ACTUALIZACIÓN: Esta entrada, publicada originalmente en August 24, 2023, se ha actualizado para reflejar la información más reciente disponible sobre la normativa DORA y el próximo plazo de aplicación que vence este mes.
La Ley de Resiliencia Operativa Digital de (), o DORA, es un marco normativo pionero para el sector de los servicios financieros que la Unión Europea (UE) aprobó en 2022. Aunque entró en vigor el January 16, 2023, pasó a ser plenamente aplicable el January 17, 2025.
El objetivo de DORA es mejorar la resiliencia de las instituciones financieras frente a riesgos como el ransomware, los ataques a la cadena de suministro y otras amenazas a la ciberseguridad. El reglamento exige que las entidades del sector financiero y sus proveedores de servicios de tecnologías de la información y la comunicación (TIC) mejoren sus prácticas de ciberseguridad, en particular sus planes de , de respuesta a incidentes y de resiliencia.
En esta entrada se aborda todo lo que necesita saber sobre DORA. Comenzaremos definiendo qué es DORA y explicando en qué se diferencia del Reglamento General de Protección de Datos (RGPD). A continuación, analizaremos sus ventajas, sus objetivos principales y los distintos sectores a los que afecta, incluidas las implicaciones específicas para los proveedores externos de servicios de TIC.
Por último, le proporcionaremos una serie de buenas prácticas generales para garantizar el cumplimiento de la normativa DORA. Profundicemos en el tema y descubramos la importancia de DORA a la hora de mejorar la resiliencia digital.
¿En qué consiste el cumplimiento de la normativa DORA?
El cumplimiento de la normativa DORA permite subsanar las deficiencias y prevenir interrupciones mediante el establecimiento de marcos sólidos de gestión de riesgos y planes de respuesta ante amenazas cibernéticas. Estas normas tienen por objeto garantizar que las entidades financieras de la UE puedan gestionar y mitigar de manera eficaz los efectos de los incidentes de ciberseguridad, manteniendo la resiliencia operativa y el cumplimiento de los nuevos requisitos normativos; de lo contrario, se enfrentarán a graves repercusiones.
[Lea también: ¿Qué es la gestión del cumplimiento normativo? Tipos y consejos para mejorar]
Las sanciones por incumplir la ley DORA pueden ser muy elevadas. Aunque el Reglamento DORA no prevé multas ni sanciones penales, cada uno de los Estados miembros de la UE puede establecer sanciones es y penales en su legislación nacional. Entre ellas pueden figurar multas de hasta el 2 % de los ingresos anuales totales a nivel mundial de una entidad o de hasta 1 millón de euros, así como sanciones aún más severas de hasta 5 millones para los proveedores externos de TIC de importancia crítica.
Afortunadamente, el cumplimiento de la DORA conlleva importantes ventajas. «El cumplimiento de la DORA ofrece importantes ventajas a quienes se adhieren a sus requisitos explícitos y a sus principios subyacentes», afirma Rois Ni Thuama, responsable de gobernanza cibernética en la empresa de seguridad Red Sift. «Las ventajas económicas son considerables, lo que permite mejorar la toma de decisiones y evitar los costes asociados al hecho de ignorar amenazas conocidas».
Ahora que hemos definido DORA, quizá se pregunte: ¿no hemos vivido ya algo parecido recientemente con el RGPD? Comparemos brevemente la DORA y el RGPD para comprender sus similitudes y diferencias, y ver cómo cada normativa contribuye de manera específica a mejorar la resiliencia digital y la protección de datos.
¿En qué se diferencia la DORA del RGPD?
Dado que DORA aprovecha los marcos de ciberseguridad existentes de la Agencia de Protección de Datos de Estados Unidos ( ) y se basa en ellos para mejorar la resiliencia operativa de las entidades financieras, incorpora muchos de los mismos principios de normas bien consolidadas, como el RGPD y el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), con el fin de proporcionar una base sólida para sus requisitos.
No obstante, aunque la DORA y el RGPD son normativas importantes de la UE, difieren en cuanto a su enfoque y su ámbito de aplicación. El RGPD tiene un alcance más amplio y se centra en la protección de datos y la privacidad de todas las organizaciones que tratan datos personales. DORA se centra específicamente en el sector financiero, prestando especial atención a los riesgos relacionados con las TIC y a la resiliencia operativa, con objetivos diseñados para garantizar que las entidades financieras puedan resistir, responder y recuperarse de todas las perturbaciones y amenazas relacionadas con las TIC.
Al centrarse en estos objetivos fundamentales, DORA pretende mejorar la resiliencia y la seguridad generales del sector financiero.
¿Cuáles son los objetivos principales de DORA?
El objetivo final de DORA es garantizar una gestión de riesgos más resiliente mediante la estandarización de los requisitos de resiliencia operativa para las entidades financieras, creando así un marco normativo uniforme en toda la UE.
Para lograrlo, los requisitos de DORA son prescriptivos y se centran especialmente en cómo las organizaciones aplican prácticas eficaces de gestión de riesgos, gestión y notificación de incidentes, y gobernanza, entre las que se incluyen:
- Reforzar la gestión de riesgos: Las entidades financieras y todas las entidades afectadas deben establecer estrategias integrales para abordar y mitigar los riesgos, incluidas las amenazas cibernéticas y las interrupciones operativas de los sistemas de información. Asimismo, deben realizar evaluaciones periódicas de riesgos para demostrar cómo gestionan eficazmente sus riesgos.
- Mejorar la gestión y la notificación de incidentes: Las organizaciones deben disponer de mecanismos sólidos de gestión y notificación de incidentes para gestionar y comunicar los incidentes de ciberseguridad, así como de planes de continuidad del negocio para sus operaciones, incluidas las funciones importantes externalizadas o contratadas a través de proveedores de servicios de tecnologías de la información y la comunicación.
La DORA también exige a las entidades financieras que notifiquen los incidentes graves relacionados con las TIC a las autoridades competentes en tres fases: notificación inicial en un plazo de 24 horas, informe intermedio en un plazo de 72 horas e informe final en el plazo de un mes. Estos informes deben incluir datos como el tipo de incidente, las áreas afectadas, las repercusiones y las medidas adoptadas para su resolución. Esto garantiza una comunicación oportuna y una gestión eficaz de las incidencias, lo que mejora la resiliencia operativa general. - Fomentar las pruebas de resiliencia operativa digital: Es obligatorio realizar pruebas periódicas de resiliencia operativa digital para garantizar que los sistemas y procesos puedan resistir las interrupciones y recuperarse de ellas. La realización de pruebas de penetración basadas en amenazas (TLPT) constituye un elemento clave de las pruebas de resiliencia en DORA, ya que simula ciberataques reales para identificar vulnerabilidades. Las entidades financieras deben llevar a cabo pruebas de resistencia (TLPT) sobre activos de alto valor para evaluar anualmente los controles técnicos, los procesos organizativos y la capacidad de respuesta ante incidentes, recurriendo para ello a entidades externas independientes.
- Establecer mecanismos de gobernanza y supervisión: La normativa DORA exige a las entidades financieras que apliquen prácticas sólidas de gobernanza y supervisión para garantizar una gestión eficaz de los riesgos y el cumplimiento de las normas, políticas y controles reglamentarios en materia de tecnologías de la información. En virtud de la DORA, el órgano de dirección de las entidades financieras es responsable de definir, aprobar, supervisar y aplicar todas las medidas relacionadas con el marco de gestión de riesgos de las TIC, lo que incluye establecer políticas para mantener altos estándares de seguridad de los datos, definir funciones y responsabilidades claras para las funciones relacionadas con las TIC y garantizar una comunicación y coordinación eficaces entre dichas funciones.
Las entidades deben estar preparadas para compartir su marco, así como sus marcos internos de gobernanza y control en materia de ciberseguridad, con los organismos reguladores, con el fin de demostrar cómo identifican, evalúan, supervisan y gestionan los riesgos de las TIC.
«Es positivo que se preste atención a la resiliencia», afirma Wim Remes, director de operaciones de la empresa de seguridad Spotit. «Este conjunto de normas tiene por objeto que las entidades dejen de limitarse a cumplir mecánicamente con los requisitos reglamentarios», afirma Remes, para adoptar una estrategia de gestión del riesgo de cumplimiento más integral (y más eficaz) con el fin de proteger los sistemas financieros.
Ahora que hemos analizado los objetivos clave de DORA, centrémonos en los sectores a los que afecta. Al identificar los sectores afectados, podemos apreciar mejor la amplia influencia y la importancia de DORA a la hora de mejorar la resiliencia digital en diversos ámbitos.
¿Qué sectores se ven afectados por el Reglamento DORA?
El Reglamento DORA es una normativa de la Unión Europea de amplio alcance que afecta a organizaciones de todo el mundo. Aunque se dirige principalmente al sector financiero, su impacto se extiende a una amplia gama de sectores relacionados con los servicios financieros, entre los que se incluyen bancos, proveedores de servicios de pago, proveedores de dinero electrónico, proveedores de servicios de información contable, empresas de inversión, sociedades gestoras, empresas comerciales, corredores, proveedores de servicios de criptoactivos, compañías de seguros y otras instituciones financieras.
«No existe una versión «DORA lite»», explica Ni Thuama. Tanto para las empresas con sede dentro como fuera de la UE, «el impacto es el mismo».
Además, los requisitos de la DORA afectan de manera significativa a los proveedores de servicios externos que ofrecen servicios de TIC esenciales a las entidades financieras. Estos requisitos influyen en gran medida en sus operaciones y responsabilidades, ya que estos proveedores desempeñan un papel fundamental en el apoyo al sector financiero.
¿Qué repercusiones tiene la normativa DORA en los proveedores externos de servicios de TIC?
La DORA también abarca a los proveedores de servicios de tecnologías de la información y la comunicación (TIC), incluidos los proveedores de servicios digitales y de datos —proveedores de servicios en la nube, de análisis de datos y de centros de datos, de servicios de hardware y de servicios de comunicaciones electrónicas—, así como a los que prestan líneas telefónicas analógicas.
En el marco de la DORA, los proveedores de TIC pueden ser designados como «críticos» en función de su impacto sistémico, la dependencia que las entidades financieras tienen de ellos y otros factores. Las Autoridades Europeas de Supervisión (AES), entre las que se incluyen la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA), la Autoridad Bancaria Europea (EBA) y la Autoridad Europea de Valores y Mercados (ESMA), son las encargadas de designar a los proveedores de TIC como tales.
Los proveedores de servicios externos de TIC de carácter crítico deben cumplir con un marco de supervisión reforzado, que incluya evaluaciones y auditorías periódicas, a fin de demostrar de manera efectiva su capacidad para gestionar los riesgos y mitigar los incidentes relacionados con las TIC.
No obstante, las entidades financieras que recurren a la externalización de sus sistemas de TIC también deben asegurarse de que los proveedores cumplan los requisitos de la DORA, llevando a cabo un exhaustivo proceso de diligencia debida y realizando un seguimiento continuo de los riesgos asociados a terceros.
Comprender cómo afecta la DORA a los proveedores de servicios de TIC externos es fundamental para comprender el alcance total de la normativa. Pasemos ahora a ofrecer unas orientaciones generales sobre cómo estos proveedores y otras entidades afectadas pueden actuar para garantizar el cumplimiento de los requisitos de la DORA.
Cómo cumplir con la DORA
Los grandes proveedores de tecnología, como Google Cloud, ya han realizado los cambios necesarios para cumplir con la normativa DORA. Por ejemplo, reunieron a expertos en la materia procedentes de los ámbitos de riesgo y cumplimiento normativo, seguridad, asuntos jurídicos, asuntos gubernamentales y equipos de producto para elaborar planes de cumplimiento normativo cuando fuera necesario.
El equipo de Google Cloud también explicó: «Estos planes se basan en nuestra sólida base en ámbitos como la seguridad, la resiliencia y la gestión de riesgos de terceros , que ya permiten a nuestros clientes del sector de los servicios financieros de la UE cumplir con sus rigurosas exigencias normativas».
«Este conjunto de normas tiene como objetivo que las entidades dejen de limitarse a cumplir mecánicamente los requisitos reglamentarios.»Wim Remes, director de operaciones de Spotit
Google también se preparó para su probable designación como proveedor de tecnología crítica y para las obligaciones anuales que ello conlleva, presentando planes de supervisión, inspecciones, recomendaciones y asesoramiento a los clientes sobre la notificación de incidentes. El manual de estrategias de Google es un excelente modelo a seguir: las empresas deben evaluar sus capacidades actuales en relación con los requisitos de DORA y subsanar cualquier deficiencia detectada.
Lo mejor de DORA es que no requiere un enfoque innovador. «De hecho, lo que exige, en esencia, es que las entidades financieras sigan las mejores prácticas», afirma Ni Thuama.
Ni Thuama recomienda a las empresas de servicios financieros y a los proveedores de tecnología que deben cumplir con la DORA que realicen una autoevaluación en estas seis áreas:
- Gobernanza
- Gestión de riesgos
- Reporting
- Testing
- Riesgo de terceros
- Intercambio de información
«Deben identificar esas áreas clave, determinar en qué punto se encuentran actualmente con respecto a cada una de ellas y subsanar esas carencias, en caso de que las haya», aconseja.
Entonces, ¿por dónde empezar? Ni Thuama recomienda a las empresas que revisen el Marco de gestión de riesgos de las TIC de e identifiquen sus requisitos de pruebas. Afirma que las empresas deberían «programar pruebas periódicas de las herramientas y los sistemas para evaluar su grado de preparación y subsanar cualquier punto débil, deficiencia o laguna».
En definitiva, la ley DORA exige a las empresas que hagan lo que ya deberían estar haciendo, señala Scott Crawford, director de investigación en seguridad de la información de 451 Research. Deberíamos esperar que los organismos reguladores de todo el mundo prestaran la misma atención a la resiliencia cibernética. «Se seguirán aprobando normativas que garanticen que las empresas puedan responder ante incidentes cibernéticos graves, ya sean ataques de denegación de servicio o ransomware, independientemente de la forma que adopten dichos incidentes», afirma.
Tanium ayuda a las organizaciones a cumplir con la normativa DORA, proporcionando soluciones integrales que mejoran la resiliencia digital. Nuestra última mejora, Tanium Autonomous Endpoint Management (AEM), agiliza numerosos procesos de gestión mediante capacidades simplificadas y nativas de inteligencia artificial y automatización, con el fin de reducir la necesidad de contar con personal especializado para crear, ampliar y mantener una biblioteca de automatización, incluso en los entornos más complejos y dinámicos.
Nuestras soluciones integradas se han diseñado teniendo en cuenta la seguridad para ayudar a las organizaciones a hacer frente a la creciente complejidad del panorama actual de amenazas. Nuestras funciones en tiempo real, líderes en el sector —como la integración de información sobre amenazas procedente de la organización, la comunidad y terceros con Tanium Incident Response y el uso de puntuaciones de riesgo proactivas en la solución de gestión de riesgos y cumplimiento normativo de Tanium — ofrecen una visión clara de lo que está ocurriendo en el entorno en este preciso momento, de modo que las organizaciones puedan priorizar sus esfuerzos para proteger las operaciones digitales y cumplir los estrictos requisitos de la DORA.
Con Tanium, podrá afrontar con confianza las complejidades del cumplimiento normativo, al tiempo que simplifica los esfuerzos necesarios para reforzar rápidamente su postura general en materia de ciberseguridad. Concierte hoy mismo una demostración gratuita y personalizada de Tanium en su entorno.
