DORA (Digital Operational Resilience Act)

Las entidades financieras identificarán, clasificarán y documentarán adecuadamente todas las funciones de negocio, funciones y responsabilidades apoyadas en las TIC, así como los activos de información y de TIC que las sustentan, y revisarán cada año la idoneidad de esa clasificación.

Las entidades financieras mantendrán los inventarios pertinentes y los actualizarán periódicamente y cada vez que se produzca un cambio importante.

Las entidades financieras identificarán y documentarán todos los procesos que dependan de terceros proveedores de servicios TIC.

Las entidades financieras diseñarán, adquirirán e implementarán políticas, procedimientos, protocolos y herramientas de seguridad de las TIC destinados a garantizar la resiliencia, la continuidad y la disponibilidad de los sistemas de TIC y a mantener altos niveles de disponibilidad, autenticidad, integridad y confidencialidad de los datos, en reposo, en uso o en tránsito.

Las entidades financieras reducirán al mínimo el riesgo de alteración o pérdida de datos, de acceso no autorizado y de fallos técnicos que puedan obstaculizar la actividad.

Las entidades financieras aplicarán políticas que limiten el acceso físico o lógico a los activos de información y de TIC a lo que exijan únicamente las funciones y actividades legítimas y aprobadas.

Las entidades financieras aplicarán políticas y protocolos de mecanismos de autenticación reforzada, basados en normas pertinentes y en sistemas de control específicos.

Las entidades financieras contarán con políticas, procedimientos y controles documentados de gestión de cambios en las TIC, que garanticen que todos los cambios se registran, prueban, evalúan, aprueban, implementan y verifican de forma controlada.

Las entidades financieras contarán con políticas documentadas adecuadas y completas sobre parches y actualizaciones.

Las entidades financieras dispondrán de mecanismos para detectar con rapidez actividades anómalas, incluidos los problemas de rendimiento de la red TIC y los incidentes relacionados con las TIC, y para identificar posibles puntos únicos de fallo significativos. Todos los mecanismos de detección se someterán a pruebas periódicas.

Los mecanismos de detección permitirán varias capas de control y definirán umbrales de alerta y criterios para activar los procesos de respuesta a incidentes relacionados con las TIC, incluidas alertas automáticas al personal pertinente.

Las entidades financieras dedicarán recursos y capacidades suficientes a supervisar la actividad de los usuarios, la aparición de anomalías en las TIC y los incidentes relacionados con las TIC, en especial los ciberataques.

Las entidades financieras establecerán una política integral de continuidad de las actividades de TIC, como parte integrante de su política de continuidad operativa, para garantizar la continuidad de las funciones esenciales o importantes.

Antes de celebrar un acuerdo contractual sobre el uso de servicios TIC, las entidades financieras identificarán y evaluarán todos los riesgos pertinentes y aplicarán toda la diligencia debida a los posibles terceros proveedores de servicios TIC.

Las entidades financieras solo podrán celebrar acuerdos contractuales con terceros proveedores de servicios TIC que cumplan normas adecuadas de seguridad de la información; cuando esos servicios apoyen funciones esenciales o importantes, se aplicarán las normas más actualizadas y de mayor calidad.