Unión Europea
DORA — Reglamento de Resiliencia Operativa Digital
El Reglamento de Resiliencia Operativa Digital, Reglamento (UE) 2022/2554, se aplica a las entidades financieras de la Unión Europea desde el 17 de enero de 2025. Les exige gestionar el riesgo relacionado con las TIC bajo un marco documentado, clasificar y notificar los incidentes graves relacionados con las TIC en plazos fijos, poner a prueba su resiliencia digital, controlar el riesgo derivado de los proveedores terceros de servicios de TIC y mantener un registro de información sobre esos acuerdos, y somete a los proveedores terceros esenciales de servicios de TIC a una supervisión directa.
DORA pide a las entidades financieras que demuestren su resiliencia, no que la describan. DECIMA produce esa demostración a partir de los sistemas que ya están en funcionamiento.
De un vistazo
- Emitido por
- Parlamento Europeo y Consejo, Reglamento (UE) 2022/2554, con normas técnicas de las Autoridades Europeas de Supervisión
- Se aplica a
- Bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos y otras entidades financieras de la UE, junto con sus proveedores terceros de servicios de TIC
- En vigor
- Se aplica desde el 17 de enero de 2025
- Supervisado por
- Las autoridades nacionales competentes, con las AES supervisando a los proveedores terceros esenciales de servicios de TIC
Qué exige el mandato
Las obligaciones tal como las enuncia la norma, en el orden en que un programa las cumple.
01
Marco de gestión del riesgo relacionado con las TIC
Un marco documentado y aprobado por el órgano de dirección que cubra la identificación, la protección, la detección, la respuesta y la recuperación de todos los activos de TIC, revisado al menos una vez al año.
02
Notificación de incidentes relacionados con las TIC
Incidentes graves clasificados según criterios comunes y notificados a la autoridad competente: una notificación inicial en las cuatro horas siguientes a la clasificación y, a más tardar, 24 horas después de tener conocimiento del incidente, un informe intermedio en 72 horas y un informe final en el plazo de un mes.
03
Pruebas de resiliencia operativa digital
Un programa anual de pruebas para todos los sistemas de TIC esenciales y pruebas de penetración basadas en amenazas al menos cada tres años para las entidades que designe la autoridad.
04
Riesgo de terceros relacionado con las TIC
Contratos con proveedores de servicios de TIC que contengan las cláusulas obligatorias, evaluación del riesgo de concentración, estrategias de salida establecidas y un registro de información sobre todos los acuerdos con proveedores terceros de servicios de TIC, mantenido y presentado a petición.
05
Intercambio de información
Acuerdos para intercambiar información sobre ciberamenazas con otras entidades financieras, dentro de comunidades de confianza.
Cómo lo evidencia DECIMA
Cada requisito se responde desde sistemas en vivo con un registro fechado y reverificable, no con un cuestionario cumplimentado para la evaluación.
Controles del marco leídos de forma continua
Los controles que nombra el marco de gestión del riesgo relacionado con las TIC se leen periódicamente de los sistemas que los operan, y cada lectura se almacena con su marca de tiempo y la versión del marco, de modo que la revisión anual es un informe sobre el año.
Plazos de incidentes cumplidos desde el registro
Los incidentes se clasifican según los criterios de DORA a partir de la evidencia que DECIMA ya conserva, y las notificaciones inicial, intermedia y final se redactan a partir de ese registro dentro de los plazos de cuatro horas, 72 horas y un mes.
Registro de información mantenido al día
Los acuerdos con proveedores terceros de servicios de TIC, sus cláusulas contractuales y su concentración se conservan como registros estructurados y se exportan en el formato que solicite la autoridad.
Pruebas evidenciadas mientras se ejecutan
Las pruebas de resiliencia y las pruebas de penetración basadas en amenazas se registran con su alcance, hallazgos y remediación, vinculadas a los controles que ejercitaron.
04
Preguntas que hacen los compradores
Respuestas breves que puede citar.
Asigne este mandato a sus propios controles
Tráiganos un requisito y un sistema; le mostraremos el mismo control como declaración de política y como veredicto fechado y reverificable.
Hable con nosotros