DORA, la nueva ley de ciberseguridad financiera para proteger al usuario
A principios de año ha entrado en vigor DORA, la nueva ley europea de ciberseguridad financiera, cuyo objetivo es proteger a los usuarios de los ciberataques financieros. El nuevo reglamento debe reforzar la capacidad de las entidades financieras para resistir y recuperarse de los ataques cibernéticos y otros incidentes relacionados con las tecnologías de la información.
¿Qué es y a quién afecta la ley DORA?
En realidad, el Reglamento Europeo de Resiliencia Operativa Digital (DORA, por sus siglas en inglés) entró en vigor en 2023, pero concedió un periodo de adaptación y adopción de las normas a todas las entidades financieras de la Unión Europea que ha finalizado en enero de este año 2025. Esto significa que tanto bancos como aseguradoras o cualquier otra empresa relacionada con el sector financiero han tenido que adaptarse para cumplir diferentes requisitos de gestión del riesgo tecnológico, notificar posibles incidentes o realizar pruebas de resiliencia.
Esta norma afecta a prácticamente la totalidad de las empresas del sector financiero: entidades bancarias, aseguradoras, gestoras de fondos, sociedades de valores, plataformas de negociación y agencias de calificación crediticia, entre otras sociedades dedicadas a trabajar con el dinero. Y desde ahora todas ellas deben contar por ley con una serie de nuevas medidas de protección y seguridad frente a posibles ciberataques y amenazas cibernéticas graves.
Por qué es necesaria la normativa
DORA no es una medida preventiva, sino más bien la respuesta a una situación preocupante en el sector financiero internacional. La normativa ahora aplicada responde al aumento exponencial de ciberataques en el mercado de las finanzas, que han duplicado su frecuencia entre 2018 y 2022 a nivel global.
Unas incidencias o fallos en los sistemas financieros cada vez más habituales, provocados por ciberataques, que generan graves consecuencias, tanto para las instituciones como para sus clientes. Unas circunstancias que DORA pretende prevenir y mitigar garantizando así la estabilidad y la confianza en el sistema financiero.
Seguridad para el consumidor
DORA pretende garantizar la seguridad de los usuarios bancarios y de cualquier otro servicio o producto financiero reforzando la protección de las entidades financieras. Una iniciativa legal que aportará notables beneficios a los consumidores. Veamos cuáles.
Seguridad financiera
Las medidas de seguridad que DORA exige a las entidades financieras reducen el riesgo de fraudes, robos de identidad y otras actividades ilícitas que puedan afectar a los usuarios. Unas amenazas cada vez más frecuentes en todo tipo de operaciones, ya sea por suplantación o por el hackeo de los sistemas telemáticos.
Protección de datos
La nueva ley establece requisitos estrictos para la protección de los datos personales de los clientes, reforzando los sistemas que ya venían aplicándose para blindar la seguridad de la identidad del usuario financiero. DORA quiere garantizar una mayor privacidad del ciudadano en cualquier operación relacionada con sus finanzas.
Garantizar la operatividad
Los ataques cibernéticos, más allá de los perjuicios económicos que puedan provocar, tienen un efecto secundario preocupante, como es la interrupción de los servicios financieros.
Aunque una amenaza se neutralice o se evite, a veces provoca la interrupción de un servicio, lo cual puede perjudicar a los usuarios según sus necesidades operativas. Es muy habitual que un servicio permanezca suspendido mientras se soluciona una incidencia o se restablece el funcionamiento habitual. Y esta consecuencia es otra de las que busca evitar DORA con los sistemas de seguridad exigidos a las entidades financieras.
Innovación financiera responsable
DORA lleva inevitablemente aparejada la innovación del sector financiero, que debe adaptarse continuamente a las nuevas tecnologías. Tanto para mejorar en sus servicios como para combatir las nuevas amenazas digitales y garantizar la ciberseguridad financiera. Y para ello establece un marco regulatorio que garantiza que esta innovación se realice de forma segura y responsable.
Es el caso del Reglamento de Mercados en Criptoactivos (MiCA, por sus siglas en inglés), diseñado para regular las criptodivisas y proporcionar un marco jurídico claro que promueva la innovación responsable y la protección al consumidor.
Obligaciones que establece DORA
Cuáles son las obligaciones que establece el Reglamento DORA a las entidades financieras europeas.
Gestión del riesgo tecnológico
Todas las entidades afectadas deben implementar marcos integrales para gestionar riesgos, identificar activos críticos, evaluar amenazas de manera continua y aplicar medidas de ciberseguridad. En caso de no cumplir con estas obligaciones preventivas y de control, las entidades podrán enfrentarse a multas económicas.
Notificación de incidentes registrados
Dora establece la obligatoriedad de monitorizar, clasificar e informar de los incidentes tecnológicos a las autoridades y otras partes relevantes. Este proceso incluye la presentación de informes iniciales, intermedios y finales, según la gravedad y el impacto del incidente.
Evaluación de los sistemas de resiliencia
La normativa impone un sistema evaluador obligatorio a las entidades financieras afectadas por DORA. Es decir, éstas deben someterse a evaluaciones periódicas de sus sistemas, incluyendo simulaciones de vulnerabilidades, escenarios adversos y pruebas de penetración específicas, para certificar su eficacia y garantizar la protección de sus clientes.
Por otra parte, las empresas financieras también están obligadas a establecer acuerdos para compartir información sobre ciberamenazas y vulnerabilidades con otras organizaciones para ir mejorando los niveles de seguridad global.
Gestión de riesgos a terceros
Los proveedores de servicios a las entidades financieras también están sujetos a los estándares exigidos por DORA. Por lo tanto, el reglamento requiere también una supervisión activa de los riesgos asociados a dichos proveedores.
