- El reglamento DORA (Digital Operational Resilience Act) es de aplicación plena desde hoy, tras un período de adaptación de dos años.
- Obliga a entidades financieras a reforzar su ciberseguridad, notificar incidentes y realizar pruebas rutinarias de resistencia.
- Incluye sanciones y exige transparencia ante ciberataques que afecten a clientes.
- Abarca bancos, aseguradoras, plataformas de inversión y empresas de criptomonedas.
La Ley DORA (Digital Operational Resilience Act), diseñada para mejorar la ciberseguridad en el sector financiero europeo, ha entrado hoy plenamente en vigor. Este reglamento, aprobado hace dos años, establece un marco común para garantizar la protección de las entidades financieras y de los datos e intereses económicos de sus clientes ante el creciente riesgo de ciberataques.
Un sector en riesgo
El sector financiero, altamente dependiente de sistemas informáticos, ha sido blanco de numerosos ciberataques en los últimos años, lo que pone en peligro no solo los servicios de bancos y aseguradoras, sino también la información personal y el dinero de los clientes. Según la Junta Europea de Riesgo Sistémico (JERS), un único ciberataque exitoso podría propagarse rápidamente a través de las más de 22.000 entidades financieras de la Unión Europea.
Cuatro pilares del reglamento
La normativa DORA establece las siguientes obligaciones clave para el sector financiero:
- Reforzar la protección ante ciberataques: Las entidades deben implementar medidas robustas de seguridad para prevenir intrusiones en sus sistemas.
- Notificar incidentes con rapidez: Las empresas deben informar a las autoridades y a sus clientes «sin demora indebida» sobre cualquier ciberataque que afecte sus intereses financieros.
- Pruebas rutinarias de resistencia: Se exige la realización de simulaciones y pruebas periódicas para evaluar la preparación frente a posibles ataques.
- Control de proveedores externos: Los proveedores tecnológicos también estarán sujetos a controles para garantizar que cumplen con los estándares de seguridad.
Transparencia y sanciones
Aunque el reglamento no detalla un sistema de compensaciones directas para los clientes afectados, sí exige un alto nivel de transparencia y establece un amplio marco sancionador para las entidades que incumplan sus obligaciones. Las sanciones pueden incluir:
- Multas administrativas.
- Reclamaciones civiles por parte de los afectados.
En caso de ciberataques relacionados con datos personales, criptomonedas o servicios financieros tradicionales, los afectados podrán recurrir a normativas específicas como el Reglamento General de Protección de Datos (RGPD) o la regulación MICA (mercados de criptoactivos).
Aplicación a todo el sector financiero
El alcance de DORA abarca no solo a bancos tradicionales, sino también a aseguradoras, plataformas de inversión y empresas de criptomonedas, marcando un punto de inflexión en la protección del sistema financiero europeo frente a las amenazas digitales.
Un cambio necesario
Por primera vez, Europa establece un marco tan detallado y uniforme para garantizar la resiliencia operativa digital en el sector financiero, algo que refuerza la confianza del cliente en un entorno cada vez más digitalizado y expuesto a riesgos.
