Regulación en materia de ciberseguridad: DORA y NIS2

Francisco de León y Olivia Delagrange
Socio (Head of Insurance M&A and Regulatory) y Socia (Head of Insurance Litigation)

DORA: Resiliencia Operativa Digital en el Sector Financiero

El Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), entrará en vigor el 17 de enero de 2025. Este reglamento tiene como objetivo principal mejorar la resiliencia operativa digital de las entidades financieras dentro de la Unión Europea. DORA asegura que estas entidades puedan resistir, responder y recuperarse de interrupciones operativas relacionadas con las tecnologías de la información y comunicación (TIC).

A diferencia de normativas anteriores, DORA amplía significativamente su ámbito de aplicación, abarcando una amplia gama de entidades financieras. Esto incluye aseguradoras, reaseguradoras, mediadores de seguros y fondos de pensiones, entre otros. Las entidades deben establecer un marco de gestión del riesgo relacionado con las TIC, que sea sólido, completo y bien documentado. Este marco debe incluir políticas y procedimientos adecuados para identificar, evaluar y mitigar los riesgos relacionados con las TIC.

Además, DORA exige la realización de pruebas de resiliencia operativa para evaluar la capacidad de las entidades de resistir y recuperarse de incidentes disruptivos. Estas pruebas deben ser proporcionales al tamaño, la complejidad y el perfil de riesgo de la entidad, e incluir simulaciones de ciberataques para evaluar la preparación ante posibles amenazas.

Un aspecto crucial de DORA es la supervisión de proveedores terceros de servicios TIC. Las entidades deben evaluar y gestionar los riesgos asociados con la externalización de servicios críticos a terceros. Esto implica realizar evaluaciones de riesgos antes de la contratación, supervisar el rendimiento del proveedor de manera continua y asegurar que los contratos incluyan cláusulas que garanticen la resiliencia operativa. Estas disposiciones se superponen con las normativas existentes sobre externalización en el sector asegurador y de fondos de pensiones.

DORA también introduce un marco de supervisión para los proveedores terceros esenciales de TIC, designando un supervisor principal entre las autoridades de supervisión financieras europeas. Además, permite el intercambio de información sobre ciberamenazas entre entidades financieras, siempre que se cumplan ciertos requisitos.

NIS2: Fortalecimiento de la Ciberseguridad en Sectores Críticos

La Directiva (UE) 2022/2555, conocida como NIS2, fue aprobada para garantizar un elevado nivel común de ciberseguridad en la Unión Europea. Entró en vigor el 16 de enero de 2023 y amplía el alcance de la anterior Directiva NIS1, aplicándose a más sectores y entidades, incluyendo energía, transporte, salud y finanzas.

NIS2 establece requisitos más estrictos para la gestión de riesgos de ciberseguridad. Esto incluye la implementación de medidas técnicas y organizativas para prevenir y mitigar los riesgos de ciberseguridad, la realización de evaluaciones de riesgos, la implementación de controles de seguridad y la adopción de prácticas de gestión de incidentes. La norma introduce un marco de supervisión más robusto para garantizar el cumplimiento de los requisitos de seguridad.

Las autoridades competentes en cada Estado miembro tienen la responsabilidad de supervisar y hacer cumplir las disposiciones de NIS2. Esto incluye la realización de auditorías, la imposición de sanciones en caso de incumplimiento y la promoción de la cooperación entre las entidades afectadas. NIS2 también establece mecanismos para la notificación de incidentes significativos, asegurando que las autoridades competentes sean informadas de manera oportuna para facilitar una respuesta coordinada.

En España, la transposición de NIS2 está en proceso. El Consejo de Ministros aprobó un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que busca establecer medidas para alcanzar un elevado nivel común de ciberseguridad en el país. La futura ley afectará a entidades públicas y privadas en sectores esenciales, estableciendo un Centro Nacional de Ciberseguridad y reforzando el procedimiento de notificación de incidentes.