REGULACIÓN DORA
El Digital Operational Resilience Act (DORA) está diseñado para mejorar la resiliencia operativa, reducir las amenazas de TI y aumentar la capacidad de las empresas financieras en la UE para prevenir y manejar incidentes relacionados con las TIC.
Entra en vigor el 17 de enero de 2025, como parte de los esfuerzos de la UE para regular el sector digital. DORA se aplica a todas las instituciones financieras en la UE y, para algunas empresas, requerirá medidas adicionales de seguridad de TI, incluso si ya cumplen con marcos como ISO 27001 o COBIT.
ENTENDIENDO DORA: LO QUE LAS EMPRESAS NECESITAN SABER
DORA se aplica a instituciones financieras, incluidas (pero no limitadas a) instituciones de crédito y pago, firmas de inversión, compañías de seguros e intermediarios, fondos de pensiones y plataformas de comercio. El Reglamento establece un marco regulatorio sobre resiliencia operativa digital, que abarca la gestión de riesgos de TI, informes obligatorios de incidentes, documentación de planes de prueba, gestión de riesgos de terceros, además de capacitación y gobernanza. El cumplimiento asegurará que las empresas tengan los sistemas correctos para resistir, responder y recuperarse de todo tipo de interrupciones y amenazas relacionadas con las TIC, incluidas aquellas a través de terceros.
Las obligaciones para las empresas afectadas pueden dividirse aproximadamente en cinco grupos:
Gestión de riesgos
Pruebas y auditorías
Gestión de la seguridad de los proveedores de servicios de TI
Gestión de incidentes
Intercambio de información
-
Capacitación para directivos sobre regulación DORA
DORA requiere que los directores se sometan a capacitación para demostrar una gobernanza efectiva en torno a los problemas de ciberseguridad. Hemos desarrollado una capacitación en la sala de juntas sobre DORA en colaboración con De Clercq Lawyers, proporcionando información sobre las medidas de gestión de riesgos que las organizaciones deben tomar como mínimo según DORA. Este curso de un día puede impartirse en el lugar de su elección.
-
Evaluación de brechas de DORA
Nuestro equipo especializado puede realizar una evaluación de brechas de DORA, proporcionando una visión detallada de su nivel actual de madurez de seguridad y los pasos que necesita tomar para cumplir con DORA. Este servicio se basa en nuestra probada Evaluación de Madurez de Seguridad.
-
Servicios de implementación de DORA
También ofrecemos una variedad de servicios para ayudar a implementar DORA en su organización. El alcance específico de nuestra solución dependerá del resultado de su análisis de brechas de DORA, pero puede incluir nuestro servicio de seguridad CyberCare, gestión de seguridad, soporte de conciencia y comportamiento, respuesta a incidentes y servicios de seguridad de proveedores.
Nuestros expertos en Secura, una empresa de Bureau Veritas, ofrecen una variedad de servicios para apoyar el cumplimiento de DORA, dondequiera que se encuentre en su viaje de ciberseguridad.
LA IMPORTANCIA DEl CUMPLIMIENTO DE DORA PARA LAS ORGANIZACIONES
Aunque DORA es un reglamento de la UE, también afecta a los proveedores de TIC de terceros. DORA solo permite que las empresas celebren contratos con proveedores que cumplan con los requisitos de seguridad de la información establecidos en el marco. Esto incluye servicios en la nube, servicios de red, servicios de hardware y consultoría de TIC.
DORA es una regulación compleja que aumenta las obligaciones para muchas organizaciones. Un enfoque apresurado o desinformado no solo puede dejar su organización vulnerable, sino también ponerla en riesgo de sanciones legales y financieras.
Cualquier incumplimiento de los requisitos podría llevar a una multa de hasta el 2% del volumen de negocios anual mundial total, o hasta el 1% del volumen de negocios diario promedio de la empresa a nivel mundial.
PASOS PARA LOGRAR EL CUMPLIMIENTO DE DORA
Si ya sabe que su organización está sujeta a DORA, es importante comenzar a prepararse para el cumplimiento temprano. Hable con nuestros expertos en ciberseguridad para entender más sobre la evaluación y planificación inicial de DORA, así como sobre cómo implementar las estrategias y soluciones que necesita para gestionar el riesgo y lograr el cumplimiento.
¿CUÁLES SON LOS BENEFICIOS DE LA CUMPLIMIENTO DE DORA?
El cumplimiento es obligatorio para algunas organizaciones, pero el cumplimiento de DORA también ofrecerá otros beneficios, incluyendo:
- Mejorada resiliencia cibernética y mejor planificación para amenazas de TIC
- Mayor comprensión de los riesgos de TIC en toda la organización
- Mayor control de las cadenas de suministro de TIC
- Mejorada información de incidentes y intercambio de información
¿POR QUÉ ELEGIR A BUREAU VERITAS PARA SUS NECESIDADES DE CUMPLIMIENTO DE DORA?
- Equipo experimentado con décadas de experiencia en gobernanza, riesgo y cumplimiento
- Una variedad de servicios desarrollados específicamente para satisfacer sus necesidades de DORA y ayudarlo a cumplir con DORA
- Expertos en ciberseguridad en el campo de las personas, procesos y tecnología
- Un único punto de contacto y un enfoque de asociación comprobado
- Una hoja de ruta clara para volverse y mantenerse en conformidad con DORA
- Respaldado por la experiencia global de Bureau Veritas, un líder mundial en servicios de prueba, inspección y certificación
-
¿CÓMO SE RELACIONA DORA CON LOS MARCOS EXISTENTES COMO ISO 27001?
Los marcos de riesgo existentes, como NIST e ISO 27001, proporcionan orientación sobre cómo cumplir con varias leyes a través de procesos como la capacitación del personal, la realización de auditorías y pruebas, el uso de gestión de incidentes y la gestión de riesgos en la cadena de suministro. Estos tipos de marcos de riesgo son una buena adición a DORA, pero cumplir con estos estándares no significa que cumpla automáticamente con DORA, que es una regulación por derecho propio.
-
¿CÓMO CAMBIARÁ DORA LOS REQUISITOS DE RESPUESTA A INCIDENTES?
La gestión de incidentes es un aspecto crítico para garantizar la seguridad y continuidad de los servicios. Bajo DORA, las empresas deben tener planes en marcha para comunicarse con el personal, las partes interesadas externas, los medios de comunicación y los clientes en caso de un incidente. También deben establecerse procedimientos internos de escalamiento. Además, los incidentes importantes deben ser informados a la alta dirección relevante y al "órgano de gestión", con una explicación del impacto, la respuesta y los controles adicionales que se establecerán como resultado del incidente.
-
¿CUÁL ES EL CRONOGRAMA DE DORA?
El primer lote de productos de políticas de DORA se publicó el 17 de enero de 2024 y DORA se aplica a partir del 17 de enero de 2025.
¿Necesitas más información sobre como aplica la normativa NORA a tu compañía?
Contacta con nuestros expertos en Ciberseguridad
