La Ley de Resiliencia Operativa Digital (DORA)

La Ley de Resiliencia Operativa Digital (DORA) es un reglamento de la UE que establece un marco unificado para la gestión de los riesgos relacionados con las tecnologías de la información y la comunicación (TIC) en todo el sector financiero. Adoptada en virtud del Reglamento (UE) 2022/2554, la DORA refuerza la resiliencia operativa mediante requisitos estandarizados para la gestión de riesgos de las TIC, la notificación de incidentes, las pruebas de resiliencia, la supervisión de los riesgos de terceros y la gobernanza. El reglamento aborda un reto cada vez mayor en todo el sector financiero: la creciente dependencia de las tecnologías digitales, los sistemas interconectados y los proveedores de servicios externos. A medida que las entidades financieras gestionan entornos digitales cada vez más complejos, unas comunicaciones seguras y resilientes resultan esenciales para proteger la información sensible, mantener la continuidad operativa y permitir una coordinación eficaz durante los ciberincidentes y las interrupciones del servicio. 

En lugar de basarse en requisitos nacionales independientes, el Reglamento DORA establece requisitos armonizados en materia de resiliencia operativa para todos los Estados miembros de la UE. El reglamento se aplica a una amplia gama de entidades financieras, entre las que se incluyen bancos, aseguradoras, empresas de inversión, entidades de pago, entidades de dinero electrónico y proveedores de servicios de criptoactivos. 

La DORA establece un marco de supervisión para los proveedores de servicios externos de TIC críticos designados, reconociendo el importante papel que desempeñan los socios tecnológicos a la hora de respaldar los servicios financieros esenciales. Al combinar la gobernanza, los controles operativos y la responsabilidad regulatoria en un único marco, la DORA ayuda a las entidades financieras a reforzar su resiliencia frente a las amenazas cibernéticas, los fallos tecnológicos y las interrupciones operativas, al tiempo que se mantiene la continuidad de los servicios críticos. 

Las entidades financieras operan en ecosistemas digitales altamente interconectados. Una interrupción que afecte a un solo sistema, proveedor o prestador de servicios puede repercutir rápidamente en múltiples organizaciones y en procesos empresariales críticos. A medida que las amenazas cibernéticas siguen evolucionando y aumentan las dependencias tecnológicas, la resiliencia operativa se ha convertido en una prioridad estratégica, más allá de ser una mera responsabilidad técnica. 

DORA establece un marco común de resiliencia que ayuda al sector financiero a prepararse para las interrupciones relacionadas con las TIC, a soportarlas, a responder ante ellas y a recuperarse de ellas. 

Los objetivos principales incluyen: 

• Fortalecimiento de la gestión de riesgos relacionados con las TIC en las entidades financieras 

• Estandarización de la clasificación de los incidentes cibernéticos y la presentación de informes reglamentarios 

• Mejorar la supervisión de los proveedores externos de TIC 

• Garantizar la continuidad operativa durante los incidentes cibernéticos y las interrupciones del servicio 

• Fomentar unas expectativas de supervisión coherentes en toda la Unión Europea 

El reglamento también refuerza la responsabilidad de la dirección. Se exige a los órganos de dirección que supervisen las estrategias de gestión de riesgos de las TIC, asignen los recursos adecuados y garanticen que la resiliencia operativa se integre en la gobernanza de la empresa. 

Este enfoque reconoce que los resultados en materia de resiliencia dependen de la implicación de los dirigentes, de una gestión eficaz de los riesgos y de una preparación operativa continua. 

DORA se articula en torno a cinco pilares interrelacionados. En conjunto, estos pilares establecen requisitos cuantificables para la gestión del riesgo tecnológico y el mantenimiento de la continuidad operativa en todo el sector financiero. 

1. Gestión de riesgos en las TIC 

La gestión de riesgos de las TIC constituye la base de DORA. Las entidades financieras deben establecer marcos de gobernanza que faciliten la identificación, la protección, la detección, la respuesta y la recuperación ante los riesgos relacionados con las TIC. 

Entre los controles fundamentales se incluyen: 

• Inventarios de activos y clasificación de datos 

• Desarrollo seguro y gestión del cambio 

• Gestión de vulnerabilidades y parches 

• Planificación de copias de seguridad y recuperación 

• Pruebas de continuidad del negocio y de recuperación ante desastres 

Estos controles permiten conocer los riesgos relacionados con las TIC, al tiempo que contribuyen a mantener la disponibilidad y la fiabilidad de los servicios empresariales críticos. Además, unas prácticas sólidas de gestión de riesgos favorecen la toma de decisiones fundamentadas, al garantizar que los equipos directivos comprendan claramente las dependencias operativas y las posibles vulnerabilidades. 

2. Pruebas de resiliencia operativa 

La resiliencia no puede medirse únicamente a través de las políticas. Las organizaciones deben comprobar periódicamente si los controles de seguridad, los planes de recuperación y los procesos operativos funcionan de manera eficaz en condiciones reales. 

En el marco de la DORA, las pruebas de resiliencia siguen un enfoque basado en el riesgo que adapta las actividades de prueba al tamaño, la complejidad y el perfil de riesgo de la organización. 

Entre las actividades habituales de pruebas se incluyen: 

• Evaluaciones de vulnerabilidad 

• Ejercicios basados en situaciones hipotéticas 

• Simulaciones de mesa 

• Pruebas de penetración basadas en amenazas (TLPT), que simulan ciberamenazas avanzadas contra sistemas críticos 

Las pruebas periódicas ayudan a las organizaciones a identificar las deficiencias en materia de resiliencia antes de que afecten a los servicios financieros críticos. Además, proporcionan pruebas cuantificables de que los controles de resiliencia funcionan según lo previsto. 

Los resultados de las pruebas se documentan, son revisados por la dirección y se incorporan a iniciativas de mejora continua que refuerzan la preparación a largo plazo. 

3. Notificación de incidentes relacionados con las TIC 

La presentación de informes puntuales y coherentes es un componente fundamental de DORA. 

Las entidades financieras deben establecer procedimientos formales para detectar, clasificar, escalar y notificar los incidentes significativos relacionados con las TIC. La notificación estandarizada mejora la transparencia y permite a los organismos reguladores evaluar mejor los riesgos en todo el sector financiero. 

Entre las actividades de información crítica se incluyen: 

• Clasificación de incidentes 

• Notificaciones reglamentarias 

• Análisis de las causas fundamentales 

• Planificación de medidas correctivas 

• Documentación sobre las lecciones aprendidas 

Más allá del cumplimiento normativo, la notificación de incidentes contribuye al aprendizaje de la organización. El análisis de los incidentes y sus causas subyacentes ayuda a reforzar la capacidad de respuesta futura y a mejorar la resiliencia con el paso del tiempo. 

4. Gestión de riesgos de las TIC de terceros 

Los proveedores externos dan soporte a muchas de las tecnologías y servicios de los que dependen a diario las entidades financieras. A medida que sigue aumentando la dependencia de los servicios de TIC externalizados, resulta cada vez más importante llevar a cabo una supervisión rigurosa de los proveedores. 

La normativa DORA exige a las instituciones que mantengan una visión clara de las relaciones con los proveedores de TIC y que gestionen activamente los riesgos a lo largo de todo el ciclo de vida del proveedor. 

Entre los controles clave se incluyen: 

• Diligencia debida del proveedor 

• Auditoría y derechos de acceso 

• Requisitos de nivel de servicio 

• Planificación de la salida 

• Supervisión continua del rendimiento 

Estas medidas contribuyen a reducir el riesgo de concentración, mejorar la rendición de cuentas y reforzar la resiliencia de las relaciones con los proveedores clave. 

Una gestión eficaz de los terceros contribuye también a garantizar que los servicios esenciales sigan estando disponibles durante las interrupciones que afecten a los proveedores externos. 

5. Intercambio de información 

En ecosistemas financieros altamente interconectados, las amenazas cibernéticas pueden provocar repercusiones operativas en cadena que afecten a instituciones, proveedores y servicios esenciales. Los autores de estas amenazas suelen atacar a varias instituciones utilizando tácticas, técnicas y procedimientos similares. 

Consciente de este reto, DORA fomenta la participación en acuerdos de intercambio de información fiables que contribuyan a la resiliencia colectiva de todo el sector financiero. 

Entre las prácticas eficaces de intercambio de información se incluyen: 

• Compartir información sobre amenazas cibernéticas con comunidades de confianza del sector 

• Intercambio de indicadores de compromiso e información sobre amenazas emergentes 

• Incorporación de la inteligencia compartida en los procesos de detección y respuesta 

• Garantizar la confidencialidad y las medidas de protección de datos 

Al mejorar la visibilidad de las amenazas en constante evolución, el intercambio de información ayuda a las organizaciones a reforzar su preparación, acelerar la detección y mejorar la eficacia de la respuesta. 

La concienciación colectiva puede contribuir a reforzar la resiliencia en todo el ecosistema financiero en general. 

La implantación de DORA ayuda a las entidades financieras a establecer un enfoque más coherente y cuantificable en materia de resiliencia, al tiempo que mejora su preparación frente a los requisitos normativos. 

Las principales ventajas son: 

• Mejora de la resiliencia cibernética en los servicios financieros esenciales 

• Una mayor coherencia en los programas de gestión de riesgos de las TIC 

• Mayor supervisión de los proveedores externos 

• Detección y respuesta más rápidas ante incidentes 

• Una gobernanza más sólida y una mayor responsabilidad de los responsables ejecutivos 

• Mejora de la preparación para las auditorías mediante pruebas documentadas 

• Cumplimiento armonizado en todos los Estados miembros de la UE 

Las ventajas van más allá de los requisitos de cumplimiento normativo. La DORA anima a las organizaciones a armonizar las prácticas de ciberseguridad, continuidad operativa, gestión de riesgos y gobernanza dentro de un único marco. Este enfoque integrado puede mejorar la toma de decisiones, reforzar la preparación operativa y contribuir a la continuidad de los servicios financieros esenciales durante situaciones de crisis. Para los equipos directivos, la DORA ofrece una hoja de ruta estructurada para gestionar el riesgo tecnológico, al tiempo que fomenta la resiliencia organizativa a largo plazo. 

Las organizaciones que aplican DORA suelen adoptar tecnologías, procesos de gobernanza y controles operativos que refuerzan la resiliencia y, al mismo tiempo, contribuyen al cumplimiento de los objetivos de conformidad. 

Seguridad de los terminales y gestión de dispositivos 

La protección de los terminales y la gestión centralizada de los dispositivos contribuyen a reducir los riesgos de las TIC al garantizar la visibilidad, el control y la aplicación de las políticas en todos los entornos empresariales. 

Entre las capacidades relevantes se incluyen: 

• Protección de terminales basada en inteligencia artificial 

• Gestión unificada de terminales 

• Informes centralizados sobre el cumplimiento normativo 

Detección y respuesta ante incidentes 

La supervisión continua y la capacidad de respuesta rápida ayudan a identificar las amenazas cibernéticas, contener los ataques y cumplir con los requisitos de notificación de incidentes de la DORA. 

Entre las capacidades relevantes se incluyen: 

• Detección y respuesta gestionadas 

• Detección proactiva de amenazas 

• Investigación de incidentes 

• Recopilación de pruebas 

Comunicaciones seguras en situaciones de crisis 

Durante las interrupciones en las TIC, las comunicaciones seguras facilitan la coordinación entre la dirección ejecutiva, los equipos operativos y las partes interesadas del ámbito regulador. 

Entre las capacidades relevantes se incluyen: 

• Comunicaciones de voz seguras 

• Mensajería cifrada 

• Notificaciones de emergencia 

• Plataformas de comunicación en situaciones de crisis 

Gestión de riesgos de terceros 

Los programas de supervisión por parte de terceros ayudan a mantener la visibilidad del riesgo de los proveedores a lo largo de todo el ciclo de vida de estos, al tiempo que facilitan el cumplimiento de los requisitos normativos en materia de documentación. 

Entre las capacidades relevantes se incluyen: 

• Existencias de los proveedores 

• Gestión de contratos 

• Seguimiento continuo de los proveedores 

• Documentación de auditoría 

Programas de pruebas de resiliencia operativa 

Las pruebas periódicas de resiliencia ayudan a validar las capacidades de recuperación e identificar oportunidades de mejora antes de que se produzcan interrupciones. 

Entre las capacidades relevantes se incluyen: 

• Pruebas basadas en escenarios 

• Ejercicios de recuperación 

• Pruebas de penetración 

• Validación de la continuidad del negocio 

• Evaluaciones de recuperación ante desastres