¿Qué es la Ley de Resiliencia Operativa Digital (DORA)?
La Ley de Resiliencia de las Operaciones Digitales (DORA, por sus siglas en inglés) es el intento de la Unión Europea de agilizar el proceso de gestión de riesgos de terceros en las instituciones financieras.
El 24 de septiembre de 2020, la Comisión Europea publicó un borrador del DORA.
Sin esta ley, no existe un estándar objetivo de gestión de riesgos de las Tecnologías de la Información y la Comunicación (TIC) en Europa. Para lograr cierta apariencia de unificación, se han intentado varias iniciativas regulatorias nacionales, pero esto solo ha fragmentado aún más el enfoque del sector financiero hacia la ciberseguridad.
DORA tiene como objetivo reemplazar múltiples marcos de gestión de riesgos de TIC, con un enfoque único y unificado para mitigar todos los incidentes relacionados con las TIC en la industria financiera europea. Se trata de una respuesta intencionada a la Estrategia de Finanzas Digitales de la Comisión Europea.
DORA también tiene como objetivo reforzar la resiliencia operativa dentro de la industria financiera para que se pueda garantizar la continuidad del negocio incluso cuando las TIC de una organización sufren interrupciones, como durante un ataque cibernético.
DORA también está obligando a los proveedores de terceros de TIC críticas (CTPP) a cumplir con los estándares regulatorios, un requisito que será supervisado por una de las tres Autoridades Europeas de Supervisión (ESA):
- La Autoridad Bancaria Europea (ABE)
- La Autoridad Europea de Seguros y Pensiones de Jubilación (AESPJ)
- La Autoridad Europea de Valores y Mercados (ESMA)
El cumplimiento se evaluará a través de inspecciones (fuera y en el sitio) y la solicitud de información específica, como detalles del servicio de TIC, registros de informes de incidentes y detalles de las defensas contra riesgos cibernéticos implementadas.
¿Por qué es importante la resiliencia operativa digital?
Existe una necesidad cada vez mayor de resiliencia operativa tras la reciente proliferación de ciberataques dirigidos al sector financiero europeo. Esto es el resultado de un aumento global en los eventos de ataques cibernéticos.
Si bien los ciberataques no se pueden evitar, la estabilidad financiera en Europa aún se puede lograr si las organizaciones mitigan el impacto de las amenazas cibernéticas en las tecnologías de la información y la comunicación (TIC).
¿Cuándo entrará en vigor la Ley de Resiliencia Operativa Digital?
La legislación oficial se encuentra actualmente en forma de borrador y debe ser presentada para su aprobación por el Parlamento Europeo. Se espera que el reglamento final se publique en 2022.
Una vez adoptado, las organizaciones afectadas deben tener un período de transición para cumplir con los requisitos de DORA.
¿Qué organizaciones se verán afectadas por DORA?
DORA afectará a todas las entidades financieras reguladas a nivel de la UE, incluidas:
- La industria de servicios financieros
- Entidades de pago
- Empresas de inversión
- Agencias de calificación crediticia
- Proveedores de servicios de criptoactivos
- Proveedores de servicios de financiación participativa
- Fintech
- Centros de negociación
- Proveedores de sistemas financieros
- Entidades de crédito
¿Cuáles son los principales requisitos de DORA?
DORA presenta sus requisitos en 5 pilares clave.
- Gestión de Riesgos TIC
- Reporte de Incidentes TIC
- Pruebas de resiliencia operativa digital
- Intercambio de información e inteligencia
- Gestión de riesgos de terceros en las TIC
Pilar 1: Gestión de riesgos de las TIC
Se exigirá a las entidades financieras que creen y sigan un marco de gestión de riesgos de TIC que respalde una estrategia de continuidad de las actividades, políticas de recuperación y estrategias de comunicación.
Es importante establecer un canal de comunicación confiable con las partes interesadas. Este nuevo requisito se basa en las directrices existentes, como las directrices de la ABE sobre las TIC y la gestión de riesgos de seguridad.
Las partes interesadas asumirán la responsabilidad de garantizar la continuidad del negocio mediante la participación en las siguientes funciones:
- Establecer el grado de riesgo y tolerancia al impacto de las perturbaciones de las TIC.
- Desarrollar y aprobar estrategias de continuidad de negocio.
- Desarrollar y aprobar planes de recuperación ante desastres.
- Especificar controles de seguridad para todos los activos críticos.
Las estrategias de respuesta y recuperación deben incluir algo más que una serie de políticas. La estricta expectativa de operaciones comerciales ininterrumpidas requerirá el establecimiento de redundancias de tecnología de la información y las comunicaciones para hacerse cargo de los procesos interrumpidos.
La inversión en un sistema de este tipo, que también debería incluir redes de copia de seguridad y restauración, requerirá la aportación de las partes interesadas.
Pilar 2: Notificación de incidentes de TIC
DORA creará un canal de notificación más simplificado para los incidentes relacionados con las TIC, lo que constituye una consolidación bienvenida de los múltiples requisitos de notificación actuales.
Se deben reducir los informes de eventos desencadenantes y se armonizarán las plantillas de informes.
Se trata de un paso hacia un canal de denuncias completamente racionalizado que conduzca a un único centro de la UE en lugar de a varias autoridades nacionales competentes (ANC).
El centro de la UE recopilará todos los informes de los principales acontecimientos relacionados con las TIC que afecten a las entidades financieras. Los datos recopilados revelarán cualquier tendencia común de vulnerabilidad en todo el sector financiero para respaldar una mayor optimización de la resiliencia y la seguridad de las TIC.
De acuerdo con las nuevas normas de información de la UE, todas las empresas financieras deberán presentar un informe de causa raíz en el plazo de un mes a partir de un incidente grave relacionado con las TIC.
A fin de respaldar la presentación oportuna de esos informes, las entidades financieras deberán aplicar indicadores fiables de alerta temprana de las perturbaciones de las TIC.
Pilar 3: Pruebas de resiliencia operativa digital
>Para garantizar la fiabilidad de las defensas de las TIC establecidas, las entidades financieras deberán someterse a pruebas periódicas de resiliencia de las operaciones digitales realizadas por partes independientes, ya sean internas o externas.
Estas pruebas periódicas deben incluirse en un programa de pruebas de resistencia digital que comprenda los siguientes detalles:
- Metodologías de ensayo
- Procedimientos y herramientas de prueba
- Frecuencia de las pruebas de resiliencia
- Estrategia de priorización para las políticas de pruebas
Este no es un requisito nuevo. Los marcos de pruebas de penetración dirigidas por amenazas (TLPT) son actualmente obligatorios para ciertas infraestructuras de mercados financieros (FMI). DORA ampliará los requisitos de prueba en todo el sector de servicios financieros, aumentando el número de entidades que deben realizar pruebas obligatorias.
Las Autoridades Europeas de Supervisión (AES) describirán los detalles de estos criterios de información ampliados en una segunda legislación que se espera que se publique a finales de 2021.
DORA se basa en el proceso de reconocimiento de pruebas transfronterizas del marco voluntario TIBER-EU desarrollado por el Banco Central Europeo (BCE). Esto fomenta el reconocimiento de las pruebas de confianza en todos los Estados miembros de la UE para reducir la duplicación de pruebas.
Esto también podría reducir la complejidad y el costo de cumplimiento de las entidades financieras que ya se encuentran en este proceso de prueba.
Pilar 4: Intercambio de información e inteligencia
DORA permitirá y fomentará el intercambio de información sobre amenazas cibernéticas entre entidades dentro de comunidades financieras confiables. El objetivo de este tipo de intercambio de información es concienciar sobre las nuevas amenazas cibernéticas, las soluciones fiables de protección de datos y las tácticas de resiliencia operativa.
Pilar 5: Gestión de riesgos de terceros en las TIC
Este es probablemente el pilar más desafiante del DORA. Los proveedores de servicios en la nube (CSP) se verán obligados a cumplir con los reguladores si se clasifican como "críticos".
Algunos de los factores que clasificarían a un proveedor de servicios de terceros como crítico incluyen:
- Grado de sustituibilidad: los CSP críticos son más difíciles de reemplazar en caso de una interrupción operativa (ya sea que ocurra internamente o en el entorno del proveedor).
- El número de entidades financieras que dependen del CSP para la continuidad operativa.
Las ESA supervisarán el cumplimiento de la CSP crítica a través de inspecciones tanto in situ como fuera de ellas. Los supervisores principales podrían imponer una multa por incumplimiento de hasta el 1% de la facturación mundial diaria.
Estos requisitos de cumplimiento no sustituirán ni sustituirán a las normativas existentes, como el Reglamento General de Protección de Datos (RGPD).
Es importante comprender que la carga del cumplimiento de DORA no recae completamente en los proveedores externos críticos. Las entidades de servicios financieros deberán implementar programas de riesgo de terceros para evitar interrupciones operativas causadas por ataques a la cadena de suministro e infracciones de terceros.
Cómo prepararse para la Ley de Resiliencia Operativa Digital
El año 2022 se acerca rápidamente y las entidades financieras incluidas en el ámbito de la Comisión Europea deben empezar a prepararse ya para los requisitos de gestión de riesgos de DORA.
Los siguientes elementos de acción ayudarán a su organización a prepararse para esta propuesta legislativa.
1. Realizar un análisis de brechas
Se debe completar una evaluación de riesgo de madurez con respecto a todos los requisitos de DORA para determinar todas las brechas de cumplimiento. Esto fomentará una reforma más eficiente de los sistemas de TIC afectados.
2. Determine si será clasificado como 'crítico'.
Los proveedores externos de TIC tendrán que determinar si entran en la categoría crítica. Esto requerirá una evaluación de todas las características que definen la criticidad según el DORA.
Los proveedores externos que entran en esta categoría deberán comenzar a planificar cómo garantizarán el cumplimiento del marco de supervisión, una estrategia que podría implicar el establecimiento de equipos regulatorios dedicados y software de seguridad de datos.
Las empresas financieras también tendrán que determinar cuáles de sus proveedores de servicios en la nube de terceros se clasificarán como críticos.
El nivel de cumplimiento de DORA de todos los proveedores críticos debe rastrearse a través de evaluaciones de riesgos y software de monitoreo de la superficie de ataque de terceros.
Todos los proveedores no críticos deben asignarse a opciones alternativas de externalización en caso de que se produzca un incidente de TIC que afecte a cada proveedor.
3. Implementar un marco de pruebas de penetración basado en amenazas
Las entidades financieras que actualmente no implementan TLPT deberán buscar proveedores independientes para este servicio.
La actividad de las AES deberá ser objeto de un estrecho seguimiento para determinar la exposición avanzada a los requisitos de ensayo cuando se disponga de los detalles.
4. Evaluar las estrategias de respuesta y recuperación
Las estrategias actuales de respuesta y recuperación deberán medirse en función de los requisitos de DORA, con un enfoque específico en el proceso de notificación de incidentes de la legislación.
La alineación con el proceso de presentación de informes de DORA podría implicar la optimización de las asignaciones de recursos actuales y la modificación de los canales de informes internos actuales.
5. Realizar un análisis de brechas
Se debe completar una evaluación de riesgo de madurez con respecto a todos los requisitos de DORA para determinar todas las brechas de cumplimiento. Esto fomentará una reforma más eficiente de todos los sistemas de TIC afectados.