DORA (Digital Operational Resilience Act), es un reglamento que requiere que las entidades del sector financiero garanticen que pueden resistir, responder y recuperarse de todo tipo de incidentes, riesgos y amenazas relacionados con las TIC (Tecnologías de la Información y la Comunicación). Fue promulgado por el Parlamento Europeo y el Consejo de la Unión Europea el 14 de diciembre de 2022, Reglamento (UE) 2022-2554, y pretende armonizar y racionalizar la normativa relacionada con la gestión del riesgo de las TIC, garantizando la coherencia y consistencia en toda la UE. DORA requiere que las entidades financieras que respeten el principio de proporcionalidad, que tiene en cuenta el tamaño, el perfil de riesgo y la complejidad de sus operaciones.

DORA establece los requisitos clave para las entidades financieras en cinco áreas principales:

1. Gestión del riesgo relacionado con las TIC: Las entidades financieras deben establecer y mantener un marco eficaz de gestión de riesgos relacionados con las TIC para identificar, clasificar y reducir eficazmente los riesgos del TIC.
2. Gestión de incidentes: Las entidades financieras deben establecer una gestión eficaz de los incidentes y un marco armonizado para notificar a los organismos reguladores los principales incidentes relacionados con las TIC, facilitando una mejor comprensión de las amenazas emergentes y permitiendo respuestas coordinadas.
3. Pruebas de resiliencia operativa digital: Las entidades financieras deben llevar a cabo pruebas periódicas para evaluar su capacidad de resistencia a interrupciones de las TIC. Esto incluye evaluaciones de vulnerabilidad y pruebas de penetración, con requisitos adecuados al tamaño y perfil de riesgo de la entidad.
4. Gestión del riesgo derivado de terceros: Reconociendo la creciente dependencia de proveedores de servicios terceros, incluidos los servicios en la nube, el DORA establece reglas para gestionar los riesgos relacionados con las TIC en la cadena de suministro, garantizando que las entidades financieras supervisen la resiliencia de sus proveedores críticos terceros.
5. Intercambio de información e inteligencia: DORA insta a las entidades financieras a compartir inteligencia sobre amenazas cibernéticas y otra información pertinente para mejorar la comprensión colectiva y los mecanismos de defensa contra las amenazas de las TIC.