La Ley de Resiliencia Operativa Digital (DORA) es una propuesta legislativa de la Comisión Europea destinada a reforzar la resiliencia operativa del sector financiero en la Unión Europea (UE). El reglamento propuesto tiene por objeto abordar la creciente dependencia de los sistemas de tecnologías de la información y la comunicación (TIC) y de los procesos operativos digitales en el sector financiero. La DORA establece un marco para la gestión de riesgos de las TIC, la notificación de incidentes y los acuerdos de externalización para las entidades financieras, como bancos, compañías de seguros y empresas de inversión.
La DORA atribuye a la dirección de la empresa la «responsabilidad plena y última» de la gestión de los riesgos relacionados con las TIC, del establecimiento y la aprobación de su estrategia de resiliencia operativa digital, y de la revisión y aprobación de la política de la empresa sobre el uso de proveedores externos de TIC (TPP), entre otras responsabilidades.
La propuesta de la DORA se publicó en diciembre de 2022 y entró en vigor en enero de 2023. Las organizaciones deben empezar a cumplir con la DORA a partir de enero de 2025. La DORA se aplica a la gran mayoría de las empresas del sector financiero que operan en la UE. Aunque la DORA es un reglamento de la UE, si su organización tiene su sede fuera de la UE, se considera que entra en su ámbito de aplicación si tiene oficinas en la UE o presta servicios a una entidad financiera que preste servicios en la UE.
¿Qué obligaciones tienen las empresas en virtud de la DORA?
- Establecer los niveles de tolerancia al riesgo ante interrupciones en las TIC, basándose en indicadores clave de rendimiento y métricas de riesgo.
- Identifica sus «funciones críticas o importantes».
- Realizar análisis de impacto empresarial basados en escenarios de «interrupción grave de la actividad empresarial».
- Utilice el nuevo marco de clasificación, notificación y presentación de informes para recopilar, analizar, escalar y difundir información relativa a incidentes y amenazas en el ámbito de las TIC.
- Cuantificar el impacto de los incidentes y analizar sus causas fundamentales.
- En caso de que se produzca una amenaza cibernética grave, se deberá notificar a las autoridades reguladoras y facilitar información sobre las medidas de protección adecuadas adoptadas para defenderse de dicha amenaza.
- Demostrar que llevan a cabo un conjunto adecuado de pruebas de resiliencia operativa digital y de seguridad en sus «sistemas y aplicaciones de TIC críticos». «Solucionar por completo» cualquier vulnerabilidad detectada en las pruebas.
- Si se supera un umbral determinado, se llevarán a cabo pruebas de penetración «avanzadas» basadas en amenazas (TLPT) cada tres años y se incluirá a todos los proveedores de servicios de terceros (TPP) que prestan apoyo a las funciones críticas de información (CIF) en los ejercicios de pruebas avanzadas.
- Incluye todas las condiciones anteriores en los contratos con proveedores externos.
- Realizar evaluaciones del riesgo de concentración de todos los contratos de externalización que respalden la prestación de los CIF.
Las empresas deberían realizar un análisis de deficiencias para elaborar una hoja de ruta con el fin de diseñar e implementar un marco de resiliencia operativa mejorado antes de enero de 2025, de acuerdo con los nuevos requisitos de la DORA. Si necesitas ayuda para aplicar estas directrices, consulta Archer Operational Resilience.
Ponte en contacto con nosotros para hablar con un experto de Archer.
