Guía DORA: ¿cómo lograr la conformidad?

¿Qué es DORA?

DORA (Digital Operational Resilience Act) es el reglamento europeo que unifica los requisitos de resiliencia digital del sector financiero. Parte de una constatación: la continuidad de los servicios financieros depende hoy en día enteramente de la solidez de los sistemas de información y del control de las dependencias tecnológicas.

Complementa a NIS2 para las entidades financieras, pero como texto especializado (lex specialis), prevalece para estos actores, con un marco más detallado y una supervisión garantizada por las autoridades financieras.

Su lógica es proactiva: no limitarse a reaccionar ante los incidentes, sino demostrar de antemano una capacidad para resistir, continuar operando y recuperarse, incluso ante escenarios graves pero plausibles.

Los cinco pilares de DORA

DORA se organiza en torno a cinco pilares complementarios. Cubrirlos todos de forma coherente constituye el núcleo esencial del cumplimiento.

¿Quién está afectado?

DORA afecta a un ámbito muy amplio de entidades financieras, así como a sus proveedores TIC. Muchos actores de tamaño medio están sujetos a ella, aunque con un principio de proporcionalidad (existe un marco simplificado para determinadas entidades pequeñas).

• Bancos, empresas de inversión, entidades de pago y de dinero electrónico.
• Aseguradoras, reaseguradoras e intermediarios.
• Sociedades gestoras, fondos, proveedores de servicios sobre criptoactivos, plataformas de financiación participativa.
• Proveedores TIC críticos (cloud, centros de datos, editores), sujetos a supervisión europea directa.

El registro de proveedores TIC, pieza clave

Uno de los requisitos más estructurantes de DORA es el registro de información: un inventario detallado de todos sus proveedores TIC y de los servicios que prestan, en apoyo de funciones críticas e importantes.

Este registro no es mera formalidad: permite identificar dependencias, medir el riesgo de concentración (depender en exceso de un único proveedor) y preparar estrategias de salida. Los supervisores lo solicitan con regularidad.

• Inventaríe cada proveedor, servicio y función soportada.
• Identifique los proveedores que soportan funciones críticas.
• Evalúe y documente el riesgo de concentración.

¿Qué sanciones se aplican en caso de incumplimiento?

Las sanciones corresponden a las autoridades financieras nacionales para las entidades, y a un supervisor europeo para los proveedores TIC críticos. Pueden ser significativas, y la responsabilidad de la dirección queda comprometida.

Cómo lograr la conformidad: la hoja de ruta en 7 pasos

Paso 1 — Definir el marco de gobernanza de riesgos TIC

Formalice un marco aprobado por el órgano de dirección: roles, responsabilidades, apetito al riesgo y estrategia de resiliencia digital. DORA hace a la dirección explícitamente responsable — la gobernanza no es delegable únicamente al departamento de TI.

Este marco debe estar documentado, revisado periódicamente y articulado con la gestión global de riesgos de la entidad.

• Designe a los responsables y defina la comitología.
• Documente su apetito al riesgo TIC.
• Haga validar el marco por el órgano de dirección.

Paso 2 — Cartografiar activos y dependencias

Inventaríe sistemas, funciones críticas y dependencias TIC internas y externas. Identifique con precisión las funciones cuya interrupción amenazaría la continuidad de sus servicios financieros.

Esta cartografía alimenta tanto el análisis de riesgos como el registro de proveedores y la definición de los objetivos de recuperación.

• Identifique las funciones críticas e importantes.
• Cartografíe las dependencias internas y externas.
• Vincule cada función a sus proveedores TIC.

Paso 3 — Implementar detección y protección

Despliegue medidas de protección, supervisión continua, detección de anomalías y mecanismos de respuesta y recuperación, con objetivos de tiempo de recuperación y de pérdida de datos definidos.

La resiliencia se prepara: copias de seguridad, redundancias, planes de continuidad y de recuperación deben estar en vigor y haber sido probados.

• Defina objetivos de recuperación (RTO/RPO).
• Implemente supervisión y detección de anomalías.
• Formalice los planes de continuidad y de recuperación.

Paso 4 — Estructurar la gestión de incidentes TIC

Establezca la clasificación de incidentes según los criterios reglamentarios (impacto, duración, alcance) y una cadena de notificación a las autoridades que respete los plazos establecidos.

Un incidente grave debe poder ser calificado rápidamente y declarado conforme a los modelos requeridos: prepare estos procesos con antelación.

• Clasifique los incidentes según los criterios DORA.
• Prepare las plantillas y los circuitos de notificación.
• Mantenga un registro de incidentes TIC.

Paso 5 — Organizar las pruebas de resiliencia

Planifique un programa de pruebas: análisis de vulnerabilidades, escenarios, pruebas de continuidad. Para las entidades significativas, deben realizarse periódicamente pruebas de penetración basadas en inteligencia de amenazas (TLPT) por parte de evaluadores cualificados.

Estas pruebas no son una auditoría puntual: forman parte de un programa plurianual documentado.

• Establezca un programa de pruebas plurianual.
• Realice TLPT si es una entidad significativa.
• Corrija las vulnerabilidades identificadas y registre las acciones.

Paso 6 — Gestionar los proveedores TIC

Constituya el registro de información de proveedores, integre las cláusulas contractuales obligatorias (auditoría, seguridad, subcontratación, salida), evalúe el riesgo de concentración y prevea estrategias de salida creíbles.

La dependencia de la nube es un punto de atención central: DORA exige dominar sus consecuencias.

• Mantenga actualizado el registro de proveedores TIC.
• Integre las cláusulas contractuales obligatorias.
• Prepare estrategias de salida para las funciones críticas.

Paso 7 — Organizar el reporting y el intercambio de información

Prepare las declaraciones a las autoridades, mantenga el registro actualizado y participe, en su caso, en los mecanismos de intercambio de información sobre amenazas entre entidades financieras.

Este último pilar, a menudo descuidado, contribuye a la resiliencia colectiva del sector.

• Fiabilice los procesos de reporting ante los supervisores.
• Mantenga el registro listo para ser comunicado.
• Participe en el intercambio de información sobre ciberamenazas.

Los errores frecuentes que hay que evitar

• Reducir DORA a un proyecto de TI: es un proyecto de gobernanza y control liderado por la dirección.
• Olvidar la constitución del registro de proveedores TIC, pieza clave del dispositivo.
• Descuidar las cláusulas contractuales obligatorias con los proveedores, especialmente cloud.
• Confundir DORA y NIS2: para una entidad financiera, DORA prevalece como lex specialis.
• Subestimar el riesgo de concentración y la ausencia de una estrategia de salida.
• Tratar las pruebas como una auditoría puntual en lugar de como un programa plurianual.
• No preparar las plantillas y plazos de notificación de incidentes.

Cómo Data Comply One le acompaña

Data Comply One propone un módulo de gestión de su conformidad DORA, centralizado en la misma plataforma que sus demás obligaciones reglamentarias.

Dispone de dos modalidades: gestionar su conformidad usted mismo con el software, o externalizarla a nuestros expertos —un CISO externalizado— que la gestionan por usted directamente en la plataforma, para un dispositivo demostrable ante la ACPR o la AMF.

Contará así con un dispositivo consolidado y dinámico, sin depender de una experiencia dispersa entre múltiples herramientas.

¿En qué punto se encuentra? ·