Aspectos clave que hay que tener en cuenta para comprender la normativa DORA
- El Reglamento DORA establece un marco europeo unificado para la gestión de los riesgos digitales, con el objetivo de garantizar la continuidad de los servicios financieros incluso en caso de ciberataque, avería o incidente tecnológico grave.
- El reglamento armoniza los requisitos en todos los Estados miembros, al establecer normas comunes en materia de gobernanza, gestión de los servicios de TIC, supervisión de los proveedores y respuesta ante incidentes.
- Su ámbito de aplicación abarca una amplia gama de agentes financieros, así como a sus proveedores de tecnología esenciales, con el fin de tener en cuenta la creciente importancia de las infraestructuras digitales en el funcionamiento del sector.
- El Reglamento DORA establece obligaciones operativas más estrictas, en particular en materia de gestión de riesgos de las TIC, pruebas de resiliencia, seguimiento de los proveedores externos y notificación de incidentes significativos a las autoridades.
- El sellado de tiempo certificado se perfila como un elemento clave para el cumplimiento normativo, ya que garantiza la integridad, la trazabilidad y el valor probatorio de la información, lo que permite a las organizaciones demostrar con precisión la cronología de sus acciones.
¿En qué consiste la normativa DORA?
El Reglamento DORA (Ley de Resiliencia Operativa Digital), aprobado a finales de 2022 y publicado poco después en el Diario Oficial de la Unión Europea, forma parte de la estrategia europea destinada a estructurar la gestión de los riesgos digitales en el sector financiero.
Su objetivo es establecer un marco coherente para que todas las entidades financieras que operan en la UE puedan continuar con sus actividades, incluso en caso de que se produzca una interrupción informática.
El Reglamento DORA establece, por tanto, normas comunes para hacer frente a incidentes tales como ciberataques, averías en los sistemas, fallos de software o la indisponibilidad de un proveedor de servicios tecnológicos. Las instituciones deben garantizar un nivel suficiente de continuidad, al tiempo que preservan la integridad de sus operaciones y la protección de sus clientes.
Los objetivos del Reglamento DORA
Con el fin de reforzar la resiliencia operativa en Europa, el reglamento establece cuatro objetivos clave:
Garantizar la continuidad de las operaciones
Las entidades financieras deben organizar su funcionamiento de tal manera que puedan hacer frente a diversos incidentes: fallos del sistema, ciberataques, indisponibilidad de un proveedor de servicios en la nube…
El reglamento DORA fomenta una actitud proactiva: la capacidad de continuidad de las operaciones ya no es solo una reacción ante un incidente, sino un modo de funcionamiento integrado en los procesos habituales.
Armonizar las normas de gestión de riesgos en todos los Estados miembros
Antes de la entrada en vigor del Reglamento DORA, las obligaciones en materia de riesgos digitales variaban según las jurisdicciones.
El reglamento establece ahora una base común para todos los países de la UE, con requisitos comunes en materia de gobernanza, gestión de los servicios de TIC y supervisión de los prestadores de servicios.
Regular de forma más estricta a los proveedores de servicios tecnológicos
El Reglamento DORA establece una supervisión reforzada para los proveedores considerados críticos, con posibles auditorías, obligaciones contractuales específicas y un seguimiento directo por parte de las autoridades europeas.
Mejorar la detección, la documentación y la notificación de incidentes
Las organizaciones deben identificar rápidamente los incidentes relacionados con las TIC, evaluar sus repercusiones, clasificarlos según criterios precisos y, a continuación, notificarlos a las autoridades en un plazo determinado.
Este enfoque estructurado tiene por objeto mejorar la capacidad colectiva de las instituciones europeas para comprender las amenazas, coordinar las respuestas y supervisar los riesgos sistémicos.
El ámbito de aplicación de las organizaciones sujetas a la normativa DORA
El reglamento no se dirige únicamente a las entidades financieras, sino también a los proveedores de tecnología que contribuyen a sus operaciones. Este enfoque amplio reconoce el papel fundamental que desempeñan los servicios digitales en la continuidad y la fiabilidad de las actividades financieras.
Las entidades financieras afectadas
- Entidades de crédito
- Entidades de pago
- Entidades de dinero electrónico
- Proveedores de servicios de información sobre cuentas (AISP)
- Empresas de inversión
- Gestores de sociedades gestoras de OICVM
- Gestores de fondos de inversión alternativos (AIFM)
- Depositarios centrales de valores (CSD)
- Entidades de contrapartida central (ECC)
- Plataformas de negociación (mercados regulados, MTF, OTF)
- Administradores de pruebas de rendimiento críticas
- Normativas sobre titulización
- Proveedores de servicios de presentación de datos (DRSP)
- Agencias de calificación crediticia
- Empresas de seguros y reaseguros
- Intermediarios de seguros y reaseguros
- Entidades de previsión profesional
- Proveedores de servicios relacionados con criptoactivos y emisores de tokens respaldados por activos (MiCA)
- Proveedores de servicios de financiación colectiva autorizados
Todas estas organizaciones deben integrar los requisitos de DORA en sus prácticas de gobernanza y reforzar su capacidad para garantizar la continuidad de sus servicios, independientemente de las condiciones operativas.
La integración de los proveedores de tecnología
El texto no se limita a las fronteras de las entidades financieras. Siempre que un servicio tecnológico contribuya al funcionamiento de una actividad regulada, el prestador en cuestión entra en el ámbito de aplicación del reglamento.
Así pues, se refieren en particular a:
- Los servicios de identidad digital o de firma electrónica
- Los proveedores de alojamiento de datos sensibles
- Los proveedores de software utilizados para las transacciones, la ciberseguridad o la gestión de riesgos
- Los proveedores de soluciones en la nube, ya sean de infraestructura, de plataforma o de software
- Los encargados del tratamiento, la copia de seguridad o la conservación de datos
Esta integración responde a una lógica sencilla: la resiliencia operativa de una entidad financiera depende también de la fiabilidad de su ecosistema tecnológico. Por lo tanto, el Reglamento DORA impone obligaciones más estrictas a todos los prestadores de servicios cuyo incumplimiento pudiera afectar a la continuidad o la seguridad de un servicio financiero.
Principales requisitos de la normativa DORA
La gestión de los riesgos relacionados con las TIC
El cumplimiento de la normativa DORA exige que las organizaciones definan una estrategia clara de gestión de riesgos digitales. Este proceso consiste en:
- Identificar las deficiencias de su entorno tecnológico,
- Proteger los datos mediante sistemas de copia de seguridad fiables,
- Establecer mecanismos de continuidad de las actividades
- Sensibilizar a los equipos sobre las buenas prácticas en materia de seguridad
El objetivo es reforzar la capacidad de la empresa para hacer frente a las perturbaciones que puedan derivarse de un incidente relacionado con las tecnologías de la información y la comunicación.
Gestión, clasificación y notificación de incidentes relacionados con las TIC
La normativa DORA obliga a las entidades financieras a establecer un mecanismo claro y ágil para gestionar los incidentes relacionados con las tecnologías de la información. Las entidades deben ser capaces de detectar rápidamente cualquier anomalía, evaluar su impacto operativo y mantener un registro detallado de cada suceso. Este enfoque se basa en una supervisión continua de los sistemas, un registro preciso de las incidencias y un análisis sistemático tras su resolución, con el fin de identificar áreas de mejora y reforzar los procedimientos internos.
La fase de clasificación ocupa un lugar fundamental, ya que permite evaluar la gravedad de cada incidente según varios criterios, entre los que destacan:
- El número de clientes afectados
- La duración de la interrupción
- Las pérdidas económicas asociadas
- La posible exposición de datos sensibles
- La posible participación de un proveedor externo
En caso de incidente grave, la normativa DORA establece un proceso de notificación estructurado dirigido a las autoridades competentes. Las organizaciones deben presentar una primera notificación en un plazo de veinticuatro horas, remitir un informe provisional una vez consolidados los datos y, posteriormente, enviar un informe final en el que se detalle el análisis completo y las medidas correctoras aplicadas. Este sistema de presentación de informes tiene por objeto reforzar la transparencia y mejorar la coordinación europea ante los riesgos digitales.
Pruebas de resiliencia
El Reglamento DORA exige a las instituciones que comprueben periódicamente su capacidad para hacer frente a las perturbaciones digitales. Las pruebas deben planificarse, documentarse y adaptarse a los riesgos específicos de cada organización. Incluyen ejercicios técnicos habituales, como el análisis de vulnerabilidades o las simulaciones de incidentes, así como escenarios más avanzados para evaluar el comportamiento de la organización ante situaciones críticas.
Las entidades consideradas significativas deben realizar estas pruebas avanzadas cada tres años, bajo la supervisión de expertos independientes que cumplan las normas técnicas establecidas por las autoridades europeas.
A continuación, cada ejercicio debe ser objeto de un análisis que permita identificar las vías de mejora y reforzar progresivamente la resiliencia operativa.
Gestión de los riesgos relacionados con los proveedores externos
El Reglamento DORA presta especial atención a los servicios externalizados. Las organizaciones deben conocer con precisión sus dependencias tecnológicas y evaluar el impacto potencial de un fallo por parte de un proveedor. Esto implica identificar los servicios confiados a terceros, evaluar su importancia crítica y clasificar a los proveedores según su relevancia operativa. Los contratos deben incluir cláusulas relativas a los niveles de servicio, la seguridad de los datos, la rescisión, el derecho de auditoría y las obligaciones de notificación en caso de incidente. Algunos proveedores especialmente sensibles pueden ser objeto de una supervisión reforzada por parte de las autoridades europeas. Por último, el Reglamento DORA exige un seguimiento periódico de los proveedores con el fin de garantizar el cumplimiento de los compromisos y el control de los riesgos asociados.
Intercambio de información
La normativa DORA anima a las entidades financieras a intercambiar información relevante sobre las amenazas digitales. Este intercambio tiene por objeto mejorar la comprensión colectiva de los riesgos y reforzar la capacidad del sector para responder ante los ataques.
Las entidades pueden, entre otras cosas, facilitar información relativa a las técnicas de fraude observadas, los ciberataques sufridos, las vulnerabilidades descubiertas recientemente o las respuestas técnicas que han demostrado su eficacia.
Estos intercambios deben estar regulados, ser seguros y cumplir con la normativa europea, en particular la relativa a la competencia y a la protección de datos.
El sellado de tiempo certificado Evidency: una solución para cumplir con la normativa DORA
El reglamento DORA exige a las entidades financieras que puedan demostrar, de forma irrefutable, la cronología de sus acciones y la fiabilidad de su documentación operativa. La capacidad de demostrar cuándo se detectó un incidente, cómo se gestionó y en qué momento se informó a las autoridades constituye el núcleo de este dispositivo.
Evidency, en su calidad de Proveedor de Servicios de Confianza Cualificado (QTSP) conforme al Reglamento eIDAS, ofrece un servicio de sellado de tiempo cualificado que responde directamente a estas expectativas. Gracias al sellado de tiempo cualificado de documentos y eventos digitales, las organizaciones pueden:
- Identificar con precisión el momento en el que se detectó un incidente,
- Realizar un seguimiento de la creación o la modificación de los documentos operativos,
- Realizar el seguimiento de los registros técnicos relacionados con la gestión de riesgos,
- Demostrar el cumplimiento de los plazos reglamentarios,
- Aportar elementos verificables durante las auditorías.
El sellado de tiempo cualificado garantiza la integridad de la información y constituye una prueba legalmente vinculante en toda la Unión Europea. De este modo, se convierte en una herramienta decisiva para reforzar la transparencia documental y cumplir con los requisitos de trazabilidad que impone el Reglamento DORA.
Integridad, transparencia y cumplimiento normativo: los pilares de una resiliencia eficaz
El Reglamento DORA impone un enfoque estructurado de la resiliencia digital y transforma de forma duradera los requisitos que se exigen tanto a las entidades financieras como a sus proveedores tecnológicos. El cumplimiento normativo se basa en una gobernanza clara, una previsión precisa de los riesgos y una capacidad contrastada para documentar cada etapa de la gestión de incidentes y de las operaciones sensibles.
En este sentido,el sellado de tiempo cualificado desempeña un papel determinante: ofrece una prueba fiable de la cronología de las acciones llevadas a cabo y garantiza la calidad de los documentos justificativos que exigen las autoridades. Al reforzar la trazabilidad y la integridad de la información, proporciona un apoyo concreto a las organizaciones que deben demostrar su cumplimiento de las obligaciones establecidas por el Reglamento DORA.
Exención de responsabilidad
Las opiniones, presentaciones, cifras y estimaciones presentadas en el sitio web, incluido el blog, tienen únicamente fines informativos y no deben considerarse asesoramiento jurídico. Para obtener asesoramiento jurídico, debe ponerse en contacto con un profesional del derecho de su jurisdicción.
Queda prohibida la utilización del contenido de esta página web, incluido el blog, con fines comerciales, incluida la reventa, sin el permiso previo de Evidency. La solicitud de permiso debe especificar el propósito y el alcance de la reproducción. Para fines no comerciales, todo el material de esta publicación puede citarse o reimprimirse libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.
