DORA es va llegir al principi com una norma bancària. A la pràctica el seu efecte més ampli recau sobre les empreses tecnològiques que donen servei a entitats financeres, perquè les obligacions els arriben per via contractual encara que el reglament no les citi.
A qui arriba
Directament, a un catàleg ampli d'entitats financeres: bancs, asseguradores, gestores, entitats de pagament, proveïdors de serveis de criptoactius i, entre altres, les pròpies corredories. Indirectament, a qualsevol proveïdor de serveis TIC d'aquestes entitats, que rep les exigències traslladades al contracte de prestació de serveis.
Els cinc blocs d'obligacions
Gestió del risc TIC amb implicació de l'òrgan de direcció, notificació d'incidents greus, proves de resiliència operativa digital, gestió del risc de tercers amb un registre d'acords, i mecanismes d'intercanvi d'informació sobre amenaces. El bloc de tercers és el que més feina administrativa genera, perquè obliga a mantenir un registre estructurat de tots els acords TIC i a poder identificar quins suporten funcions essencials.
Les clàusules contractuals que ara cal negociar
Descripció completa del servei, nivells de rendiment, ubicació del tractament de dades, drets d'accés i inspecció, obligacions de cooperació davant incidents i estratègies de sortida ordenada. Per al proveïdor tecnològic això significa acceptar auditories i compromisos de continuïtat que el seu contracte anterior probablement no contemplava, amb el consegüent augment de la seva pròpia exposició.
Què mirar en l'assegurança
A l'entitat financera, que el ciberassegurança contempli la interrupció originada en un proveïdor TIC, que és exactament l'escenari que DORA vol prevenir. Al proveïdor tecnològic, que la seva responsabilitat civil professional cobreixi l'incompliment de nivells de servei i les penalitzacions contractuals, perquè els nous contractes les incorporen amb imports molt superiors als habituals fins ara.
