DORA Digital Operational Resilience Act.

Por qué existe DORA y a quién obliga

Antes de DORA, la resiliencia operativa digital de las entidades financieras en la UE era un mosaico. Los bancos respondían a un conjunto de expectativas de supervisión, las aseguradoras a otro, y las normas sobre incidentes de TIC, externalización y pruebas variaban según el sector y según el Estado miembro. DORA sustituye esa fragmentación por un único reglamento que se aplica directamente en toda la Unión, sin necesidad de transposición nacional. Su ámbito es deliberadamente amplio: bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos, centros de negociación y muchos más, además de los proveedores terceros críticos de servicios de TIC de los que dependen esas entidades.

Ese último punto es lo que diferencia a DORA de una norma financiera habitual. No solo regula a las empresas supervisadas; alcanza su cadena de suministro. Los proveedores de nube, los operadores de centros de datos y los proveedores de software que se consideren críticos para el sistema financiero pueden quedar bajo supervisión directa a nivel de la UE. Para un profesional, la consecuencia práctica es que la resiliencia ya no es algo que se pueda externalizar por completo y olvidar. Usted sigue siendo responsable del riesgo de TIC que asumen sus proveedores, y tiene que demostrarlo.

Los cinco pilares en la práctica

DORA se asienta sobre cinco pilares, y cada uno se traduce en trabajo concreto de programa más que en papeleo:

• Gestión del riesgo de TIC. Un marco de gobernanza propiedad del órgano de dirección, que abarca la identificación, la protección, la detección, la respuesta y la recuperación de los activos de TIC. Es la columna vertebral de la que penden los otros cuatro pilares.
• Gestión y notificación de incidentes. Clasificar los incidentes relacionados con las TIC por gravedad y notificar los importantes a la autoridad competente dentro de un plazo definido. El énfasis está en una taxonomía armonizada para que los supervisores de toda la UE vean datos comparables.
• Pruebas de resiliencia operativa digital. Un programa de pruebas periódico que va desde las evaluaciones de vulnerabilidades hasta las pruebas de penetración basadas en amenazas (TLPT) para las entidades más significativas, modeladas sobre el comportamiento real de los adversarios.
• Gestión del riesgo de terceros proveedores de TIC. Salvaguardas contractuales, registros de información sobre todos los acuerdos de TIC, estrategias de salida y el régimen de supervisión de los proveedores terceros críticos.
• Intercambio de información. Intercambio voluntario de inteligencia sobre ciberamenazas entre entidades financieras, fomentado en lugar de impuesto, para reforzar la defensa colectiva.

DORA frente a NIS 2

La pregunta que más hacen los profesionales es cómo se relaciona DORA con NIS 2, ya que ambos son instrumentos de la UE que tocan la ciberseguridad y ambos alcanzan más o menos el mismo nivel de madurez. La respuesta corta es lex specialis: cuando DORA y NIS 2 se aplicarían ambos a una entidad financiera en el ángulo de TIC, DORA prevalece por ser la norma más específica. NIS 2 fija una base amplia de ciberseguridad en muchos sectores; DORA profundiza en la resiliencia de TIC del sector financiero y añade el régimen de supervisión de terceros que NIS 2 no tiene.

En el día a día, un banco no puede elegir uno. Mapea sus obligaciones y comprueba que, para el riesgo de TIC, la notificación de incidentes y las pruebas de resiliencia, DORA es el texto que rige, mientras que NIS 2 todavía puede importar para partes del grupo que quedan fuera del ámbito financiero de DORA. La forma limpia de gestionar esto es un único marco de control, a menudo anclado en ISO 27001 e ISO 22301, que satisfaga ambos regímenes y permita evidenciar el cumplimiento una sola vez.