Reglamento DORA: reforzando la ciberseguridad de las pymes del sector financiero

El Reglamento DORA, que será obligatorio en 2025, establece medidas clave para proteger la ciberseguridad de las entidades financieras, incluyendo a las pymes. Este marco regula la gestión de riesgos TIC, pruebas de resiliencia y protocolos para la notificación de incidentes. 

¡Sigue leyendo para conocer su importancia para las pymes del sector financiero! 

Cada día es más relevante la ciberseguridad en el mundo financiero, ciberataques, brechas de seguridad o la integridad de las comunicaciones digitales son amenazas constantes para entidades financieras de cualquier tamaño.  

Las pymes a menudo carecen de los recursos de sus contrapartes más grandes para proteger tanto sus operaciones como la integridad de los datos de sus clientes. Ya sea un ataque especifico a su empresa o a una herramienta digital que utilicen en su negocio.  

El Reglamento DORA (Digital Operational Resilience Act) surge como una respuesta a esta necesidad, proporcionando un marco robusto para proteger a las entidades financieras de las amenazas cibernéticas. 

¿Qué es DORA? 

La Ley de Resiliencia de Operaciones Digitales (DORA) es una regulación europea diseñada para fortalecer la seguridad de las redes y los sistemas de información de las entidades financieras.  

Su objetivo principal es garantizar que estas entidades puedan resistir, responder y recuperarse de cualquier tipo de interrupción operativa, especialmente aquellas causadas por ciberataques. 

Entró en vigor el 16 de enero de 2023, pero se estableció una prórroga de dos años que concluye el próximo enero de 2025. A partir de entonces las entidades financieras afectadas deben cumplir con la normativa y comenzarán las actividades de supervisión que pueden que van desde solicitudes de información hasta simulaciones de ciberataques. 

¿Qué entidades financieras están afectadas por esta regla?

DORA afecta a una amplia gama de entidades financieras, incluyendo bancos, aseguradoras, empresas de inversión, proveedores de servicios de pago y, por supuesto, las pymes del sector financiero como asesorías o casas de cambio.  

La normativa se aplica tanto a las entidades tradicionales como a las tecnológicas financieras, asegurando que todas las organizaciones que operan en el ámbito financiero cumplan con los mismos estándares de ciberseguridad. 

¿Cuáles son los requisitos de DORA? 

El Reglamento DORA establece varios requisitos clave para las entidades financieras, diseñados para asegurar una sólida resiliencia operativa digital: 

• Gestión de riesgos de TIC: las entidades deben desarrollar e implementar políticas y procedimientos específicos para gestionar los riesgos relacionados con las TIC. Esto incluye la identificación, evaluación y mitigación de riesgos potenciales que puedan afectar la operativa diaria. 

Para ello, las partes interesadas deberán:

- Identificar y clasificar sus activos críticos.
- Desarrollar marcos integrales que garanticen la gestión del riesgo y la seguridad del negocio.
- Desarrollar planes de contingencia ante posibles riesgos.
- Mantener una evaluación continua del riesgo. 

• Notificación de incidentes relacionados con las TIC: Se establecerá un canal simplificado para reportar incidentes relacionados con las TIC, unificando los actuales requisitos de informes. Se reducirán los eventos que obligan a notificar y se armonizarán las plantillas, avanzando hacia un único centro de informes en la UE, en lugar de tener múltiples autoridades nacionales.

- Establecer sistemas de monitoreo, gestión y registro de incidentes.
- Informar a las autoridades y partes interesadas.
- Presentar informes iniciales, intermedios y finales. 

En este caso, las instituciones tendrán que: 

• Pruebas de Resiliencia Operativa: Es obligatorio realizar pruebas periódicas de resiliencia operativa, simulando diferentes escenarios de ciberataques y otras interrupciones operativas. Los resultados se deben recoger en un Programa de Prueba de Resistencia Digital, este estará compuesto por lo siguientes apartados: 

- Metodologías de prueba 
- Procedimientos y herramientas de prueba 
- Frecuencia de las pruebas de resiliencia 
- Estrategia de priorización para políticas de prueba 

• Intercambio de amenazas: DORA fomentará el intercambio de información entre entidades financieras confiables para aumentar la conciencia sobre nuevas amenazas, soluciones de protección de datos y tácticas de resiliencia.  
• Gestión de riesgos de terceros: DORA exige a las entidades gestionar activamente los riesgos de TIC de sus proveedores externos, mediante auditorías, diligencia debida y contratos que incluyan seguridad, notificación de incidentes y planes de salida. Los proveedores de servicios clasificados como "críticos" estarán sujetos a supervisión directa. 

Estos requisitos están diseñados para crear un entorno más seguro y resiliente, protegiendo tanto a las entidades financieras como a sus clientes de las crecientes amenazas cibernéticas. Cumplir con el Reglamento DORA no solo es una obligación legal, sino también una estrategia esencial para mantener la confianza y la estabilidad en el sector financiero. 

¿Cómo y cuándo pueden las pymes financieras notificar un incidente? 

Las pymes financieras notificarán cualquier incidente significativo de ciberseguridad a las autoridades competentes inmediatamente, y no después de 24 horas después de detectarse el incidente.  

La notificación debe incluir detalles sobre la naturaleza del incidente, las medidas tomadas para mitigar sus efectos y cualquier impacto potencial en los clientes y operaciones de la entidad.  

Recuerda que, a partir del 17 de enero de 2025 será obligatorio que las entidades financieras cumplan con el reglamento DORA. 

Si cuentas con una pyme perteneciente al sector financiero y detectas una posible amenaza, estos son los pasos que debes seguir para notificarla.

• Identificación del problema mediante los procedimientos internos destinados a detectar y evaluar incidentes. 
• Evaluación de la gravedad siguiendo algunos valores de referencia como el número de clientes afectados o la duración de la interrupción. 
• Notificación a la autoridad competente y en el plazo indicado por el reglamento. Esta notificación deberá incluir los siguientes apartados: 

- Naturaleza del incidente. 
- Impacto esperado.
- Medidas para adoptar. 
- Otro tipo de información solicitada por la autoridad competente. 

En resumen, la ciberseguridad es esencial para las pymes del sector financiero, y el Reglamento DORA aporta un marco de protección frente a las crecientes amenazas digitales. Cumplir con sus lineamientos garantiza que las empresas puedan resistir y recuperarse ante cualquier incidente, reforzando la confianza de sus clientes.