Todo lo que Necesitas Saber sobre el Cumplimiento de DORA

Con la economía de la Unión Europea cada vez más dependiente de las plataformas digitales, se ha vuelto crítico para la región asegurar la integridad, seguridad y resiliencia de estos sistemas. Entra en escena la Ley de Resiliencia Operativa Digital (DORA), un marco legislativo integral diseñado para fortalecer la resiliencia digital del sector financiero dentro de la Unión Europea (UE).

En este artículo, responderemos a “¿qué es DORA?” y examinaremos los elementos clave de la regulación, los beneficios para los ciudadanos de la UE, los requisitos de cumplimiento para las empresas, las limitaciones actuales y las recomendaciones para mantenerse relevante en un entorno plagado de riesgos cibernéticos.

¿Qué es DORA?

DORA, o más formalmente, la Ley de Resiliencia Operativa Digital, requiere que las entidades financieras, desde bancos hasta proveedores de servicios de criptoactivos, aseguren que sus operaciones digitales puedan resistir todo tipo de interrupciones, garantizando la continuidad en los servicios financieros para consumidores y empresas. Esta legislación es parte de una estrategia más amplia de la UE para mejorar la resiliencia operativa del sector financiero, proporcionando un marco para mitigar el riesgo de amenazas cibernéticas y otros incidentes relacionados con las TIC (Tecnologías de la Información y Comunicación). Al establecer requisitos estrictos para la gestión del riesgo digital, DORA no solo protege al sector financiero de las amenazas cibernéticas, sino que también mejora la estabilidad financiera de la UE y la confianza del consumidor en los servicios financieros digitales.

¿Por qué se necesita DORA?

DORA surgió como respuesta a la creciente dependencia del sector financiero en las plataformas tecnológicas para generar, compartir y almacenar información financiera sensible crítica para los mercados financieros de la UE y el bienestar económico. Las interrupciones causadas por ciberataques cada vez más sofisticados y frecuentes podrían paralizar la economía de la UE. De hecho, el sector financiero de la UE se ha convertido en un objetivo principal para los ciberataques, lo que llevó a la Comisión Europea a tomar medidas. DORA se introdujo a finales de 2022 para proporcionar un enfoque unificado a la “resiliencia operativa digital” en todos los estados miembros, asegurando que la infraestructura crítica del sector financiero esté adecuadamente protegida.

Desde su creación, DORA ha pasado por varias revisiones, reflejando la naturaleza dinámica del panorama tecnológico y la necesidad de un enfoque regulatorio flexible. La contribución de las partes interesadas de la industria financiera, expertos en ciberseguridad y organismos reguladores ha sido instrumental para mantener la efectividad y relevancia de DORA.

Marco de DORA: Componentes Clave

En su núcleo, DORA se estructura en torno al principio de resiliencia operativa, centrándose en la capacidad de las entidades financieras para absorber y recuperarse de las interrupciones, sin importar su origen. Esto se logra a través de un conjunto de requisitos estrictos que cubren áreas como la notificación de incidentes, la gestión del riesgo operativo digital y la gestión del riesgo de terceros.

En el corazón de DORA está el mandato para que las entidades financieras, incluidas los bancos, las compañías de seguros y otros proveedores de servicios financieros, desarrollen y mantengan un mecanismo efectivo para la notificación de incidentes. Este mecanismo está diseñado para asegurar que cuando ocurran incidentes cibernéticos significativos, se informen rápida y precisamente a las autoridades pertinentes, tanto a nivel nacional como en toda la UE. Al obligar a las entidades financieras a informar rápidamente sobre incidentes cibernéticos significativos, los reguladores están equipados con la información necesaria para evaluar el impacto de tales incidentes en la estabilidad e integridad del sistema financiero. Los reguladores pueden entonces tomar medidas apropiadas para mitigar riesgos, ofrecer orientación y, si es necesario, coordinar una respuesta transfronteriza para gestionar incidentes que tienen el potencial de afectar al sector financiero en múltiples jurisdicciones. La notificación integral de incidentes incluye procesos para identificar, gestionar y recuperarse de incidentes cibernéticos, junto con protocolos para la comunicación oportuna con las autoridades.

DORA también pone un fuerte énfasis en la gestión y mitigación de los riesgos asociados con los proveedores de servicios de Tecnologías de la Información y Comunicación (TIC) de terceros. DORA requiere que las instituciones financieras mantengan un registro completo de todos sus acuerdos de servicios TIC de terceros y realicen evaluaciones exhaustivas de los riesgos potenciales asociados con cada uno de sus proveedores de servicios TIC. Este proceso de evaluación implica evaluar el rendimiento del proveedor, la fiabilidad, las medidas de protección de datos y cualquier otro factor que pueda impactar la resiliencia operativa de la institución financiera.

Estos y otros componentes de DORA finalmente obligan a las instituciones financieras a adoptar un enfoque más proactivo y completo para gestionar riesgos externos. Al hacerlo, las instituciones de servicios financieros refuerzan la estabilidad y resiliencia general del sistema financiero, protegiéndolo contra interrupciones operativas que podrían impactar los mercados financieros, amenazar la seguridad de los activos de los clientes o socavar la integridad del sistema financiero.

Beneficios del Cumplimiento de DORA

Al exigir a las entidades financieras implementar prácticas robustas de gestión del riesgo digital, DORA minimiza el riesgo de interrupciones del servicio, violaciones de datos y pérdidas financieras resultantes de ciberataques. Esto no solo protege los activos financieros de los consumidores, sino que también fortalece su confianza en la utilización de servicios financieros digitales.

Además, el enfoque de DORA en la transparencia y la responsabilidad asegura que los consumidores estén mejor informados sobre la resiliencia operativa de sus proveedores de servicios financieros. Los requisitos obligatorios de notificación de incidentes de la legislación obligan a las entidades a divulgar incidentes cibernéticos significativos, proporcionando a los consumidores una comprensión más clara de los riesgos asociados con sus actividades financieras digitales y las medidas implementadas para mitigar esos riesgos.

Riesgos de No Cumplimiento de DORA

El incumplimiento de DORA introduce considerables riesgos financieros, legales y reputacionales. Las sanciones financieras pueden ser significativas, reflejando la gravedad de la violación y su potencial para desestabilizar el sistema financiero. Estas sanciones no se deciden arbitrariamente, sino que se calibran cuidadosamente para coincidir con la escala e impacto del incumplimiento, asegurando que el castigo no solo sirva como disuasión, sino que también aborde cualquier ventaja indebida obtenida o pérdida evitada a través del incumplimiento.

Más allá de las repercusiones financieras inmediatas, las consecuencias legales también son significativas para las entidades encontradas en violación de DORA. Estas pueden variar desde acciones de cumplimiento, como órdenes para cesar ciertas prácticas, hasta sanciones que podrían incluir restricciones en las actividades comerciales o incluso la revocación de licencias. El proceso legal también puede implicar investigaciones prolongadas y la posibilidad de litigios, drenando aún más recursos y desviando la atención de las actividades comerciales principales de una entidad.

El daño a la reputación de una organización, sin embargo, puede ser aún más perjudicial y duradero que las consecuencias financieras o legales. El incumplimiento que sugiere una falla en proteger los sistemas que procesan, almacenan y comparten información financiera sensible de los clientes puede erosionar la confianza y seguridad del consumidor, que son fundamentales para cualquier negocio, pero especialmente críticos en el sector financiero. La pérdida de confianza puede llevar a una disminución en la base de clientes a medida que los clientes existentes y potenciales se trasladan a competidores percibidos como más confiables o seguros. Además, el daño a la reputación puede afectar la posición de mercado de una empresa de servicios financieros, disminuyendo su ventaja competitiva y potencialmente impactando su precio de acciones y valoración general.

¿Quién Hace Cumplir el Cumplimiento de DORA?

La aplicación del cumplimiento de DORA recae bajo la jurisdicción de las autoridades competentes nacionales (NCAs) dentro de cada estado miembro de la UE. Estos organismos reguladores supervisan, evalúan y aseguran que las entidades financieras operen dentro de las estrictas directrices establecidas por DORA. Las Autoridades Europeas de Supervisión (ESAs), que comprenden la Autoridad Bancaria Europea (EBA), la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA) y la Autoridad Europea de Valores y Mercados (ESMA), juegan un papel fundamental en la configuración del marco regulatorio y guían a las NCAs en la aplicación.

Los poderes de aplicación de las NCAs pueden incluir la realización de auditorías, la exigencia de informes y la imposición de sanciones a las organizaciones no conformes. Estas medidas aseguran que las entidades financieras no solo entiendan “qué es DORA”, sino que también implementen rigurosamente sus estándares para proteger el sector financiero de la UE de las interrupciones digitales.

Mejores Prácticas para Demostrar el Cumplimiento de DORA

Para asegurar un cumplimiento exitoso con DORA, las organizaciones deben adoptar un enfoque holístico hacia la resiliencia operativa digital. Esto implica integrar los requisitos de DORA en la cultura organizacional y los procesos operativos. Establecer un equipo dedicado para supervisar el cumplimiento de DORA puede asegurar que las prácticas se apliquen y actualicen consistentemente. Invertir en programas de capacitación y concienciación sobre ciberseguridad para los empleados también puede reducir el riesgo de violaciones debido a errores humanos, fortaleciendo así la resiliencia general de la organización.

Involucrarse con proveedores de servicios TIC de terceros para evaluar y gestionar riesgos es otra mejor práctica. Las entidades deben realizar la debida diligencia sobre sus proveedores para asegurar que cumplan con los requisitos de DORA, particularmente en áreas como la protección de datos y la notificación de incidentes. Revisar y probar regularmente las medidas de resiliencia operativa digital, incluyendo el plan de respuesta a incidentes y las pruebas de resiliencia, puede ayudar a las organizaciones a prepararse y mitigar los impactos de las interrupciones.

Asegurando la Adopción y Éxito Generalizado de DORA

Para que DORA logre sus objetivos, la adopción generalizada y la implementación efectiva en todo el sector financiero son esenciales. Los reguladores juegan un papel clave en promover la comprensión y el cumplimiento de DORA a través de orientación, apoyo y acciones de aplicación. Pueden facilitar el intercambio de conocimientos y la colaboración entre los participantes de la industria, ayudando a difundir mejores prácticas y enfoques innovadores para la resiliencia operativa digital.

Construir un ecosistema de apoyo que fomente el diálogo entre entidades financieras, organismos reguladores, proveedores de tecnología y profesionales de ciberseguridad puede mejorar la capacidad colectiva para abordar los riesgos digitales. Las asociaciones público-privadas también pueden contribuir al desarrollo de estrategias integrales y efectivas para gestionar la resiliencia operativa digital, asegurando que la implementación de DORA sea tanto exitosa como sostenible.

Cómo Mantener el Cumplimiento de DORA

Los avances interminables en tecnología y cibercrimen desafían la efectividad y relevancia de DORA. Para mantenerse relevante y efectiva, DORA requiere enmiendas y actualizaciones periódicas, reflejando cambios en la tecnología, tácticas de cibercrimen y el panorama regulatorio global.

Un enfoque colaborativo que involucre a profesionales de varios sectores puede mejorar significativamente el impacto de DORA. Por ejemplo, involucrar a expertos en ciberseguridad con experiencia en identificar, analizar y mitigar amenazas cibernéticas es invaluable. Estos expertos aportan una comprensión profunda sobre la naturaleza de los riesgos cibernéticos y las tácticas, técnicas y procedimientos empleados por los adversarios cibernéticos. Incorporar a proveedores de tecnología en esta mezcla colaborativa es igualmente crítico. Estas entidades diseñan, desarrollan y actualizan el hardware y software que forman la columna vertebral de nuestra infraestructura digital. Al trabajar estrechamente con profesionales de ciberseguridad, los proveedores de tecnología pueden asegurar que sus productos no solo sean resilientes a las amenazas actuales, sino que también sean adaptables para contrarrestar vulnerabilidades futuras. Esta asociación permite el desarrollo de medidas de seguridad más robustas, protocolos de cifrado y herramientas de detección de amenazas, mejorando así la postura de seguridad general de las organizaciones.

Los organismos reguladores internacionales también juegan un papel crucial en este esfuerzo colaborativo. Las amenazas cibernéticas no están confinadas por fronteras nacionales, lo que hace que la cooperación internacional sea esencial para una estrategia de ciberseguridad integral. Estos organismos pueden establecer estándares y regulaciones que aseguren un enfoque unificado hacia la ciberseguridad en diferentes jurisdicciones. Al cooperar en prácticas y políticas de ciberseguridad, estas entidades internacionales pueden facilitar el intercambio de información, la respuesta rápida a amenazas y el establecimiento de protocolos comunes para la notificación y respuesta a incidentes.

Esta colaboración estratégica conduce a la identificación de nuevas vulnerabilidades y al desarrollo de medidas de ciberseguridad adaptativas que son esenciales para proteger las plataformas tecnológicas de las que dependen tanto las instituciones de servicios financieros. Y al fortalecer las defensas cibernéticas en la UE, estos esfuerzos contribuyen significativamente a la seguridad y resiliencia de la infraestructura financiera global.

Kiteworks Ayuda a las Instituciones de Servicios Financieros en la UE a Cumplir con DORA

La Ley de Resiliencia Operativa Digital (DORA) representa un paso significativo hacia adelante para asegurar la defensibilidad y confiabilidad del sector financiero de la UE frente a las amenazas cibernéticas y otras interrupciones digitales. Sin embargo, la efectividad de DORA depende de su capacidad para adaptarse a los paisajes tecnológicos y de ciberseguridad en constante cambio. Las organizaciones deben adoptar un enfoque proactivo e integrado para el cumplimiento, incorporando mejores prácticas para la resiliencia operativa digital en sus operaciones centrales, y la cooperación de grupos de interés como reguladores y expertos en ciberseguridad y tecnología. Todos estos esfuerzos pueden permitir que DORA logre su objetivo de fomentar un ecosistema financiero seguro, resiliente y confiable en la UE.

Con Kiteworks, las empresas utilizan Kiteworks para compartir información personal identificable confidencial e información de salud protegida (PII/PHI), registros de clientes, información financiera y otros contenidos sensibles con colegas, clientes o socios externos. Porque usan Kiteworks, saben que sus datos sensibles y valiosa propiedad intelectual permanecen confidenciales y se comparten en cumplimiento con regulaciones relevantes como GDPR, HIPAA, leyes de privacidad de EE. UU., y muchas otras.

Las opciones de implementación de Kiteworks incluyen en las instalaciones, alojadas, privadas, híbridas y FedRAMP en la nube privada virtual. Con Kiteworks: controla el acceso a contenido sensible; protégelo cuando se comparte externamente usando cifrado automatizado de extremo a extremo, autenticación multifactor y integraciones de infraestructura de seguridad; ve, rastrea e informa toda la actividad de archivos, es decir, quién envía qué a quién, cuándo y cómo. Finalmente, demuestra el cumplimiento con regulaciones y estándares como GDPR, HIPAA, CMMC, Cyber Essentials Plus, NIS2, y muchos más.

Para obtener más información sobre Kiteworks, programa una demostración personalizada hoy.

Volver al Glosario de Riesgo y Cumplimiento