La DORA afecta al sector de los servicios financieros de la UE, y esta normativa está a punto de causar un gran revuelo en el sector financiero. A continuación, se ofrecen algunos de los requisitos de la DORA que deben cumplir las entidades financieras.
El sector de los servicios financieros lleva mucho tiempo siendo un referente en innovación tecnológica y pionero en este ámbito. Los avances en la banca y las finanzas han propiciado que la transformación digital del sector haya avanzado a pasos agigantados. Sin embargo, las nuevas tecnologías y las nuevas formas de trabajar atraen a los ciberdelincuentes. El resultado es que los ataques contra el sector financiero se están disparando.
En 2021, el sector bancario registró unaumento del 1.318 % en los ataques de ransomware, y el 65 % de las grandes entidades financieras sufrió un ciberataque en 2020. La gravedad de los ciberataques, cada vez más complejos y destructivos, en el sector financiero ha dado lugar a la incorporación de una nueva legislación al ámbito de la regulación de los servicios financieros, y su nombre es la DORA (Ley de Resiliencia Operativa Digital).
Conceptos básicos de DORA
El primer borrador de la DORA se publicó el 24 de septiembre de 2020 y, el 10 de septiembre de 2022, el Parlamento Europeo lo aprobó. Esta normativa desempeñará un papel fundamental en el «paquete de finanzas digitales», cuyo objetivo es fomentar la innovación y la competencia en el ámbito de las finanzas digitales, al tiempo que se mitigan los riesgos derivados de la digitalización del sector.
Por lo tanto, el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE) constituye la base jurídica de la DORA; la normativa se centra en armonizar las directrices en materia de ciberseguridad en todo el sector.
A la UE le gusta recurrir a medidas normativas para consolidar y armonizar las mejores prácticas; el RGPD es un ejemplo de normativa armonizada en materia de protección de datos; DORA constituye el intento de la UE de consolidar y mejorar la gestión de riesgos de las TIC en todo el sector financiero, y afecta a las empresas de servicios financieros de la UE y a sus proveedores (críticos) de TIC.
La DORA exigirá a las empresas del sector financiero que adopten medidas que las protejan frente a los riesgos relacionados con las TIC; por ello, la DORA amplía los requisitos para incluir a terceros, como los proveedores de servicios en la nube.
¿Qué obligaciones impone la DORA al sector financiero?
El objetivo es crear un entorno resiliente en todo el ecosistema de los servicios financieros. El marco subyacente de DORA se basa en un conjunto de normas diseñadas para ayudar a las entidades financieras a desarrollar procesos sólidos de gestión de riesgos. Entre los requisitos fundamentales y el ámbito de aplicación de DORA se incluyen los siguientes:
Ámbito de aplicación de DORA
Casi todos los tipos de entidades financieras quedarán sujetos a la DORA. Entre las entidades afectadas se incluyen las entidades de crédito, las entidades de pago, las entidades de dinero electrónico, las empresas de inversión, los proveedores de servicios de criptoactivos, los fondos de inversión alternativos, los gestores de seguros, etc. La excepción la constituyen los auditores, que actualmente no están sujetos a las normas de la DORA, aunque es probable que esto cambie en futuras versiones de la ley. Para consultar la lista completa de entidades afectadas, véase el artículo 2 de la DORA.
Los proveedores de TIC que prestan servicios a entidades sujetas a la DORA también deben cumplir con dicha ley. Se considera que los proveedores de TIC desempeñan un papel fundamental en el sector financiero y, como tales, están sujetos a normas estrictas en virtud de la DORA. Los proveedores de servicios de TIC críticos con sede fuera de la UE que presten servicios a entidades financieras de la UE deben constituir una filial dentro de la UE.
Proveedores de TIC y DORA
La gestión de riesgos de terceros es un componente clave de DORA. La atención prestada a los proveedores de TIC es una respuesta al aumento de los ataques a la cadena de suministro, como el relacionado con la actualización del software Orion de SolarWinds. La Agencia de Ciberseguridad de la Unión Europea (ENISA) ha informado de un aumento en la sofisticación y el volumen de los ataques a la cadena de suministro, en los que los atacantes se centran en dicha cadena para sustraer datos y activos financieros. DORA coordina los requisitos utilizando marcos normativos existentes, como las Directrices sobre externalización de la Autoridad Bancaria Europea (EBA). (Véase también el artículo 14 de DORA)
En virtud de la DORA, las entidades financieras pueden calificar a determinados proveedores de TIC como «críticos». Por lo tanto, un proveedor de TIC crítico que preste servicios a una entidad sujeta a la DORA estará sujeto a normas estrictas que se aplicarán mediante la colaboración directa con las autoridades de servicios financieros de la UE.
Medidas clave de ciberseguridad
Los valores fundamentales de la normativa DORA consisten en garantizar la resiliencia de los sistemas de TIC. Para lograrlo, se han establecido las siguientes directrices:
Gestión de riesgos y resiliencia
El núcleo de la DORA lo constituyen unas directrices de gestión de riesgos destinadas a ayudar al sector de los servicios financieros a crear infraestructuras más resilientes. Los programas y evaluaciones de gestión de riesgos resultantes se utilizan como base para las pruebas de resiliencia. Además, la normativa exige que se lleven a cabo análisis de impacto en la actividad empresarial basados en escenarios de «interrupción grave de la actividad».
Se espera que las pruebas de resiliencia y vulnerabilidad sean realizadas por expertos independientes e incluyan pruebas de penetración periódicas basadas en amenazas. Es importante destacar que todos los sistemas de TIC críticos deben someterse a pruebas anualmente.
Medidas de protección (véase también el artículo 8)
Entre las medidas de protección exigidas se incluyen, por ejemplo:
- Aplique políticas adecuadas y exhaustivas en materia de parches y actualizaciones.
- Aplicar políticas y protocolos para establecer mecanismos de autenticación sólidos
- Adopte un enfoque basado en el riesgo para establecer una gestión sólida de la red y la infraestructura
- Aplicar políticas que limiten el acceso físico y virtual a los recursos y datos de los sistemas de TIC
- Evitar la fuga de información
Gestión de incidentes de TIC
El artículo 15 recoge detalles sobre los requisitos para gestionar y controlar los incidentes de seguridad, incluidos los procedimientos para «detectar, gestionar y notificar los incidentes relacionados con las TIC, y establecer indicadores de alerta temprana a modo de avisos».
Notificación de incidentes de ciberseguridad
Las entidades afectadas deben disponer de un mecanismo para supervisar, describir y notificar a las autoridades competentes cualquier incidente significativo relacionado con las TIC. Las normas de notificación son estrictas para los proveedores de TIC críticos. Entre ellas se incluye la obligación de realizar una notificación inicial a más tardar al final de la jornada laboral o, si el incidente significativo se produjo menos de dos horas antes del final de la jornada laboral, a más tardar cuatro horas después del inicio de la siguiente jornada laboral.
A partir de ahí, se debe presentar un informe provisional a más tardar una semana después de la notificación inicial; a este le seguirá un informe final, una vez finalizado el análisis de las causas fundamentales, a más tardar un mes después del envío del informe inicial.
Responsabilidad en materia de gestión y seguridad
La normativa DORA atribuye la responsabilidad de los riesgos relacionados con las TIC y las amenazas cibernéticas al equipo directivo de las entidades de servicios financieros. Impartir formación en concienciación sobre seguridad contribuirá a garantizar que los altos directivos y toda la empresa se centren en la seguridad.
La DORA también abarca aspectos esenciales de la gestión y la respuesta en materia de ciberseguridad, como el intercambio de información (véase el artículo 40).
¿Qué le depara el futuro a DORA?
El reglamento establece un plazo de 24 meses para su aplicación por parte de las entidades financieras y sus proveedores de servicios externos esenciales, a partir de la fecha de entrada en vigor de la legislación. Por lo tanto, se recomienda a las entidades afectadas que aprovechen los 24 meses que transcurren entre la fecha de entrada en vigor de la normativa y la aplicación de las medidas de cumplimiento para realizar un análisis de deficiencias: de lo contrario, medidas como las pruebas de penetración basadas en amenazas y las estrictas normas de presentación de informes podrían quedar fuera de ese análisis.