DORA: el primer reglamento de ciberseguridad horizontal de la UE para las finanzas

Antes de DORA, los requisitos de riesgo de TIC para entidades financieras estaban dispersos en al menos nueve actos jurídicos diferentes de la UE: CRD IV, MiFID II, Solvencia II, UCITS, AIFMD, PSD2, EMIR, CSDR, el Reglamento sobre agencias de calificación crediticia y el Reglamento sobre índices de referencia. Cada acto abordaba el riesgo operacional y de TIC de manera diferente, creando fragmentación normativa para grupos transfronterizos y protección desigual entre subsectores.

DORA reemplaza todas esas disposiciones con un único Reglamento directamente aplicable. Como Reglamento (no una Directiva), entra en vigor en cada Estado miembro sin transposición nacional, creando un verdadero Marco Único para la resiliencia operativa digital (considerandos 9-14).

DORA es lex specialis respecto a NIS 2 (Directiva (UE) 2022/2555): cuando DORA se aplica a entidades financieras, sus obligaciones más específicas en materia de riesgo de TIC e información de incidentes prevalecen sobre NIS 2, mientras que las entidades financieras siguen siendo parte del ecosistema NIS 2 para la cooperación intersectorial y el aprendizaje (considerando 16).

La Directiva (UE) 2022/2556 complementaria modifica ocho Directivas del sector financiero (UCITS, Solvencia II, AIFMD, CRD IV, BRRD, MiFID II, PSD2, IORP II) para alinear sus disposiciones sobre riesgo operacional con DORA e incluir una referencia cruzada a la misma. El propio DORA modifica cinco Reglamentos (Reglamento sobre agencias de calificación 1060/2009, EMIR 648/2012, MiFIR 600/2014, CSDR 909/2014, BMR 2016/1011) reduciendo o reemplazando sus disposiciones relacionadas con TIC.

El órgano de administración tiene la responsabilidad última del riesgo de TIC. Debe definir, aprobar y supervisar el marco de gestión del riesgo de TIC, establecer la tolerancia al riesgo, aprobar la política de continuidad del negocio de TIC más los planes de respuesta y recuperación, asignar el presupuesto de TIC, aprobar la política de terceros de TIC y mantenerse capacitado en riesgo de TIC (Art 5(4)).

Las entidades financieras distintas de las microempresas deben establecer un puesto dedicado para supervisar los arreglos de terceros de TIC, o designar un miembro de la gerencia senior responsable de esa exposición (Art 5(3)).

Debe ser sólido, completo y bien documentado. Revisado al menos anualmente, además de después de cada incidente importante relacionado con TIC o hallazgo de supervisión. Sujeto a auditoría interna (Art 6(6)). Debe incluir una estrategia de resiliencia operativa digital (Art 6(8)) que cubra tolerancia al riesgo, objetivos de seguridad, arquitectura de referencia de TIC, mecanismos de detección, estado actual de resiliencia, plan de pruebas y estrategia de comunicación.

Las microempresas y entidades pequeñas o no interconectadas siguen un marco simplificado (Art 16) - los Artículos 5-15 no se aplican; en su lugar, un conjunto más reducido de ocho obligaciones.

Art 8 (identificación): Mapear todas las funciones empresariales soportadas por TIC, clasificar información y activos de TIC, identificar todas las dependencias de terceros de TIC, ejecutar evaluación de riesgo en cada cambio importante, conducir evaluaciones anuales de riesgo de TIC en sistemas heredados.

Art 9 (protección): Política de seguridad de la información, gestión de red e infraestructura, control de acceso, autenticación fuerte, criptografía, gestión de cambios de TIC y gestión de parches. Las redes deben estar diseñadas para ser instantáneamente separables o segmentables para prevenir contagio.

Art 10 (detección): Mecanismos para detectar actividades anómalas, controles multicapa, umbrales de alerta, escalada automática.

Art 11 (respuesta y recuperación): Política de continuidad del negocio de TIC, planes de respuesta y recuperación, análisis del impacto en el negocio (BIA), capacidades redundantes de TIC, pruebas al menos anuales incluyendo escenarios de ciberataque e intercambios de capacidad primaria a redundante para no microempresas, función de gestión de crisis.

Art 12 (copias de seguridad): Sistemas de respaldo segregados física y lógicamente de sistemas de TIC de origen. Los depósitos de valores deben mantener al menos un sitio de procesamiento secundario a distancia geográfica del primario, con capacidad de continuidad total (Art 12(5)).

Art 13 (aprendizaje): Revisiones posteriores a incidentes, retroalimentación de lecciones aprendidas en el marco, programas obligatorios de conciencia de seguridad de TIC y capacitación en resiliencia operativa digital para todo el personal (Art 13(6)) cubriendo todos los empleados y gerencia senior.

Art 14 (comunicación): Planes de comunicación de crisis para divulgación responsable de incidentes importantes o vulnerabilidades. Al menos una persona responsable de la función de comunicación pública y mediática.

Seis criterios determinan si un incidente califica como un incidente importante relacionado con TIC (que requiere notificación obligatoria) o una ciberamenaza significativa:

• Número o relevancia de clientes o contrapartes financieras afectadas; transacciones afectadas; impacto reputacional
• Duración e inactividad del servicio
• Difusión geográfica, especialmente si afecta a más de dos Estados miembros
• Pérdidas de datos (que afecten disponibilidad, autenticidad, integridad o confidencialidad)
• Criticidad de servicios afectados, incluyendo funciones críticas o importantes
• Impacto económico: directo e indirecto, absoluto y relativo

Notificación obligatoria de incidentes importantes a la autoridad competente (se designa una única autoridad nacional cuando la entidad tiene múltiples supervisores). Tres etapas:

• Notificación inicial - tan pronto como se cumplan los umbrales de materialidad
• Informe(s) intermedio(s) - cada vez que el estado cambia significativamente
• Informe final - después del análisis de causa raíz, con cifras de impacto reales

Las ciberamenazas significativas pueden notificarse voluntariamente. Los impactos transfronterizos fluyen a través de EBA, ESMA o EIOPA a los Estados miembros relevantes. Las instituciones de crédito significativas bajo el MSU informan al NCA, que inmediatamente transmite al BCE. Los umbrales de materialidad, límites de tiempo y plantillas se establecen mediante RTS e ITS (Art 20), presentados a la Comisión antes del 17 de julio de 2024.

Art 21: Las ESAs fueron requeridas para evaluar antes del 17 de enero de 2025 si es viable un único Centro de la UE para la notificación de incidentes importantes relacionados con TIC - para simplificar la notificación entre las múltiples autoridades competentes actualmente implicadas.

Art 23: Las instituciones de crédito, instituciones de pago, proveedores de servicios de información sobre cuentas e instituciones de dinero electrónico ahora notifican incidentes operacionales y de seguridad relacionados con pagos bajo DORA que fueron notificados previamente bajo el Artículo 96 de PSD2 - independientemente de si están relacionados con TIC. DORA consolida y reemplaza esa obligación de notificación de PSD2.

Un programa de pruebas completo como parte integral del marco de gestión del riesgo de TIC. Basado en riesgos y realizado por partes independientes (internas o externas). Menú amplio de herramientas: evaluaciones de vulnerabilidad y escaneos, análisis de código abierto, evaluaciones de seguridad de red, análisis de brechas, revisiones de seguridad física, cuestionarios, software de escaneo, revisiones de código fuente donde sea viable, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento, pruebas de extremo a extremo y pruebas de penetración. Al menos pruebas anuales en todos los sistemas de TIC y aplicaciones que soportan funciones críticas o importantes.

Los depósitos de valores y contrapartes centrales deben realizar evaluaciones de vulnerabilidad antes de cualquier despliegue o redespliegue de aplicaciones e infraestructura nuevas o existentes.

Pruebas avanzadas basadas en amenazas imitan las tácticas, técnicas y procedimientos de actores de amenaza de la vida real, ofreciendo una prueba controlada, personalizada e inteligente (equipo rojo) de los sistemas de producción críticos en vivo de la entidad financiera.

• Realizadas al menos cada 3 años (la frecuencia puede ser ajustada por la autoridad competente)
• Requerida solo de entidades financieras identificadas por la autoridad competente basándose en: impacto en el sector financiero, posibles preocupaciones de estabilidad financiera incluyendo carácter sistémico, perfil de riesgo de TIC y madurez de TIC
• Debe cubrir varias o todas las funciones críticas o importantes
• TLPT agrupado permitido (Art 26(4)) donde la participación de terceros de TIC podría afectar negativamente a otros clientes
• Probadores internos permitidos con aprobación supervisora previa, sin conflicto de interés, rotación periódica (probadores externos requeridos cada tres pruebas - Art 26(8))
• Instituciones de crédito significativas bajo el MSU: solo probadores externos
• Atestación proporcionada por la autoridad para reconocimiento mutuo en toda la UE; la entidad financiera retiene responsabilidad total
• Alineada con el marco TIBER-EU (BCE)

Los probadores de TLPT deben demostrar: máxima adecuación y reputabilidad, experiencia en inteligencia de amenazas, pruebas de penetración y pruebas de equipo rojo, certificación por un organismo de acreditación de un Estado miembro o adhesión a códigos de conducta formales, aseguramiento auditado en gestión de riesgos, y seguro de responsabilidad civil profesional que cubra negligencia en actividades de pruebas.

La entidad financiera en todo momento sigue siendo plenamente responsable del cumplimiento de DORA - la externalización no transfiere obligaciones. Los artefactos obligatorios incluyen:

• Estrategia de riesgo de terceros de TIC, revisada regularmente por el órgano de administración
• Registro de información de todos los arreglos contractuales sobre el uso de servicios de TIC, distinguiendo aquellos que soportan funciones críticas o importantes de los que no; reportable anualmente a la autoridad competente (Art 28(3))
• Diligencia debida previa a la contratación: evaluación de criticidad, condiciones supervisoras, análisis de riesgo de concentración de TIC, diligencia debida del proveedor prospectivo, evaluación de conflictos de interés (Art 28(4))
• Disparadores de terminación (Art 28(7)): incumplimiento significativo por el tercero, cambios materiales que afecten el rendimiento, debilidades de gestión de riesgo de TIC evidenciadas, incapacidad de la autoridad competente para supervisar efectivamente a la entidad financiera
• Estrategias de salida para servicios de TIC que soportan funciones críticas o importantes (Art 28(8)) - completas, documentadas, suficientemente probadas

Análisis previo a la contratación: ¿resultaría el contrato en dependencia de un proveedor tercero que no es fácilmente sustituible, o en múltiples contratos de funciones críticas con el mismo proveedor o proveedores terceros estrechamente conectados? Se requiere análisis de subcontratación especialmente cuando el subcontratista está en un país tercero - teniendo en cuenta la ley de insolvencia de ese país, aplicación de protección de datos y la longitud y complejidad de las cadenas de subcontratación.

Cada contrato para servicios de TIC debe incluir como mínimo: descripción completa de funciones y servicios; ubicaciones de procesamiento y almacenamiento de datos; disposiciones de disponibilidad, autenticidad, integridad y confidencialidad; acceso a datos, recuperación y devolución en insolvencia o terminación; descripciones de nivel de servicio; asistencia del proveedor durante incidentes de TIC; cooperación total con autoridades competentes y de resolución; derechos de terminación con aviso mínimo; condiciones para participación del proveedor en programas de capacitación de la entidad financiera.

Para servicios de TIC que soportan funciones críticas o importantes, además: objetivos de desempeño de SLA cuantitativos y cualitativos precisos; periodos de notificación de desarrollos que impacten materialmente la entrega de servicios; planes de contingencia empresariales; participación en TLPT; derechos sin restricciones de acceso, inspección y auditoría por la entidad financiera, la autoridad competente y el Supervisor Principal; periodos de transición adecuados en estrategias de salida. Las microempresas pueden delegar derechos de auditoría a un tercero independiente designado por el proveedor (Art 30(3)).

Las tres ESAs, a través de su Comité Conjunto, por recomendación del Foro de Supervisión (Art 32), designan un proveedor tercero de servicios de TIC como crítico basándose en cuatro criterios:

• Impacto sistémico en la estabilidad, continuidad o calidad de servicios financieros si el proveedor falla
• Carácter sistémico de las entidades financieras que dependen de él (G-SIIs, O-SIIs e interdependencias)
• Dependencia de entidades financieras en sus servicios para funciones críticas o importantes
• Grado de sustituibilidad - alternativas limitadas, cuota de mercado, complejidad técnica, costo de migración y riesgo

La lista de CTPPs se publica anualmente. Proveedores de terceros de TIC no automáticamente designados pueden optar por participar por solicitud (Art 31(11)). Los CTPPs de terceros países deben establecer una filial de la UE dentro de 12 meses de designación (Art 31(12)) y pueden continuar proporcionando servicios desde fuera de la Unión, pero la presencia de supervisión en la UE es obligatoria.

Excluidos (Art 31(8)): entidades financieras que proporcionan servicios de TIC a otras entidades financieras, proveedores ya bajo supervisión del SEBC (TARGET, T2S, etc.), proveedores dentro del grupo, y proveedores activos solo en un Estado miembro sirviendo entidades activas solo en ese Estado miembro.

• Comité Conjunto (ESAs) - coordinación intersectorial, posiciones conjuntas sobre CTPPs
• Foro de Supervisión - subcomité; prepara posiciones conjuntas; incluye Presidentes de las tres ESAs, un representante de alto nivel del NCA por Estado miembro, y BCE, JERS, ENISA y Comisión como observadores
• Red Conjunta de Supervisión (JON, Art 34) - coordina los tres Supervisores Principales para alineación operacional

Para cada CTPP, el Supervisor Principal es la ESA (EBA, ESMA o EIOPA) responsable de la categoría de entidad financiera cuyas entidades en conjunto mantienen la mayor cuota de activos totales entre las entidades financieras que usan ese CTPP. El Supervisor Principal es el punto principal de contacto para el CTPP y conduce la evaluación de gobernanza, gestión del riesgo de TIC, continuidad empresarial, seguridad física, gestión de incidentes, portabilidad de datos, pruebas, auditorías y estándares.

El Supervisor Principal adopta un plan de supervisión individual anual por CTPP (Art 33(4)); el CTPP puede presentar una declaración razonada dentro de 15 días de calendario antes de la adopción.

• Solicitudes de información y documentación (Art 37): todos los registros relevantes, políticas, acuerdos
• Investigaciones generales (Art 38): examinar registros, tomar copias, convocar representantes, entrevistar personas, solicitar registros de tráfico de datos
• Inspecciones in situ y fuera de sitio (Art 39): entrar en locales comerciales, sellar locales, libros y registros durante inspección
• Recomendaciones: sobre estándares de seguridad de TIC, términos de servicio que prevengan puntos únicos de fallo o amplificación sistémica, subcontratación planificada incluyendo en países terceros, y (más poderosa) requerir que el CTPP se abstenga de un arreglo de subcontratación adicional cuando concierne una función crítica o importante y presenta un riesgo claro y grave para la estabilidad financiera de la Unión
• Pagos de penalización periódicos: hasta 1 % de la facturación mundial diaria promedio, diariamente, por un máximo de 6 meses (Art 35(8))

El Supervisor Principal puede ejercer estos poderes fuera de la Unión (Art 36) si el CTPP consiente y la autoridad del país tercero relevante no se opone, sujeto a arreglos de cooperación administrativa.

Dentro de 60 días de calendario, el CTPP notifica cumplimiento con la recomendación o proporciona una explicación razonada por no seguirla. Si la explicación es insuficiente, el Supervisor Principal divulga públicamente el incumplimiento.

Las autoridades competentes - como medida de último recurso, después de notificación y (consulta voluntaria) con autoridades de NIS 2 - pueden tomar una decisión (Art 42(6)) requiriendo que entidades financieras suspendan temporalmente, parcial o completamente, el uso de un servicio proporcionado por el CTPP, o terminar los arreglos contractuales relevantes, hasta que los riesgos identificados se aborden.

Art 43: El gasto del Supervisor Principal se financia completamente mediante cuotas de CTPPs, proporcional a la facturación. El monto y mecanismo de pago se establecen mediante acto delegado (plazo: 17 de julio de 2024).

Art 44: EBA, ESMA y EIOPA pueden celebrar arreglos administrativos con autoridades regulatorias y supervisoras de países terceros para compartir mejores prácticas en revisión de riesgo de terceros de TIC. Un informe confidencial al PE, Consejo y Comisión se produce cada cinco años.

Las entidades financieras pueden voluntariamente intercambiar información sobre ciberamenazas e inteligencia dentro de comunidades de confianza. La inteligencia compartible incluye: indicadores de compromiso, tácticas, técnicas y procedimientos, alertas, herramientas de configuración e información sobre actores o campañas cibernéticas.

Tales arreglos deben ser gobernados por reglas de conducta que respeten confidencialidad empresarial, reglas de protección de datos personales del RGPD y derecho de competencia de la UE (Art 101 TFUE). La participación debe ser notificada a la autoridad competente. La Comisión y ENISA actúan como observadores en estas comunidades donde sea apropiado.

Texto completo del Reglamento (UE) 2022/2554 de 14 de diciembre de 2022 (64 artículos, 106 considerandos, 9 capítulos, 65 definiciones):

https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022R2554

Número CELEX: 32022R2554 | Referencia DO: DO L 333/1 de 27 de diciembre de 2022 (79 páginas)

Directiva (UE) 2022/2556 que modifica 8 directivas financieras para alinear con DORA (UCITS, Solvencia II, AIFMD, CRD IV, BRRD, MiFID II, PSD2, IORP II):

https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022L2556

DORA y la Directiva DORA fueron publicadas juntas en DO L 333. El mismo número también contiene la Directiva NIS 2:

https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ:L:2022:333:TOC

Directiva (UE) 2022/2555 sobre medidas para un alto nivel común de ciberseguridad en toda la Unión. DORA es lex specialis vs NIS 2 para entidades financieras (considerando 16):

https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022L2555

El marco de Pruebas Éticas de Equipo Rojo Basadas en Inteligencia de Amenazas del BCE, adoptado por DORA como la metodología de referencia para TLPT (Art 26):

https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html

La Agencia de la Unión Europea para la Ciberseguridad (ENISA) actúa como observadora del Foro de Supervisión y publica inteligencia sobre amenazas relevante para la implementación de DORA:

https://www.enisa.europa.eu

Estrategia de Finanzas Digitales de la Comisión (el paquete político dentro del cual se propuso DORA):

https://finance.ec.europa.eu/digital-finance_en

El Canon de la UE es la creciente biblioteca de Brubru de análisis profundos en lenguaje sencillo sobre legislación de la UE histórica. Cada entrada analiza las disposiciones operativas, contexto jurídico y significancia práctica de una ley fundamental de la UE, con todos los hechos trazables al texto de fuente oficial de EUR-Lex.

Explorar todas las entradas del Canon, cubriendo actualmente GDPR, DSA, DMA, NIS2, DORA, Ley de IA, MiCA, CBAM, CRR y un conjunto creciente de instrumentos de farmacia, defensa comercial y finanzas.