Pese a que la Ley DORA entró en vigor hace dos años, el 16 de enero de 2023, se concedió el habitual periodo de adaptación de dos años, que concluía ayer. Desde hoy, el sector financiero tiene que disponer de una serie de medidas ya en funcionamiento orientadas a mejorar su protección frente a posibles ciberataques y amenazas cibernéticas graves.

Este nuevo Reglamento de la UE busca mejorar la seguridad informática de las entidades financieras, como bancos, aseguradoras o empresas de inversión, y garantizar a todos los clientes de la Unión Europea que todos ellos van a mantener su resiliencia operativa frente a perturbaciones operativas graves. Es decir, la UE busca que los bancos puedan continuar ofreciendo sus servicios con cierta normalidad, incluso cuando están siendo atacados. Se estima que se va a aplicar hasta a 20 tipos diferentes de entidades financieras y proveedores externos de servicios TIC, consolidando un importante punto de inflexión en el sector.

Un marco legal que se adecúa al creciente número de ciberamenazas

La entrada en vigor de la Ley DORA es una muy buena noticia para todos los clientes, ofreciendo una respuesta al aumento de las amenazas y los riesgos que se encuentran actualmente en el ámbito digital. Durante los últimos meses, hemos sido testigos de cómo las distintas amenazas a las que están expuestas las entidades bancarias han dejado sin servicio de forma temporal a gran parte de sus clientes. Con las consecuencias que ello puede llegar a provocar si tenemos en cuenta la sensibilidad de la información con la que trabajan las empresas de este sector.

La Unión Europea ha buscado la forma de ofrecer una respuesta conjunta a los clientes cuando sus entidades se ven atacadas. Y, para ello, establece una serie de acciones de obligado cumplimiento:

• Las entidades financieras están obligadas a reforzar sus sistemas de seguridad para disuadir y estar prevenidas ante cualquier intento de ataque.
• Si se produce, deberán informar a sus clientes sin demora.
• No solo se debe actuar de forma proactiva, sino que se deben realizar pruebas de manera preventiva que pongan a prueba la resistencia de los sistemas diseñados para su protección.
• Se debe mejorar la coordinación entre las entidades y las autoridades de supervisión de la gestión de incidentes.

Un sistema de sanciones disuasorio

Como cualquier otro marco legal, el incumplimiento del mismo también acarreará un sistema de sanciones que variará en función de la gravedad y de la afectación del ataque en cuestión. Pese a que no se contempla la cuantía, puesto que se deberán estudiar de forma personalizada cada caso, sí que se afirma que las sanciones serán efectivas, proporcionadas y disuasorias, como es habitual en los procesos sancionadores que fija la Unión Europea en otros muchos ámbitos.

Europa se encuentra ahora ante el primer marco legal en común para proteger al sistema bancario de uno de los grandes riesgos a los que se ha tenido que enfrentar durante los últimos años, como son los ciberataques. Las bandas criminales, conscientes del rédito que pueden sacar de sus bases de datos, tienen en este sector uno de sus grandes objetivos, por lo que aumentar la seguridad de todos los agentes de este ámbito y proteger la resiliencia de los mismos era un paso necesario para diseñar la infraestructura bancaria europea del futuro.

Desde el INCIBE se recuerda que están obligados a acatarla e implementarla:

1. Bancos: tanto bancos comerciales como bancos de inversión.
2. Compañías de seguros: compañías que ofrecen servicios de seguros de diferentes tipos.
3. Gestores de fondos: entidades que administran y gestionan fondos de inversión.
4. Sociedades de valores: empresas que ofrecen servicios de intermediación y negociación de valores.
5. Plataformas de negociación: plataformas electrónicas que facilitan la compra y venta de instrumentos financieros.
6. Proveedores de servicios de compensación y liquidación de valores: entidades encargadas de la compensación y liquidación de transacciones de valores.
7. Agencias de calificación crediticia: entidades que emiten evaluaciones y calificaciones sobre la solvencia crediticia de entidades financieras y emisores de valores.

Fuentes:

https://www.adslzone.net/noticias/fintech/normativa-europea-financiera-dora/

https://www.metacompliance.com/es/blog/cyber-security-awareness/what-is-the-digital-operational-resilience-act-dora

https://www.entrust.com/es/resources/learn/dora