As notícias são publicadas em espanhol.
El Reglamento de Resiliencia Operativa Digital se aplica desde el 17 de enero de 2025. Doce meses después, los supervisores revisan de forma activa los registros de información, las pruebas de resiliencia y la gestión del riesgo de terceros.
El Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), es de aplicación en toda la Unión Europea desde el 17 de enero de 2025. Afecta a bancos, aseguradoras, empresas de inversión, entidades de pago y de dinero electrónico, gestoras y proveedores de criptoactivos, y alcanza a los proveedores externos de servicios TIC que trabajan para ellos, también los establecidos fuera de la Unión.
Los cinco pilares
- Gestión del riesgo TIC: marco documentado, aprobado y revisado por el órgano de dirección.
- Gestión y notificación de incidentes: clasificación de incidentes y notificación de los graves al supervisor en plazos tasados.
- Pruebas de resiliencia: desde pruebas básicas hasta pruebas de penetración guiadas por amenazas (TLPT) para las entidades más relevantes.
- Riesgo de terceros: registro de información de todos los acuerdos con proveedores TIC, cláusulas contractuales mínimas y estrategias de salida.
- Intercambio de información: acuerdos voluntarios para compartir inteligencia sobre amenazas.
Qué ha cambiado en el segundo año
El periodo inicial de adaptación ha terminado. Las autoridades nacionales competentes piden ya los registros de información, revisan los marcos de gestión del riesgo y empiezan a exigir evidencias de las pruebas. Las Autoridades Europeas de Supervisión han puesto en marcha el marco de vigilancia de los proveedores TIC críticos, que somete a los grandes proveedores de nube y software a supervisión directa.
Para un proveedor tecnológico, esto se traduce en cuestionarios, auditorías y cláusulas contractuales nuevas por parte de sus clientes financieros. Para la entidad, en demostrar con evidencias que el marco existe y funciona.
Cómo ayudamos
Nuestro servicio de adecuación a DORA cubre el análisis de diferencias, el registro de información, el procedimiento de notificación y la preparación de las pruebas, y nuestros servicios de resiliencia y continuidad aportan la parte operativa.
