En un mundo cada vez más interconectado, nunca está de más destacar la importancia de contar con marcos normativos sólidos para aumentar la estabilidad y la seguridad de los sistemas financieros. La Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea constituye un avance normativo significativo destinado a mejorar la resiliencia operativa de las entidades financieras. En este blog se analiza cómo se compara la DORA con otras normativas importantes a nivel mundial, destacando sus características singulares y las implicaciones más amplias para el sector financiero.
Entender DORA
La Comisión Europea presentó la DORA como parte del Paquete de Finanzas Digitales en septiembre de 2020. Su objetivo principal es mejorar la capacidad de las entidades financieras para resistir, responder y recuperarse de todo tipo de perturbaciones y amenazas relacionadas con las TIC. La DORA se aplica a una amplia gama de entidades financieras, entre las que se incluyen bancos, compañías de seguros, empresas de inversión y proveedores externos de servicios de TIC.
Entre los componentes clave de DORA se incluyen:
- ICT risk management: Financial entities must implement comprehensive ICT risk management frameworks to identify, assess, and mitigate risks.
- Incident reporting: Mandatory reporting of significant ICT-related incidents to competent authorities.
- Digital operational resilience testing: Regular testing of ICT systems to enable resilience against disruptions.
- Third-party risk management: Enhanced oversight of third-party ICT service providers to hold them to resilience standards.
- Information sharing: Encouragement of information sharing among financial entities to improve collective resilience.
Comparación de DORA con otras normativas y las mejores prácticas del sector
1. Marco de ciberseguridad del NIST (Estados Unidos)
El Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) es un marco de carácter voluntario que ofrece directrices para gestionar y reducir los riesgos de ciberseguridad. Aunque no constituye un requisito normativo, es ampliamente adoptado por las entidades financieras estadounidenses.
- Scope: Unlike DORA, which is mandatory for EU financial entities, the NIST framework is voluntary and can be applied to any industry.
- Focus: Both frameworks focus on broader cybersecurity risk management practices, with DORA placing significantly more focus on operational resilience.
- Incident reporting: DORA mandates incident reporting, while NIST encourages it but does not require it.
2. RGPD (Unión Europea)
El Reglamento General de Protección de Datos es otra normativa importante de la UE, centrada principalmente en la protección de datos y la privacidad.
- Scope: GDPR applies to all organizations processing personal data of EU citizens, while DORA is specific to financial entities.
- Focus: GDPR emphasizes data protection and privacy, whereas DORA focuses on operational resilience and ICT risk management.
- Incident reporting: Both regulations require incident reporting, but GDPR focuses on personal data breaches, while DORA covers a broader range of ICT incidents.
3. Basilea III (a nivel mundial)
Basilea III es un conjunto global de normas reguladoras internacionales elaborado por el Comité de Supervisión Bancaria de Basilea con el fin de reforzar la regulación, la supervisión y la gestión de riesgos en el sector bancario. La UE está aplicando el marco de Basilea III a partir del 1 de enero de 2025, mientras que es probable que su aplicación en Estados Unidos y el Reino Unido se retrase.
- Scope: Basel III is specific to internationally active banks, while DORA applies to a wider range of financial entities.
- Focus: Basel III focuses on capital adequacy, stress testing, and market liquidity risk, whereas DORA focuses on ICT risk management. Both address operational resilience.
- Incident reporting: Basel III does not specifically mandate ICT incident reporting, unlike DORA.
4. Marco de resiliencia operativa de la FCA (Reino Unido)
La Autoridad de Conducta Financiera del Reino Unido cuenta con su propio marco de resiliencia operativa, que presenta similitudes con el de DORA.
- Scope: Both frameworks apply to financial entities, but the FCA framework is specific to the UK.
- Focus: Both frameworks emphasize operational resilience, but DORA has a broader scope, including third-party risk management and information sharing.
- Incident reporting: Both frameworks require incident reporting, but DORA has more detailed requirements.
Repercusiones para el sector financiero
La introducción de la DORA supone un paso importante hacia la mejora de la resiliencia operativa de las entidades financieras de la UE. Al exigir una gestión integral de los riesgos relacionados con las TIC, pruebas periódicas de resiliencia y un sistema sólido de notificación de incidentes, la DORA tiene por objeto mitigar el impacto de las interrupciones relacionadas con las TIC en el sistema financiero.
Para las entidades financieras que operan a nivel mundial, el cumplimiento de múltiples marcos normativos puede suponer un reto. Sin embargo, los principios de la DORA se ajustan a numerosas normativas vigentes y a las mejores prácticas del sector, como el Marco de Ciberseguridad del NIST y el Marco de Resiliencia Operativa de la FCA. Esta alineación puede facilitar un enfoque más integrado de la gestión de los riesgos de las TIC y la resiliencia operativa. Siempre que se aborden las principales capacidades exigidas por la DORA, las entidades financieras siguen teniendo libertad para utilizar modelos de gestión de riesgos de las TIC que estén estructurados o categorizados de forma diferente.
Conclusión
La DORA establece un alto nivel de exigencia en materia de resiliencia operativa en el sector financiero, gracias a su enfoque integral de la gestión de riesgos de las TIC, la notificación de incidentes y la supervisión de terceros. Aunque presenta similitudes con otras normativas, su carácter obligatorio y su amplio alcance la convierten en un marco normativo único e influyente. A medida que el panorama normativo mundial sigue evolucionando, las entidades financieras deben mantenerse informadas y adaptarse para garantizar el cumplimiento normativo y la resiliencia en un mundo cada vez más digital.
Obtén más información sobre cómo prepararte para la Ley de Resiliencia Operativa Digital en nuestra serie de blogs Explorando la DORA:
- Resumen de la Ley de Resiliencia Operativa Digital
- 9 pasos para cumplir con la normativa
- Comprender el panorama normativo mundial
- Aumentar la resiliencia: estrategias de Recovery cibernético en el marco de la DORA
- El papel de la gestión de datos en el cumplimiento normativo
- Gestión de riesgos y DORA: Prepararse para lo inesperado
