En enero de 2025 entra en vigor el Reglamento sobre resiliencia operativa digital en el sector financiero, ¿está la industria preparada para su llegada?
Ya está publicado en el DOUE el Reglamento 2022/2554 sobre resiliencia operativa digital en el sector financiero, más conocido por sus siglas en inglés: DORA. Su fecha de entrada en vigor efectiva es en enero de 2025, pero las entidades ya trabajan para ponerse al día con los requisitos que establece. Aquí puedes leer las principales novedades que trae consigo.
Miguel Sánchez Monjo, socio de Cuatrecasas, opina que el Reglamento DORA trae consigo también “un cambio cultural en las entidades”. Y no sólo respecto a cómo tratan el tema de ciberseguridad, sino también la propia continuidad del negocio: “Supone adoptar nuevos procedimientos en materia de ciberseguridad y gestión de riesgos informáticos, lo que exige integrar dentro de la compañía una mayor cultura en cuanto a la gestión de estos riesgos, cómo se trata la determinada información sensible de clientes, quién tiene acceso a la misma, etc.”, explicaba durante el último Debate Legal FundsPeople.
En su opinión, el mayor impacto puede tener lugar en gestoras más pequeñas. “Principalmente, gestoras de fondos de inversión alternativa que, en ciertos casos, tienen estructuras más pequeñas, con sistemas y procedimientos más simples, de forma que DORA puede resultar un desafío para ellas. Además, no entran dentro de los regímenes simplificados que se han previsto para ESIs pequeñas o entidades de pago simplificadas, y solamente se contemplan ciertas exenciones para micro-empresas”, puntualiza.
“Las entidades grandes, en concreto, los bancos, no deberían encontrar dificultades para implantar DORA, pues ya han hecho gran parte del camino", considera Alfredo Oñoro, director de Cumplimiento Normativo de Cecabank. De hecho, Oñoro apunta a que las mismas "ya cuentan con sólidos procedimientos y herramientas en materia ciberseguridad debido a los riesgos a los que se encuentran expuestas. Pero las entidades pequeñas probablemente sí encuentren dificultades si no se las orienta y ayuda en el proceso”.
Un ejercicio transversal
La norma prevé un plazo de dos años para cumplirla. No obstante, según cuenta Bárbara González, counsel de Linklaters, “es un ejercicio en el que, además, tienen que participar todas las áreas: gestión, riesgos y cumplimiento normativo tienen que trabajar codo con codo. Y tienen que empezar ya porque los plazos se van a quedar cortos”, aconseja.
Elisa Ricón, directora general de Inverco, cuenta que el año pasado Inverco inició un proyecto con gestoras de activos y de fondos de pensiones para evaluar en qué punto se encuentra cada entidad a efectos de cumplimiento de DORA. El objetivo es mapear por categorías en qué nivel está cada una y dar pautas para facilitar el cumplimiento. Los resultados se darán a conocer próximamente.
Ricón alude a una doble preocupación: “Hay que encontrar el equilibrio entre mantener la seguridad del sistema financiero, que es un trabajo de todos, y permitir que las entidades de todos los tamaños puedan seguir haciendo su trabajo”, matiza.
