El reglamento DORA: resiliencia operativa digital del sector financiero
El Reglamento DORA (Digital Operational Resilience Act, Reglamento UE 2022/2554) impone desde enero de 2025 obligaciones específicas de resiliencia operativa digital a entidades financieras: bancos, aseguradoras, fondos de inversión, plataformas de negociación, sociedades de valores y sus proveedores clave de servicios TIC. DORA establece un marco uniforme para la gestión del riesgo tecnológico en el sector financiero, incluyendo pruebas de resiliencia, gestión de incidentes TIC, supervisión de proveedores de tecnología y compartición de información sobre ciberamenazas.
Obligaciones clave de DORA para entidades financieras
Las obligaciones principales son: (1) marco de gestión del riesgo TIC aprobado por el consejo de administración; (2) pruebas periódicas de resiliencia operativa, incluyendo TLPT (threat-led penetration testing) para entidades significativas; (3) gestión y notificación de incidentes TIC graves al supervisor competente (CNMV, Banco de España, DGSFP) en 4 horas para alerta temprana y 24 horas para notificación completa; (4) gestión del riesgo de terceros proveedores de TIC, con contratos que incluyan cláusulas de auditoría, derechos de acceso a información y estrategias de salida; y (5) participación en acuerdos de intercambio de información sobre ciberamenazas.
Los contratos con proveedores TIC bajo DORA
DORA exige que los contratos de la entidad financiera con sus proveedores de servicios TIC incluyan cláusulas específicas: descripción completa de los servicios y SLA, derecho de auditoría de la entidad sobre el proveedor, indicación del lugar de tratamiento de datos, obligación de notificación de incidentes del proveedor a la entidad, y estrategia de salida que garantice la continuidad del servicio en caso de resolución del contrato. En DirectorJuridico.es asesoramos a entidades financieras y proveedores TIC en el cumplimiento de DORA coordinados con LRB Tax & Legal, especialistas en compliance financiero y digital. Contacto: Contacto@LRB.es / +34 684 234 831.