Durante años, la ciberseguridad del sector financiero se reguló de forma indirecta y dispersa. Cada país tenía sus reglas y los proveedores tecnológicos quedaban casi siempre fuera del foco normativo. El DORA ha terminado con esa situación.
El reglamento DORA es la norma europea que unifica y endurece las exigencias de resiliencia digital para todo el sector financiero. Y por primera vez, mete de lleno en la ecuación a los proveedores de servicios tecnológicos. Si tus clientes son bancos, aseguradoras, fintech o si trabajas con alguno de ellos, esto te afecta.
Para el canal IT, el DORA no es solo una obligación normativa que cae sobre sus clientes, es una oportunidad clara de posicionarse como el partner que les ayuda a cumplir. Backup, continuidad de negocio y gestión del riesgo tecnológico pasan a ser servicios exigidos por ley.
En Tech2Business trabajamos con servicios de data center que ayudan al partner a dar respuesta a las exigencias de resiliencia del DORA.
¿Qué es el DORA y por qué se ha creado?
El DORA (Digital Operational Resilience Act) es el Reglamento (UE) 2022/2554, una norma europea de obligado cumplimiento cuyo objetivo es reforzar la resiliencia operativa digital del sector financiero. En otras palabras, garantizar que las entidades financieras puedan prevenir, resistir y recuperarse ante cualquier incidente tecnológico, con planes de disaster recovery probados.
Tras la crisis de 2008, la regulación reforzó la estabilidad financiera, pero apenas tocó los riesgos relacionados con la tecnología. Con la digitalización del sector, un fallo informático o un ciberataque puede tener el mismo impacto que una crisis económica. El DORA se encarga de poner orden en ese terreno.
Qué regula el reglamento DORA
La normativa DORA establece requisitos uniformes sobre la seguridad de las redes y los sistemas de información que sostienen la actividad financiera. Unifica bajo una sola norma la gestión del riesgo tecnológico, la notificación de incidentes, las pruebas de resiliencia y el control de los proveedores.
Desde cuándo es de obligado cumplimiento
El DORA es plenamente aplicable y exigible desde el 17 de enero de 2025. No es un marco voluntario ni una recomendación. Es legislación dura, supervisada por las autoridades europeas y con sanciones relevantes en caso de incumplimiento.
¿A qué empresas del sector financiero afecta el DORA?
El DORA tiene un alcance muy amplio. Se calcula que más de 22.000 entidades en toda la Unión Europea están sujetas a sus requisitos. Y aquí está la novedad que abre la oportunidad para el canal: no solo afecta a las entidades financieras, también a sus proveedores tecnológicos.
Entidades financieras obligadas
El reglamento aplica el principio de proporcionalidad, adaptando las exigencias al tamaño y perfil de riesgo de cada entidad. Entre las obligadas están:
- Entidades de crédito: bancos tradicionales y bancos digitales.
- Aseguradoras y reaseguradoras: compañías de seguros e instituciones de jubilación profesional.
- Empresas de inversión: sociedades gestoras de cartera y asesores financieros.
- Entidades de pago: entidades de dinero electrónico y proveedores de servicios de pago.
- Infraestructuras de mercado: cámaras de compensación y sistemas de liquidación.
Los proveedores tecnológicos también entran en el DORA
Por primera vez, los prestadores de servicios TIC entran en el ámbito de una norma financiera. Proveedores cloud, operadores de centros de datos, empresas de telecomunicaciones y proveedores de tecnología para el sector financiero pueden ser designados proveedores críticos.
Muchos de ellos operan bajo distintos modelos de servicio cloud computing que determinan su nivel de responsabilidad. Para el canal IT que trabaja con clientes financieros, esto significa que el cumplimiento del DORA es ahora parte de la conversación comercial.
¿Qué exige el reglamento DORA en materia de resiliencia?
La normativa DORA se organiza en cinco pilares fundamentales. Conocerlos permite al partner identificar en qué puntos puede aportar soluciones concretas a sus clientes.
Gestión del riesgo de las TIC
Las entidades deben establecer y mantener un marco sólido para identificar, proteger, detectar y mitigar los riesgos tecnológicos. Incluye copias de seguridad, planes de recuperación y medidas de protección de los sistemas.
Notificación de incidentes
Obligación de reportar los incidentes tecnológicos graves a las autoridades, usando plantillas armonizadas y dentro de plazos definidos. La entidad necesita procesos y herramientas para detectar, clasificar y comunicar los incidentes.
Pruebas de resiliencia operativa digital
Se exigen pruebas periódicas de resiliencia, incluidas pruebas de penetración. No basta con tener medidas de seguridad. Hay que demostrar que funcionan.
Control de proveedores tecnológicos críticos
Las entidades deben gestionar y supervisar el riesgo que asumen al depender de terceros tecnológicos. Esto obliga a revisar contratos, acuerdos de nivel de servicio y planes de continuidad con cada proveedor.
Este enfoque de resiliencia integral empieza por una buena copia de seguridad en la nube para empresas, y lo están adoptando cada vez más empresas dentro y fuera del sector financiero.
¿Cómo puede el canal IT ayudar a sus clientes a cumplir el DORA?
El DORA convierte en obligación legal muchos de los servicios que el canal IT ya ofrece. El partner que sabe traducir los requisitos del reglamento en soluciones concretas tiene una ventaja comercial enorme.
- Backup y recuperación: la gestión del riesgo TIC exige copias de seguridad fiables y planes de recuperación probados. El partner puede ofrecer backup inmutable y disaster recovery como respuesta directa.
- Continuidad de negocio: las pruebas de resiliencia requieren infraestructura replicada y capacidad de recuperación. Un servicio de continuidad gestionado cubre esta exigencia.
- Monitorización y detección: la notificación de incidentes obliga a detectarlos primero. La monitorización continua y las soluciones de detección son la base.
- Infraestructura certificada: apoyarse en proveedores con certificaciones e infraestructura de máximo nivel facilita a la entidad demostrar el control de sus proveedores críticos.
Del cumplimiento del DORA al servicio recurrente con Tech2Business
El DORA no se cumple una vez y se olvida. Exige gestión continua, pruebas periódicas y actualización constante. Eso lo convierte en la base perfecta para un servicio recurrente.
En Tech2Business trabajamos con infraestructuras cloud de máximo nivel (Data Center Tier IV, certificación ENS Alta, ISO 27001), backup inmutable y soluciones de continuidad de negocio que ayudan al partner a dar servicio a clientes sujetos al DORA. Acompañamos en el dimensionamiento, la propuesta comercial y el soporte técnico en cada fase. El proyecto de tu cliente es nuestro proyecto.
