El Digital Operational Resilience Act (DORA), que entró en plena aplicación este 17 de enero de 2025, marca un punto de inflexión en la ciberseguridad del sector financiero europeo. Desde bancos hasta aseguradoras y plataformas de inversión, más de 20 tipos de entidades están obligados a cumplir con esta normativa que busca blindarlas frente a ciberataques y perturbaciones operativas graves.
Este reglamento, diseñado por la Unión Europea, introduce estándares armonizados que aseguran que las empresas puedan mantener la continuidad de sus servicios incluso ante amenazas cibernéticas masivas. La implementación del DORA responde al crecimiento exponencial de los riesgos digitales, reforzando la confianza de los clientes en un sector altamente vulnerable.
¿Qué establece la normativa DORA?
La legislación DORA tiene como objetivo principal garantizar que las entidades financieras sean resilientes frente a interrupciones operativas graves y ciberataques. Para ello, obliga a las organizaciones a implementar medidas específicas, entre ellas:
- Refuerzo de la ciberseguridad: Las entidades deben prevenir y disuadir intentos de ataque mediante la mejora de sus sistemas de seguridad.
- Notificación de incidentes: En caso de un ciberataque, las organizaciones deben informar a los clientes de manera oportuna y detallada.
- Pruebas preventivas: Es obligatorio realizar pruebas de resistencia periódicas, como simulaciones de ataques o pruebas de penetración, para evaluar la eficacia de las defensas.
- Coordinación con autoridades: Se establece un marco de colaboración con las autoridades regulatorias para gestionar incidentes de manera conjunta.
Impacto en el sector financiero
El DORA se aplica a una amplia gama de entidades, incluidas:
- Bancos comerciales y de inversión.
- Aseguradoras.
- Gestores de fondos y sociedades de valores.
- Plataformas de negociación financiera.
- Proveedores de servicios de compensación y liquidación de valores.
Con esta regulación, la UE aborda uno de los mayores desafíos del sector: la creciente sofisticación de los ciberataques. Durante los últimos años, grupos de ciberdelincuentes han dirigido ataques masivos contra entidades financieras, comprometiendo datos sensibles y dejando sin servicio a millones de usuarios.
Medidas clave para cumplir con DORA
- Gestión de riesgos y resiliencia operativa:
- Las empresas deben desarrollar programas de gestión de riesgos que incluyan simulaciones de interrupciones graves.
- Expertos independientes realizarán pruebas anuales de los sistemas críticos para detectar vulnerabilidades.
- Protección de sistemas TIC:
- Actualización constante de software y aplicación de parches de seguridad.
- Políticas de autenticación robustas y control de acceso.
- Gestión de redes basada en el riesgo para limitar el acceso físico y virtual.
- Gestión de incidentes TIC:
- Los sistemas deben incluir indicadores de alerta temprana para detectar amenazas.
- En caso de un incidente grave, las empresas tienen un plazo máximo de 4 horas para notificarlo a las autoridades pertinentes.
DORA frente a NIS 2: ¿Qué marco prevalece?
Aunque la Directiva NIS 2 también establece regulaciones de ciberseguridad, DORA es específica para el sector financiero. Según aclaraciones de la Comisión Europea, DORA tiene prioridad en aspectos como la gestión de riesgos, la notificación de incidentes y las pruebas de resistencia para estas entidades.
El camino hacia el cumplimiento
La adopción de DORA representa un desafío significativo para muchas empresas, pero su implementación es esencial para construir un sistema financiero seguro y resiliente. Los pasos iniciales incluyen:
- Análisis de brechas: Evaluar el estado actual de la ciberseguridad de la organización y compararlo con los requisitos de DORA.
- Capacitación continua: Formar a todos los empleados, incluidos los directivos, en ciberseguridad y gestión de riesgos.
- Auditoría de proveedores: Revisar contratos con terceros, como proveedores de servicios en la nube, para garantizar que cumplan con las exigencias de DORA.
Un futuro más seguro para el sistema financiero
DORA no solo busca proteger a las entidades financieras de ataques cibernéticos, sino también garantizar que los clientes de toda Europa puedan confiar en la estabilidad del sistema. En un contexto donde los ciberdelincuentes tienen al sector financiero como objetivo prioritario, esta normativa es un paso crucial para consolidar la seguridad y resiliencia del sistema bancario europeo.
Con su implementación, la UE demuestra su compromiso con la ciberseguridad, estableciendo un modelo que podría convertirse en un referente global en la lucha contra las amenazas digitales.
