Requisitos DORA: requisitos clave para el sector financiero

La gestión de riesgos digitales se ha convertido en una prioridad estratégica para las organizaciones del sector financiero. En este contexto, los requisitos DORA (Digital Operational Resilience Act) marcan un antes y un después en la regulación europea y también impactan en la implementación de estándares como ISO 27001.

El Reglamento, plenamente aplicable desde enero de 2025, establece un marco legal homogéneo para garantizar la resiliencia operativa digital en el ecosistema financiero. Pero, ¿cuáles son exactamente los requisitos DORA y cómo impactan en los sistemas de gestión normalizados? Lo analizamos a continuación.

¿Qué es DORA y por qué es relevante para el sector financiero?

La Regulación DORA (Reglamento 2022/2554) fue aprobado por el Parlamento Europeo en 2022 como parte de un paquete legislativo para reforzar la infraestructura digital del sistema financiero. Su objetivo principal es garantizar que las entidades financieras de la UE puedan resistir, responder y recuperarse de incidentes relacionados con las TIC, asegurando la continuidad del negocio y la confianza del mercado.

Frente a otras normativas centradas en la seguridad de la información o en la protección de datos, DORA da un paso más: aborda de forma integral la gestión de riesgos TIC, desde la gobernanza interna hasta las pruebas de resiliencia y la supervisión de proveedores externos.

¿A qué organizaciones afecta la regulación DORA?

Los requisitos DORA se aplican a una amplia gama de entidades financieras. Entre ellas, se incluyen las siguientes:

• Bancos.
• Aseguradoras y reaseguradoras.
• Empresas de inversión.
• Entidades de pago y dinero electrónico.
• Sociedades de gestión de activos.
• Proveedores de servicios de criptoactivos.

También deben cumplir con la normativa DORA proveedores críticos de servicios TIC, como es el caso de empresas de servicios en la nube, proveedores de software o servicios de ciberseguridad.

Requisitos DORA: ¿cuáles son sus pilares fundamentales?

El Reglamento DORA, que cuenta con 64 artículos, se estructura en torno a cinco áreas clave que recogen los requisitos esenciales que deben cumplir las organizaciones financieras y sus proveedores:

1. Gestión de riesgos relacionados con las TIC

El primero de los requisitos DORA es que las entidades deben establecer un marco robusto de gestión de riesgos relacionados con las TIC que incluya, entre otras estas cuestiones:

• Gobernanza alineada con los objetivos de resiliencia operativa digital.
• Identificación de activos digitales críticos.
• Detección y evaluación de riesgos asociados a sistemas y procesos digitales.
• Políticas claras de seguridad, actualizadas y documentadas.
• Controles y medidas preventivas adaptadas al nivel de riesgo.

Este enfoque, recogido en el Capítulo II de DORA, debe integrarse con el sistema de gestión de la organización, preferiblemente alineado con normas como ISO/IEC 27001 o ISO 22301.

Por otra parte, se debe tener en cuenta que, para entidades financieras pequeñas que pueden tener mayores dificultades para cumplir con los requisitos DORA, el reglamento establece un marco simplificado de gestión de riesgos.

2. Clasificación y notificación de incidentes

En su capítulo III, DORA exige la implementación de procesos eficaces para:

• Detectar, clasificar y priorizar los incidentes relacionados con las TIC.
• Notificar a las autoridades competentes en plazos definidos.
• Realizar análisis de causa raíz y establecer medidas correctivas.

Además, las entidades financieras deben presentar informes de incidentes a las autoridades competentes e informar sobre ciberamenazas.

3. Pruebas de resiliencia operativa digital

En el Capítulo IV, DORA establece que las organizaciones deben realizar pruebas periódicas para evaluar su capacidad de resistir y recuperarse ante incidencias digitales. Estas pruebas pueden incluir, entre otros:

• Análisis de vulnerabilidades.
• Revisiones de código fuente.
• Simulacros de ciberataques.
• Ejercicios de recuperación de sistemas críticos.
• Pruebas de rendimiento.

El objetivo es identificar brechas, mejorar la capacidad de respuesta y validar la eficacia de los controles.

4. Gestión de riesgos de terceros proveedores TIC

Reducir los riesgos de terceros es otro de los requisitos DORA. Establece la responsabilidad de las entidades en la supervisión de sus proveedores críticos de servicios TIC. Para ello, se requiere:

• Realizar evaluaciones de riesgos antes de contratar a un proveedor.
• Incluir cláusulas contractuales que aseguren el cumplimiento normativo.
• Supervisar de forma continua el desempeño y la seguridad de los proveedores.

5. Supervisión de riesgos por parte de autoridades competentes

Las Autoridades Europeas de Supervisión (AES) tienen un papel activo en la verificación de la implementación de DORA y de su cumplimiento. Así, establece una supervisión directa sobre los terceros proveedores de TIC que se consideren críticos. Esto incluye:

• Acceso a documentación técnica y planes de resiliencia.
• Solicitud de informes sobre incidentes relevantes.
• Evaluaciones técnicas regulares.
• Posibilidad de imponer medidas correctivas y sanciones.

El objetivo es verificar que el proveedor cuenta con mecanismos eficaces para gestionar el riesgo de las TIC para las entidades financieras.

6. Autoridades competentes encargadas de hacer cumplir DORA

El Reglamento promueve la cooperación entre autoridades nacionales, la Autoridad Bancaria Europea (EBA), la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA) y la Autoridad Europea del Mercado de Valores (ESMA) para garantizar una aplicación uniforme de las normativas sobre resiliencia digital en el sector financiero.

7. Intercambio de información y colaboración

En su Capítulo VI, DORA fomenta el intercambio voluntario de información sobre ciberamenazas y vulnerabilidades entre entidades. Esto permite anticiparse a riesgos emergentes y adoptar medidas preventivas de forma colaborativa.

8. Régimen de sanciones

En el caso de entidades financieras, DORA faculta a los estados para definir sus propias multas. Sí establece la posibilidad de que autoridades competentes establezcan sanciones como suspensión de actividades en el caso de incumplimiento del Reglamento.

Por otra parte, para los proveedores externos de TIC que incumplan, DORA establece multas de hasta el 1 % de su facturación anual.

Cómo integrar los requisitos DORA en un sistema de gestión ISO

Una estrategia eficaz para integrar los requisitos DORA es aprovechar los sistemas de gestión normalizados ya existentes como ISO 27001 o ISO 22301 como base para cumplir con el Reglamento. Algunas recomendaciones son las siguientes:

• Identificar las correspondencias entre los requisitos de DORA y los controles existentes en las normas ISO.
• Actualizar el análisis de contexto y partes interesadas: DORA introduce nuevas expectativas regulatorias y de supervisión que deben reflejarse en el sistema.
• Reforzar la evaluación de riesgos TIC, incluyendo escenarios específicos como fallos de proveedores en la nube.
• Capacitar al personal, informando y formando a los responsables de cumplimiento, tecnología y gestión sobre los nuevos requisitos DORA.

Ventajas de digitalizar el cumplimiento de DORA

El cumplimiento de DORA exige una gran cantidad de documentación, un seguimiento exhaustivo de actividades, evaluaciones y reportes. Digitalizar estas tareas mediante un software especializado ofrece beneficios clave:

• Mayor trazabilidad y control.
• Automatización de notificaciones y alertas.
• Generación de evidencias para auditorías.
• Agilidad para adaptar cambios normativos.

Software ISO 27001

El Software ISO 27001 permite a las entidades financieras integrar los requisitos DORA en sus sistemas de gestión de forma eficaz y ordenada. Su tecnología modular permite, entre otras acciones, gestionar riesgos TIC con eficacia y automatizar la evaluación y seguimiento de incidentes.

Todo ello en un entorno seguro, escalable y con la participación de tecnologías como Big Data e Inteligencia Artificial. La transformación digital para asegurar el cumplimiento normativo no es una opción, es una necesidad. Comprueba como el software puede ayudar a tu organización a conseguirlo solicitando más información a nuestros consultores o participando en una demo online gratuita.