Reglamento DORA para fintechs: riesgo TIC y de terceros

Lo que es

DORA es un reglamento, por lo que se aplica directamente en todos los Estados miembros, complementado por normas técnicas. Se basa en cinco pilares. La gestión del riesgo relacionado con las TIC exige un marco documentado que abarque la identificación, la protección, la detección, la respuesta y la recuperación, el aprendizaje y la comunicación, siendo el órgano de dirección el responsable último. La gestión de incidentes relacionados con las TIC exige clasificar los incidentes y notificar los incidentes graves a la autoridad competente dentro de plazos establecidos. Las pruebas de resiliencia operativa digital exigen un programa de pruebas proporcionado a la entidad; determinadas entidades designadas por las autoridades también deben someterse a pruebas de penetración basadas en amenazas conforme a normas específicas. La gestión del riesgo de terceros proveedores de servicios TIC exige un registro de información sobre todos los acuerdos de servicios TIC, una evaluación de riesgos antes de la contratación, disposiciones contractuales específicas y estrategias de salida. Se fomenta el intercambio de información sobre amenazas dentro de comunidades de confianza. El principio de proporcionalidad se aplica en todo momento, y una lista definida de entidades más pequeñas, como las pequeñas empresas de servicios de inversión no interconectadas y determinadas entidades de pago y de dinero electrónico exentas, puede aplicar el marco simplificado de gestión del riesgo TIC del artículo 16.

Para quién es

Esta guía está dirigida a:

• Fintechs autorizadas de pagos, dinero electrónico, criptoactivos, inversión y otros ámbitos que figuran en la lista de entidades financieras de DORA
• Responsables de cumplimiento, riesgos y tecnología que desarrollan o revisan un programa DORA
• Proveedores de TIC y de software que prestan servicios a entidades financieras y reciben requisitos contractuales derivados de DORA
• Fundadores que necesitan explicar las expectativas de DORA a inversores o consejos de administración

Qué ayuda a aclarar

Revisar los pilares ayuda a aclarar:

• Qué funciones esenciales o importantes respalda su negocio y de qué sistemas TIC dependen
• Si su registro de terceros y sus contratos contienen lo que espera DORA
• Qué debe incluir su programa de pruebas de resiliencia en función de su tamaño y su perfil de riesgo
• Dónde falta evidencia técnica que respalde los documentos de gobernanza

Qué se incluye

• Gobernanza: confirme la aprobación y la supervisión del marco de riesgo TIC por parte del órgano de dirección, y documente los roles
• Mapa de activos y funciones: identifique las funciones esenciales o importantes y los sistemas, datos y proveedores que las sustentan
• Protección y detección: revise el control de acceso, la MFA, los registros y la supervisión de esos sistemas
• Gestión de incidentes: defina los criterios de clasificación, los responsables de la toma de decisiones y el flujo de notificación de los incidentes graves
• Continuidad: pruebe las copias de seguridad, la restauración y los objetivos de recuperación de las funciones esenciales
• Programa de pruebas: planifique evaluaciones de vulnerabilidades, pruebas de escenarios y pruebas de penetración proporcionadas al riesgo
• Registro de terceros: enumere todos los acuerdos TIC con la función, los datos, la ubicación y los detalles de subcontratación
• Contratos: compruebe que incluyen las disposiciones exigidas, como la descripción de los servicios, la ubicación de los datos, los derechos de auditoría y de acceso, el apoyo ante incidentes y las condiciones de salida
• Estrategias de salida: documente cómo dejaría de depender de un proveedor crítico
• Riesgo de concentración: identifique dónde varias funciones esenciales dependen de un solo proveedor

Qué no se incluye

• Asesoramiento legal o interpretación regulatoria para su licencia concreta
• Pruebas de penetración basadas en amenazas conforme a un marco designado por el regulador
• La presentación de notificaciones de incidentes o registros ante las autoridades
• Certificación o aprobación de cumplimiento

Cuándo elegirlo

Utilice esta guía cuando prepare o revise su programa DORA, antes de renovar los contratos con proveedores TIC clave y antes de fijar su plan anual de pruebas. Si su autoridad competente ha emitido directrices o solicitudes específicas, sígalas en primer lugar. Los proveedores que prestan servicios a entidades financieras deberían utilizar la sección sobre terceros para anticiparse a las solicitudes contractuales y de auditoría. Este artículo es información general y no constituye asesoramiento legal.

Nuestro enfoque

La mayoría de las fintechs descubren que la documentación existe, pero que la evidencia técnica es escasa. Empiece por asignar las funciones esenciales a sistemas y proveedores; este único ejercicio determina el registro, el alcance de las pruebas y la planificación de la continuidad. Después, reúna evidencia sobre cómo funcionan realmente los controles clave. Nuestro servicio Security Baseline Review puede ofrecerle una visión escrita, clasificada por severidad, de los activos acordados, que ayuda a mostrar en qué situación se encuentran la configuración y los controles de acceso. Para las pruebas de aplicaciones y API dentro del programa de pruebas de resiliencia, nuestro servicio Penetration Testing trabaja a partir de un alcance y una autorización por escrito y entrega hallazgos clasificados por severidad, con una nueva prueba de los hallazgos acordados cuando esté incluida. Ambos complementan las pruebas basadas en amenazas designadas por el regulador, el asesoramiento legal y la aprobación de cumplimiento, que siguen sus propios procesos. Mantenga cada evidencia fechada y vinculada a la función que respalda, de modo que las revisiones de la dirección y las preguntas de los supervisores puedan responderse a partir de registros y no de la memoria.

Security Baseline Review

Preguntas frecuentes

Artículos relacionados