El DORA se aplica a una amplia gama de 20 tipos de entidades financieras, incluyendo bancos, empresas de seguros y reaseguros, instituciones de planes de pensiones profesionales, intermediarios de seguros y reaseguros, empresas de inversión, plataformas de negociación, proveedores de servicios de financiamiento participativo (crowdfunding), entidades de pago e instituciones de dinero electrónico.
La supervisión se adaptará al perfil de riesgo, tamaño, escala y complejidad de las actividades desarrolladas por estas entidades.
Entre las principales obligaciones, destaca la clasificación y notificación obligatoria de incidentes graves relacionados con TIC a partir del 17 de enero de 2025.
Las entidades financieras también deberán poner a disposición de las autoridades competentes, a principios de 2025, los registros de los contratos con terceros proveedores de servicios de TIC.
Las autoridades nacionales tendrán hasta el 30 de abril de 2025 para remitir esta información a las Autoridades Europeas de Supervisión (EBA, EIOPA y ESMA).
El DORA se estructura en seis áreas fundamentales:
- Gestión de riesgos de TIC: principios y requisitos del marco de gestión de riesgos TIC;
- Gestión de riesgos TIC de terceros: monitorización de riesgos de proveedores externos y disposiciones contractuales específicas;
- Incidentes de TIC: requisitos generales y notificación de incidentes graves relacionados con TIC a las autoridades competentes;
- Pruebas de resiliencia: pruebas básicas y avanzadas para todas las instituciones, al menos cada tres años;
- Intercambio de información: intercambio de información sobre ciber amenazas; y
- Supervisión de terceros proveedores críticos de servicios TIC a través de una estructura de supervisión propia.
Cabe destacar que las normas técnicas y directrices emitidas por las Autoridades Europeas de Supervisión en enero y julio de 2024 también entraron en vigor el 17 de enero de 2025.
El y de de recomienda que las entidades refuercen su seguridad digital y adopten medidas para el cumplimiento del DORA, garantizando así su capacidad de respuesta y recuperación ante incidentes graves asegurando la continuidad de sus operaciones.
Estamos a su entera disposición para ofrecer el apoyo necesario en este proceso de adaptación y para proporcionar cualquier aclaración o asesoramiento adicional sobre este tema.