En resumen
- Regulación: DORA.
- Las empresas de seguros y reaseguros son entidades financieras sujetas a DORA.
- Marco de gestión de riesgos TIC.
- Gestión y notificación de incidentes.
- Pruebas de resiliencia.
- DORA corresponde a un régimen prudencial: las autoridades disponen de poderes de supervisión, requerimiento y sanción.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor
En vigorEnero de 2025
Aplicación
En vigor¿De qué trata DORA?
DORA armoniza los requisitos de resiliencia operativa digital del sector financiero europeo, incluido el asegurador. Se sustenta en cinco pilares: gestión de riesgos TIC, gestión y notificación de incidentes, pruebas de resiliencia, gestión de riesgos relacionados con proveedores TIC terceros y compartición de información sobre ciberamenazas.
Se aplica un principio de proporcionalidad, con un marco simplificado para determinadas pequeñas entidades no interconectadas.
¿El sector «Seguros» está afectado?
Las empresas de seguros y reaseguros son entidades financieras contempladas por DORA. El texto abarca la totalidad de sus sistemas de información y la relación con sus proveedores TIC.
La proporcionalidad modula la intensidad de las obligaciones, pero el marco se aplica a todas las aseguradoras.
Obligaciones detalladas
Marco de gestión de riesgos TIC.
Documentar la estrategia y las políticas de gestión de riesgos TIC, identificar las funciones críticas, y cubrir protección, detección, respuesta y recuperación, bajo la responsabilidad de la dirección.
Gestión y notificación de incidentes
Clasificar los incidentes TIC y notificar los incidentes graves a las autoridades competentes en los plazos y formatos previstos.
Pruebas de resiliencia
Implementar un programa de pruebas y, para las entidades significativas, pruebas de intrusión basadas en amenazas (TLPT).
Riesgos de los proveedores TIC
Mantener un registro de información, encuadrar los contratos (auditoría, reversibilidad, subcontratación, localización) y vigilar la concentración.
Intercambio de información
Participar, en su caso, en los mecanismos de intercambio sobre ciberamenazas.
Sanciones y riesgos
DORA corresponde a un régimen prudencial: las autoridades disponen de poderes de supervisión, de requerimiento y de sanción. Los proveedores TIC designados críticos pueden ser objeto de multas coercitivas de hasta el 1 % de su volumen de negocio diario medio mundial.
Un déficit de resiliencia expone a medidas de supervisión y a un riesgo reputacional y prudencial mayor.
Calendario de aplicación
- 1Aplicación. DORA es aplicable desde el 17 de enero de 2025.
- 2Registro de información. Remisión periódica del registro de proveedores TIC a las autoridades.
Errores frecuentes en el sector
- 1Confusión con NIS2. Duplicar los mecanismos cuando DORA prevalece en materia de riesgo TIC.
- 2Registro incompleto. No inventariar de forma exhaustiva a los proveedores TIC y la subcontratación.
- 3Pruebas teóricas. Disponer de un programa de pruebas no contrastado.
- 4Gobernanza ausente. Tratar DORA como un asunto puramente técnico.
Caso práctico
Una aseguradora constata una fuerte dependencia de un proveedor cloud para la gestión de sus contratos. En virtud de DORA, documenta este riesgo de concentración, refuerza la reversibilidad y los derechos de auditoría, inscribe al proveedor en su registro de información y lo integra en su programa de pruebas de resiliencia.
Hoja de ruta de cumplimiento
- 1
Estructurar el marco TIC. Formalizar la estrategia, las políticas y la gobernanza de los riesgos TIC.
- 2
Gestionar los incidentes. Implementar la clasificación y notificación de incidentes mayores.
- 3
Planificar las pruebas. Definir un programa de pruebas y, si procede, preparar los TLPT.
- 4
Mantener el registro. Constituir el registro de información y regular los contratos con proveedores.
- 5
Gobernar. Hacer que el órgano de dirección asuma el dispositivo.
Preguntas frecuentes
Sí, como entidades financieras, con un principio de proporcionalidad y un marco simplificado para determinadas entidades pequeñas no interconectadas.
Pase a la acción en DORA
Diagnóstico gratuito o una charla con un experto dedicado a aseguramiento.
Ya confían en nosotros
Descubra cómo organizaciones del sector aseguramiento aseguraron su cumplimiento con DCO.