Reglamento DORA: La regulación de la ciberseguridad en el sector financiero

La ciberseguridad en el sector financiero es crucial, ya que los ciberataques pueden generar graves consecuencias en la economía nacional o incluso global. En un entorno dónde las ciberamenazas no dejan de aumentar y con el objetivo de hacer más resilientes a las empresas del sector financiero y las TIC que les prestan servicios, la Unión Europea ha implementado el Reglamento DORA (Digital Operational Resilience Act). En este artículo analizamos los aspectos clave de este marco normativo común.

¿Qué es el Reglamento DORA?

El Reglamento de Resiliencia Operativa Digital (DORA) es una normativa europea que establece un conjunto de requisitos comunes en materia de gestión de riesgos y notificación de incidentes para el sector financiero. Su principal propósito es garantizar que las entidades financieras y las empresas de tecnologías de la información (TIC) que les prestan servicios necesarios para su funcionamiento puedan resistir, responder y recuperarse de eventos disruptivos, como ciberataques o fallos tecnológicos.

Aprobado en 2022, el Reglamento DORA es parte de una estrategia más amplia de la Unión Europea para abordar los riesgos crecientes asociados con la digitalización. Su enfoque integral abarca desde la gestión de riesgos tecnológicos internos hasta la supervisión de terceros proveedores críticos, como servicios de la nube.

DORA se diferencia de otras regulaciones al centrarse específicamente en la resiliencia operativa digital, entendida como la capacidad de una organización para garantizar la continuidad operativa en un entorno cada vez más digital y conectado y donde una disrupción en sus servicios podría tener graves consecuencias. Además, su carácter obligatorio asegura una implementación uniforme en todos los Estados miembros de la UE (como reglamento, DORA es de aplicación directa, sin necesidad de transposición).

Esta regulación responde a la creciente sofisticación de las amenazas cibernéticas y a la dependencia del sector financiero de sistemas tecnológicos complejos, proporcionando un marco legal que protege tanto a las empresas como a sus clientes.

DORA tiene como objetivo reforzar y armonizar la ciberseguridad y ciberresiliencia del sector financiero en la UE.

¿Cuál es el objetivo del Reglamento DORA?

El objetivo principal del Reglamento DORA es mejorar la ciberseguridad y resiliencia del sector financiero frente a riesgos tecnológicos y cibernéticos. Por lo tanto, el Reglamento DORA se centra en la ciberseguridad y su refuerzo para garantizar la continuidad de los servicios financieros en situaciones adversas y, al mismo tiempo, para salvaguardar la confianza de los usuarios en las instituciones financieras.

Uno de los pilares clave de DORA es la armonización de normas en toda la UE. Antes de su introducción, los requisitos en ciberseguridad variaban significativamente entre los Estados miembros, creando inconsistencias y posibles vulnerabilidades en el sistema financiero europeo.

Además, DORA promueve la transparencia y responsabilidad en la gestión de riesgos tecnológicos. Esto incluye la identificación y mitigación proactiva de amenazas, así como la implementación de medidas preventivas para reducir el impacto de incidentes cibernéticos.

El Reglamento también fomenta la colaboración entre entidades y reguladores a través de mecanismos de notificación y pruebas coordinadas. Esto no solo fortalece la resiliencia individual de cada entidad, sino que también protege la estabilidad del sistema financiero en su conjunto.

En resumen, DORA no solo es una respuesta a las amenazas actuales, sino también una preparación para los desafíos futuros en un sector que evoluciona rápidamente hacia la digitalización total.

¿Quién tiene que cumplir DORA?

El alcance de DORA es amplio y abarca a una gran variedad de actores dentro del sector financiero:

• Entidades de crédito.
• Entidades de pago.
• Proveedores de servicios de información sobre cuentas.
• Entidades de dinero electrónico.
• Empresas de servicios de inversión
• Proveedores de servicios de criptoactivos.
• Depositarios centrales de valores
• Sociedades de gestión.
• Proveedores de servicios de suministros de datos.
• Empresas e intermediarios de seguros, reaseguros y seguros complementarios.
• Fondos de pensiones de empleo.
• Agencias de calificación crediticia.
• Administradores de índices de referencias cruciales.
• Entidades de contrapartida central
• Centros de negociación.
• Registros de operaciones
• Gestores de fondos de inversión alternativos.
• Proveedores de servicios de financiación participativa.
• Registros de titulaciones.

Así mismo, el Reglamento DORA también es de aplicación a proveedores de servicios TIC críticos, como proveedores de la nube, servicios de software y telecomunicaciones.

Cabe señalar que, cómo ocurre con otros Reglamentos europeos, las filiales de empresas financieras con sede fuera de la UE que operen en su territorio, también están obligadas a cumplir DORA, para asegurar que todas las operaciones dentro del mercado europeo cumplan con los mismos estándares de resiliencia.

El Reglamento hace hincapié en la relación entre las entidades financieras y sus proveedores tecnológicos. Si bien estos últimos no están directamente regulados por DORA, las entidades financieras deben garantizar que sus socios tecnológicos cumplan con los estándares necesarios para mitigar riesgos y evitar interrupciones.

La regulación establece un enfoque basado en el riesgo, por lo que las medidas a implementar varían según el tamaño, la complejidad y el impacto de la entidad en el sistema financiero.

Requisitos del Reglamento de Resiliencia Operativa Digital

El Reglamento DORA se estructura en torno a cuatro pilares o requisitos clave:

1. Gestión de riesgos y gobernanza TIC

DORA exige que las entidades financieras desarrollen un marco sólido para la gestión de riesgos tecnológicos, incluyendo políticas, procedimientos y controles internos adaptados a su perfil de riesgo. Esto implica evaluar de forma continua las amenazas cibernéticas y adoptar medidas preventivas para minimizar su impacto.

La gobernanza TIC también juega un papel central. Los órganos de dirección deben estar directamente involucrados en la supervisión de la ciberseguridad y la resiliencia operativa, asegurando que las decisiones estratégicas prioricen la protección digital.

2. Notificación de incidentes

Las entidades financieras deben notificarlos incidentes. Esto permite una respuesta coordinada y la evaluación del impacto en la estabilidad financiera.

La notificación debe incluir información detallada sobre la naturaleza del incidente, las medidas tomadas y los pasos necesarios para prevenir eventos similares en el futuro.

Para ello, cualquier entidad financiera deberá establecer sistemas para monitorear, administrar, registrar, clasificar e informar de los incidentes relacionados con las TIC.

Las notificaciones se harán ante las autoridades competentes y los clientes y socios afectados cuando se trate de incidentes graves, siendo voluntarios en el caso de incidentes importantes.

3. Pruebas de resiliencia operativa digital

Las entidades financieras harán de forma regular pruebas de su resiliencia operativa digital, incluyendo simulaciones de ciberataques y ejercicios de contingencia específicos para este sector. Estas pruebas permiten identificar vulnerabilidades, riesgos y amenazas y ajustar las estrategias de mitigación de riesgos correspondientes.

Las pruebas deben realizarse con la participación de terceros especializados y estar alineadas con las directrices establecidas por los reguladores.

4. Gestión de riesgos de terceros

Las entidades financieras deben implementar un marco sólido para la gestión de riesgos de terceros, incluyendo la evaluación y monitoreo continuo de proveedores críticos. Es decir, deben adoptar un rol más activo.

Esto implica establecer contratos que definan claramente las responsabilidades en caso de incidentes y garantizar que los proveedores cumplan con los estándares de seguridad requeridos.

(Podéis consultar el texto completo del Reglamento DORA en el BOE o en el DOUE).

Proceso de notificación de incidentes para entidades afectadas por DORA

El Reglamento DORA establece los siguientes pasos para notificar los incidentes cibernéticos o tecnológicos:

1. Identificación del incidente: Las entidades financieras deben tener implementados procedimientos internos que permitan identificar, rastrear, registrar, categorizar y clasificar los incidentes relacionados con las TIC. Es fundamental que la entidad cuente con mecanismos eficaces para la detección y evaluación de incidentes y llevar un seguimiento, tratamiento y respuesta coherentes.
2. Evaluación de la gravedad: Identificado el incidente, es necesario evaluar su gravedad para determinar si debe notificarse. Los incidentes graves se comunicarán a los directivos pertinentes y al órgano de dirección, explicando sus repercusiones, las medidas adoptadas en respuesta y los controles adicionales que se prevea implantar. La entidad debe fijar criterios de evaluación concretos que le ayuden a evaluar la gravedad del incidente (como el impacto en los servicios que presta, el número de clientes afectados o la duración de la interrupción de las operaciones).
3. Notificación a la Autoridad de Supervisión Competente (ASC): Las entidades financieras notificarán los incidentes en el plazo establecido por DORA y las ASC. La autoridad competente puede variar en función de cada tipo de entidad financiera y su ámbito de actividad. Por ejemplo, en España, la autoridad supervisora de las entidades de crédito es el Banco de España, mientras que el INCIBE-CERT es el equipo de respuesta rápida ante incidentes de ciberseguridad de referencia.
4. Contenido de la notificación: Se hará una notificación inicial, un informe intermedio y, cuando la situación haya cambiado significativamente, un informe final con las conclusiones sobre el incidente y su causante. Estas notificaciones incluirán información relevante sobre la naturaleza del incidente, su impacto esperado o actual, las medidas adoptadas o previstas y cualquier otra información que solicite el ASC.

Sanciones por incumplimiento de DORA

El incumplimiento de DORA puede resultar en sanciones económicas significativas, así como en restricciones operativas. Las multas varían según la gravedad del incumplimiento y el tamaño de la entidad, pero están diseñadas para ser proporcionadas y disuasorias.

Cabe señalar que el Reglamento no incluye sanciones específicas, dejando en manos de los Estados miembros la cuantificación de las sanciones administrativas y medidas correctoras a aplicar.

¿Cuándo entra en vigor DORA?

La entrada en vigor del Reglamento DORA será plenamente aplicable el 17 de enero de 2025, tres años después de su aprobación y publicación, para que las entidades financieras tuvieran un período de adaptación suficiente en el que implementar los cambios necesarios para cumplir con las obligaciones y requisitos del Reglamento.

Resumen: Cómo prepararse para cumplir el Reglamento DORA

A modo de resumen del Reglamento DORA sobre ciberseguridad del sector financiero y para prepararse de cara a su cumplimiento, las entidades afectadas deben adoptar un enfoque integral que abarque:

• La gestión de riesgos tecnológicos.
• La formación de equipos especializados.
• La revisión de contratos con proveedores TIC.
• Realizar auditorías regulares y pruebas de resiliencia para garantizar el cumplimiento.
• Establecer un protocolo claro para el monitoreo, seguimiento, resolución y notificación de incidentes cibernéticos o tecnológicos.

Además, es recomendable colaborar con expertos externos para identificar áreas de mejora y mantenerse actualizado sobre las directrices de los reguladores. Con una preparación adecuada, las entidades no solo cumplirán con DORA, sino que también fortalecerán su posición en un entorno digital cada vez más desafiante.