¿Quién debe cumplir con la normativa DORA?

La normativa DORA (Digital Operational Resilience Act) representa un hito en la estrategia de la Unión Europea para fortalecer la resiliencia operativa digital del sector financiero. Aunque DORA entró en vigor el 16 de enero de 2023, sus principales disposiciones serán aplicables a partir del 17 de enero de 2025. DORA tiene como objetivo garantizar que todas las entidades financieras estén adecuadamente preparadas para gestionar los desafíos que plantean las amenazas cibernéticas y las interrupciones tecnológicas. Pero, ¿quién exactamente está obligado a cumplir con esta normativa? En este artículo, exploraremos el ámbito de aplicación de DORA e identificaremos las entidades obligadas a adherirse a sus requisitos.

1. Entidades Financieras Reguladas

DORA se aplica a una amplia gama de entidades financieras que operan dentro de la Unión Europea. Estas incluyen:

• Bancos: Todas las instituciones de crédito sujetas a la Directiva de Requisitos de Capital (CRD IV).
• Empresas de Inversión: Compañías que brindan servicios de inversión a clientes, incluidas las reguladas por MiFID II.
• Compañías de Seguros y Reaseguros: Incluyendo empresas que operan en los ramos de vida y no vida.
• Instituciones de Pago e Instituciones de Dinero Electrónico: Reguladas por la Directiva de Servicios de Pago (PSD2).
• Fondos de Inversión: Incluyendo UCITS y FIA (Fondos de Inversión Alternativos).
• Sociedades de Gestión de Activos: Que gestionan fondos en nombre de inversores.
• Infraestructuras del Mercado Financiero: Como contrapartes centrales, depositarios centrales de valores y operadores de mercados regulados.

2. Proveedores Terceros de Servicios TIC Críticos

Además de las entidades financieras tradicionales, DORA extiende su aplicación a proveedores terceros de servicios TIC que ofrecen servicios críticos a instituciones financieras. Estos incluyen:

• Proveedores de Servicios en la Nube: Que ofrecen infraestructura, plataformas o software como servicio.
• Proveedores de Servicios de Análisis de Datos: Que gestionan o procesan datos financieros sensibles.
• Proveedores de Servicios de Red y Comunicación: Que aseguran la conectividad y la seguridad de las comunicaciones.
• Otros Proveedores de Servicios TIC: Que suministran software, hardware o servicios relacionados esenciales para las operaciones financieras.

3. Terceras Partes y Externalización

La normativa reconoce la importancia de gestionar el riesgo asociado a la externalización y al uso de proveedores terceros. Las entidades financieras deben:

• Evaluar los riesgos asociados con los proveedores terceros de servicios TIC.
• Monitorear continuamente el rendimiento y el cumplimiento de los proveedores.
• Establecer acuerdos contractuales claros, definiendo roles, responsabilidades y requisitos de resiliencia.

4. Autoridades de Supervisión y Regulación

Las autoridades competentes a nivel nacional y europeo tienen la tarea de:

• Supervisar el cumplimiento de las entidades reguladas con la normativa DORA.
• Realizar evaluaciones periódicas sobre la resiliencia operativa digital del sector.
• Imponer sanciones en caso de incumplimiento o violaciones significativas.

5. PYMES y Entidades Menores

Si bien DORA tiene una amplia aplicabilidad, también reconoce el principio de proporcionalidad. Las pequeñas y medianas empresas (PYMES) y las entidades con un perfil de riesgo menor pueden beneficiarse de requisitos adaptados según su tamaño y complejidad operativa.

Conclusión

La normativa DORA representa un paso crucial hacia un ecosistema financiero más resiliente y seguro dentro de la Unión Europea. Su amplia aplicación subraya la importancia de una preparación completa y coordinada contra las amenazas digitales. Con la entrada en aplicación de sus principales disposiciones en enero de 2025, es esencial que todas las entidades afectadas:

• Comprendan plenamente los requisitos específicos de la normativa.
• Implementen medidas adecuadas para fortalecer su resiliencia operativa digital.
• Colaboren activamente con proveedores terceros y autoridades de supervisión para garantizar un cumplimiento continuo.

En un mundo cada vez más digital, la resiliencia operativa no es solo una necesidad regulatoria, sino un elemento fundamental para la confianza de los clientes y la estabilidad del mercado financiero.