Dora entra en vigor: Implicaciones para la industria de las criptomonedas
Este pasado viernes entró en vigor DORA, la ley de Resiliencia Operativa Digital. Este reglamento busca reforzar la seguridad informática y minimizar los riesgos tecnológicos estableciendo requisitos uniformes en materia de redes y sistemas que sustenten los procesos de las compañías financieras.
Obligaciones para los proveedores de criptomonedas
Según expertos, la normativa supone la creación de un «Código Civil tecnológico» para el sector, abarcando entidades reguladas de la Unión Europea como bancos, aseguradoras, empresas de inversión, entidades de pago y dinero electrónico, proveedores de criptomonedas autorizados por MiCA y proveedores de tecnologías de la información y la comunicación (TIC).
Entre las obligaciones para los proveedores de criptomonedas bajo DORA, destaca la creación de un registro de información que incluya todos los contratos en vigor, identificando los esenciales y los proveedores que los ofrecen. También deberán realizar análisis de riesgos y pruebas de resiliencia periódicamente.
Fortalecimiento de la seguridad
DORA exige que las entidades dispongan de un plan alternativo para seguir operando sin que los eventos perturbadores afecten su actividad, garantizando la estabilidad financiera y la protección del consumidor.
El reglamento prevé que las entidades desarrollen marcos integrales de gestión de riesgos de las TIC, identificando activos críticos, realizando análisis de riesgos regulares y estableciendo medidas de ciberseguridad. Estos marcos deben revisarse anualmente y tras cualquier incidente, y someterse a auditorías internas periódicas.
Además, las entidades deben identificar toda la cadena de proveedores. Cristina Carrascosa, CEO de ATH21, destaca que DORA exige por primera vez un control de toda la cadena de contratación y subcontratación, lo que puede resultar complejo debido a la subcontratación de numerosas tareas.
Retos y retrasos
La normativa representa un desafío para las entidades, especialmente por su complejidad y falta de claridad en algunas cuestiones interpretativas. También se acusa el retraso en la publicación de las normas técnicas de desarrollo (RTS) que detallan los requisitos específicos.
Pese a su complejidad, Carrascosa señala que los proveedores de servicios de criptomonedas, por su naturaleza tecnológica, están familiarizados con los marcos de gestión de riesgos y reportes de incidentes, por lo que su adaptación a DORA no es tan complicada.
Sin embargo, considera que DORA no era necesaria para las entidades de criptomonedas, ya que MiCA ya incluye obligaciones similares, como la posesión de un sistema resiliente y un plan de liquidación ordenado en caso de incidentes de seguridad.
Entrada en vigor y supervisión
A diferencia de MiCA, DORA entró en vigor el pasado viernes sin periodo de transición. Las autoridades competentes tienen hasta abril para notificar a las autoridades europeas los acuerdos contractuales con proveedores de servicios tecnológicos comunicados por las entidades financieras.
Posteriormente, los supervisores anunciarán qué proveedores TIC son críticos, es decir, aquellos con alta concentración en entidades y que, por tanto, requieren requisitos reforzados. Estos proveedores serán regulados y supervisados directamente por las autoridades europeas de valores, banca y seguros.
