El 17 de enero de 2025 empezó a aplicarse DORA, el reglamento europeo de resiliencia operativa digital. Bancos, aseguradoras y gestoras tienen que demostrar que aguantan un fallo tecnológico grave.
El Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero, conocido como DORA por sus siglas en inglés, empezó a aplicarse el 17 de enero de 2025, dos años después de su entrada en vigor. Como es un reglamento, se aplica directamente en todos los Estados miembros. Su objetivo es que el sistema financiero europeo pueda seguir funcionando ante un ciberataque, una caída informática o el fallo de un proveedor tecnológico.
A quién afecta
DORA alcanza a una veintena de tipos de entidades: bancos, aseguradoras y reaseguradoras, entidades de pago y de dinero electrónico, empresas de servicios de inversión, gestoras de fondos, proveedores de servicios de criptoactivos, infraestructuras de mercado y algunos mediadores. Las más pequeñas tienen un régimen simplificado. Por primera vez, además, los grandes proveedores tecnológicos que se consideren críticos, como los de servicios en la nube, quedan bajo la vigilancia directa de las autoridades europeas.
En España, su cumplimiento lo supervisan el Banco de España, la Comisión Nacional del Mercado de Valores y la Dirección General de Seguros y Fondos de Pensiones, cada uno en su ámbito.
Qué exige
El reglamento descansa en cinco pilares: un marco de gestión del riesgo tecnológico aprobado y supervisado por el consejo de administración; la clasificación y notificación a las autoridades de los incidentes graves en plazos muy cortos; pruebas periódicas de resiliencia, que en las entidades más importantes incluyen ataques simulados; la gestión del riesgo de los proveedores tecnológicos, con un registro de todos los contratos, y el intercambio de información sobre amenazas.
Los contratos con proveedores tecnológicos tienen que incluir cláusulas mínimas: niveles de servicio, acceso a la información, derecho de auditoría, planes de salida y colaboración en caso de incidente. Muchas entidades han tenido que renegociar contratos con sus proveedores de nube y de software.
Qué supone para un cliente o una empresa
Para el cliente de un banco o una gestora, DORA es una garantía adicional: la entidad debe poder seguir prestando el servicio y proteger los datos aunque falle un sistema. Para las empresas tecnológicas que dan servicio al sector financiero, significa más exigencias contractuales, auditorías y obligaciones de informar.
Si su empresa presta servicios tecnológicos a entidades financieras, conviene revisar los contratos, los planes de continuidad y la capacidad de comunicar incidentes. Consulte con su asesor cómo le afecta.
En el sector financiero, la tecnología ya no es un departamento: es parte del riesgo que hay que gobernar.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
