El nuevo estándar europeo que reordena la relación banca-tecnología

Antecedentes

El 17 de enero de 2025 comenzó a aplicarse en la Unión Europea el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero, conocido universalmente como DORA —Digital Operational Resilience Act—.

La precisión terminológica es importante. DORA no “entró en vigor” ese día: jurídicamente lo había hecho el 16 de enero de 2023, veinte días después de su publicación en el Diario Oficial de la Unión Europea. Lo ocurrido dos años después fue el inicio de su aplicación efectiva, conforme al artículo 64 del propio Reglamento.

El período intermedio permitió a bancos, entidades de pago, aseguradoras, empresas de inversión, gestoras de fondos, infraestructuras de mercado, proveedores de criptoactivos y otras entidades financieras adaptar sistemas, contratos, estructuras de gobierno y procedimientos internos. Las Autoridades Europeas de Supervisión habían advertido, además, que DORA no contemplaba un período adicional de transición después del 17 de enero: las entidades debían encontrarse preparadas para cumplir desde esa fecha.

La dimensión de la reforma es considerable. El artículo 2 enumera un universo muy amplio de entidades financieras —desde instituciones de crédito hasta proveedores de crowdfunding y repositorios de titulización— y ESMA lo sintetiza como un régimen que alcanza 21 tipos diferentes de entidades financieras.

Problemática jurídica

DORA responde a una transformación estructural del negocio financiero: una institución puede conservar jurídicamente su actividad principal, pero depender operacionalmente de centros de datos, servicios en la nube, plataformas de procesamiento, telecomunicaciones, programas informáticos y proveedores externos para poder desarrollarla.

Antes de DORA, las exigencias europeas sobre riesgo tecnológico se encontraban dispersas entre distintos instrumentos sectoriales, orientaciones supervisoras y normas nacionales. La Unión optó por sustituir esa fragmentación mediante requisitos uniformes sobre gestión del riesgo de TIC, notificación de incidentes, pruebas de resiliencia, intercambio de información y riesgo derivado de terceros tecnológicos. El artículo 1 identifica expresamente esos componentes como objeto del Reglamento.

La idea central puede formularse de manera sencilla: una institución financiera no es operacionalmente resiliente porque nunca sufra un ataque o una falla, sino porque es capaz de prevenir, resistir, responder y recuperarse sin comprometer la continuidad y calidad de sus servicios esenciales.

De informática a gobierno corporativo

Una de las transformaciones jurídicas más importantes de DORA es trasladar el riesgo tecnológico desde el departamento de sistemas hasta el nivel del gobierno corporativo.

El artículo 5 exige que el órgano de administración defina, apruebe, supervise y sea responsable de la implementación del marco de gestión del riesgo de TIC. La norma atribuye expresamente a ese órgano la responsabilidad última sobre dicho riesgo, la aprobación de la estrategia de resiliencia, los planes de continuidad y recuperación, las políticas relativas a proveedores tecnológicos y los recursos presupuestarios necesarios.

Sus integrantes también deben mantener conocimientos y capacidades suficientes para comprender y evaluar el riesgo tecnológico y recibir formación periódica acorde con las responsabilidades que desempeñan.

Esta disposición tiene una consecuencia práctica inmediata: frente a una falla grave, la pregunta regulatoria deja de ser únicamente qué hizo el director de tecnología. También debe determinarse qué conocía, qué aprobó y qué supervisó el consejo o el órgano equivalente.

Un marco documentado para conocer dónde puede fallar la institución

El artículo 6 obliga a las entidades financieras a contar con un marco de gestión de riesgo de TIC sólido, integral y debidamente documentado.

Ello exige identificar y clasificar funciones de negocio soportadas por tecnología, activos de información, sistemas, dependencias y fuentes de exposición. DORA también incorpora obligaciones relativas a protección y prevención, detección de anomalías, continuidad de negocio, respaldo, recuperación y aprendizaje posterior a incidentes.

La regulación, por tanto, supera considerablemente el concepto tradicional de “ciberseguridad”.

Una interrupción relevante puede originarse en un ciberataque, pero también en fallas de software, errores humanos, pérdida de infraestructura, problemas en centros de datos o indisponibilidad de un proveedor crítico.

DORA regula la resiliencia operativa digital, no solamente la defensa contra delincuentes informáticos.

Incidentes: una taxonomía común para un mercado único

Desde el 17 de enero comenzó también el régimen armonizado de gestión, clasificación y notificación de incidentes graves relacionados con TIC.

La relevancia práctica se observó inmediatamente en el sector de pagos. Ese mismo día, la Autoridad Bancaria Europea derogó sus anteriores directrices sobre reporte de incidentes graves bajo PSD2, precisamente porque DORA comenzó a proporcionar un marco armonizado para bancos, instituciones de pago, entidades de dinero electrónico y proveedores de información de cuentas.

La modificación reduce uno de los problemas tradicionales de los grupos financieros paneuropeos: que un mismo incidente pudiera requerir análisis y reportes distintos dependiendo del sector o del Estado miembro afectado.

Probar la resistencia antes de necesitarla

DORA tampoco permite limitar el cumplimiento a políticas escritas.

El artículo 24 exige, salvo determinadas excepciones para microempresas, mantener un programa integral de pruebas de resiliencia operativa digital. Los sistemas y aplicaciones que soporten funciones críticas o importantes deben someterse, al menos anualmente, a pruebas apropiadas.

El Reglamento contempla desde análisis de vulnerabilidades y seguridad de redes hasta pruebas de escenarios, rendimiento, extremo a extremo y penetración.

Para determinadas entidades identificadas por las autoridades aparece un escalón superior: las Threat-Led Penetration Testing (TLPT), pruebas avanzadas guiadas por amenazas que deben cubrir funciones críticas o importantes y ejecutarse, como regla, al menos cada tres años.

No todas las entidades financieras están, por tanto, obligadas automáticamente a realizar TLPT. El alcance depende de los criterios y de la identificación por la autoridad competente.

El proveedor tecnológico no sustituye la responsabilidad de la entidad financiera

Uno de los puntos que exige mayor precisión es el alcance de DORA sobre proveedores tecnológicos.

El Reglamento incluye a los ICT third-party service providers dentro de su ámbito. Sin embargo, ello no significa que cualquier proveedor de software de un banco quede sometido automáticamente al mismo conjunto de obligaciones prudenciales que la institución financiera.

La responsabilidad principal continúa recayendo sobre esta última. El artículo 28 establece expresamente que las entidades que contraten servicios de TIC siguen siendo plenamente responsables del cumplimiento de DORA. Además, deben mantener un registro completo de sus contratos tecnológicos y distinguir aquellos que soporten funciones críticas o importantes.

Los contratos deben contener requisitos mínimos sobre ubicación y almacenamiento de datos, disponibilidad, integridad, recuperación, cooperación con autoridades, terminación y, tratándose de servicios críticos o importantes, derechos de acceso, inspección y auditoría, planes de contingencia y estrategias de salida.

Por ello, DORA reordena de forma profunda la negociación entre instituciones financieras y proveedores de nube, centros de datos, software y otras infraestructuras tecnológicas.

Proveedores críticos: supervisión directa, pero no automática

Un segundo nivel corresponde a los proveedores que sean formalmente designados críticos.

Los artículos 31 y siguientes crean un mecanismo mediante el cual las tres Autoridades Europeas de Supervisión deberán identificar a proveedores tecnológicos cuya interrupción pueda producir consecuencias sistémicas, atendiendo a factores como número e importancia de las entidades que dependen de ellos, sustituibilidad y concentración del mercado. Una de las ESAs será designada como Lead Overseer para cada proveedor crítico.

Al 17 de enero de 2025, el marco de supervisión ya era jurídicamente aplicable, pero el proceso de identificación concreta de esos proveedores estaba todavía por desarrollarse. Por ello, no resultaría correcto afirmar en esa fecha que determinadas grandes compañías tecnológicas ya habían sido declaradas proveedores críticos bajo DORA.

Un Reglamento aplicable aunque el nivel técnico aún estuviera completándose

La entrada en aplicación tampoco significaba que cada pieza normativa secundaria estuviera completamente cerrada.

Durante 2024, las ESAs desarrollaron numerosos estándares técnicos sobre gestión del riesgo, clasificación de incidentes, riesgo de terceros y registros de información. Algunos ya habían sido adoptados y publicados; otros atravesaban todavía procesos de revisión entre las Autoridades Europeas y la Comisión. En octubre de 2024, por ejemplo, las ESAs habían solicitado la rápida adopción del estándar técnico sobre los registros de información después de que la Comisión rechazara una versión previa.

Eso no suspendió DORA. El supervisor luxemburgués recordó antes del 17 de enero que el Reglamento y los estándares técnicos ya publicados prevalecerían desde ese día sobre requisitos nacionales solapados.

Consecuencias prácticas y recomendaciones

Para grupos financieros mexicanos con entidades reguladas en la Unión Europea, el primer diagnóstico debe realizarse a nivel de gobierno corporativo, no solamente tecnológico.

Debe comprobarse que existe un inventario actualizado de activos y funciones críticas, clasificación de incidentes, planes de continuidad, programas de pruebas y una política específica de terceros TIC.

La revisión contractual merece especial atención. Un proveedor mexicano que preste servicios tecnológicos a una institución financiera europea puede no convertirse por ello en una “entidad financiera” regulada, pero encontrará exigencias DORA incorporadas contractualmente: derechos de auditoría, localización de datos, cooperación, continuidad y mecanismos de salida.

Para proveedores con una presencia especialmente relevante dentro del sistema financiero europeo, debe añadirse otro riesgo: una eventual designación como proveedor crítico bajo el mecanismo de supervisión directa previsto por el Reglamento.

Conclusiones

El 17 de enero de 2025 marca un cambio de paradigma en la regulación financiera europea.

DORA parte de una premisa sencilla: una institución financiera puede estar perfectamente capitalizada y, sin embargo, ser incapaz de prestar sus servicios si falla la tecnología de la que depende.

Por ello, el Reglamento integra ciberseguridad, continuidad, recuperación, pruebas, incidentes, gobierno corporativo y contratación tecnológica dentro de un único régimen de resiliencia.

La mayor transformación probablemente se resume en dos reglas. La primera: el órgano de administración es responsable del riesgo tecnológico. La segunda: externalizar tecnología no permite externalizar responsabilidad.

Desde el 17 de enero de 2025, ambas dejaron de ser recomendaciones supervisoras para convertirse en obligaciones jurídicas directamente aplicables en el sector financiero europeo.

Fuentes consultadas —corte temporal: 17 de enero de 2025

Parlamento Europeo y Consejo de la Unión Europea. Reglamento (UE) 2022/2554, de 14 de diciembre de 2022, relativo a la resiliencia operativa digital del sector financiero, especialmente artículos 1, 2, 5, 6, 24, 26, 28, 30, 31 y 64.

European Supervisory Authorities. Public Statement on DORA application, 4 de diciembre de 2024, sobre preparación y ausencia de período transitorio adicional.

European Banking Authority. ESAs respond to the European Commission’s rejection of the technical standards on registers of information under DORA, 15 de octubre de 2024.

Commission de Surveillance du Secteur Financier — Luxemburgo. Entry into application of DORA regulation on 17 January 2025, comunicado publicado el 15 de enero de 2025.

European Banking Authority. The EBA repeals the Guidelines on major incident reporting under the revised Payment Services Directive, 17 de enero de 2025.