra en vigor el Reglamento DORA?

El Reglamento DORA fue publicado en el Diario Oficial de la Unión Europea en diciembre de 2022 y entró en vigor el 16 de enero de 2023. Se estableció un plazo de dos años para que las entidades del sector financiero puedan cumplir los requisitos establecidos, es decir, hasta el 16 de enero de 2025. Las entidades financieras y los proveedores de servicios TIC de terceros tienen hasta el 17 de enero de 2025 para cumplir con las obligaciones establecidas.

¿Qué entidades tienen que cumplir con el Reglamento DORA?

El Reglamento DORA se aplica a todas las entidades financieras de la Unión Europea. 

• Entidades de crédito
• Entidades de pago
• Proveedores de servicios de información sobre cuentas
• Entidades de dinero electrónico
• Empresas de servicios de inversión
• Proveedores de servicios de criptoactivos
• Depositarios centrales de valores
• Entidades de contrapartida central
• Centros de negociación
• Registros de operaciones
• Gestores de fondos de inversión alternativos
• Sociedades de gestión
• Proveedores de servicios de suministro de datos
• Empresas e intermediarios de seguros, reaseguros y seguros complementarios
• Fondos de pensiones de empleo
• Agencias de calificación crediticia
• Administradores de índices de referencia cruciales
• Proveedores de servicios de financiación participativa
• Registros de titulizaciones

Además aplica a los proveedores de servicios externos que suministran a las empresas financieras sistemas y servicios de IT como proveedores de servicios en la nube y los centros de datos. 

Obligaciones del Reglamento DORA

Es posible dividir las obligaciones que plantea la ley en las siguientes cuatro categorías: 

Contar con un marco de gestión

Las entidades financieras deberán elaborar y poner en marcha un marco de gestión de riesgos. Deberán regular qué procedimientos internos y protocolos de actuación se van a poner en marcha en relación con los riesgos tecnológicos concretos a los que se enfrente cada entidad. Se trata, en definitiva, de un inventario de riesgos y de las herramientas con que se cuenta para evitarlos y mitigarlos.

Realizar pruebas periódicas

El Reglamento DORA establece asimismo la obligación de realizar pruebas periódicas a los sistemas y protocolos de las entidades. A través de estos tests, se busca comprobar su robustez y desvelar potenciales vulnerabilidades. 

Garantizar la transparencia

Como parte de la estrategia de ciberresiliencia que propone, el reglamento DORA también obliga a las entidades a informar a las partes implicadas en caso de tener lugar un incidente.

Monitorear la cadena de valor

Además, las entidades financieras deberán garantizar el seguimiento de cualquier función tecnológica que subcontrate o delegue a terceros. El monitoreo y control exhaustivo de los proveedores deberá ser revisado periódicamente.

Reglamento DORA y NIS2

DORA es un reglamento que se centra específicamente en el sector financiero. Su aplicación no requiere de transposición nacional. Mientras que la NIS2 abarca a una amplia gama de sectores clasificados en entidades esenciales, como el sector financiero, e importantes. 

Las entidades financieras deberán atenerse a las disposiciones de DORA en lo que respecta a gestión de riesgos de las ITC y presentación de informes, pruebas de resistencia operativa digital, intercambio de información y riesgo de terceros.

¿Cómo se supervisará el cumplimiento del reglamento DORA?

El cumplimiento del reglamento DORA se evaluará mediante inspecciones externas e in situ y a través de la solicitud de información como registros de informes cibernéticos y detalles de las medidas adoptadas contra los riesgos cibernéticos. La Autoridad Bancaria Europea (EBA), la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA) y la Autoridad Europea de Valores y Mercados (ESMA) serán las entidades responsables de realizar la supervisión.

¿Cómo implementar el reglamento DORA?

Como ya mencionamos, el Reglamento DORA viene a poner en marcha una serie de obligaciones en torno a la ciberresiliencia para bancos, compañías de seguros y empresas de inversión y terceros esenciales en el sector. Antes de enero de 2025, las empresas del sector deben revisar sus procesos internos e implementar las prácticas exigidas. 

Desde S2 Grupo estamos preparados para acompañar a las entidades financieras europeas en su tránsito hacia la ciberresiliencia. Por ello, contamos con especialistas en Gobierno, Riesgo y Cumplimiento, así como con una diversidad de soluciones en ciberseguridad y acompañamiento personalizado para adaptarse a la entrada en vigor del Reglamento DORA. Ponte en contacto con nosotros y descubre cómo podemos ayudarte.