El 17 de gener de 2025 va començar a aplicar-se DORA, el reglament europeu de resiliència operativa digital. Bancs, asseguradores i gestores han de demostrar que aguanten una fallada tecnològica greu.
El Reglament (UE) 2022/2554 sobre la resiliència operativa digital del sector financer, conegut com a DORA per les seves sigles en anglès, va començar a aplicar-se el 17 de gener de 2025, dos anys després de la seva entrada en vigor. Com que és un reglament, s’aplica directament a tots els estats membres. El seu objectiu és que el sistema financer europeu pugui continuar funcionant davant d’un ciberatac, una caiguda informàtica o la fallada d’un proveïdor tecnològic.
A qui afecta
DORA abasta una vintena de tipus d’entitats: bancs, asseguradores i reasseguradores, entitats de pagament i de diner electrònic, empreses de serveis d’inversió, gestores de fons, proveïdors de serveis de criptoactius, infraestructures de mercat i alguns mediadors. Les més petites tenen un règim simplificat. Per primera vegada, a més, els grans proveïdors tecnològics que es considerin crítics, com els de serveis al núvol, queden sota la vigilància directa de les autoritats europees.
A Espanya, el seu compliment el supervisen el Banc d’Espanya, la Comissió Nacional del Mercat de Valors i la Direcció General d’Assegurances i Fons de Pensions, cadascun en el seu àmbit.
Què exigeix
El reglament es basa en cinc pilars: un marc de gestió del risc tecnològic aprovat i supervisat pel consell d’administració; la classificació i notificació a les autoritats dels incidents greus en terminis molt curts; proves periòdiques de resiliència, que en les entitats més importants inclouen atacs simulats; la gestió del risc dels proveïdors tecnològics, amb un registre de tots els contractes, i l’intercanvi d’informació sobre amenaces.
Els contractes amb proveïdors tecnològics han d’incloure clàusules mínimes: nivells de servei, accés a la informació, dret d’auditoria, plans de sortida i col·laboració en cas d’incident. Moltes entitats han hagut de renegociar contractes amb els seus proveïdors de núvol i de programari.
Què suposa per a un client o una empresa
Per al client d’un banc o una gestora, DORA és una garantia addicional: l’entitat ha de poder continuar prestant el servei i protegir les dades encara que falli un sistema. Per a les empreses tecnològiques que donen servei al sector financer, significa més exigències contractuals, auditories i obligacions d’informar.
Si la seva empresa presta serveis tecnològics a entitats financeres, convé revisar els contractes, els plans de continuïtat i la capacitat de comunicar incidents. Consulti amb el seu assessor com l’afecta.
En el sector financer, la tecnologia ja no és un departament: és part del risc que cal governar.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
