Las entidades financieras deben planificar de forma concienzuda la implementación de la regulación DORA
Entidades Financieras
Las entidades financieras deben planificar de forma concienzuda la implementación de la regulación DORA
Armonización de la seguridad en todo el sector financiero de la UE
La Ley de Resiliencia Operativa Digital es el esfuerzo de la Comisión Europea para establecer un marco uniforme para una gestión efectiva y completa de los riesgos de ciberseguridad y TIC en los mercados financieros. El énfasis se ha desplazado de centrarse previamente en garantizar la resiliencia financiera de las firmas financieras, a también asegurar el mantenimiento de operaciones resilientes en caso de una interrupción severa del negocio que pudiera amenazar la seguridad de la red y los sistemas de información.
Con el creciente número de ciberataques, es más importante que nunca prepararse para incidentes y tomar medidas para fortalecer la ciber-resiliencia. Se esperan ajustes y gastos adicionales. Sin embargo, al mismo tiempo, también vemos a DORA como una gran oportunidad para que las firmas financieras logren un nivel de seguridad significativamente más alto al volverse más resilientes y alcanzar un nivel consistente de madurez en lo que respecta a la ciberseguridad.
Datos clave sobre DORA
- ¿Por qué DORA?
- ¿Qué comprende DORA?
- ¿Quiénes se ven afectados?
- ¿Para cuándo deben las empresas implementar los requisitos introducidos en DORA?
¿Por qué DORA?
Al introducir un enfoque de supervisión uniforme y coherente para todos los sectores relevantes, DORA garantiza la armonización de las prácticas de seguridad y resiliencia en la UE. El énfasis se ha desplazado de centrarse previamente en garantizar la resiliencia financiera de las firmas financieras a también asegurar el mantenimiento de operaciones resilientes en caso de una interrupción severa del negocio que pudiera amenazar la seguridad de la red y los sistemas de información.
DORA pondrá su énfasis regulatorio en cinco pilares clave
Resiliencia operativa y gestión de riesgos
Las entidades financieras están obligadas a implementar un sistema integral de gestión de riesgos de TIC, que incluya:
Establecimiento y mantenimiento de sistemas y herramientas de TIC robustos que minimicen los efectos de los riesgos de TIC.
Elementos clave como la identificación, clasificación y documentación de funciones críticas.
Monitorización continua de todas las fuentes de riesgos de TIC, con el fin de implementar medidas de protección y prevención.
Identificación inmediata de actividades anómalas o sospechosas.
Implantación de continuidad del negocio y planes de contingencia y recuperación, incluyendo pruebas anuales de esos planes y cómo dan cobertura a todas las funciones de negocio
Establecimiento de un proceso de mejora continua, basado en aprender tanto de eventos externos como de incidentes internos TIC.
Gestión de incidentes de TIC y ciberseguridad
Las firmas financieras están obligadas a:
Desarrollar un procedimiento para registrar/clasificar todos los incidentes de TIC y determinar los incidentes graves conforme a los criterios descritos en la regulación y especificados por las autoridades supervisoras europeas financieras (ESAs, es decir, EBA, EIOPA y ESMA).
Presentar un informe inicial, intermedio y final sobre los incidentes relacionados con TIC.
Armonizar los informes sobre incidentes relacionados con TIC basándose en las plantillas estándar desarrolladas por las ESAs.
Pruebas de Resiliencia Operativa Digital
La regulación obliga a todas las entidades a:
Realizar pruebas (al menos anual) sobre los sistemas TIC.
Identificar, mitigar y eliminar sin demora cualquier punto débil, brecha o deficiencia, mediante la adopción de contramedidas según los aspectos identificados.
Llevar a cabo regularmente pruebas avanzadas de penetración dirigidas por amenazas (TLPT) para los servicios de TIC que impactan funciones críticas. Los proveedores externos de servicios de TIC están obligados a participar en las pruebas y a cooperar plenamente.
Gobernanza y gestión de terceros
Las entidades financieras están obligadas a:
Asegurar la supervisión sólida de los riesgos derivados del empleo de proveedores de servicios de TIC de terceros.
Proporcionar un registro completo de las actividades contratadas, incluyendo los servicios intra-grupo y todos los cambios en la contratación de servicios críticos a proveedores de servicios de TIC.
Considerar el riesgo de concentración de TIC y los riesgos derivados de la subcontratación.
Armonizar los elementos clave del servicio y la relación con los proveedores de servicios de TIC para lograr una supervisión "completa".
Asegurarse de que los acuerdos contractuales con proveedores de servicios de TIC contengan todos los detalles necesarios para la supervisión y accesibilidad por parte de las entidades, como por ejemplo una descripción completa del alcance de los servicios, las ubicaciones donde se procesan los datos, etc.
Los proveedores críticos de servicios de TIC estarán sujetos a un marco de supervisión de la UE por parte de las autoridades de Supervisión Financiera (EBA, EIOPA & ESMA) que pueden emitir recomendaciones para mitigar los riesgos de TIC que se hayan establecido. Las entidades financieras deben tener en cuenta los riesgos derivados del uso de sus proveedores de servicios de TIC si estos no observan las recomendaciones establecidas.
Intercambio de información
La regulación permite que las entidades financieras lleguen a acuerdos entre ellas sobre el intercambio de información y conocimientos en relación con las amenazas ciber.
El Supervisor proporcionará a las entidades financieras información relevante y conocimientos en relación con las amenazas ciber de forma anonimizada. Por lo tanto, las empresas deben establecer mecanismos para examinar la información proporcionada por las autoridades y tomar medidas en consecuencia.
¿Cómo podemos ayudarle?
PwC puede apoyar a su entidad en el camino en la adaptación a DORA, desde la evaluación de su estado actual hasta el apoyo en la implementación de medidas para cumplir con los requisitos legales e integrarlas en su sistema de gestión de riesgos, de seguridad, de resiliencia y de cumplimiento.
Proveedores de servicios TIC
La digitalización ha profundizado los vínculos y las dependencias dentro del sector financiero con los proveedores de infraestructuras y servicios.
< Volver
< Volver
[+] Leer más
Contacta con nosotros
Síguenos en
