¿Qué es DORA?
DORA (Digital Operational Resilience Act) es el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. Establece normas comunes para que bancos, aseguradoras, entidades de pago y otras entidades financieras gestionen el riesgo TIC y puedan resistir, responder y recuperarse de interrupciones y ciberataques.
DORA se aplica desde el 17 de enero de 2025 directamente en todos los Estados miembros de la UE. La responsabilidad del riesgo TIC recae en el órgano de dirección. DORA no es una certificación: no existe un certificado DORA y el cumplimiento lo comprueban las autoridades de supervisión competentes.
¿Quién debe cumplir el Reglamento DORA?
- Entidades de crédito y bancos
- Entidades de pago y entidades de dinero electrónico
- Empresas de servicios de inversión y otros participantes del mercado de valores
- Empresas de seguros y reaseguros
- Proveedores de servicios de criptoactivos autorizados conforme a MiCA
- Proveedores terceros de servicios TIC de entidades financieras; los críticos están supervisados directamente por las Autoridades Europeas de Supervisión (EBA, EIOPA, ESMA)
Qué revisa la autoevaluación DORA
Las preguntas siguen los cinco pilares del reglamento:
- Marco de gestión del riesgo TIC: gobierno, papel del órgano de dirección, inventario de activos, protección, detección, copias de seguridad y recuperación
- Gestión, clasificación y notificación de incidentes relacionados con las TIC al supervisor
- Pruebas de resiliencia operativa digital, incluidas las pruebas de penetración basadas en amenazas (TLPT) para entidades significativas
- Gestión del riesgo de terceros proveedores TIC: diligencia debida, requisitos contractuales, estrategias de salida y registro de información
- Intercambio de información sobre ciberamenazas y vulnerabilidades
Brechas típicas en el cumplimiento de DORA
- El marco de riesgo TIC existe en papel, pero el órgano de dirección no lo ha aprobado ni lo revisa
- No hay criterios para clasificar los incidentes graves, por lo que no se pueden cumplir los plazos de notificación
- El registro de información sobre acuerdos con proveedores TIC está incompleto o desactualizado
- Los contratos con proveedores TIC no incluyen las cláusulas que exige DORA, como derechos de auditoría y planes de salida
- Las copias de seguridad y los planes de recuperación no se prueban con regularidad y no hay programa de pruebas
DORA, ISO 27001 y próximos pasos
Un sistema de gestión de seguridad de la información conforme a ISO/IEC 27001 ayuda mucho, pero no cubre todo lo que exige DORA, por ejemplo los plazos de notificación de incidentes, el registro de información o las TLPT. La autoevaluación muestra lo que ya tiene y lo que falta.
Los proveedores de TI de fuera de la UE, por ejemplo de Ucrania, Georgia o Kazajistán, que trabajan para bancos y fintech europeos cumplen DORA a través de los contratos con sus clientes, auditorías y cuestionarios de seguridad. Con el informe de brechas prepare las evidencias y, si lo desea, practique la entrevista con un auditor en el simulador de auditoría BALTUM AI.