DORA se leyó al principio como una norma bancaria. En la práctica su efecto más amplio recae sobre las empresas tecnológicas que dan servicio a entidades financieras, porque las obligaciones les llegan por vía contractual aunque el reglamento no las cite.
A quién alcanza
Directamente, a un catálogo amplio de entidades financieras: bancos, aseguradoras, gestoras, entidades de pago, proveedores de servicios de criptoactivos y, entre otras, las propias corredurías. Indirectamente, a cualquier proveedor de servicios TIC de esas entidades, que recibe las exigencias trasladadas al contrato de prestación de servicios.
Los cinco bloques de obligaciones
Gestión del riesgo TIC con implicación del órgano de dirección, notificación de incidentes graves, pruebas de resiliencia operativa digital, gestión del riesgo de terceros con un registro de acuerdos, y mecanismos de intercambio de información sobre amenazas. El bloque de terceros es el que más trabajo administrativo genera, porque obliga a mantener un registro estructurado de todos los acuerdos TIC y a poder identificar cuáles soportan funciones esenciales.
Las cláusulas contractuales que ahora hay que negociar
Descripción completa del servicio, niveles de rendimiento, ubicación del tratamiento de datos, derechos de acceso e inspección, obligaciones de cooperación ante incidentes y estrategias de salida ordenada. Para el proveedor tecnológico esto significa aceptar auditorías y compromisos de continuidad que su contrato anterior probablemente no contemplaba, con el consiguiente aumento de su propia exposición.
Qué mirar en el seguro
En la entidad financiera, que el ciberseguro contemple la interrupción originada en un proveedor TIC, que es exactamente el escenario que DORA quiere prevenir. En el proveedor tecnológico, que su responsabilidad civil profesional cubra el incumplimiento de niveles de servicio y las penalizaciones contractuales, porque los nuevos contratos las incorporan con importes muy superiores a los habituales hasta ahora.
