Explicación de la Ley de Resiliencia Operativa Digital (DORA)
Escrito por
Liudmyla Kharchenko
Si trabaja en operaciones digitales, debe conocer la Ley de Resiliencia Operativa Digital (DORA). Esta ley ayuda a las entidades financieras y a los proveedores de servicios clave a prepararse ante ciberataques o fallos del sistema. ¿Cómo afecta esto a su negocio? DORA garantiza que sus operaciones se mantengan estables y funcionen sin problemas frente a los desafíos que afronta el entorno digital.
Este artículo explica los puntos clave de DORA, desde sus objetivos y requisitos de cumplimiento hasta cómo afecta a las empresas tanto de la UE como de fuera de ella. Tanto si opera dentro de la UE como si trabaja con clientes establecidos en ella, entender DORA es crucial para mantener la resiliencia en un mundo cada vez más digitalizado. También mencionaremos cómo afecta DORA al seguimiento del lado del servidor y cómo aborda Stape la nueva normativa.
Stape cumple plenamente con DORA, garantizando una protección de datos y una fiabilidad del servicio de primer nivel.
¿Qué es DORA?
El reglamento DORA es una legislación emblemática de la UE. Está diseñado para reforzar la seguridad de las TI y la resiliencia operativa de las entidades financieras europeas. Entró en vigor el 16 de enero de 2023 y su cumplimiento pasa a ser obligatorio el 17 de enero de 2025. DORA está reconocido como una herramienta eficaz para gestionar los riesgos digitales en el sector financiero.
NIS2 y DORA son dos marcos normativos clave para la ciberseguridad y la resiliencia digital. El primero, NIS2, se centra en facilitar medidas de seguridad para los servicios esenciales en la UE. El segundo, la Ley de Resiliencia Operativa Digital, tiene como objetivo reforzar la resistencia operativa de las entidades financieras. Juntos, desempeñan un papel crucial en la protección de la infraestructura digital europea frente a las ciberamenazas emergentes.
En septiembre de 2023, la Comisión Europea aclaró la relación entre estos dos marcos en su Directiva NIS2:
- La Directiva NIS2 se dirige a sectores críticos como la energía, el transporte, el suministro de agua, la sanidad y la infraestructura digital. Busca proteger estos servicios vitales introduciendo requisitos de ciberseguridad más estrictos y mejorando la capacidad de respuesta ante incidentes.
- Por el contrario, DORA está concebido para el sector financiero y abarca entidades como bancos, compañías de seguros y empresas de inversión. Establece requisitos integrales para gestionar los riesgos relacionados con las tecnologías de la información y la comunicación (TIC), asegurando que las entidades financieras puedan soportar las perturbaciones vinculadas a las TIC, responder ante ellas y recuperarse.
Como consecuencia, las entidades financieras y los proveedores de servicios TIC dentro de la UE deben cumplir los requisitos de DORA antes del 17 de enero de 2025. Cada Estado miembro de la UE es responsable de garantizar su cumplimiento, y las autoridades reguladoras designadas están facultadas para exigir medidas de seguridad específicas y abordar las vulnerabilidades ya identificadas.
El incumplimiento del reglamento puede acarrear sanciones severas. En el caso de los proveedores de TIC considerados «críticos» por la Comisión Europea, el incumplimiento puede dar lugar a multas de hasta el 1 % de su volumen de negocio diario medio a escala mundial en el ejercicio financiero anterior.
¿Por qué es importante DORA?
El sector financiero, tanto a nivel global como europeo, está experimentando un aumento de ciberataques, que forman parte de un incremento más amplio de las ciberamenazas globales.
Europa ha introducido la Ley de Resiliencia Operativa Digital para abordar esta situación. El objetivo es construir un sistema único de ciberresiliencia y garantizar la estabilidad financiera en toda la UE. DORA fomenta prácticas proactivas que ayudan a las organizaciones a mitigar el impacto de las ciberamenazas en sus sistemas TIC.
DORA se centra en unificar la normativa en toda Europa. En el pasado, cada país tenía enfoques independientes con normas y supervisión dispares. Al abordar esta falta de cohesión, DORA introduce un enfoque coherente que respalda el objetivo de Europa de lograr una mayor sincronización legislativa y económica.
Para las entidades financieras y demás partes afectadas, DORA aporta la ventaja añadida de ofrecer obligaciones legales más claras en materia de ciberseguridad y resiliencia. Esta claridad trasciende las fronteras, proporcionando directrices coherentes y reduciendo la incertidumbre frente a las ciberamenazas.
Propósito y objetivos de DORA
Para comprender mejor el cumplimiento de DORA, examinemos de cerca sus objetivos.
DORA tiene dos objetivos principales:
- 1.Establecer prácticas integrales de gestión de riesgos de TIC para el sector financiero, incluidos estándares de evaluación de riesgos, notificación de incidentes y pruebas de resiliencia.
- 2.Armonizar las normativas de gestión de riesgos de TIC en todos los Estados miembros de la UE, crear condiciones de competencia equitativas y reducir las dificultades de cumplimiento para las entidades financieras que operan en varios países de la UE.
Antes de DORA, la fragmentación de las normativas nacionales complicaba el cumplimiento para las entidades financieras transfronterizas. DORA soluciona esto introduciendo estándares regulatorios uniformes, minimizando la confusión y reforzando la seguridad en todo el sector financiero de la UE.
¿A quién se aplica DORA?
La ley DORA se aplica a más de 22.000 entidades financieras y servicios de TIC que operan dentro de la UE, así como a la infraestructura de TIC que les da soporte fuera de la UE. Afecta a diversos sistemas financieros, entre ellos:
- Bancos
- Compañías de seguros
- Empresas de inversión
- Procesadores de pagos
- Bolsas de valores
- Entidades de infraestructura de mercado
- Agencias de calificación crediticia
- Proveedores de servicios de criptoactivos
Además, DORA se extiende a los proveedores de servicios de TIC críticos que respaldan a estas instituciones. Las organizaciones deben identificar las dependencias respecto a terceros proveedores de TIC y diversificar para evitar una dependencia excesiva de un proveedor único o de un grupo reducido de ellos.
Explicación de los requisitos de DORA
Los requisitos clave de DORA son los siguientes:
1. Reducción del riesgo de TIC
En virtud del artículo 6, DORA exige el establecimiento de un marco de gestión de riesgos de TIC sólido, integral y bien documentado que forme parte del sistema general de gestión de riesgos de la entidad. Entre los elementos clave se incluyen:
- Identificación y evaluación de riesgos. Evaluación y documentación periódicas de los riesgos de TIC, incluidos los derivados de dependencias de terceros.
- Medidas de protección y prevención: deben implementarse estrategias, políticas y herramientas para proteger los sistemas y los datos, tales como soluciones de acceso sin contraseña para mitigar los riesgos de suplantación de identidad (phishing).
- Mecanismos de detección. Aprovechamiento de tecnologías para identificar rápidamente anomalías y posibles incidentes de seguridad.
- Planificación de respuesta y recuperación. Desarrollo de planes de continuidad del negocio y de gestión de crisis.
- Formación y mejora. Mejora continua de los sistemas sobre la base de incidentes pasados y de los resultados de las pruebas.
DORA también exige designar a una parte responsable de la supervisión de la gestión de riesgos de TIC, garantizando una rendición de cuentas clara y una gobernanza eficaz.
2. Notificación de incidentes
La gestión y notificación de incidentes son aspectos fundamentales de DORA. Las entidades deben implantar sistemas para rastrear y categorizar los incidentes relacionados con las TIC. En virtud del artículo 19, las organizaciones deben remitir:
- Un informe inicial dentro de un plazo determinado tras identificar un incidente significativo.
- Un informe intermedio si el estado del incidente cambia de forma sustancial.
- Un informe final una vez concluido el análisis de la causa raíz y evaluado el impacto del incidente.
Asimismo, en virtud de los artículos 18 a 20, las organizaciones están obligadas a:
- Clasificar los incidentes de TIC en función de niveles de impacto predefinidos.
- Utilizar plantillas estandarizadas para notificar incidentes a las autoridades reguladoras.
- Notificar con prontitud a los usuarios finales y clientes acerca de incidentes graves y de las medidas adoptadas para mitigar su impacto.
- Garantizar que los informes se envíen antes de que finalice la jornada laboral o dentro de las cuatro horas siguientes al inicio del siguiente día hábil si el incidente se produce poco antes de que acabe el día.
3. Pruebas de resiliencia operativa digital
En virtud del artículo 25, DORA exige realizar pruebas periódicas de los sistemas de gestión de riesgos de TIC para garantizar su eficacia. Los pasos de las pruebas incluyen:
- Evaluaciones de vulnerabilidad. Análisis periódicos para identificar fallos en sistemas y aplicaciones.
- Evaluación de la seguridad de redes e infraestructuras. Comprobación de las defensas de la red.
- Pruebas de seguridad de aplicaciones. Evaluación del software utilizado para funciones empresariales críticas.
- Pruebas basadas en escenarios. Simulación de diversos escenarios de ciberamenazas para evaluar la capacidad de respuesta.
- Pruebas de penetración basadas en amenazas. Pruebas avanzadas para entidades financieras críticas, realizadas al menos una vez cada tres años.
Asimismo, el artículo 26 obliga a las organizaciones a realizar pruebas de penetración en los procesos de TIC que sustenten funciones críticas, incluidos los servicios subcontratados.
4. Gestión del riesgo de terceros
Reconociendo la importancia de los proveedores de servicios TIC, DORA introduce requisitos estrictos de gestión del riesgo de terceros, entre ellos:
- Diligencia debida. Evaluación de los proveedores de TIC antes de firmar contratos.
- Garantías contractuales que incluyan cláusulas sobre seguridad, notificación de incidentes y derechos de auditoría en los acuerdos.
- Supervisión continua. Evaluación periódica del rendimiento de terceros y de sus medidas de seguridad.
- Estrategias de salida. Desarrollo de planes para la transición de un proveedor a otro en caso necesario.
DORA establece además marcos de supervisión para proveedores terceros de TIC críticos, lo que permite a los organismos supervisores de la UE monitorizar su cumplimiento de forma directa.
5. Intercambio de información
DORA promueve la colaboración entre entidades financieras de confianza para:
- Aumentar la concienciación sobre los riesgos relacionados con las TIC.
- Minimizar la propagación de vectores de amenazas de TIC.
- Compartir estrategias defensivas, técnicas de mitigación e inteligencia sobre amenazas.
Implementación de DORA
Preparación para el cumplimiento de DORA
Lograr el cumplimiento de DORA puede parecer complejo, pero resulta asumible con un enfoque estructurado. Revise sus prácticas de ciberseguridad y su plan de gestión de riesgos para detectar áreas de mejora. La formación periódica de todo el personal, incluidos los directivos, es esencial para forjar un equipo sólido y preparado.
Revise los contratos con los proveedores de servicios de TIC para asegurarse de que cumplan los estándares de DORA. Elabore un inventario exhaustivo de todos los acuerdos, incluidos los servicios en la nube y los proveedores de software, para identificar dependencias y mitigar riesgos. Mediante estos pasos estratégicos, su organización podrá reforzar su resiliencia operativa y adecuarse a las exigencias de DORA.
Al cumplir con estas medidas, las organizaciones pueden satisfacer los rigurosos estándares de DORA en materia de gestión de riesgos de TIC y resiliencia operativa.
DORA en el Reino Unido vs. DORA en la UE: ¿hay diferencias?
El reglamento DORA introduce estándares de resiliencia unificados en Europa, algo que las empresas del Reino Unido deben tener muy presente.
Las empresas reguladas en el Reino Unido deben gestionar los riesgos operativos de forma responsable y eficaz, garantizando que su actividad se organice con sistemas sólidos de gestión de riesgos. Las normas de la Autoridad de Conducta Financiera (FCA) establecen esta obligación, que incluye disposiciones sobre gestión y gobernanza, gestión de riesgos, controles internos, continuidad del negocio, planes de contingencia y prácticas de subcontratación.
Estos requisitos existentes se están ampliando ahora con nuevas disposiciones centradas en la resiliencia operativa. El marco de ciberseguridad de DORA refuerza aún más estas medidas, garantizando que las empresas aborden los riesgos de las TIC de manera integral y se protejan contra las amenazas digitales. El régimen actualizado introduce requisitos para determinados tipos de empresas y propone ampliarlos para incluir a proveedores de servicios no regulados por la FCA.
Régimen de resiliencia operativa del Reino Unido
El régimen de resiliencia operativa del Reino Unido adopta un enfoque más amplio respecto a los riesgos operativos que DORA de la UE. Pone énfasis en la capacidad de una empresa para soportar disrupciones, no solo aquellas derivadas de incidentes digitales o de las TIC.
El marco se aplica a bancos, aseguradoras y empresas de inversión relevantes. Si cumplen criterios específicos, las gestoras de activos también pueden quedar incluidas.
A diferencia de DORA, el marco del Reino Unido contempla un espectro más amplio de riesgos y adopta un enfoque más exhaustivo hacia la resiliencia.
El marco del Reino Unido cubre menos organizaciones que DORA, pero adopta una visión más amplia de la resiliencia. Va más allá de los riesgos digitales y se enfoca en ayudar a las empresas a gestionar disrupciones procedentes de cualquier fuente.
Futuro de la resiliencia operativa digital
¿Qué es el cumplimiento de DORA? ¿Se trata de otra normativa más o de una oportunidad para replantearse cómo las empresas abordan la resiliencia y la ciberseguridad? Para muchos, es un nuevo comienzo: la ocasión de sustituir sistemas dispersos por un enfoque unificado que genere confianza y estabilidad en el entorno digital.
El cumplimiento de DORA desafía a las empresas a adoptar una mentalidad proactiva, abordar los riesgos de las TIC y garantizar la resiliencia en toda la cadena de suministro, incluidos los proveedores de servicios externos. DORA impulsa a las organizaciones a hacer que sus operaciones sean más resilientes frente a las ciberamenazas y estén alineadas con la visión europea de una economía segura e interconectada.
El verdadero valor del cumplimiento de DORA depende de cómo respondan las empresas. ¿Lo verán como un desafío o como una oportunidad para reforzar la resiliencia y obtener una ventaja competitiva? El tiempo lo dirá.
DORA y el seguimiento del lado del servidor
El seguimiento del lado del servidor ayuda a las empresas a cumplir normativas como DORA al mejorar la seguridad y la fiabilidad de los datos. Stape está trabajando para cumplir con los estándares de DORA una vez que entren en vigor.
Stape cumple con ISO 27001, HIPAA y GDPR para proteger los datos y garantizar la privacidad. Nos comprometemos a mantenernos al día con las nuevas normativas y a ofrecer soluciones de seguimiento seguras y fiables. Stape es un socio seguro y de confianza para cualquier empresa que desee proteger sus datos mientras aprovecha al máximo su configuración de seguimiento.
Preguntas frecuentes
¿Cuáles son las normas técnicas de DORA?
DORA establece normas técnicas obligatorias para que las entidades financieras y sus proveedores terceros esenciales de servicios TIC las integren en sus sistemas antes del 17 de enero de 2025.
DORA define sus requisitos técnicos en cuatro áreas clave:
- Gobernanza y gestión de riesgos de las TIC. Es necesario establecer marcos sólidos para gestionar los riesgos vinculados a la tecnología.
- Notificación y respuesta ante incidentes. Es necesario garantizar procesos eficaces para la gestión y notificación de incidentes relacionados con las TIC.
- Pruebas de resiliencia operativa digital. Es necesario realizar pruebas periódicas para evaluar la resiliencia de los sistemas TIC.
- Gestión del riesgo de terceros. Es necesario reforzar la supervisión de los proveedores externos de tecnología.
Aunque DORA fomenta el intercambio de información para potenciar la resiliencia colectiva, este sigue siendo de carácter voluntario.
Los requisitos se aplicarán de forma proporcional: las entidades de menor tamaño tendrán menos obligaciones que las grandes instituciones financieras. Aunque todavía se están desarrollando normas técnicas de regulación (RTS) y normas técnicas de ejecución (ITS) específicas, la legislación ya establece expectativas claras respecto al cumplimiento.
¿Existen sanciones por el incumplimiento de DORA?
Una vez que se hayan finalizado las normas de DORA y llegue la fecha límite de enero de 2025, los reguladores designados en cada Estado miembro de la UE, denominados «autoridades competentes», se encargarán de aplicarlas. Estas autoridades tendrán la facultad de exigir a las entidades financieras la adopción de medidas de seguridad específicas para corregir vulnerabilidades a fin de cumplir los requisitos de DORA. También determinarán las sanciones por incumplimiento. Dichas sanciones incluyen medidas administrativas y, en algunos casos, sanciones penales según el criterio de cada país.
La Comisión Europea clasifica a los proveedores de TIC como «críticos», y su supervisión será gestionada directamente por coordinadores principales de supervisión pertenecientes a las Autoridades Europeas de Supervisión (AES). Al igual que las autoridades competentes, estos coordinadores principales pueden exigir mejoras de seguridad, imponer medidas de subsanación y aplicar sanciones por incumplimiento.
¿En qué se diferencia DORA de otras normativas de ciberseguridad?
DORA es una de las muchas normativas importantes de ciberseguridad que entrarán en vigor en los próximos años. La Directiva NIS2, que empieza a ser aplicable en octubre de 2024, también establece requisitos de seguridad digital para empresas y organizaciones europeas.
El cumplimiento de DORA en la UE está diseñado para estandarizar las prácticas de resiliencia operativa y ciberseguridad dentro del sector financiero en todos los Estados miembros. DORA está adaptado al sector financiero, asegurando que se atiendan sus necesidades específicas. NIS2 tiene un alcance más amplio y cubre todos los sectores críticos, como la energía, la salud y el transporte.
El enfoque jurídico de DORA difiere del de NIS2. DORA es un reglamento que se aplica de manera uniforme en todos los Estados miembros de la UE, mientras que NIS2, al ser una directiva, debe transponerse a la legislación nacional de cada Estado miembro.
Aunque ambas normativas se centran en mejorar la seguridad de las TI, DORA tendrá prioridad en el sector financiero y actuará como marco normativo principal.
¿Pueden verse afectadas por DORA las empresas no pertenecientes a la UE que trabajen con instituciones de la UE?
El Reglamento DORA de la UE repercute sustancialmente en las organizaciones financieras de fuera de la UE, en particular en aquellas que prestan servicios u operan en el mercado de la UE.
Estas entidades deben cumplir las normas de DORA para mantener el acceso al mercado y seguir trabajando con clientes establecidos en la UE. Esto implica un aumento en los costes de cumplimiento, ajustes operativos y posibles giros estratégicos.
DORA también afecta a las organizaciones no pertenecientes a la UE al incluirlas en las cadenas de suministro de las instituciones financieras de la UE, exigiendo el cumplimiento de estrictos requisitos en todo el ecosistema.
Como resultado, la influencia de DORA se extiende más allá de la UE. Modela el sector financiero global y subraya la importancia de la resiliencia operativa en todo el mundo.
¿Cumple Stape con DORA?
Stape cumple plenamente con DORA, lo que garantiza que alcancemos los estándares más exigentes en materia de protección de datos y fiabilidad del servicio. Entendemos la importancia de DORA y su papel en salvaguardar la integridad de los servicios digitales en toda la UE. Puede consultar información detallada sobre nuestro cumplimiento en nuestro Trust Center, donde mostramos nuestro compromiso con la resiliencia operativa y la protección de los datos de las personas usuarias.
En resumen
En un mundo donde las ciberamenazas son cada vez más frecuentes e intensas, debemos tomar todas las medidas necesarias para construir un escudo sólido contra ellas. Normativas como DORA ayudan a las empresas a prepararse ante los riesgos y a gestionarlos de forma adecuada. El objetivo de DORA es mantener los sistemas seguros, proteger los datos de los clientes y seguir operando en momentos de inestabilidad.
Recursos
¿Desea pasarse al lado del servidor?
¡Puede hacerlo gratis en Stape! ¡Haga clic en Probar gratis y explore las ventajas!
Probar gratis
Comentarios