¿Qué es el Reglamento DORA?
El Reglamento DORA es la denominación común del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativo a la resiliencia operativa digital del sector financiero. Este reglamento establece un marco unificado a nivel de la UE para la gestión del riesgo relacionado con las tecnologías de la información y la comunicación (TIC) en las entidades financieras. Según el Diario Oficial de la Unión Europea, la normativa entró en vigor el 16 de enero de 2023 y es de aplicación desde el 17 de enero de 2025.
El Reglamento DORA es directamente aplicable en todos los Estados miembros de la UE, incluida España. Su objetivo es garantizar que las entidades financieras puedan resistir, responder y recuperarse de las perturbaciones relacionadas con las TIC. Esto incluye ciberataques, fallos de sistemas, pérdida de datos, incidentes derivados de la externalización, incidentes operativos y otros eventos que puedan afectar a la continuidad, integridad, seguridad o disponibilidad de los servicios financieros.
El reglamento se aplica a un amplio abanico de entidades del sector financiero, entre las que se incluyen bancos, entidades de pago, entidades de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, empresas de seguros y reaseguros, determinados intermediarios de seguros, centros de negociación, depositarios centrales de valores, entidades de contrapartida central, sociedades gestoras, gestoras de fondos de inversión alternativa, agencias de calificación crediticia, proveedores de servicios de financiación participativa y otras entidades enumeradas en el Reglamento (UE) 2022/2554. Asimismo, introduce normas que afectan a los proveedores terceros de servicios TIC, especialmente a aquellos considerados críticos para el sector financiero.
¿Qué abarca el Reglamento DORA?
El Reglamento DORA se articula en torno a varios pilares fundamentales de la resiliencia operativa digital. El primero es la gestión del riesgo TIC. Las entidades financieras deben contar con una gobernanza interna, políticas, procedimientos y controles que les permitan identificar, proteger, detectar, responder y recuperarse de los riesgos TIC. Esto incluye responsabilidades a nivel del órgano de administración, procedimientos de gestión de incidentes, políticas de copias de seguridad, planes de continuidad del negocio y capacidades de recuperación ante desastres.
El segundo pilar es la gestión, clasificación y notificación de incidentes relacionados con las TIC. Las entidades financieras deben clasificar los incidentes TIC de carácter grave y, cuando así se requiera, notificarlos a las autoridades competentes. Las plantillas de notificación detalladas, los plazos y los criterios de clasificación se especifican con mayor detalle en las normas técnicas de regulación y de ejecución elaboradas por las Autoridades Europeas de Supervisión en el marco de DORA.
El tercer pilar es la realización de pruebas de resiliencia operativa digital. Las entidades deben someter a prueba sus sistemas, herramientas y procesos TIC para verificar su resiliencia y seguridad. En el caso de determinadas entidades financieras, DORA exige además la realización de pruebas de penetración avanzadas basadas en amenazas. Este requisito está vinculado al perfil de riesgo y a la relevancia sistémica de la entidad, tal como se especifica en el Reglamento (UE) 2022/2554 y en las normas técnicas correspondientes.
El cuarto pilar es la gestión del riesgo asociado a terceros proveedores de TIC. DORA exige a las entidades financieras gestionar los riesgos vinculados a la externalización, los servicios en la nube, los proveedores de software, los centros de datos y otros proveedores TIC. Los contratos con proveedores de servicios TIC deben incluir disposiciones específicas, entre ellas la descripción de los servicios, la ubicación del tratamiento de datos, los derechos de acceso y auditoría, los requisitos de seguridad, los derechos de resolución y las estrategias de salida.
El quinto pilar es el intercambio de información. DORA permite a las entidades financieras compartir información e inteligencia sobre ciberamenazas, siempre que dicho intercambio se realice conforme a la normativa aplicable, incluidas las normas en materia de protección de datos, competencia y confidencialidad.
¿Cuándo es útil el asesoramiento legal sobre DORA?
El asesoramiento legal puede resultar necesario cuando una entidad financiera evalúa si el Reglamento DORA le resulta aplicable, mapea sus dependencias TIC, revisa su gobernanza interna o prepara la documentación exigida por la normativa. Esto es especialmente relevante para las entidades reguladas que operan en los ámbitos bancario, de pagos, de servicios de inversión, seguros, fintech, criptoactivos, financiación participativa o infraestructuras de los mercados de capitales.
El asesoramiento también puede ser necesario a la hora de negociar o revisar contratos TIC. El Reglamento DORA tiene un impacto significativo en los acuerdos con proveedores de servicios en la nube, proveedores de software, empresas de externalización, proveedores de ciberseguridad y sociedades de servicios del grupo. Los contratos que resultaban aceptables antes de la entrada en vigor de DORA pueden requerir modificaciones para incorporar cláusulas obligatorias y mecanismos prácticos de auditoría, acceso, notificación, control de la subcontratación y gestión de la salida.
Los empresarios que prestan servicios TIC a entidades financieras también pueden necesitar conocer el alcance de DORA. Aunque no sean entidades financieras propiamente dichas, sus clientes pueden exigirles el cumplimiento contractual, obligaciones adicionales de notificación, obligaciones de seguridad, derechos de auditoría y evidencia de las medidas de resiliencia adoptadas. En algunos casos, los proveedores TIC pueden quedar sujetos al marco de supervisión de la UE para los proveedores terceros críticos de servicios TIC, previsto en el Reglamento (UE) 2022/2554.
Una revisión legal y de cumplimiento normativo realizada a tiempo puede ayudar a evitar lagunas regulatorias, disputas contractuales, interrupciones operativas, exposición a responsabilidad y pérdidas económicas. Esta evaluación temprana resulta especialmente importante cuando una entidad depende de estructuras complejas de externalización, servicios TIC transfronterizos, entornos en la nube, acuerdos informáticos a nivel de grupo o sistemas críticos que sustentan actividades financieras reguladas.
Asesoramiento legal en relación con el Reglamento DORA
El asesoramiento en materia de DORA puede incluir, en particular:
- evaluar si y cómo resulta aplicable el Reglamento DORA a una entidad o modelo de negocio concreto;
- revisar, desde una perspectiva legal, la gobernanza TIC, las políticas internas y los procedimientos de notificación;
- preparar o actualizar la documentación relativa a la gestión del riesgo TIC;
- revisar los contratos con proveedores terceros de servicios TIC, incluidos los acuerdos de externalización y de servicios en la nube;
- redactar cláusulas contractuales conformes con DORA, disposiciones de salida y mecanismos de auditoría;
- apoyar los procesos de notificación de incidentes y la comunicación con las autoridades competentes;
- asesorar a los proveedores TIC que colaboran con entidades financieras sujetas a DORA;
- coordinar los requisitos de DORA con el RGPD, las obligaciones regulatorias financieras, las normas de externalización y los requisitos de gobierno corporativo.
¿Necesita asesoramiento sobre el Reglamento DORA? Contáctenos.
Véase también
- Información financiera
- Derecho Mercantil
- Secretaría corporativa
- Reestructuración empresarial