Consejo Europeo aprueba ley de resiliencia operativa digital (1 / 6)

La UE fortalece la seguridad informática para empresas financieras como bancos, aseguradoras y firmas de valores a través de un acuerdo provisional sobre DORA

Introducción

Antecedentes

Cronogramas

Alcance

Requisitos y elementos

Conclusión

Fortalecimiento de la resiliencia en el sector financiero de la UE

El sector financiero juega un papel crucial en la estabilidad y funcionamiento de la economía. Sin embargo, la creciente dependencia de las tecnologías digitales expone al sector a nuevos riesgos y desafíos. Para abordar estos desafíos, la Unión Europea ha introducido la Ley de Resiliencia Operativa Digital (DORA). En este artículo, examinaremos qué es DORA, sus antecedentes, cronogramas, alcance y qué abarca.

¿Qué es la Ley de Resiliencia Operativa Digital (DORA)?

La Ley de Resiliencia Operativa Digital (DORA), también conocida como Reglamento (UE) 2022/2554, es un marco regulador que tiene como objetivo fortalecer la resiliencia operativa de las empresas financieras en la Unión Europea. Antes de la introducción de DORA, las instituciones financieras gestionaban los riesgos operacionales principalmente a través de la asignación de capital, pero no abordaban todos los componentes de la resiliencia operativa. DORA cierra esta brecha estableciendo reglas para la protección, detección, contención, recuperación y capacidades de reparación ante incidentes relacionados con TIC.

Antecedentes

La necesidad de un marco integral que aborde la resiliencia operativa digital en el sector financiero se hizo evidente debido a los crecientes riesgos de ciberataques. En respuesta a estos riesgos, la UE introdujo la Ley de Resiliencia Operativa Digital para fortalecer la seguridad informática de las empresas financieras, incluidos bancos, compañías de seguros y empresas de inversión.

Cronogramas

La Ley de Resiliencia Operativa Digital fue adoptada formalmente por el Consejo Europeo el 28 de noviembre de 2022. Se publicó el 27 de diciembre de 2022 como Reglamento (UE) 2022/2554 en el Diario Oficial de la Unión Europea. El reglamento entra en vigor en el vigésimo día después de su publicación en el Diario Oficial y se aplicará a partir del 17 de enero de 2025.

Alcance

DORA establece requisitos uniformes con respecto a la seguridad de los sistemas de redes e información que respaldan los procesos comerciales de las empresas financieras. Estos requisitos se aplican a varios aspectos, incluyendo:

• Gestión de riesgos de tecnología de la información y comunicaciones (TIC)
• Notificación de incidentes importantes relacionados con TIC y amenazas cibernéticas significativas
• Notificación de incidentes de pago operacionales o relacionados con la seguridad de gran envergadura
• Pruebas de resiliencia operativa digital
• Intercambio de información e inteligencia con respecto a amenazas cibernéticas y vulnerabilidades
• Medidas para la gestión sólida de riesgos de TIC de terceros
• Acuerdos contractuales entre proveedores de servicios TIC de terceros y empresas financieras
• Establecimiento y implementación del marco de supervisión para proveedores críticos de servicios TIC de terceros
• Cooperación entre autoridades competentes, supervisión y aplicación

Los acuerdos contractuales entre empresas financieras y proveedores de TIC de terceros también están cubiertos bajo DORA. El reglamento establece reglas para estos acuerdos y tiene como objetivo garantizar que las empresas financieras tengan una supervisión y control efectivos sobre los servicios de TIC proporcionados por terceros.

Requisitos y elementos de DORA

Gestión de riesgos de TIC: Las empresas financieras deben establecer capacidades robustas de gestión de riesgos de TIC para identificar, evaluar y mitigar riesgos potenciales. Esto incluye la implementación de medidas de seguridad apropiadas, la realización de evaluaciones de riesgos periódicas y el desarrollo de planes de respuesta a incidentes.

Notificación de incidentes: DORA enfatiza la importancia de la notificación de incidentes para mejorar la resiliencia operativa. Las empresas financieras están obligadas a notificar a las autoridades competentes sobre incidentes importantes relacionados con TIC, amenazas cibernéticas significativas e incidentes de pago operacionales o relacionados con la seguridad de gran envergadura. Esto asegura que las partes interesadas relevantes estén informadas sobre riesgos potenciales y puedan tomar medidas apropiadas de mitigación.

Pruebas de resiliencia digital: Para garantizar la efectividad de sus medidas de resiliencia operativa, las empresas financieras deben realizar pruebas de resiliencia digital. Esto incluye la simulación de varios escenarios y la evaluación de la capacidad para resistir y recuperarse de perturbaciones relacionadas con TIC. Las pruebas ayudan a identificar vulnerabilidades y deficiencias, permitiendo a las empresas fortalecer sus sistemas y procesos.

Gestión de riesgos de terceros: Las empresas financieras a menudo dependen de proveedores de terceros para diversos servicios relacionados con TIC. DORA enfatiza la necesidad de una gestión sólida de riesgos de TIC de terceros. Las empresas deben establecer medidas para evaluar y monitorear los riesgos asociados con estos proveedores, garantizando que cumplan con los estándares de seguridad y resiliencia requeridos.

Intercambio de información e inteligencia: El intercambio de información juega un papel crucial en la lucha contra amenazas cibernéticas y la mejora de la resiliencia general. DORA promueve el intercambio de información e inteligencia relacionado con amenazas cibernéticas y vulnerabilidades. Se alienta a las instituciones financieras a colaborar e intercambiar información relevante para mantenerse un paso adelante de los riesgos emergentes.

Conclusión

La Ley de Resiliencia Operativa Digital es una regulación crucial que fortalece la resiliencia operativa del sector financiero en la UE. Al establecer requisitos y elementos específicos, asegura que las instituciones financieras tengan sistemas y procesos robustos para mitigar los riesgos asociados con incidentes de TIC. DORA enfatiza la importancia de la gestión de riesgos de TIC, la notificación de incidentes, las pruebas de resiliencia digital, la gestión de riesgos de terceros y el intercambio de información. Estas medidas aumentan la resiliencia general de las instituciones financieras y contribuyen a la estabilidad del sistema financiero.

Mientras que las instituciones financieras se preparan para implementar DORA, es importante que comprendan los requisitos y tomen los pasos necesarios para cumplir con la normativa. Al hacerlo, pueden mejorar su resiliencia operativa y protegerse contra los riesgos potenciales asociados con incidentes de TIC. Recuerde, la Ley de Resiliencia Operativa Digital (DORA) es un paso significativo hacia el fortalecimiento de la resiliencia digital del sector financiero al asegurar su capacidad para resistir y recuperarse de perturbaciones relacionadas con TIC. Al seguir los requisitos e implementar mejores prácticas, las instituciones financieras pueden gestionar proactivamente los riesgos digitales y mejorar su resiliencia operativa general.

Para más información, visite los siguientes artículos:

• CONSEJO EUROPEO APRUEBA LEY DE RESILIENCIA OPERATIVA DIGITAL (1/6)
• DOMINAR EL RIESGO DE TERCEROS PROVEEDORES DE TIC (2/6)
• FORTALECIMIENTO DE LA PRIMERA LÍNEA DE DEFENSA (3/6)
• RIESGO DE TIC: IDENTIFICAR, EVALUAR, PRIORIZAR SU CIBERSEGURIDAD (4/6)
• CONSTRUCCIÓN DE UNA DEFENSA FUERTE (5/6)
• NOTIFICACIÓN PARA LA RESILIENCIA (6/6)