Gestión del riesgo TIC
Marco de gobierno y control aprobado por el órgano de dirección.
DORA · Reglamento (UE) 2022/2554
DORA: resiliencia operativa digital para el sector financiero
Te ayudamos a cumplir DORA, como entidad financiera europea o como proveedor de servicios TIC de una de ellas.
¿Qué es DORA?
Obligatorio desde enero de 2025
DORA es un reglamento europeo de aplicación directa desde el 17 de enero de 2025: no necesita ley nacional y es igual en toda la Unión Europea.
Exige que bancos, aseguradoras, entidades de pago, gestoras, proveedores de criptoactivos y otras entidades financieras resistan, respondan y se recuperen de los incidentes TIC.
También alcanza a sus proveedores de servicios TIC: los contratos deben incluir cláusulas específicas y los proveedores críticos quedan bajo supervisión de las autoridades europeas.
Los cinco pilares
Qué exige el reglamento
Incidentes TIC
Clasificación, gestión y notificación de los incidentes graves a la autoridad.
Pruebas de resiliencia
Programa anual de pruebas y, para entidades significativas, pruebas de penetración guiadas por amenazas (TLPT) cada tres años.
Riesgo de terceros TIC
Registro de información, cláusulas contractuales y estrategia de salida.
Intercambio de información
Acuerdos para compartir inteligencia sobre amenazas.
Fases
Cómo lo abordamos
- 1Análisis de aplicabilidad y proporcionalidad según el tipo y tamaño de la entidad.
- 2Evaluación de brechas contra el reglamento y sus normas técnicas.
- 3Marco de gestión del riesgo TIC, políticas y rol del órgano de dirección.
- 4Registro de información de proveedores TIC y revisión de contratos.
- 5Clasificación y notificación de incidentes y programa de pruebas de resiliencia.
- 6Auditoría interna y acompañamiento ante el supervisor.
Si sos proveedor TIC
Lo que te van a pedir tus clientes financieros
Cláusulas contractuales
Niveles de servicio, ubicación de los datos, auditoría, notificación y salida.
Participación en pruebas
Colaborar con las pruebas de resiliencia de tu cliente, incluidas las TLPT.
Gestión de incidentes
Avisar rápido y aportar información para la notificación regulatoria.
Evidencia de controles
ISO 27001, SOC 2 o auditorías que respalden tu seguridad.
Los proveedores TIC designados como críticos quedan bajo la vigilancia directa de las Autoridades Europeas de Supervisión.
Por qué DORA
Resiliencia como ventaja
Continuidad del servicio
Tus servicios financieros resisten incidentes y se recuperan rápido.
Cumplimiento demostrable
Llegás a la inspección con evidencia ordenada.
Proveedores bajo control
Conocés y gestionás el riesgo de tu cadena TIC.
Integración con ISO
Aprovechás ISO 27001 e ISO 22301 como base.
A quién aplica
Entidades financieras y sus proveedores TIC
- Bancos y entidades de crédito
- Entidades de pago y de dinero electrónico
- Aseguradoras y reaseguradoras
- Gestoras de fondos y empresas de inversión
- Proveedores de criptoactivos
- Fintech con licencia europea
- Proveedores cloud y de servicios TIC
- Proveedores de software financiero
Preguntas frecuentes
Lo que más nos preguntan
¿Qué es DORA?
Es el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero. Unifica las exigencias de gestión del riesgo TIC, incidentes, pruebas y terceros.
¿Desde cuándo es obligatorio?
Desde el 17 de enero de 2025, en forma directa en todos los países de la Unión Europea.
¿Afecta a proveedores de fuera de la Unión Europea?
Sí. Las entidades financieras deben exigir requisitos contractuales a todos sus proveedores TIC, estén donde estén.
¿Qué relación tiene con NIS2?
DORA es la norma específica para el sector financiero: donde se superponen, prevalecen sus requisitos sobre los de NIS2.
¿Trabajás con el sector financiero europeo?
Medimos tu brecha con DORA y armamos el plan para cumplir, como entidad o como proveedor.