Introducción a DORA
Los ciberdelincuentes están atacando a las instituciones financieras con más fuerza que nunca, y las ciberamenazas aumentan a un ritmo alarmante. Según IBM , en 2023, el coste medio de una filtración de datos en el sector financiero fue de 5,9 millones de dólares, cifra que se disparó a 6,9 millones en 2024. Además, un informe publicado por Trend Micro reveló que el sector bancario se situó como el número uno en ataques de ransomware detectados en 2023. A medida que las instituciones financieras se interconectan más y dependen cada vez más de la infraestructura digital, los riesgos siguen creciendo. Este panorama de amenazas en constante evolución dejó claro que es esencial un enfoque más sólido y estandarizado de la ciberseguridad y la resiliencia operativa. Por ello se introdujo DORA.
La Ley de Resiliencia Operativa Digital (DORA) es un reglamento de la Unión Europea diseñado para fortalecer la resiliencia operativa y el cumplimiento normativo de las instituciones financieras frente a los riesgos de las Tecnologías de la Información y la Comunicación (TIC). Las instituciones financieras dependen en gran medida de los sistemas TIC para su infraestructura digital, redes y gestión de datos. Sin embargo, si estos sistemas no se gestionan eficazmente, pueden convertirse en puntos de entrada vulnerables para ciberamenazas, fallos operativos y riesgos de terceros. Una brecha de seguridad o una interrupción operativa podrían exponer datos confidenciales, interrumpir servicios críticos y, en última instancia, poner en peligro la estabilidad financiera.
Para evitarlo, DORA establece un marco integral para la gestión, mitigación y reporte de incidentes relacionados con las TIC. Este marco garantiza que las instituciones financieras no solo cumplan con los requisitos regulatorios, sino que también estén bien equipadas para resistir, responder y recuperarse de las ciberamenazas y las interrupciones operativas.
DORA proporciona reglas claras y consistentes para la resiliencia operativa en toda la UE, centrándose principalmente en:
- Mitigar los riesgos que plantean las crecientes vulnerabilidades debido a la creciente interconectividad dentro del sector financiero.
- Garantizar que las dependencias de proveedores de servicios externos se gestionen de manera eficaz, salvaguardando la estabilidad y la seguridad de las operaciones financieras.
- Abordar los nuevos riesgos que surgen del creciente uso de servicios financieros digitales.
- Establecer un marco de supervisión unificado en toda la UE para garantizar una supervisión consistente y resiliencia dentro del sector financiero.
¿Quién debe cumplir con DORA?
DORA se aplica a una amplia gama de entidades financieras, incluidos bancos, compañías de seguros, empresas de inversión, proveedores de servicios de pago, proveedores de servicios de criptoactivos y proveedores de servicios de TIC que respaldan a estas instituciones financieras.
A partir de enero de 2025, el artículo 2 del reglamento DORA especifica las siguientes 21 categorías de entidades incluidas en su ámbito de aplicación:
- Instituciones de crédito
- Entidades de pago, incluidas aquellas exentas en virtud de la Directiva (UE) 2015/2366
- Proveedores de servicios de información de cuentas
- Todas las instituciones de dinero electrónico
- Empresas de inversion
- Proveedores de servicios de criptoactivos
- Depósitos centrales de valores
- Contrapartes centrales
- lugares de negociación
- Repositorios comerciales
- Gestores de fondos de inversión alternativos
- Empresas gestoras
- Proveedores de servicios de informes de datos
- Empresas de seguros y reaseguros
- Intermediarios de seguros, intermediarios de reaseguros e intermediarios de seguros auxiliares
- Instituciones de Previsión para la Jubilación Ocupacional
- Agencias de calificación crediticia
- Administradores de puntos de referencia críticos
- Proveedores de servicios de financiación colectiva
- Repositorios de titulización
- Proveedores de servicios TIC de terceros
Cabe destacar que el alcance de DORA se extiende más allá de las entidades financieras tradicionales para incluir a proveedores externos de servicios de Tecnologías de la Información y la Comunicación (TIC). Se trata de empresas que ofrecen servicios digitales a instituciones financieras, como proveedores de servicios en la nube, proveedores de software, empresas de análisis de datos y proveedores de servicios gestionados. La inclusión de estos proveedores de servicios pone de relieve el papel crucial que desempeñan en la infraestructura del sector financiero y los riesgos que conlleva la dependencia de ellos.
De acuerdo con DORA, los proveedores de servicios TIC de terceros deben:
- Cooperar con entidades financieras para realizar pruebas periódicas de resiliencia.
- Notificar a las entidades financieras sobre cualquier incidente o interrupción relacionada con las TIC.
- Mantener planes de continuidad del negocio para garantizar la prestación del servicio durante eventos imprevistos.
- Cumplir con los requisitos de privacidad y confidencialidad de la UE para proteger datos confidenciales.
Al abarcar tanto a las instituciones financieras como a sus proveedores de servicios TIC críticos, DORA pretende crear un enfoque sólido y unificado para la resiliencia operativa en todo el sector financiero de la UE.
Cronología de DORA
La DORA se propuso por primera vez el 24 de septiembre de 2020 y posteriormente fue aprobada por el Parlamento Europeo y el Consejo el 24 de noviembre de 2022. Se publicó oficialmente en el Diario Oficial de la UE el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Las entidades financieras y los proveedores de servicios externos tuvieron dos años para familiarizarse con los requisitos de la DORA y lograr su cumplimiento antes de que comenzara su plena aplicación el 17 de enero de 2025.
Ahora que ha pasado la fecha límite, las organizaciones deben asegurarse de cumplir plenamente con los requisitos de DORA, realizar pruebas de resiliencia periódicas y monitorear continuamente sus marcos de gestión de riesgos de TIC para evitar sanciones e interrupciones operativas.
Pilares fundamentales de DORA
DORA se basa en cinco pilares clave que fortalecen la resiliencia digital de las instituciones financieras, y son:
Gestión de riesgos TIC
Como se describe en el Capítulo II, la Gestión de Riesgos de las TIC es un pilar fundamental de DORA. Garantiza que las entidades financieras adopten un enfoque estructurado y proactivo para identificar, evaluar y mitigar los riesgos tecnológicos. Mediante la implementación de un monitoreo continuo, evaluaciones de riesgos oportunas y estrategias de respuesta adaptativas, DORA mejora la resiliencia frente a las ciberamenazas y las interrupciones operativas.
Las instituciones financieras deben implementar las siguientes medidas para mejorar la gestión de riesgos de las TIC:
- Crear un equipo dedicado a la gestión de riesgos de las TIC para supervisar los riesgos, monitorear a los proveedores de servicios, documentar la exposición a los riesgos y evaluar periódicamente las dependencias relacionadas con las TIC.
- Implementar detección de amenazas en tiempo real, planificación de continuidad y medidas de recuperación para garantizar una respuesta rápida a incidentes.
- Fortalecer la resiliencia digital identificando vulnerabilidades y amenazas cibernéticas, revisando incidentes pasados para determinar las causas fundamentales e implementando las mejoras necesarias.
- Contar con un plan de comunicación de crisis estructurado para garantizar una coordinación interna clara y notificaciones externas oportunas en caso de interrupciones.
Informes de incidentes relacionados con las TIC
El capítulo III, Gestión, clasificación y reporte de incidentes relacionados con las TIC, establece un enfoque estandarizado para detectar, clasificar y reportar incidentes de TIC, asegurando que las instituciones financieras se mantengan a la vanguardia de las amenazas potenciales.
Bajo DORA, las entidades financieras necesitan procesos estructurados para rastrear incidentes, evaluar su impacto y notificar a las personas adecuadas, tanto interna como externamente. Internamente, esto implica identificar rápidamente los problemas y mantener informados a todos los equipos relevantes. Externamente, implica informar oportunamente a los reguladores y, en casos como las filtraciones de datos, notificar a los clientes afectados.
Para cumplir con DORA, las instituciones financieras deben adherirse a las siguientes pautas:
- Establecer un proceso estructurado para detectar, gestionar y reportar incidentes de TIC, incluyendo el registro de todos los incidentes de TIC y las principales amenazas cibernéticas para su seguimiento y análisis futuro.
- Investigue y clasifique los incidentes según su gravedad, considerando los clientes afectados, las interrupciones del servicio, la pérdida de datos, el tiempo de inactividad y el impacto financiero. Documente las causas raíz, tome medidas correctivas para evitar que se repitan y mantenga sistemas de alerta temprana y planes de respuesta para limitar los daños y garantizar una recuperación rápida.
- Informar a las autoridades reguladoras sobre incidentes graves de TIC cuando interrumpan operaciones críticas o planteen riesgos de seguridad.
Pruebas de resiliencia operativa digital
DORA exige que las instituciones financieras prueben periódicamente sus marcos de gestión de riesgos de TIC para evaluar su capacidad de resistir ciberamenazas e interrupciones operativas. De acuerdo con el Capítulo IV, Pruebas de Resiliencia Operativa Digital, las entidades financieras deben realizar pruebas periódicas basadas en riesgos, incluyendo evaluaciones de vulnerabilidades y pruebas basadas en escenarios, para identificar debilidades e implementar medidas correctivas. Estas pruebas deben ser realizadas por entidades independientes, internas o externas.
Para fortalecer la resiliencia digital, las instituciones financieras deben tomar las siguientes acciones:
- Contar con un programa de pruebas de resiliencia estructurado y basado en riesgos como parte de su marco de gestión de riesgos de TIC para evaluar la preparación ante incidentes de TIC, identificar debilidades y garantizar acciones correctivas oportunas.
- Establecer procedimientos claros para priorizar y abordar los problemas, con validación interna para realizar un seguimiento de los esfuerzos de remediación.
- Realizar pruebas de resiliencia para sistemas TIC críticos anualmente y, para organizaciones de alto riesgo, realizar pruebas de penetración basadas en amenazas avanzadas (TLPT) al menos cada tres años, según lo exijan los reguladores.
Gestión de riesgos de terceros en las TIC
La DORA impone requisitos estrictos a las instituciones financieras para gestionar los riesgos asociados con los proveedores de servicios de TIC. El Capítulo V se centra específicamente en la gestión de riesgos de terceros relacionados con las TIC. Garantiza que las entidades financieras evalúen exhaustivamente a los proveedores externos antes de firmar contratos, asegurándose de que cumplan con las normas de seguridad y normativas. Los contratos deben definir claramente el alcance del servicio, las expectativas de calidad, los requisitos de supervisión y las cláusulas de rescisión.
Para cumplir con DORA, las instituciones financieras deben implementar las siguientes medidas:
- Desarrollar una estrategia clara de gestión de riesgos de proveedores y mantener un registro de todos los proveedores de TIC, documentando sus roles en funciones críticas o importantes para la revisión regulatoria.
- Informar anualmente a los reguladores sobre los nuevos acuerdos de servicios de TIC y proporcionar aviso previo para los contratos que involucran servicios críticos.
- Adoptar un enfoque basado en riesgos para las auditorías, inspecciones y monitoreo de los proveedores de TIC.
- Evaluar la dificultad de reemplazar a los proveedores de TIC, explorar otras alternativas antes de firmar contratos y evaluar los riesgos relacionados con la insolvencia del proveedor o las regulaciones de protección de datos.
Intercambio de información e inteligencia
El Capítulo VI promueve el intercambio de información e inteligencia sobre amenazas entre la comunidad financiera de la UE. Al fomentar la colaboración, las instituciones financieras pueden mejorar la concienciación, reforzar la detección de amenazas y desarrollar estrategias de defensa más eficaces contra los riesgos cibernéticos.
Para garantizar un intercambio de información seguro y eficaz, las instituciones financieras deben adherirse a las siguientes pautas:
- Facilitar el intercambio de inteligencia sobre amenazas para mejorar la conciencia, limitar las amenazas cibernéticas y mejorar las estrategias de detección y respuesta.
- Participe en comunidades seguras y confiables de instituciones financieras para el intercambio de inteligencia cibernética.
- Todos los intercambios deben seguir estrictas reglas de confidencialidad, protección de datos y competencia para salvaguardar la información comercial confidencial.
- Establecer acuerdos formales que describan los términos de participación, incluida la participación de las autoridades y los proveedores externos de TIC.
- Notificar a los reguladores sobre su participación en dichos acuerdos.
En conjunto, estos cinco pilares crean una base sólida para que las instituciones financieras gestionen los riesgos de las TIC, garantizando así la resiliencia ante las ciberamenazas y las interrupciones operativas. Al priorizar la gestión proactiva de riesgos, las pruebas continuas y la colaboración segura, DORA mejora la capacidad del sector financiero para proteger las operaciones críticas y mantener el cumplimiento normativo.
El papel de la criptografía en DORA
La criptografía desempeña un papel fundamental en la Ley de Resiliencia Operativa Digital (DORA) al proteger la infraestructura digital, los datos y los sistemas de comunicación de las instituciones financieras. A medida que el sector financiero se vuelve más dependiente de las Tecnologías de la Información y la Comunicación (TIC), es fundamental destacar la importancia de las medidas criptográficas para garantizar la confidencialidad, integridad y disponibilidad de datos críticos. La DORA describe obligaciones específicas relacionadas con los controles criptográficos para mitigar los riesgos asociados con las amenazas a la ciberseguridad y las interrupciones operativas.
Artículo 6 – Cifrado y controles criptográficos
La DORA exige que las instituciones financieras establezcan una política formal de cifrado y controles criptográficos para proteger los datos financieros y de los clientes. Esto incluye:
- Artículo 6.2(a) – Cifrado de datos en reposo y en tránsito para evitar el acceso no autorizado.
- Artículo 6.2(b) – Normas para el cifrado de los datos en uso, cuando sea necesario. De no ser posible, los datos en uso se tratarán en un entorno separado y protegido o con medidas equivalentes para garantizar la confidencialidad, integridad, autenticidad y disponibilidad.
- Artículo 6.2(c) – Cifrado de conexiones de red internas y comunicaciones externas para asegurar intercambios de datos sensibles.
- Artículo 6.2(d) – Gestión sólida de claves criptográficas para regular el uso, almacenamiento y ciclo de vida de las claves criptográficas (en referencia al Artículo 7).
- Artículo 6.4 – Actualizaciones periódicas de la tecnología criptográfica para garantizar la resiliencia frente a las ciberamenazas en evolución.
Artículo 7 – Gestión de claves criptográficas
La gestión adecuada de las claves criptográficas es fundamental para prevenir el acceso no autorizado, las filtraciones de datos y los riesgos operativos. DORA exige a las instituciones financieras:
- Artículo 7.1 – Gestionar las claves criptográficas durante todo su ciclo de vida, incluyendo generación, renovación, almacenamiento, respaldo, transmisión y destrucción.
- Artículo 7.2 – Implementar controles de acceso estrictos para proteger las claves criptográficas del acceso no autorizado, modificación o pérdida durante todo su ciclo de vida.
- Artículo 7.3 – Desarrollar mecanismos de reemplazo de claves en caso de compromiso o daño.
- Artículo 7.4 – Mantener un registro de todos los datos criptográficos certificados y dispositivos de almacenamiento de certificados para activos TIC críticos.
- Artículo 7.5 – Garantizar la renovación oportuna de los certificados criptográficos para mantener la seguridad.
Artículo 9 – Autenticación segura y controles de acceso
DORA refuerza la necesidad de métodos de autenticación seguros y acceso controlado a los activos TIC mediante medidas de seguridad criptográfica. Las instituciones financieras deben:
- Artículo 9.4(a) – Desarrollar una política de seguridad de la información para salvaguardar la autenticidad, integridad y confidencialidad de los datos.
- Artículo 9.4(c) – Aplicar controles de acceso estrictos, limitando el acceso físico y lógico a los activos de información y de TIC únicamente a los usuarios autorizados.
- Artículo 9.4(d) – Implementar mecanismos de autenticación fuertes basados en estándares reconocidos, incluida la protección de claves criptográficas.
El costo del incumplimiento
El incumplimiento de la DORA no es solo un problema regulatorio, sino que conlleva graves riesgos financieros y de reputación. Las instituciones financieras y los proveedores de servicios externos (TPSP) que no cumplan con los requisitos de la DORA pueden enfrentarse a fuertes multas y otras sanciones.
Esto es lo que podría significar el incumplimiento:
Para entidades financieras:
- Multas de hasta el dos por ciento del volumen de negocio total anual mundial o del volumen de negocio medio diario mundial.
- Las personas que no cumplan esta norma podrían ser multadas con hasta 1,000,000 millón de euros.
Para proveedores de servicios externos (TPSP):
- Los TPSP críticos pueden enfrentarse a multas de hasta 5,000,000 €.
- Las personas que trabajen en estos proveedores podrán ser multadas con hasta 500,000 euros.
- Si una entidad financiera no informa sobre un incidente o amenaza importante relacionado con las TIC, las ESA también pueden imponer una multa.
Las organizaciones que no cumplen con los requisitos de DORA no solo enfrentan sanciones importantes, sino que también corren el riesgo de dañar su reputación y perder la confianza de los clientes.
¿Quién supervisará el cumplimiento de DORA?
Diversos organismos reguladores de la UE velarán por el cumplimiento de la DORA. Las Autoridades Nacionales Competentes (ANC) de cada Estado miembro de la UE desempeñarán un papel clave en la supervisión del cumplimiento a nivel local.
A nivel europeo, participarán tres grandes agencias reguladoras:
- Autoridad Bancaria Europea (ABE)
- Europea de Valores y Mercados (ESMA)
- Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA)
Estos reguladores tendrán la autoridad para supervisar y hacer cumplir la DORA, garantizando que las entidades financieras cumplan con las obligaciones de resiliencia requeridas. Podrán realizar auditorías e inspecciones para evaluar el cumplimiento, imponer multas y sanciones a las organizaciones que incumplan y supervisar directamente a los proveedores externos de servicios de TIC para garantizar que implementen las medidas necesarias de gestión de riesgos, seguridad y resiliencia operativa, según lo exige la DORA.
¿Cómo puede ayudar la CE?
En Encryption Consulting (EC), nos especializamos en brindar evaluaciones de cifrado personalizadas para ayudar a las organizaciones a cumplir con los requisitos normativos como DORA, HIPAA y GDPR , así como con los estándares de la industria como NIST y PCI-DSS . Nuestro proceso comienza con la evaluación de su infraestructura actual según los estándares establecidos, lo que nos permite identificar cualquier deficiencia en sus medidas de seguridad. A partir de ahí, proporcionamos una hoja de ruta que describe los pasos necesarios para lograr el cumplimiento de manera efectiva. Así es como podemos ayudarle:
Comenzamos con una revisión de sus políticas actuales. Esto implica identificar sus capacidades de cifrado y comprender las limitaciones de sus sistemas. También analizamos su configuración de seguridad general para asegurarnos de tener una visión completa de su entorno, considerando los diversos casos de uso relevantes para su organización.
A continuación, analizamos las deficiencias de sus políticas actuales . Esto incluye identificar las diferencias entre sus políticas existentes y los estándares del sector para garantizar el cumplimiento de los requisitos de seguridad y normativas. También realizamos talleres para facilitar el debate sobre sus aplicaciones actuales, fomentando la colaboración entre los miembros del equipo y la obtención de información valiosa. Además, creamos un cuestionario de evaluación diseñado para recopilar información importante sobre sus prácticas de cifrado. Mediante esta evaluación, identificamos las capacidades de cifrado de datos existentes y señalamos áreas específicas de mejora.
Una vez finalizada la evaluación, pasamos a la fase de implementación con una hoja de ruta detallada. Proporcionamos un informe completo que resume nuestros hallazgos y recomendaciones para cada uno de ellos. Este informe sirve como guía fundamental para implementar las mejoras de cifrado necesarias. Nuestra hoja de ruta alinea sus procesos con los estándares del sector, refuerza la seguridad de los datos y garantiza el cumplimiento normativo.
Al elegir nuestros servicios de evaluación de cifrado, usted toma una medida proactiva para fortalecer el cumplimiento de su organización con las normas pertinentes. Le guiamos en el proceso, garantizando que sus estrategias sean eficaces y estén alineadas con sus objetivos comerciales.
Conclusión
La resiliencia operativa digital ya no es una opción; se ha convertido en una necesidad, y por eso se introdujo DORA. Establece un marco claro para gestionar los riesgos de las TIC, optimizar la respuesta a incidentes y proteger las dependencias de terceros. Una gestión eficaz de los riesgos de las TIC, la respuesta proactiva a incidentes y las rigurosas pruebas de resiliencia no se limitan al cumplimiento normativo, sino que son esenciales para mantener la estabilidad en un mundo cada vez más digital. Al integrar los principios de DORA en sus operaciones diarias, las empresas pueden fortalecer sus defensas, proteger la confianza de los clientes y anticiparse a las amenazas en constante evolución.
