Brubru
Intel·ligència de política de la UE
El Reglament (UE) 2022/2554 consolida els requisits de risc de TIC dispersos en CRD IV, MiFID II, Solvency II, PSD2, EMIR, CSDR i altres nou actes en un Reglament d'aplicació directa i un Single Rulebook únic. Cobreix aproximadament 22.000 entitats financeres de la UE i introdueix la primera supervisió a escala de la Unió de proveïdors crítics de núvol i programari de la resiliència del qual depèn el sistema financer.
Què és DORA, per què existeix i què no fa
Abans de DORA, els requisits de risc de TIC per a les entitats financeres estaven dispersos en almenys nou actes jurídics de la UE: CRD IV, MiFID II, Solvency II, UCITS, AIFMD, PSD2, EMIR, CSDR, el Reglament CRA i el Reglament de referència. Cada acte abordava el risc operatiu i de TIC de manera diferent, cosa que creava fragmentació regulatòria per als grups transfronterers i una protecció desigual entre subsectors.
DORA substitueix totes aquestes disposicions per un únic Reglament d'aplicació directa. Com a Reglament (no una Directiva), té efecte en tots els estats membres sense transposició nacional, creant un veritable Single Rulebook per a la resiliència operativa digital (considerants 9-14).
DORA és lex specialis respecte a NIS 2 (Directiva (UE) 2022/2555): quan DORA s'aplica a entitats financeres, les seves obligacions més específiques de risc de TIC i notificació d'incidents prevalen sobre NIS 2, mentre que les entitats financeres segueixen formant part de l'ecosistema NIS 2 per a la cooperació i l'aprenentatge intersectorials (considerant 16).
La Directiva (UE) 2022/2556 complementària modifica vuit Directives del sector financer (UCITS, Solvency II, AIFMD, CRD IV, BRRD, MiFID II, PSD2, IORP II) per alinear les seves disposicions de risc operatiu amb DORA i inserir una referència creuada. DORA modifica cinc Reglaments (Reg. CRA 1060/2009, EMIR 648/2012, MiFIR 600/2014, CSDR 909/2014, BMR 2016/1011) restringint o substituint les seves disposicions relatives a TIC.
Sense requisits de capital per al risc de TIC – s'allunya deliberadament de l'enfocament tradicional de «fixar una xifra de capital» per al risc operatiu (considerant 12). DORA és un instrument qualitatiu: protegir, detectar, contenir, recuperar, aprendre. El capital es manté en CRR i Solvency II.
Sense localització de dades – el considerant 82 és explícit: DORA no requereix que l'emmagatzematge o el tractament de dades es dugui a terme a la Unió, ni tan sols per als proveïdors tercers crítics de serveis de TIC.
Sense nous supervisors sectorials – DORA canalitza el compliment a través de les autoritats existents de CRD IV, MiFID II, Solvency II, PSD2, etc. (Art. 46).
L'article 1 del Reglament (UE) 2022/2554 estructura el Reglament entorn de cinc àrees bàsiques
La disposició més innovadora de DORA és independent dels cinc pilars. El Capítol V, Secció II (Arts. 31-44) crea la primera supervisió a escala de la UE de proveïdors de serveis no financers: empreses de núvol, programari, centres de dades i anàlisi de dades de la disponibilitat dels quals depèn el sistema financer. El supervisor principal (una de ABE, AEVM o AESPJ) pot emetre recomanacions vinculants i imposar pagaments de sancions diàries de fins a l'1% del volum de negoci mundial als proveïdors tercers crítics de serveis de TIC (CTPP) designats.
Les xifres principals del Reglament (UE) 2022/2554 i les seves mesures d'execució
Governança, identificació, protecció, detecció, resposta, recuperació, aprenentatge i comunicació
L'òrgan de direcció té la responsabilitat última del risc de TIC. Ha de definir, aprovar i supervisar el marc de gestió del risc de TIC, establir la tolerància al risc, aprovar la política de continuïtat de negoci de TIC més els plans de resposta i recuperació, assignar el pressupost de TIC, aprovar la política de tercers de TIC i mantenir-se format en risc de TIC (Art. 5(4)).
Les entitats financeres que no siguin microempreses han d'establir una funció dedicada per supervisar els acords amb tercers de TIC, o designar un membre de l'alta direcció responsable d'aquesta exposició (Art. 5(3)).
Ha de ser sòlid, complet i ben documentat. Revisat almenys anualment, més després de qualsevol incident greu relacionat amb les TIC o constatació supervisora. Sotmès a auditoria interna (Art. 6(6)). Ha d'incloure una estratègia de resiliència operativa digital (Art. 6(8)) que cobreixi la tolerància al risc, els objectius de seguretat, l'arquitectura de referència de TIC, els mecanismes de detecció, l'estat actual de resiliència, el pla de proves i l'estratègia de comunicació.
Les microempreses i les entitats petites o no interconnectades segueixen un marc simplificat (Art. 16) – els Articles 5-15 no s'apliquen; en canvi, un conjunt més senzill de vuit obligacions.
Art. 8 (identificació): Mapatge de totes les funcions empresarials recolzades per TIC, classificació de la informació i els actius de TIC, identificació de totes les dependències de tercers de TIC, avaluació del risc en cada canvi important, realització d'avaluacions anuals del risc de TIC dels sistemes llegats.
Art. 9 (protecció): Política de seguretat de la informació, gestió de xarxes i infraestructures, control d'accés, autenticació forta, criptografia, gestió de canvis de TIC i gestió de pegats. Les xarxes han de dissenyar-se per ser desconnectables o segmentables instantàniament per evitar el contagi.
Art. 10 (detecció): Mecanismes per detectar activitats anòmales, controls multicapa, llindars d'alerta, escalada automàtica.
Art. 11 (resposta i recuperació): Política de continuïtat de negoci de TIC, plans de resposta i recuperació, anàlisi d'impacte empresarial (BIA), capacitats redundants de TIC, proves almenys anuals incloent escenaris de ciberatac i commutació primari-a-redundant per a les entitats no microempreses, funció de gestió de crisi.
Art. 12 (còpia de seguretat): Sistemes de còpia de seguretat segregats física i lògicament dels sistemes de TIC font. Els DCVs han de mantenir almenys un lloc de processament secundari a una distància geogràfica del primari, amb capacitat de continuïtat total (Art. 12(5)).
Art. 13 (aprenentatge): Revisions posteriors a incidents, retroalimentació de lliçons apreses en el marc, programes de conscienciació en seguretat de TIC i formació en resiliència operativa digital com a mòduls obligatoris per al personal (Art. 13(6)) que cobreix tots els empleats i l'alta direcció.
Art. 14 (comunicació): Plans de comunicació de crisi per a la divulgació responsable d'incidents greus o vulnerabilitats. Almenys una persona responsable de la funció de comunicació pública i als mitjans.
Notificació en tres etapes, sis criteris de classificació i l'estudi de viabilitat del Hub de la UE
Sis criteris determinen si un incident es qualifica com a incident greu relacionat amb les TIC (que requereix notificació obligatòria) o una ciberamenaça significativa:
Notificació obligatòria d'incidents greus a l'autoritat competent (es designa una única autoritat nacional on l'entitat té múltiples supervisors). Tres etapes:
Les ciberamenaces significatives poden notificar-se voluntàriament. Els impactes transfronterers es canalitzen a través de ABE, AEVM o AESPJ als estats membres pertinents. Les entitats de crèdit significatives sota el MUS notifiquen a l'ANC, que transmet immediatament al BCE. Els llindars de materialitat, els terminis i les plantilles s'estableixen per RTS i ITS (Art. 20), presentats a la Comissió el 17 de juliol de 2024.
Art. 21: Les AES havien d'avaluar abans del 17 de gener de 2025 si és viable un Hub únic de la UE per a la notificació d'incidents greus relacionats amb les TIC, per racionalitzar la notificació entre les múltiples autoritats competents implicades.
Art. 23: Les entitats de crèdit, les entitats de pagament, els proveïdors de serveis d'informació sobre comptes i les entitats de diner electrònic notifiquen ara sota DORA els incidents operatius i de seguretat relacionats amb pagaments que anteriorment es notificaven sota l'article 96 de PSD2, independentment de si estan relacionats amb les TIC. DORA consolida i substitueix aquesta obligació de notificació de PSD2.
Proves bàsiques anuals, TLPT cada tres anys i alineació amb TIBER-EU
Un programa de proves complet com a part integrant del marc de gestió del risc de TIC. Basat en el risc i realitzat per parts independents (internes o externes). Ampli menú d'eines: avaluacions i anàlisis de vulnerabilitats, anàlisis de codi obert, avaluacions de seguretat de xarxes, anàlisis de bretxes, revisions de seguretat física, qüestionaris, programari d'exploració, revisions de codi font quan sigui factible, proves basades en escenaris, proves de compatibilitat, proves de rendiment, proves d'extrem a extrem i proves de penetració. Proves almenys anuals de tots els sistemes i aplicacions de TIC que donen suport a funcions crítiques o importants.
Els DCVs i les ECC han de realitzar avaluacions de vulnerabilitats abans de qualsevol desplegament o redespleguement de components d'aplicació o infraestructura nous o existents.
Les proves avançades basades en amenaces imiten les tàctiques, tècniques i procediments d'actors d'amenaces reals, oferint una prova controlada, a mida i basada en intel·ligència (equip vermell) dels sistemes de producció en viu crítics de l'entitat financera.
Els provadors TLPT han de demostrar: la màxima idoneïtat i reputació, experiència en intel·ligència sobre amenaces, proves de penetració i proves d'equip vermell, certificació per un organisme d'acreditació d'un estat membre o adherència a codis de conducta formals, garantia auditada sobre la gestió del risc i assegurança de responsabilitat professional que cobreixi la negligència en les activitats de proves.
Registre d'informació, risc de concentració, disposicions contractuals i estratègies de sortida
L'entitat financera en tot moment continua sent plenament responsable del compliment de DORA – l'externalització no transfereix les obligacions. Els artefactes obligatoris inclouen:
Anàlisi prèvia a la contractació: el contracte resultaria en dependència d'un tercer no fàcilment substituïble, o en múltiples contractes de funcions crítiques amb el mateix tercer o tercers estretament vinculats? Es requereix anàlisi de subcontractació especialment quan el subcontractista es troba en un país tercer, tenint en compte la legislació concursal d'aquell país, l'aplicació de la protecció de dades i la longitud i complexitat de les cadenes de subcontractació.
Tot contracte de serveis de TIC ha d'incloure com a mínim: descripció completa de funcions i serveis; ubicacions del tractament i emmagatzematge de dades; disposicions de disponibilitat, autenticitat, integritat i confidencialitat; accés a les dades, recuperació i retorn en cas d'insolvència o rescissió; descripcions del nivell de servei; assistència del tercer durant incidents de TIC; cooperació plena amb les autoritats competents i de resolució; drets de rescissió amb període de preavís mínim; condicions per a la participació del tercer en els programes de formació de l'entitat financera.
Per als serveis de TIC que donen suport a funcions crítiques o importants, addicionalment: objectius precisos quantitatius i qualitatius de rendiment de l'SLA; períodes de preavís sobre novetats que afectin materialment la prestació del servei; plans de contingència empresarial; participació en TLPT; drets il·limitats d'accés, inspecció i auditoria per part de l'entitat financera, l'autoritat competent i el supervisor principal; períodes de transició adequats en les estratègies de sortida. Les microempreses poden delegar els drets d'auditoria a un tercer independent designat pel tercer (Art. 30(3)).
La primera supervisió a escala de la UE de proveïdors de serveis no financers: núvol, programari, centres de dades i anàlisi de dades
Per primera vegada, la UE supervisa directament, a escala de la Unió, els proveïdors de núvol, programari, centres de dades i anàlisi de dades de la disponibilitat continuada dels quals depèn el sistema financer. Aquestes entitats no són empreses financeres i fins ara estaven fora del perímetre de la supervisió financera. DORA canvia això per als proveïdors tercers crítics de serveis de TIC (CTPP) designats.
Les tres AES, a través del seu Comitè Mixt, per recomanació del Fòrum de Supervisió (Art. 32), designen un proveïdor tercer de serveis de TIC com a crític basant-se en quatre criteris:
La llista de CTPP es publica anualment. Els TPP de TIC no designats automàticament poden adherir-se voluntàriament per sol·licitud (Art. 31(11)). Els CTPP de països tercers han d'establir una filial a la UE en un termini de 12 mesos des de la designació (Art. 31(12)) i poden continuar prestant serveis des de fora de la Unió, però la presència de supervisió a la UE és obligatòria.
Exclosos (Art. 31(8)): entitats financeres que presten serveis de TIC a altres entitats financeres, proveïdors ja sota supervisió del SEBC (TARGET, T2S, etc.), proveïdors intragrupals i proveïdors actius en un sol estat membre que serveixen entitats actives únicament en aquell estat membre.
Per a cada CTPP, el supervisor principal és l'AES (ABE, AEVM o AESPJ) responsable del subsector d'entitats financeres les entitats del qual conjuntament representen la major part dels actius totals entre totes les entitats financeres que utilitzen aquell CTPP. El supervisor principal és el punt de contacte principal per al CTPP i realitza l'avaluació de governança, gestió del risc de TIC, continuïtat de negoci, seguretat física, gestió d'incidents, portabilitat de dades, proves, auditories i estàndards.
El supervisor principal adopta un pla de supervisió individual anual per CTPP (Art. 33(4)); el CTPP pot presentar una declaració motivada en un termini de 15 dies naturals abans de l'adopció.
El supervisor principal pot exercir aquests poders fora de la Unió (Art. 36) si el CTPP hi consent i l'autoritat del país tercer pertinent no s'hi oposa, subjecte als acords de cooperació administrativa.
En un termini de 60 dies naturals, el CTPP notifica el compliment de la recomanació o proporciona una explicació motivada per no seguir-la. Si l'explicació és insuficient, el supervisor principal fa pública la no-conformitat.
Les autoritats competents, com a mesura d'últim recurs, després de notificació i consulta (voluntària) amb les autoritats de NIS 2, poden adoptar una decisió (Art. 42(6)) que requereixi a les entitats financeres la suspensió temporal, parcial o completa, de l'ús d'un servei prestat pel CTPP, o la rescissió dels acords contractuals pertinents, fins que s'abordin els riscos identificats.
Art. 43: Les despeses del supervisor principal es financen íntegrament amb les taxes dels CTPP, de manera proporcional al volum de negoci. L'import i el mecanisme de pagament s'estableixen per acte delegat (termini: 17 de juliol de 2024).
Art. 44: ABE, AEVM i AESPJ poden concloure acords administratius amb autoritats reguladores i supervisores de països tercers per compartir bones pràctiques sobre la revisió del risc TIC de tercers. Cada cinc anys s'elabora un informe confidencial per al PE, el Consell i la Comissió.
Intercanvi voluntari d'intel·ligència sobre ciberamenaces en comunitats de confiança
Les entitats financeres poden voluntàriament intercanviar informació i intel·ligència sobre ciberamenaces dins de comunitats de confiança. La intel·ligència que es pot compartir inclou: indicadors de compromís, tàctiques, tècniques i procediments, alertes, eines de configuració i informació sobre actors de ciberamenaces o campanyes.
Aquests acords han de regir-se per normes de conducta que respectin la confidencialitat empresarial, les normes de protecció de dades personals del RGPD i el dret de la competència de la UE (Art. 101 TFUE). La participació s'ha de notificar a l'autoritat competent. La Comissió i l'ENISA actuen com a observadors en aquestes comunitats quan sigui apropiat.
L'article 3 conté 65 definicions. Els sis conceptes fonamentals que estructuren la resta del Reglament:
Tres marcs de la UE que es superposen: com difereixen i interactuen
| Característica | DORA (Reg (UE) 2022/2554) | NIS 2 (Dir (UE) 2022/2555) | CRR (Reg (UE) 575/2013) |
|---|---|---|---|
| Tipus d'instrument | Reglament (aplicació directa) | Directiva (transposició nacional) | Reglament (aplicació directa) |
| Àmbit d'aplicació | 21 categories d'entitat financera + CTPP | Entitats essencials i importants en tots els sectors (ampli) | Entitats de crèdit i empreses d'inversió |
| Objectiu principal | Resiliència operativa: protegir, detectar, respondre, recuperar | Seguretat de xarxes i informació en tots els sectors crítics | Capital prudencial: absorbir pèrdues d'esdeveniments de risc operatiu |
| Enfocament TIC / ciber | Profund i prescriptiu (5 pilars + marc de supervisió) | Línia de base àmplia (gestió del risc + notificació d'incidents) | Mínim: només càrrec de capital per risc operatiu (BIA/AMA/SA) |
| Risc de tercers | Pilar dedicat + marc de supervisió CTPP a escala de la Unió | Mesures de seguretat de la cadena de subministrament (Art. 21(2)(d)) | No s'aborda específicament |
| Notificació d'incidents | En tres etapes a l'autoritat competent; incidents PSD2 integrats | Inicial i final al CSIRT en 24h / 1 mes | Dades de pèrdues per risc operatiu al regulador; sense règim específic de TIC |
| Proves | Bàsiques anuals + TLPT cada 3 anys per a entitats sistèmiques | No es prescriu amb el mateix detall | No es prescriu |
| Relació | Lex specialis per a entitats financeres vs NIS 2 (considerant 16) | Marc general; DORA preval per a entitats financeres | Complementari: coixí de capital prudencial; DORA gestiona la resiliència qualitativa |
De la Directiva NIS 1 a l'aplicació plena de DORA i més enllà
Termes fonamentals tal com s'utilitzen en el Reglament (UE) 2022/2554 i les seves mesures d'execució
Fonts primàries del Reglament (UE) 2022/2554 i la seva família
Text complet del Reglament (UE) 2022/2554 del 14 de desembre de 2022 (64 articles, 106 considerants, 9 capítols, 65 definicions):
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022R2554
Número CELEX: 32022R2554 | Referència DO: DO L 333/1 del 27 de desembre de 2022 (79 pàgines)
Directiva (UE) 2022/2556 que modifica 8 directives financeres per alinear-les amb DORA (UCITS, Solvency II, AIFMD, CRD IV, BRRD, MiFID II, PSD2, IORP II):
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2556
DORA i la Directiva DORA es van publicar conjuntament al DO L 333. El mateix número conté també la Directiva NIS 2:
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L:2022:333:TOC
Directiva (UE) 2022/2555 sobre mesures per a un nivell comú elevat de ciberseguretat a tota la Unió. DORA és lex specialis vs NIS 2 per a les entitats financeres (considerant 16):
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555
El marc d'equip vermell ètic basat en intel·ligència sobre amenaces del BCE, adoptat per DORA com a metodologia de referència per a TLPT (Art. 26):
https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html
L'Agència de la Unió Europea per a la Ciberseguretat (ENISA) actua com a observadora del Fòrum de Supervisió i publica intel·ligència sobre amenaces rellevant per a la implementació de DORA:
Estratègia de Finances Digitals de la Comissió (el paquet de polítiques en el qual es va proposar DORA):
Sis eines per analitzar, fer seguiment i treballar amb DORA i la legislació del sector financer de la UE
Prova gratuïta de 14 dies. Sense targeta.
Inicia la prova gratuïta