El Reglamento de la UE 2022/2554 esta en vigor desde el 17 de enero de 2025, requiriendo que las entidades financieras fortalezcan la resiliencia operativa digital. Le ayudamos a implementar los cinco pilares con procesos claros, evidencia e informes de supervision.
La Ley de Resiliencia Operativa Digital (DORA) es el Reglamento de la UE 2022/2554 que establece requisitos uniformes para la seguridad de los sistemas de redes e informacion que respaldan los procesos comerciales de las entidades financieras que operan en la Union Europea.
Por que es importante ahora: DORA esta en vigor desde el 17 de enero de 2025. Todas las instituciones financieras de la UE deben contar con gestion integral de riesgos TIC, notificacion de incidentes, pruebas de resiliencia y supervision de terceros. El incumplimiento expone a las entidades a sanciones de supervision y riesgo operativo.
En vigor desde el 17 de enero de 2025
Requisito legal para todas las entidades financieras
Complementa la EU AI Act para sistemas de IA e ISO 42001 para gestion de IA.
Entidades de credito (bancos)
Todos los bancos que operan en la UE, independientemente de su tamano
Entidades de pago
Proveedores de servicios de pago, incluidos PSPs e instituciones de dinero electronico
Empresas de inversion
Empresas de inversion, centros de negociacion y depositarios centrales de valores
Empresas de seguros y reaseguros
Companias de seguros, intermediarios y servicios auxiliares
Proveedores de servicios de criptoactivos
Entidades que prestan servicios de criptoactivos bajo la regulacion MiCA
Proveedores de servicios TIC de terceros
Proveedores TIC criticos que prestan servicios a entidades financieras (designados por las AES)
Capacidades integrales que abordan los cinco pilares y los requisitos de supervision
Establezca marcos integrales de gestion de riesgos TIC con politicas, procedimientos y controles estructurados. La plataforma mantiene documentacion de gobernanza, registros de riesgos y capacidades de monitoreo alineadas con los requisitos del Articulo 6 de DORA.
Aborda: Gestion de riesgos TIC: Marcos, politicas, procedimientos, identificacion de riesgos
Clasifique incidentes relacionados con TIC, gestione la notificacion de incidentes graves a las autoridades y realice seguimiento de los flujos de trabajo de resolucion. La plataforma automatiza la logica de clasificacion y mantiene la pista de auditoria requerida para la presentacion de informes regulatorios.
Aborda: Notificacion de incidentes: Deteccion, clasificacion, notificacion a autoridades, seguimiento de resolucion
Planifique y ejecute programas de pruebas de resiliencia, incluyendo evaluaciones de vulnerabilidad, pruebas de escenarios y pruebas de penetracion basadas en amenazas (TLPT). La plataforma programa pruebas, rastrea hallazgos y gestiona la remediacion.
Aborda: Pruebas de resiliencia: Planificacion de pruebas, coordinacion TLPT, seguimiento de remediacion
Mantenga un registro de proveedores TIC criticos de terceros, realice evaluaciones de debida diligencia y monitoree obligaciones contractuales. La plataforma rastrea el riesgo de concentracion y apoya la documentacion de estrategias de salida.
Aborda: Riesgo de terceros: Registro de proveedores, debida diligencia, gestion de contratos, planificacion de salida
Rastree metricas de resiliencia operativa, monitoree el rendimiento de sistemas TIC y genere informes de supervision. La plataforma consolida indicadores de resiliencia para la supervision continua y el analisis de tendencias.
Aborda: Monitoreo: KPIs, paneles de rendimiento, informes de supervision
Participe en acuerdos de intercambio de informacion sobre amenazas y vulnerabilidades ciberneticas. La plataforma gestiona la participacion en marcos designados y rastrea la inteligencia recibida y compartida.
Aborda: Intercambio de informacion: Inteligencia de amenazas, divulgacion de vulnerabilidades, colaboracion sectorial
Todas las actividades de cumplimiento de DORA tienen marca de tiempo, se asignan a responsables y se rastrean a traves de flujos de trabajo de aprobacion. Esto crea la pista de auditoria que las autoridades de supervision esperan durante las inspecciones e informes.
VerifyWise proporciona capacidades dedicadas para todos los requisitos regulatorios en los cinco pilares
Requisitos clave de DORA
Requisitos con herramientas dedicadas
Cobertura en todos los pilares
Marcos, politicas, procedimientos, monitoreo
Deteccion, clasificacion, notificacion, resolucion
Programas de pruebas, pruebas basadas en amenazas, evaluaciones de vulnerabilidad
Debida diligencia, contratos, monitoreo, estrategias de salida
Deteccion automatizada de incidentes graves y flujos de trabajo de notificacion a autoridades
Gestion de programas de pruebas de penetracion basadas en amenazas y remediacion
Seguimiento de proveedores TIC criticos con analisis de riesgo de concentracion
Genere informes para EBA, EIOPA, ESMA y autoridades nacionales
DORA organiza la resiliencia operativa digital en cinco pilares interconectados
Establecer y mantener marcos integrales de gestion de riesgos TIC alineados con la estrategia empresarial.
Detectar, gestionar, clasificar y notificar incidentes relacionados con TIC para garantizar una resolucion oportuna y el cumplimiento regulatorio.
Probar sistemas y procesos TIC para identificar vulnerabilidades y garantizar la resiliencia operativa.
Gestionar los riesgos derivados de proveedores de servicios TIC de terceros mediante una supervision integral.
Intercambiar informacion sobre amenazas y vulnerabilidades ciberneticas dentro de marcos designados.
Un camino practico para lograr y mantener el cumplimiento de DORA con hitos y entregables claros
Comprendiendo las consecuencias del incumplimiento de los requisitos de DORA
Las autoridades competentes pueden imponer multas determinadas por los estados miembros
Ejemplos
Los estados miembros determinan las multas maximas que deben ser efectivas, proporcionadas y disuasorias
Ejemplos
Las AES (EBA, EIOPA, ESMA) pueden ejercer supervision directa sobre proveedores TIC criticos de terceros
Ejemplos
Autoridades de aplicacion: Autoridad Bancaria Europea (EBA), Autoridad Europea de Seguros y Pensiones de Jubilacion (EIOPA), Autoridad Europea de Valores y Mercados (ESMA) y autoridades nacionales competentes de cada estado miembro.
Las sanciones deben ser efectivas, proporcionadas y disuasorias. Los montos especificos son determinados por los estados miembros.
Comprendiendo la relacion entre DORA y otros requisitos de cumplimiento
| Aspecto | DORA | EU AI Act | ISO 27001 |
|---|---|---|---|
Alcance | Servicios financieros de la UE y proveedores TIC criticos | Sistemas de IA comercializados en la UE | Cualquier organizacion (seguridad de la informacion) |
Estatus legal | Regulacion obligatoria de la UE | Regulacion obligatoria de la UE | Estandar de certificacion voluntario |
Enfoque | Resiliencia operativa digital para finanzas | Seguridad de sistemas de IA y derechos fundamentales | Gestion de seguridad de la informacion |
Fecha de entrada en vigor | En vigor desde el 17 de enero de 2025 | Escalonado: agosto 2025-2027 | Voluntario (continuo) |
Requisitos clave | 5 pilares de resiliencia digital | Niveles de riesgo con obligaciones basadas en roles | SGSI con 93 controles |
Aplicacion | EBA, EIOPA, ESMA + autoridades nacionales | Autoridades nacionales + Oficina de IA de la UE | Organismos de certificacion de terceros |
Sanciones | Efectivas, proporcionadas, disuasorias (definidas por estados miembros) | Hasta 35 M EUR o 7% de ingresos globales | Ninguna (estandar voluntario) |
Documentacion | Registros de riesgos TIC, registros de incidentes, informes de pruebas, contratos con terceros | Documentacion tecnica, declaraciones de conformidad, evaluaciones de riesgos | Politicas del SGSI, procedimientos, planes de tratamiento de riesgos |
Ideal para | Resiliencia digital de servicios financieros | Cumplimiento de sistemas de IA en la UE | Certificacion general de seguridad de la informacion |
Consejo profesional: Las instituciones financieras que utilizan sistemas de IA enfrentan tanto los requisitos de DORA como los de laEU AI Act. DORA aborda la resiliencia operativa de los sistemas TIC mientras que la EU AI Act aborda los riesgos especificos de la IA. Implemente ambos con ISO 42001 para una gobernanza integral.
Discutir cumplimiento multi-marcoAcceda a plantillas de politicas de gestion de riesgos TIC listas para usar, alineadas con DORA, EU AI Act e ISO 42001
Preguntas comunes sobre el cumplimiento e implementacion de DORA
Comience su camino hacia la resiliencia operativa digital con nuestra evaluacion guiada y herramientas de implementacion.