Reglamento DORA

En un sector financiero cada vez más dependiente de la tecnología, la gestión del riesgo asociado a las Tecnologías de la Información y Comunicación (TIC) es crucial. El Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero, conocido como Reglamento DORA (Digital Operational Resilience Act), tiene como objetivo principal reforzar la seguridad informática y la resiliencia operativa digital de las entidades financieras en la Unión Europea.

Este reglamento busca crear un marco regulador uniforme para asegurar que estas entidades puedan resistir, responder y recuperarse de cualquier tipo de perturbación o amenaza relacionada con las TIC. Este Reglamento se aplica en la Unión europea desde el 17 de enero de 2025.

1. Ámbito de aplicación del Reglamento DORA

El Reglamento DORA se aplica a una amplia gama de entidades financieras que ofrecen servicios en la Unión Europea. Esto incluye, entre otras, a entidades de crédito, entidades de pago, proveedores de servicios de información sobre cuentas, entidades de dinero electrónico, empresas de servicios de inversión, gestores de fondos de inversión alternativos, sociedades de gestión, entidades de seguros y reaseguros, depositarios centrales de valores, entidades de contrapartida central, registros de operaciones, centros de negociación, proveedores de servicios de suministro de datos, administradores de índices de referencia cruciales, y proveedores de servicios de financiación participativa.

Además, su aplicación se extiende a los proveedores de servicios de criptoactivos (CASPs) tal como se definen en el Reglamento MiCA. En efecto, el Reglamento DORA establece que sus disposiciones también son aplicables a estos proveedores, reconociendo que su actividad forma parte del ecosistema financiero digital y, por tanto, está sujeta a los mismos requisitos en materia de gestión del riesgo TIC, pruebas de resiliencia operativa y notificación de incidentes.

2. Base legal y contexto normativo

La base legal principal es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero. Este Reglamento fue publicado en el Diario Oficial de la Unión Europea el 27 de diciembre de 2022. El Reglamento DORA consolida y actualiza requisitos existentes dispersos en diversos actos jurídicos de la Unión. Colma lagunas o subsana inconsistencias de actos anteriores, abordando específicamente el riesgo relacionado con las TIC a través de normas detalladas. Es importante destacar que DORA constituye una lex specialis con respecto a la Directiva (UE) 2022/2555 (Directiva SRI 2), elevando el nivel de armonización de la resiliencia digital en el sector financiero. También se relaciona con la Directiva (UE) 2022/2557 relativa a la resiliencia de las entidades críticas.

El reglamento DORA se inscribe en un contexto normativo más global. Tanto el Reglamento DORA como el Reglamento MiCA son dos regulaciones complementarias de la Unión Europea que buscan reforzar la estabilidad y seguridad del sistema financiero, especialmente en el ámbito digital y cripto. DORA se enfoca en la resiliencia operativa digital y ciberseguridad de las entidades financieras, mientras que MiCA regula los mercados de criptoactivos.

3. Desarrollo del texto legal

En relación con la implementación de DORA, se han publicado o se están desarrollando diversas directrices y especificaciones. Por ejemplo, la CNMV ha adoptado las Directrices conjuntas sobre la cooperación en materia de supervisión y sobre el intercambio de información entre las AES y las autoridades competentes.

La Autoridad Bancaria Europea (EBA) ha publicado indicaciones técnicas sobre el registro de información de proveedores, detallando modelos de datos, valores posibles para campos y validaciones técnicas. Existe una respuesta de la Comisión Europea a una consulta sobre la definición de Servicios TIC bajo DORA que debe ser tenida en cuenta. Las Autoridades Europeas de Supervisión (AES) están elaborando normas técnicas de regulación y ejecución para especificar más detalladamente aspectos como las herramientas, métodos y políticas de gestión del riesgo TIC (Artículo 15), el contenido de los informes de incidentes graves (Artículo 20), las pruebas de penetración basadas en amenazas (Artículo 26), y las cláusulas contractuales clave (Artículo 30).

4. Principios clave del Reglamento DORA

El Reglamento DORA se articula en torno a cinco pilares fundamentales:

i. Gestión del Riesgo Relacionado con las TIC (Capítulo II – Artículos 5-16)

Las entidades financieras deben disponer de un marco sólido de gobernanza y control para gestionar el riesgo TIC. El órgano de dirección asume la responsabilidad última. Este marco incluye políticas de seguridad de la información (Artículo 9), gestión de redes e infraestructuras (Artículo 9), control de acceso (Artículo 9), detección de actividades anómalas (Artículo 10), políticas de continuidad de la actividad y recuperación (Artículo 11 y 12), y programas de concienciación y formación para el personal (Artículo 13). El marco debe documentarse y revisarse periódicamente (Artículo 6(5), Artículo 16(2)).

ii. Gestión, Clasificación y Notificación de Incidentes Relacionados con las TIC (Capítulo III – Artículos 17-23)

 Se establece un régimen armonizado para la gestión y notificación de incidentes graves relacionados con las TIC. Las entidades deben clasificar los incidentes graves basándose en criterios y umbrales (Artículo 18). Los incidentes graves deben notificarse a las autoridades competentes sin demora indebida (Artículo 19(1)) utilizando plantillas normalizadas (Artículo 20). Para incidentes operativos o de seguridad graves relacionados con los pagos, se unifica la notificación bajo DORA (Artículo 19(1), Artículo 34). También se permite la notificación voluntaria de ciberamenazas importantes (Artículo 19(8)).

iii. Pruebas de Resiliencia Operativa Digital (Capítulo IV – Artículos 24-27)

Las entidades financieras (salvo microempresas) deben establecer un programa de pruebas sólido y completo (Artículo 24). Esto incluye pruebas de planes de continuidad y recuperación (Artículo 11(6)). Las entidades significativas y otras determinadas (no microempresas) deben realizar pruebas avanzadas basadas en pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años (Artículo 26).

iv. Gestión del Riesgo Relacionado con las TIC Derivado de Terceros (Capítulo V – Artículos 28-44)

DORA aborda el riesgo de depender de terceros proveedores de servicios TIC. Las entidades deben mantener un registro completo de todos los acuerdos contractuales sobre el uso de servicios de TIC prestados por terceros (Artículo 28(3)). Este registro debe seguir plantillas normalizadas (Reglamento de ejecución (UE) 2024/2956). La información del registro debe enviarse a la autoridad competente (CNMV en España) anualmente (la primera vez, entre el 1 y 22 de abril de 2025, con fecha de referencia 31 de marzo de 2025).

Los acuerdos contractuales deben incluir cláusulas clave específicas (Artículo 30). DORA introduce un marco de supervisión directa para los proveedores terceros de servicios de TIC considerados «esenciales» (Artículo 31). Un «supervisor principal» (una de las AES: EBA, ESMA, EIOPA) será nombrado para cada proveedor esencial (Artículo 31(1), Artículo 33), con poderes para solicitar información, realizar investigaciones e inspecciones, y formular recomendaciones (Artículo 35). Los proveedores esenciales deben abonar tasas de supervisión (Artículo 43).

v. Acuerdos de Intercambio de Información (Capítulo VI – Artículo 45)

Se alienta a las entidades financieras a intercambiar información e inteligencia sobre ciberamenazas de manera voluntaria dentro de comunidades de confianza (Artículo 45). Esto busca mejorar la capacidad colectiva de prevenir y responder a ciberamenazas. Estos acuerdos deben proteger la información sensible y los datos personales (Artículo 45(1)(c)).

5. Otros aspectos relevantes

El Reglamento aplica un principio de proporcionalidad (Artículo 4). La aplicación y cumplimiento de DORA deben tener en cuenta el tamaño, perfil de riesgo, naturaleza, escalabilidad y complejidad de los servicios, actividades y operaciones de las entidades financieras. Se establecen excepciones o requisitos alternativos para microempresas y otras entidades de menor tamaño o riesgo.

Las autoridades competentes (como la CNMV en España) disponen de amplias facultades de supervisión, investigación y sanción (Artículo 50). Pueden emitir requerimientos, exigir el cese de conductas infractoras o imponer medidas pecuniarias. Las sanciones administrativas pueden publicarse (Artículo 54). Los Estados miembros pueden establecer sanciones penales para infracciones (Artículo 52). La protección de datos personales se garantiza de conformidad con el RGPD y el Reglamento (UE) 2018/1725 (Artículo 56). El Reglamento incluye cláusulas de revisión (Artículo 58) para evaluar, por ejemplo, los criterios de designación de proveedores esenciales o la conveniencia de incluir a otras entidades en el futuro.

Descárguese aquí la versión completa del Reglamento DORA.

¿Necesitas consejo legal relacionado con el Reglamento DORA? Contacta con abogados especializados en contratos de software y abogados expertos en blockchain y criptoactivos.