La Ley de Resiliencia Operativa Digital (DORA) entró en vigor el 17 de enero, con unas directrices exhaustivas y un marco normativo detallado sobre cómo todas las entidades de servicios financieros que operan en la Unión Europea deben garantizar la resiliencia de los datos frente a interrupciones imprevistas.
La DORA también reconoce una realidad ampliamente aceptada por los profesionales de la ciberseguridad: ya no se trata de si se producirá un ciberataque, sino de cuándo. Esta legislación fundamental aporta un nuevo nivel de rigor y responsabilidad al sector de los servicios financieros, que seguirá evolucionando para salvaguardar la estabilidad de la UE y del ecosistema financiero mundial.
Actualmente, muchos sectores de la industria de los servicios financieros, más allá de los bancos tradicionales y las entidades de crédito, están sujetos a la DORA, entre ellos los proveedores de servicios de pago, las empresas de inversión, los centros de negociación, las aseguradoras y los proveedores externos de servicios de tecnologías de la información y la comunicación (TIC).
Es posible que aquellas entidades que se enfrenten por primera vez a este nivel de regulación tengan dificultades para cumplir con la normativa, tal y como puso de manifiesto el «ejercicio de simulación» DORA de los reguladores financieros europeos.¹ Además, es probable que se enfrenten a un mayor escrutinio por parte de clientes, socios y otras partes interesadas interconectadas, que lo considerarán un nuevo riesgo operativo. El incumplimiento ya no supone únicamente la posibilidad de una multa muy elevada, sino también un daño a la reputación y una responsabilidad civil para la empresa, sus directivos y sus socios.
Aunque aún está por ver con qué rapidez actuarán los reguladores financieros, la DORA supone un cambio: se pasa de las directrices sobre la Readiness de los datos y la ciberresiliencia a la aplicación efectiva de las mismas. Dado el carácter amplio de la DORA, que amplía significativamente la regulación financiera de la UE en materia de TI, los reguladores, que carecen de conocimientos especializados y recursos ilimitados, pueden encontrarse con dificultades a la hora de hacer cumplir todos los aspectos de la DORA de forma inmediata. Como consecuencia, es probable que los reguladores adopten un enfoque selectivo, centrándose en las áreas de incumplimiento más críticas y visibles.
Qué es lo que las entidades financieras están priorizando
Una de las principales prioridades para el cumplimiento de la normativa DORA es la presentación de registros de información precisos y que cumplan con los requisitos técnicos. Las autoridades reguladoras financieras han destacado que los registros serán uno de los principales ejes de la aplicación de la normativa, y esperan que las organizaciones los presenten a principios de 2025. Presentar un registro preciso que detalle los proveedores de TI más importantes de la organización puede resultar más beneficioso que presentar información incompleta sobre todos sus proveedores de TI.2
Para los responsables de protección de datos y los directores de sistemas de información (CIO), la DORA supone un llamamiento a la acción para examinar los sistemas heredados y valorar si son capaces de hacer frente a las ciberamenazas actuales y de ofrecer el rendimiento necesario para una recuperación eficiente y rápida de los servicios.
Más allá de identificar y catalogar los sistemas, aplicaciones y cargas de trabajo clave junto con sus respectivos proveedores de TIC, las organizaciones deben analizar detenidamente las capacidades fundamentales que protegen, defienden y recuperan dichos sistemas. Entre las capacidades críticas se incluyen:
- Protección de datos y recuperación
cibernética: Las capacidades de Recovery rápido son esenciales en el marco de la DORA para minimizar el impacto operativo de un ataque. La única forma de alcanzar el RTO más estricto y ultracorto que se exige para los sistemas críticos es llevar a cabo la recuperación mediante instantáneas inmutables basadas en almacenamiento. Estas instantáneas deben almacenarse de forma segura en un repositorio aislado (o con aislamiento físico virtual).
- Detección
temprana de amenazas: identificar y resolver las posibles ciberamenazas lo antes posible es un aspecto importante de la protección de datos y la Readiness. La capacidad de analizar continuamente los datos para detectar anomalías e identificar amenazas como el ransomware y el malware en tiempo real, así como de automatizar la resolución, es esencial para contener más rápidamente un ataque.
- Entornos de recuperación aislados (IRE) o salas blancas para pruebas
de resiliencia. La creación de un IRE totalmente autónomo, en el que se puedan restaurar los datos para su análisis forense y de aplicaciones, y validar que están «limpios» antes de volver a la producción, agiliza la recuperación. Los IRE también permiten a las organizaciones probar y mejorar continuamente las prácticas de recuperación cibernética para garantizar la Readiness de la organización.
- Escalabilidad y rendimiento
Las empresas seguirán desarrollando sus servicios, se enfrentarán a nuevos requisitos normativos y tendrán que hacer frente a las ciberamenazas emergentes. Es importante tener en cuenta la capacidad de una solución para adaptarse a medida que cambian los requisitos de datos en entornos distribuidos e híbridos, al tiempo que se mantienen velocidades de alto rendimiento para la protección y la Recovery de datos.
Cumplimiento con confianza
Las organizaciones que tarden en establecer capacidades sólidas para cumplir con la DORA y otras normativas en materia de resiliencia que están en constante evolución —como la PSD2, la NIS2, la norma CPS 230 de la APRA y la Ley Europea de Ciberresiliencia, que entrará en vigor en 2026— pueden verse abocadas a afrontar retos cada vez mayores. Además, pueden encontrarse en una situación de desventaja competitiva frente a las empresas que puedan demostrar su capacidad para mantener la resiliencia ante las perturbaciones que se produzcan en el ecosistema financiero mundial.
Colaborar con socios que comprendan los requisitos de resiliencia establecidos por la normativa e implementar soluciones sólidas puede ayudar a las organizaciones a cumplir con la normativa y a estar mejor preparadas para hacer frente a los nuevos retos normativos y proteger su entorno de datos frente a las amenazas emergentes.
Pure Storage y Commvault se han unido para crear una solución conjunta, de diseño modular, que ayuda a las entidades financieras a mejorar sus prácticas de ciberresiliencia y a abordar los pilares clave de la DORA en materia de respuesta ante incidentes y pruebas de resiliencia. La solución se ha desarrollado integrando las capacidades líderes en ciberresiliencia de Commvault Cloud con la plataforma de Pure Storage, altamente segura y de alto rendimiento. Obtenga más información sobre la solución y nuestro compromiso con la ciberresiliencia aquí.
¿Estás preparado cibernéticamente?
La preparación refleja una ciberresiliencia madura, en la que la tecnología, las personas y los procesos funcionan a la perfección para permitir la continuidad del negocio ante cualquier desafío cibernético. Evalúa la ciberresiliencia de tu organización con la Evaluación de Madurez Cibernética de Commvault.
1. Principales conclusiones del ejercicio de simulación de las Autoridades de Supervisión Europeas (ESA) de 2024, Autoridad Bancaria Europea, 17 de diciembre de 2024.
2. Cuenta atrás para la entrada en vigor de la DORA: cuatro puntos clave de las declaraciones de los organismos reguladores en diciembre, Skadden, Arps, Slate, Meagher & Flom, LLP, 3 de enero de 2025
