DORA: Creación de resiliencia digital en el sector financiero con Prodat
El Reglamento sobre la Resiliencia Operacional Digital (DORA, por sus siglas en inglés) es una normativa europea que entró en vigor en enero de 2025. Su objetivo es garantizar que las entidades financieras puedan resistir, responder y recuperarse de todo tipo de perturbaciones e incidentes relacionados con las tecnologías de la información y la comunicación (TIC).
¿Qué es el Reglamento DORA?
DORA se aplica a una amplia gama de entidades del sector financiero, incluyendo entidades de crédito, empresas de servicios de inversión, entidades de pago, empresas de seguros, fondos de pensiones y proveedores de servicios de TIC que presten servicios a entidades financieras.
¿A quién se aplica DORA?
DORA se estructura en torno a cinco pilares fundamentales: la gestión del riesgo de TIC, la notificación de incidentes relacionados con TIC, las pruebas de resiliencia operacional digital, la gestión del riesgo de terceros proveedores de TIC y el intercambio de información e inteligencia sobre ciberamenazas.
Los cinco pilares de DORA
Las entidades deben disponer de un marco de gobernanza y control interno que garantice una gestión eficaz y prudente del riesgo de TIC. Esto incluye estrategias, políticas, procedimientos, protocolos y herramientas de TIC que sean necesarios para proteger todos los activos de información y de TIC.
Gestión del riesgo de TIC
Las entidades obligadas deben clasificar los incidentes relacionados con las TIC y notificar los incidentes graves a las autoridades competentes. DORA establece plazos estrictos para esta notificación y exige que las entidades mantengan un registro de todos los incidentes.
Notificación de incidentes
Las entidades deben establecer un programa de pruebas de resiliencia operacional digital que incluya pruebas de penetración basadas en amenazas (TLPT) para los sistemas y aplicaciones críticos. Estas pruebas deben realizarse periódicamente y sus resultados deben documentarse.
Pruebas de resiliencia operacional digital
Las entidades deben gestionar el riesgo asociado a los proveedores externos de servicios TIC. Esto incluye la realización de evaluaciones previas a la contratación, el establecimiento de contratos que incluyan los requisitos exigidos por DORA y el seguimiento continuo del rendimiento y la seguridad de los proveedores.
Gestión del riesgo de terceros proveedores de TIC
DORA fomenta el intercambio de información e inteligencia sobre ciberamenazas entre las entidades del sector financiero. Las entidades pueden participar voluntariamente en acuerdos de intercambio de información, siempre que se protejan los datos confidenciales y se respeten las disposiciones del derecho de la competencia.
Intercambio de información
En Prodat, disponemos de un equipo de expertos en DORA que puede acompañar a su organización en todo el proceso de implementación del reglamento. Nuestros servicios incluyen el análisis de brecha, el diseño e implementación del marco de gestión del riesgo de TIC, la definición de los procesos de notificación de incidentes y la planificación y ejecución de pruebas de resiliencia.
Cómo puede ayudar Prodat con el cumplimiento de DORA
Nuestro enfoque integral y personalizado garantiza que su organización no solo cumpla con los requisitos formales de DORA, sino que también mejore su capacidad real de resiliencia operacional digital. Contáctenos para obtener más información sobre cómo podemos ayudarle a cumplir con DORA.
