Ley de Resiliencia Operativa Digital de la UE (DORA) y gestión de riesgos de terceros (TPRM) 2025

La Ley de Resiliencia Operativa Digital (DORA) es una regulación introducida por la Unión Europea para garantizar que las organizaciones financieras puedan sobrevivir y recuperarse de interrupciones relacionadas con las TIC (tecnologías de la información y la comunicación). Se centra en proteger el sector financiero gestionando los riesgos causados por proveedores de servicios TIC terceros. En pocas palabras, DORA garantiza que las empresas permanezcan sólidas y seguras, incluso si los sistemas o proveedores de los que dependen enfrentan un problema.

Una de las partes más importantes de DORA es la gestión de riesgos de terceros (TPRM). Si una empresa depende de proveedores TIC externos, DORA exige que gestionen los riesgos con cuidado. De este modo, las empresas no confían ciegamente en sus proveedores, sino que se preparan para cualquier desafío que estos puedan causar.

Para profundizar en las mejores prácticas de gestión de riesgos de proveedores, puede consultar esta guía sobre las mejores prácticas de gestión de riesgos de proveedores de Supplier Shield.

Capítulo V de DORA: Gestión del riesgo TIC de terceros

El Capítulo V de DORA se centra en las normas para gestionar los riesgos TIC que provienen de proveedores de servicios terceros. Imagine que utiliza software o servicios en la nube proporcionados por otra empresa. Si algo falla en sus sistemas, su negocio también puede sufrir. Por eso DORA exige a las empresas financieras monitorizar y reducir estos riesgos.

En el Capítulo V, se espera que las empresas:

• Comprendan y gestionen los riesgos de trabajar con proveedores TIC.
• Elaboren contratos sólidos con estos proveedores.
• Prueben regularmente la resiliencia de los sistemas TIC proporcionados por servicios terceros.

Para simplificar, el Capítulo V de DORA dice: Conozca a sus proveedores, planifique ante interrupciones y garantice que sus sistemas TIC sean resilientes.

Para obtener información sobre vulnerabilidades de terceros y la protección contra filtraciones de datos, puede resultarle útil cómo Supplier Shield protege contra vulnerabilidades de terceros.

Principios clave para una gestión sólida del riesgo TIC de terceros

La primera parte del Capítulo V destaca principios clave para gestionar riesgos TIC. Piense en ello como una lista de verificación de mejores prácticas que las empresas deben seguir al trabajar con proveedores externos. Estos principios incluyen:

1. ?Comprender todos los riesgos: Las empresas deben identificar los riesgos relacionados con sus proveedores TIC. Por ejemplo, si un proveedor de nube se desconecta repentinamente, ¿cómo afectará las operaciones de la empresa?
2. ?Establecer controles sólidos: Las empresas deben establecer procesos para monitorizar y gestionar riesgos de proveedores. Esto incluye contar con un plan para responder con rapidez si algo sale mal.
3. ?Revisiones y actualizaciones periódicas: Los riesgos cambian con el tiempo, por lo que las empresas deben revisar y actualizar periódicamente sus planes de gestión de riesgos de terceros.

El objetivo es sencillo: Sea proactivo, no reactivo. No espere a que algo salga mal; prepárese para riesgos potenciales antes de que ocurran.

Para una visión más amplia del panorama de riesgos de terceros, puede consultar esta guía integral.

Marco de gestión de riesgos

Para cumplir los requisitos de DORA, las empresas deben construir un marco de gestión de riesgos. Es como una hoja de ruta que ayuda a las organizaciones a identificar, evaluar y gestionar riesgos TIC procedentes de proveedores terceros.

He aquí cómo las empresas pueden crear un marco de gestión de riesgos:

1. Identificar los riesgos

Comience enumerando todos los proveedores TIC de los que depende su empresa. Formúlese preguntas como:

• ¿Qué servicios prestan?
• ¿Qué tan críticos son estos servicios para mi negocio?
• ¿Qué podría ocurrir si estos servicios fallan?

Por ejemplo, si utiliza almacenamiento en la nube para guardar datos de clientes, perder el acceso a la nube podría causar retrasos o pérdida de datos.

2. Evaluar los riesgos

Una vez que conoce los riesgos, el siguiente paso es evaluar su impacto. Clasifique cada proveedor según:

• La probabilidad de que algo salga mal.
• La magnitud del impacto si ocurre.

Este paso ayuda a las empresas a centrar sus esfuerzos primero en los riesgos más críticos.

3. Gestionar y mitigar los riesgos

Tras identificar y evaluar riesgos, las empresas deben crear planes de acción para reducirlos. Esto puede incluir:

• Crear sistemas de respaldo para servicios críticos.
• Implementar herramientas de monitorización para verificar el desempeño de los proveedores.
• Trabajar con proveedores para corregir puntos débiles o problemas.

Por ejemplo, si el sistema de un proveedor es vulnerable a ciberataques, las empresas pueden pedirle que mejore los controles de seguridad. Las organizaciones también pueden explorar marcos y programas de capacitación, como los ofrecidos por Abilene Academy, para garantizar que sus proveedores cumplan altos estándares de ciberseguridad y mitiguen eficazmente tales riesgos.

4. Integrar con la estrategia de resiliencia operativa

El marco de gestión de riesgos no debe funcionar de forma aislada. Debe formar parte de la estrategia de resiliencia operativa. Esto significa garantizar que todos los departamentos trabajen juntos para mantenerse preparados ante interrupciones TIC.

En resumen, un marco de gestión de riesgos ayuda a las empresas a:

• Detectar riesgos a tiempo.
• Centrarse en los proveedores más importantes.
• Tomar medidas para prevenir problemas.

Para estrategias adicionales, puede explorar las mejores prácticas de gestión de riesgos de proveedores.

Debida diligencia

Al trabajar con proveedores TIC, las empresas no pueden limitarse a creer en su palabra de que todo es seguro. Debida diligencia consiste en profundizar para garantizar que los proveedores sean fiables y cumplan los estándares de DORA. Este proceso ayuda a las empresas a:

1. ?Evaluar la fiabilidad del proveedor: Antes de asociarse con un proveedor, las empresas deben verificar su historial, prácticas de seguridad y capacidad para gestionar interrupciones.
2. ?Evaluar los controles del proveedor: Las empresas deben analizar cómo los proveedores protegen datos, mantienen sistemas y responden a ciberamenazas.
3. ?Revisiones continuas: La debida diligencia no termina tras firmar un contrato. Las empresas deben monitorizar regularmente a sus proveedores para garantizar que siguen cumpliendo los requisitos.

Por ejemplo, utilizar un asesor de confianza como Abilene Advisors puede agilizar este proceso ofreciendo información y evaluaciones para garantizar que los proveedores se alineen con las normas de cumplimiento de DORA.

Por qué importa la debida diligencia

Sin una debida diligencia adecuada, las empresas corren el riesgo de trabajar con proveedores poco fiables. Esto puede derivar en:

• Interrupciones del servicio
• Filtraciones de datos
• Multas por incumplimiento de DORA

Al dedicar tiempo a evaluar exhaustivamente a los proveedores TIC, las empresas construyen una base más sólida y resiliente para gestionar riesgos de terceros.

Requisitos contractuales

Los contratos son una parte clave de la gestión de riesgos de terceros bajo DORA. Las empresas deben garantizar que sus contratos con proveedores TIC definan claramente responsabilidades, expectativas y controles de riesgo. Un contrato sólido ayuda a proteger a la empresa si algo sale mal.

¿Qué incluir en los contratos con proveedores

Para cumplir los estándares de DORA, los contratos deben incluir:

1. Acuerdos de nivel de servicio (SLA): Estos definen el nivel de servicio que el proveedor debe prestar, como garantías de disponibilidad o tiempos de respuesta ante incidencias.
2. Obligaciones de seguridad: Los contratos deben detallar cómo los proveedores mantendrán los sistemas seguros, protegerán los datos y responderán a incidentes.
3. Derechos de auditoría: Las empresas necesitan la capacidad de auditar los sistemas de sus proveedores para garantizar que cumplen las normas.
4. Estrategias de salida: Si un proveedor no cumple los requisitos, el contrato debe incluir un plan para cambiar de proveedor sin interrupciones importantes.

Por ejemplo, muchas organizaciones descubren que herramientas como las ofrecidas por Supplier Shield pueden ayudar a rastrear y gestionar contratos con proveedores para garantizar su alineación con DORA.

Beneficios de contratos sólidos

Cuando los contratos son claros y exhaustivos, las empresas pueden:

• Responsabilizar a los proveedores por fallos.
• Reducir riesgos derivados de expectativas poco claras.
• Responder con rapidez si surgen problemas.

Al crear contratos sólidos, las empresas establecen expectativas claras con sus proveedores y garantizan el cumplimiento de DORA.

Riesgo de concentración y gestión de dependencias

Uno de los mayores desafíos para las empresas bajo DORA es el riesgo de concentración. Esto ocurre cuando una empresa depende en exceso de uno o pocos proveedores TIC. Si algo le ocurre a ese proveedor, todo el negocio podría enfrentar interrupciones importantes.

Identificación de riesgos de concentración

Para detectar riesgos de concentración, las empresas deben:

• Mapear todos sus proveedores TIC y los servicios que prestan.
• Analizar dependencias para ver dónde la empresa depende demasiado de un solo proveedor.
• Utilizar herramientas y marcos para evaluar los riesgos de perder un proveedor de servicios crítico.

Por ejemplo, imagine que su empresa depende de un proveedor de nube para el 90 % de sus operaciones. Si ese proveedor sufre una interrupción, su negocio podría quedar paralizado.

Gestión de riesgos de concentración

Una vez identificados los riesgos, las empresas deben reducir sus dependencias. Los pasos para gestionar riesgos de concentración incluyen:

• ?Diversificar proveedores TIC: Trabajar con múltiples proveedores en lugar de depender de uno solo.
• ?Construir sistemas de respaldo: Crear sistemas redundantes que mantengan las operaciones en marcha si un proveedor falla.
• ?Probar alternativas: Probar regularmente soluciones de respaldo para garantizar que funcionen correctamente durante interrupciones.

Al gestionar riesgos de concentración, las empresas construyen sistemas más sólidos y resilientes que pueden resistir fallos TIC o interrupciones de proveedores.

Para más orientación, considere explorar recursos como cómo gestionar eficazmente los riesgos de proveedores.

Registro de riesgos TIC de terceros

Un registro de riesgos TIC de terceros es una herramienta crítica para las empresas bajo DORA. Actúa como un registro detallado de todos los proveedores TIC terceros, sus riesgos asociados y las medidas implementadas para gestionarlos.

Por qué necesita un registro de riesgos

Un registro de riesgos ayuda a las organizaciones a:

• Llevar un control de todos los proveedores TIC en un solo lugar.
• Identificar y documentar riesgos potenciales asociados a cada proveedor.
• Monitorizar niveles de riesgo a lo largo del tiempo y actualizar planes de mitigación cuando sea necesario.

Piense en ello como un cuaderno de bitácora para sus proveedores TIC. Al mantener un registro de riesgos claro y actualizado, las empresas pueden:

• Responder más rápido a interrupciones.
• Garantizar el cumplimiento de los requisitos regulatorios de DORA.
• Priorizar riesgos críticos que requieren atención inmediata.

Pasos para crear un registro de riesgos TIC

1. Enumerar todos los proveedores TIC: Incluir a cada proveedor con el que trabaja su organización, sin importar cuán grande o pequeño sea su papel.
2. Evaluar los riesgos: Para cada proveedor, anote riesgos potenciales (p. ej., tiempo de inactividad, ciberataques, filtraciones de datos).
3. Documentar medidas de mitigación: Registrar qué pasos ha tomado su empresa para reducir estos riesgos.
4. Asignar responsabilidad: Asegúrese de que alguien en su organización sea responsable de mantener actualizado el registro de riesgos.
5. Actualizaciones periódicas: Revisar y actualizar el registro periódicamente, especialmente tras cambios significativos en el desempeño del proveedor o los niveles de riesgo.

Un registro de riesgos bien mantenido es un elemento fundamental de la gestión de riesgos de terceros y ayudará a las empresas a mantener el cumplimiento de los requisitos de DORA.

Para una guía integral sobre gestión de riesgos de proveedores, consulte este recurso sobre gestión de riesgos de proveedores.

Ejemplo de registro de riesgos TIC de terceros

Pruebas de resiliencia

Bajo DORA, las pruebas de resiliencia son un requisito vital para garantizar que los sistemas TIC, especialmente los proporcionados por proveedores terceros, sean lo suficientemente sólidos para resistir interrupciones o ciberamenazas. Estas pruebas ayudan a las empresas a identificar debilidades en sus sistemas antes de que se conviertan en problemas reales.

Tipos de pruebas de resiliencia

1. Pruebas de penetración: Esta prueba simula ciberataques para ver qué tan bien los sistemas pueden defenderse contra filtraciones.
2. Pruebas de estrés: Las empresas simulan cargas de trabajo elevadas o interrupciones para probar la capacidad y recuperación del sistema.
3. Pruebas basadas en escenarios: Las empresas se preparan para escenarios específicos, como la interrupción del servicio en la nube de un proveedor, para garantizar que cuenten con planes de respaldo.

Por qué importan las pruebas de resiliencia

Las pruebas de resiliencia permiten a las empresas:

• Identificar proactivamente vulnerabilidades en sistemas TIC.
• Garantizar que los proveedores terceros puedan gestionar interrupciones inesperadas.
• Cumplir los requisitos regulatorios de DORA para la resiliencia TIC.

Al ejecutar pruebas periódicas, las empresas pueden reducir los riesgos de fallos del sistema, filtraciones de datos o tiempos de inactividad prolongados causados por sus proveedores TIC.

Para empresas que buscan mejorar sus estrategias de resiliencia, herramientas y servicios como los proporcionados por Supplier Shield pueden simplificar y agilizar el proceso de pruebas.

Gestión de riesgos de subcontratación

La subcontratación ocurre cuando su proveedor TIC tercero externaliza parte de sus servicios a otro proveedor (proveedores cuaternos). Si bien esto expande el ecosistema de proveedores, introduce capas adicionales de riesgo que las empresas deben gestionar cuidadosamente bajo DORA.

Curiosamente, aunque casi el 90 % de las empresas rastrea riesgos durante las fases de abastecimiento y selección, menos del 80 % continúa monitorizando acuerdos de nivel de servicio (SLA) y riesgos de offboarding más adelante en el ciclo de vida de la relación. Esto subraya la necesidad de una mejor supervisión no solo de proveedores terceros, sino también de sus subcontratistas.

Riesgos clave de la subcontratación

1. Falta de visibilidad: Es posible que no sepa cómo o dónde operan los subcontratistas de su proveedor.
2. Dependencias en cadena: Si un proveedor cuaternario falla, el impacto se propaga hasta sus operaciones.
3. Problemas de cumplimiento normativo: La subcontratación puede introducir riesgos que podrían violar los estándares de DORA.

Cómo gestionar eficazmente los riesgos de subcontratación

Para gestionar eficazmente los riesgos de subcontratación, las empresas deben:

1. Incluir cláusulas de subcontratación en los contratos: Exigir a los proveedores que divulguen relaciones de subcontratación y garanticen que monitoricen a sus propios proveedores.
2. Realizar debida diligencia sobre cuartas partes: Los proveedores deben compartir detalles de las prácticas de seguridad de sus subcontratistas, incluidas evaluaciones de riesgos y estado de cumplimiento normativo.
3. Ampliar monitorización y auditorías: Revisar regularmente el desempeño y la resiliencia de proveedores cuaternos como parte de su gestión continua de riesgos.
4. Evaluar riesgo de concentración: Garantizar que ninguna operación crítica dependa en exceso de una sola cadena de proveedores terceros y cuaternos.
5. Hacer cumplir la responsabilidad: Asegurarse de que los contratos responsabilicen a los proveedores por cualquier problema causado por sus subcontratistas.

Al gestionar proactivamente los riesgos de subcontratación, las empresas pueden fortalecer su resiliencia y garantizar que cumplan plenamente con los requisitos de DORA.

Controles contractuales según el poder de negociación del proveedor

Los controles que puede exigir en los contratos dependen en gran medida del poder de negociación entre su organización y el proveedor. Por ejemplo:

• Proveedores grandes (p. ej., Microsoft): Las negociaciones pueden centrarse en garantizar la alineación con el cumplimiento normativo estándar del sector y establecer acuerdos de nivel de servicio (SLA) realistas. Las cláusulas personalizadas pueden ser más difíciles de implementar debido al poder de negociación del proveedor.
• Proveedores pequeños (p. ej., pymes o startups): Las empresas pueden negociar controles más específicos, como auditorías frecuentes, requisitos de resiliencia personalizados o contratos más cortos para evaluar el desempeño.

Controles contractuales adicionales

Para fortalecer los acuerdos con proveedores, considere estos controles adicionales:

1. Acuerdos de depósito (escrow):
   • Garantizar acceso a software o datos críticos en caso de fallo del proveedor o incumplimiento normativo.
2. Contratos a corto plazo:
   • Implementar contratos anuales o semestrales para revisar regularmente el desempeño del proveedor y el cumplimiento de los requisitos de DORA.
   • Esto permite flexibilidad para renegociar términos o cambiar a nuevos proveedores si es necesario.

Escenarios de riesgo de terceros

Al gestionar riesgos de terceros, las empresas deben prepararse para escenarios de riesgo específicos que podrían interrumpir las operaciones. He aquí algunos escenarios comunes y cómo abordarlos:

1. Ciberataque al proveedor

• Escenario: Los sistemas de un proveedor son comprometidos por un ataque de ransomware, afectando sus operaciones.
• Mitigación: Realizar auditorías periódicas de proveedores, exigir requisitos sólidos de ciberseguridad y garantizar copias de seguridad de datos.

2. Interrupción del sistema del proveedor

• Escenario: El sistema en la nube o de software de un proveedor se interrumpe inesperadamente.
• Mitigación: Diversificar proveedores, crear sistemas de respaldo y probar soluciones alternativas periódicamente

3. Filtración de datos del proveedor

• Escenario: Datos sensibles de clientes quedan expuestos debido a controles de seguridad débiles de un proveedor.
• Mitigación: Realizar una debida diligencia exhaustiva, exigir medidas de seguridad de datos en los contratos y monitorizar el cumplimiento del proveedor.

Prepararse para estos escenarios garantiza que las empresas puedan responder con rapidez y eficacia para minimizar el impacto de los riesgos de terceros.

Marco de supervisión de proveedores críticos de servicios TIC terceros

DORA también introduce estrictos requisitos de supervisión para proveedores críticos de servicios TIC terceros. Estos proveedores son esenciales porque las interrupciones en sus servicios pueden tener un impacto generalizado en la estabilidad financiera.

Identificación de proveedores TIC críticos

Los proveedores TIC críticos son proveedores terceros cuyos servicios son cruciales para mantener las operaciones. Para determinar si un proveedor es crítico, las empresas deben considerar:

• ¿Qué tan significativo es el papel del proveedor en la prestación de servicios esenciales.
• El impacto potencial del fallo del proveedor en operaciones y clientes.
• Si existen proveedores alternativos para el mismo servicio.

Medidas clave de supervisión conforme a DORA

Para proveedores TIC críticos, las empresas deben:

1. Realizar monitorización reforzada: Deben realizarse auditorías y evaluaciones de riesgos periódicas para garantizar el cumplimiento normativo.
2. Garantizar transparencia: Los proveedores TIC críticos deben divulgar sus propios riesgos de terceros y medidas de seguridad.
3. Pruebas de resiliencia periódicas: Las empresas deben probar la resiliencia de los sistemas proporcionados por proveedores TIC críticos para garantizar que puedan resistir interrupciones.

Al implementar un marco de supervisión sólido, las empresas pueden garantizar que los proveedores TIC críticos cumplan los estándares de DORA y contribuyan a la resiliencia operativa general.

Cómo Supplier Shield puede simplificar el cumplimiento normativo de la gestión de riesgos de terceros bajo DORA

Gestionar riesgos de terceros y mantener el cumplimiento de DORA puede resultar abrumador, pero herramientas como Supplier Shield simplifican el proceso.

Todo comienza aquí

Supplier Shield ofrece soluciones integrales para ayudar a las empresas a:

• Rastrear y gestionar proveedores de forma eficaz.
• Automatizar la debida diligencia en procesos para proveedores TIC terceros.
• Realizar pruebas de resiliencia para garantizar que los sistemas cumplan estándares regulatorios.
• Mantener registros de riesgos TIC para mantenerse organizados y conformes.

Con Supplier Shield, las empresas pueden agilizar sus procesos de TPRM, minimizar riesgos y garantizar el cumplimiento total de DORA. ¿Hablemos!

NIS2 y gestión de riesgos de terceros

La Directiva de Seguridad de Redes y Sistemas de Información 2 (NIS2) es otra regulación que se alinea estrechamente con DORA. NIS2 se centra en mejorar la ciberseguridad en sectores críticos de la UE, incluida la gestión de riesgos de terceros.

Similitudes clave entre NIS2 y DORA

1. Gestión de riesgos de proveedores: Tanto NIS2 como DORA exigen a las empresas evaluar y mitigar riesgos asociados a proveedores TIC terceros.
2. Notificación de incidentes: Las empresas deben informar incidentes significativos de ciberseguridad con rapidez bajo ambos marcos.
3. Pruebas de resiliencia: NIS2, al igual que DORA, enfatiza la importancia de probar sistemas TIC para garantizar que puedan resistir interrupciones.

Por qué NIS2 importa para el cumplimiento de DORA

NIS2 fortalece la ciberseguridad general, lo que respalda directamente el cumplimiento de DORA. Al abordar riesgos de terceros bajo NIS2, las empresas pueden mejorar su resiliencia y garantizar la alineación con los requisitos de DORA.

Para obtener más información sobre cómo construir resiliencia en ciberseguridad, explore la información de Supplier Shield sobre gestión de riesgos de terceros.

Normas de divulgación de ciberseguridad de la SEC: 9 preguntas clave para terceros

La Securities and Exchange Commission (SEC) de EE. UU. ha introducido normas que exigen a las empresas divulgar riesgos e incidentes de ciberseguridad. Esto se alinea con el énfasis de DORA en la gestión de riesgos de terceros.

9 preguntas clave para proveedores terceros

Para cumplir los requisitos de DORA y la SEC, las empresas deben preguntar a sus proveedores:

Al formular estas preguntas, las empresas pueden obtener claridad sobre riesgos de proveedores y garantizar el cumplimiento de las normas de ciberseguridad de DORA y la SEC.

Conclusión

La Ley de Resiliencia Operativa Digital (DORA) es un marco integral que garantiza que las empresas del sector financiero permanezcan sólidas y seguras, incluso ante interrupciones TIC. Al centrarse en la gestión de riesgos de terceros, las pruebas de resiliencia y la supervisión clara de proveedores TIC críticos, las organizaciones pueden mitigar riesgos y mantener la resiliencia operativa.

Herramientas como Supplier Shield simplifican el cumplimiento de DORA mediante evaluaciones automatizadas de riesgos de proveedores, pruebas de resiliencia y gestión de registros de riesgos. Mientras tanto, los programas de capacitación de Abilene Academy dotan a los equipos del conocimiento y las habilidades para fortalecer marcos de seguridad de proveedores.

Al abordar riesgos de forma proactiva, las empresas no solo cumplen con DORA, sino que también generan confianza, protegen datos de clientes y garantizan resiliencia a largo plazo en un mundo cada vez más digital.

Preguntas frecuentes

1. ¿Qué es DORA y por qué es importante? DORA es la Ley de Resiliencia Operativa Digital, una regulación en la UE que se centra en garantizar que las instituciones financieras puedan resistir interrupciones TIC y gestionar eficazmente riesgos de terceros.

2. ¿Cuáles son los requisitos clave para gestionar riesgos de terceros bajo DORA? Las empresas deben realizar debida diligencia, mantener registros de riesgos TIC, realizar pruebas de resiliencia y gestionar riesgos de subcontratación para cumplir con DORA.

3. ¿Qué son las pruebas de resiliencia y cómo ayudan? Las pruebas de resiliencia implican evaluar sistemas TIC para identificar debilidades y garantizar que puedan resistir interrupciones, como ciberataques o caídas del servicio.

4. ¿Cómo trata DORA a los proveedores críticos de servicios TIC terceros? DORA exige monitorización reforzada, auditorías periódicas y pruebas de resiliencia para proveedores TIC terceros críticos cuyos fallos podrían impactar severamente las operaciones.

5. ¿Cómo pueden herramientas como Supplier Shield ayudar con el cumplimiento de DORA? Supplier Shield automatiza evaluaciones de proveedores, pruebas de resiliencia y gestión de registros de riesgos, facilitando a las empresas cumplir los requisitos regulatorios de DORA.

?