El Reglamento Europeo sobre la resiliencia operativa digital del sector financiero se conoce como DORA. Este marco busca garantizar que las operaciones cada vez más dependientes de las Tecnologías de la Información (TIC) estén protegidas frente a amenazas como los ciberataques.
Reestructuración del marco de gestión de riesgos
Hasta el momento, los riesgos cibernéticos que afectaban al sector financiero se abordaban de forma fragmentada. El DORA busca unificar y facilitar la aplicación de un marco para mantener el control del riesgo relacionado con las TIC.
Requisitos para las entidades financieras
Las entidades financieras deben desarrollar capacidades globales para gestionar eficazmente los riesgos tecnológicos. Deben tener mecanismos específicos para manejar incidentes relacionados con las TIC y notificar aquellos que sean graves.
Notificación de incidentes graves
El DORA se centra especialmente en la notificación de incidentes graves relacionados con las TIC. Busca armonizar y racionalizar el proceso de notificación, ampliando las obligaciones a todas las entidades financieras.
Procedimiento de notificación
Las empresas enfrentan múltiples requisitos para la notificación de incidentes relacionados con las TIC. El DORA pretende facilitar el cumplimiento al armonizar las plantillas de notificación y definir condiciones que desencadenen dicha obligación.
Coordinación entre autoridades
Las empresas de servicios financieros deberán proporcionar a sus autoridades nacionales competentes la información necesaria mediante mecanismos específicos. Las autoridades de supervisión, como la EBA, EIOPA, ESMA y el Comité Mixto de Autoridades Supervisoras, están en proceso de consultas con ENISA para establecer un marco armonizado y simplificado.
Detalles del procedimiento
Este marco permitirá a las entidades financieras implementar un proceso de gestión de incidentes que facilite la detección, gestión y notificación a la autoridad competente. El proceso incluirá una notificación inicial, un informamiento intermedio y un informe final.
Notificaciones voluntarias
Las entidades podrán notificar voluntariamente a la autoridad competente sobre ciberamenazas significativas. El Banco Central Europeo y ENISA están desarrollando proyectos para especificar con mayor detalle los parámetros relacionados con los ciberincidentes.
Definición de criterios
Entre ellos se incluyen los umbrales de gravedad, criterios para evaluar la importancia de los incidentes graves, umbrales de probabilidad para identificar amenazas significativas y el contenido de las notificaciones. Estos proyectos definirán también los elementos que deben contener las notificaciones, cuáles son relevantes para otros Estados miembros, así como los plazos para la notificación inicial y los informes obligatorios.
Plazos de consulta
El periodo de consultas para establecer la clasificación de los incidentes finaliza en enero de 2024. El plazo para definir el procedimiento de notificación se extiende hasta junio del mismo año.