A quién afecta
Bancos, entidades de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras, proveedores de servicios de criptoactivos y otras entidades financieras enumeradas en el artículo 2. Los proveedores terceros críticos de TIC pasan a estar bajo supervisión directa de la UE. Los demás proveedores de TIC lo notan a través de los contratos de sus clientes.
Los cinco pilares
- Gestión del riesgo relacionado con las TIC (artículos 5 a 16): un marco documentado del que es responsable el órgano de dirección.
- Gestión y notificación de incidentes relacionados con las TIC (artículos 17 a 23): clasificar los incidentes y notificar los graves a la autoridad.
- Pruebas de resiliencia operativa digital (artículos 24 a 27): un programa de pruebas y, para las entidades designadas, pruebas de penetración basadas en amenazas.
- Riesgo de terceros proveedores de TIC (artículos 28 a 44): requisitos contractuales, un registro de información y estrategias de salida.
- Intercambio de información (artículo 45): intercambio voluntario de información sobre amenazas.
Por dónde empezar
- Confirmar que le afecta y si se aplica un régimen simplificado.
- Mapear sus funciones críticas y las TIC que las sostienen.
- Crear el registro de información sobre sus contratos de TIC.
- Comparar su proceso de incidentes con los criterios de clasificación y los plazos de las normas técnicas.
- Revisar los contratos a la luz del artículo 30.
Preguntas
- ¿DORA es una directiva o un reglamento?
- Un reglamento: se aplica directamente en todos los Estados miembros, a diferencia de NIS2, que se transpone al derecho nacional.
- ¿Sustituye DORA a NIS2 para las entidades financieras?
- DORA es el acto específico del sector financiero en estas materias, así que sus normas prevalecen para las entidades que cubre.