Soporte y soluciones para la normativa DORA con Citrix

A partir de enero de 2025, se implementará la directiva obligatoria DORA de ciberseguridad. Esta normativa tiene por objetivo garantizar que el sector financiero en Europa sea capaz de responder de forma sólida en caso de una disrupción operativa severa, creando un marco normativo sobre la resiliencia operativa digital.

La importancia de la ciberseguridad crece a medida que aumentan las amenazas. Los legisladores exigen cada vez más a las empresas que mejoren la protección de sus negocios y clientes. No esperes hasta el último minuto o será demasiado tarde. Actuemos juntos y aseguremos tu cumplimiento de la próxima normativa DORA.

La Ley de Resiliencia Operativa Digital, o DORA, es un reglamento de la Unión Europea (UE) que crea un marco vinculante y exhaustivo para la gestión de los riesgos de las tecnologías de la información y la comunicación (TIC) en el sector financiero de la UE. El reglamento DORA establece las normas técnicas que las entidades financieras y sus terceros proveedores de servicios tecnológicos críticos deben implantar en sus sistemas TIC antes del 17 de enero de 2025.

DORA nace como respuesta al riesgo cada vez mayor de ciberataques. La EU está reforzando la seguridad de las TIC (Tecnologías de la Información y la Comunicación) de los bancos, compañías de seguros y empresas de servicios de inversión. Como parte de estas medidas, el Parlamento Europeo (EP) y el Consejo han aprobado el Reglamento de Resiliencia Operativa Digital (DORA) que vuelve a incidir en buena parte de los requerimientos establecidos en las Guías de la EBA sobre TIC y Outsourcing, añadiendo nuevos requisitos o reforzando algunos de los ya existentes.

DORA se aplica a todas las instituciones financieras de la UE. Esto incluye entidades financieras tradicionales, como bancos, empresas de inversión y entidades de crédito, y entidades no tradicionales como proveedores de servicios de TIC.

Líderes responsables

DORA responsabiliza al órgano de dirección de una entidad de la gestión de las TIC. Se espera que los miembros del Consejo de Administración, los líderes ejecutivos y otros altos directivos definan estrategias adecuadas de gestión de riesgos, colaboren activamente en su ejecución y se mantengan al día en su conocimiento del panorama de riesgos de las TIC.Los líderes también pueden ser considerados personalmente responsables del incumplimiento de una entidad.

Notificación de incidentes

Las entidades cubiertas deben establecer sistemas de supervisión, gestión, registro, clasificación y notificación de incidentes relacionados con las TIC. En función de la gravedad del incidente, las entidades pueden tener que presentar informes tanto a los reguladores como a los clientes y socios afectados. Las entidades deberán presentar tres tipos diferentes de informes en caso de incidentes críticos: un informe inicial de notificación a las autoridades, un informe intermedio sobre los avances hacia la resolución del incidente y un informe final que analice las causas profundas del incidente.

Pruebas de resiliencia operativa digital

Las entidades deben probar periódicamente sus sistemas TIC para evaluar la solidez de sus protecciones e identificar ‌vulnerabilidades. Los resultados de estas pruebas, así como los planes para subsanar las deficiencias que detecten, serán comunicados a las autoridades competentes pertinentes y validados por ellas.

Gestión de riesgos de terceros

Un aspecto único de DORA es que no solo se aplica a las entidades financieras, sino también a los proveedores de TIC que prestan servicios al sector financiero.

Se espera que las empresas financieras asuman un papel activo en la gestión del riesgo de las TIC frente a terceros.

Intercambio de información

Las entidades financieras deben establecer procesos para aprender de los incidentes relacionados con las TIC, tanto internos como externo. Con este fin, el reglamento DORA anima a las entidades a participar en acuerdos voluntarios de intercambio de inteligencia sobre amenazas.