DORA: la tecnología como elemento y parte de la regulación
La normativa DORA y el impacto de esta regulación en el sector asegurador fue el tema central de la jornada de Capgemini, que dedicó la primera parte del evento a introducir a la audiencia en esta normativa, el Reglamento de Resiliencia Operativa Digital para el sector financiero que regula la forma en que las entidades financieras gestionan el riesgo digital en las finanzas, sus características principales, organizaciones a las que afecta, aspectos en los que pone el foco o las implicaciones de su aplicación, entre otros temas.
Paula Yanes, Director – Head of Digital Trust de Capgemini Invent; Carlos Ruiz-Alba, experto en regulaciones cyber de Capgemini Invent; y Laura Cotorruelo, experta en regulaciones cyber de Capgemini Invent, analizaron el reglamento con el que “podemos sentirnos muy abrumados por toda la normativa que conlleva y las sanciones que trae”, tanto administrativas como penales, y que “deberán ser eficaces, proporcionadas y disuasorias”. El incumplimiento de la normativa conllevará el pago de importantes multas que pueden llegar al 1% del negocio diario medio a nivel mundial del proveedor de servicios críticos de TIC en el año comercial anterior.
Para su implementación, aunque entró en vigor el 16 de enero, la autoridad regulatoria ha dejado dos años, pero, sin duda, cobrará un papel protagonista en el órgano de dirección de las empresas a la hora de aprobar un marco TIC.
También se abordaron las novedades que trae el reglamento, como que habrá que definir responsabilidades; que surgirán nuevos roles; que habrá que establecer nuevas áreas en las empresas para que haya una cooperación transversal; el papel que tendrá en cuanto a la política de resiliencia y los planes de respuesta ante posibles incidentes; o que se asegurará de que haya el presupuesto necesario para que se llegue al nivel de operativa digital; la notificación de incidentes graves; las obligaciones de terceros; además de asegurar también un plan de comunicación adecuado en las organizaciones y de intercambio de información, entre otras novedades.
“Aunque las normas técnicas aún están pendientes de salir, habrá que cumplir con ellas”, aseguraron desde la consultora, aconsejando también empezar a hacerlo ya, si bien “habrá que tener en cuenta la naturaleza y características de cada entidad”. También resaltaron como protagonista clave al órgano de dirección, que “tendrá que estar muy presente en los riesgos TIC”, o los planes de acción del sector asegurador con los clientes.
Oportunidades y retos de la ciberseguridad
Andrés de Benito, director y responsable Ciberseguridad de Capgemini España; Francisco Javier Santos, CISO de Santalucía; Raúl Ruiz, CISO y Head IT de Pelayo; y Elena García-Mascaraque, Security Service Providers Director, abordaron luego en una mesa redonda las oportunidades y retos de la ciberseguridad este año para las aseguradoras.
Algunas de las conclusiones fueron que hay un punto de evolución en la normativa que se está dando muy aceleradamente y, aunque “no pilla de sorpresa, sí obliga a ciertos ajustes” al tener que contar con proveedores externos, por ejemplo, que “a veces te limitan en cuanto a capacidades”. Además, se coincidió en que dos años no serán suficientes para hacer todos los ajustes necesarios y DORA tiene un punto diferencial para el Seguro porque “de un plumazo pone a las entidades aseguradoras al mismo nivel que a los bancos”, aunque “se vislumbra predisposición por parte del regulador por construir un clima de confianza en el que trabajar bien”. Asimismo, se resaltó que la normativa pretende “ayudarnos a hacer una mejora continua” y “forzará a aquellos que no tienen los medios o la atención puesta” en ciberseguridad.
Otros aspectos abordados fueron ChatGPT, IA, blockchain, gestión del talento o el papel de los proveedores, aspecto este último sobre el que hay expectación, pues “no deja de ser un tercero en el que estás depositando confianza” y “hay que tener cuidado de no poner todos los huevos en la misma cesta”.