{"id":13158,"date":"2024-03-06T07:10:48","date_gmt":"2024-03-06T07:10:48","guid":{"rendered":"https:\/\/sff-camara.com\/?p=13158"},"modified":"2024-03-06T10:22:32","modified_gmt":"2024-03-06T10:22:32","slug":"nuevos-requisitos-en-materia-de-ciberseguridad-vision-general-del-reglamento-dora","status":"publish","type":"post","link":"https:\/\/sff-camara.com\/es\/sff-magazine-marzo-2024\/nuevos-requisitos-en-materia-de-ciberseguridad-vision-general-del-reglamento-dora\/","title":{"rendered":"Nuevos requisitos en materia de ciberseguridad: Visi\u00f3n general del Reglamento DORA"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Nuevos requisitos en materia de ciberseguridad: Visi\u00f3n general del Reglamento DORA<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\tSFF Magazine Marzo 2024<\/a>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t<\/a>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\tTem\u00e1ticas: Tax<\/a>, TIC<\/a>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t
\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
Introducci\u00f3n<\/b><\/h5>\n

El 16 de enero de 2023 entr\u00f3 en vigor el Reglamento 2022\/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital en el sector financiero<\/a> (\u00abDORA<\/b>\u00bb o \u00abReglamento<\/b>\u00ab). Las entidades financieras y los proveedores terceros de servicios de tecnolog\u00edas de la informaci\u00f3n y la comunicaci\u00f3n (\u00abTIC<\/b>\u00ab) tienen hasta el 17 de enero de 2025 para cumplir con \u00a0DORA antes de que comience su aplicaci\u00f3n.\u00a0\u00a0<\/span><\/p>\n

La Uni\u00f3n Europea est\u00e1 prestando especial atenci\u00f3n a la digitalizaci\u00f3n del sector financiero y al consiguiente aumento de los riesgos para la seguridad. Esto ha dado lugar a la aplicaci\u00f3n de un marco normativo armonizado en materia de ciberseguridad.\u00a0<\/span><\/p>\n

El objetivo general de DORA es reforzar la resistencia operativa digital del sector financiero de la UE y garantizar que este \u00faltimo siga siendo resiliente tras una perturbaci\u00f3n operativa grave.\u00a0<\/span><\/p>\n

Para ello, \u00a0DORA racionaliza y actualiza las normas existentes, pero tambi\u00e9n impone nuevas obligaciones tanto a las entidades financieras como a los proveedores terceros de servicios esenciales para reforzar la seguridad de los sistemas inform\u00e1ticos que utilizan y garantizar que se recuperan de cualquier amenaza relacionada con las TIC.\u00a0<\/span><\/p>\n

Las entidades financieras deben empezar a realizar su evaluaci\u00f3n de deficiencias bas\u00e1ndose en el Reglamento y en las normas t\u00e9cnicas de regulaci\u00f3n (\u00abNTR<\/b>\u00ab) que han publicado las Autoridades Europeas de Supervisi\u00f3n (AES), es decir, la ABE, la AESPJ y la AEVM, el 17 de enero de 2024.<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\u00bfCu\u00e1les son las claves de DORA? \u00bfA qui\u00e9n se aplica este reglamento?<\/b><\/h5>\n

(1) \u00c1mbito de aplicaci\u00f3n de DORA\u00a0<\/span><\/b><\/span><\/p>\n

DORA abarca una amplia variedad de entidades financieras reguladas a nivel de la UE, incluidas las entidades de cr\u00e9dito y las empresas de servicios de inversi\u00f3n, las entidades de pago y de dinero electr\u00f3nico, las entidades de contrapartida central y de registro de operaciones, los gestores de fondos de inversion alternativos, las empresas e intermediarios de (re)seguros, los proveedores de servicios de criptoactivos, y los emisores y proveedores de servicios de crowdfunding<\/i>.<\/p>\n

Aunque la mayor\u00eda de estas entidades ya est\u00e1n sujetas a alg\u00fan tipo de normativa de ciberseguridad en la UE, \u00a0DORA ampl\u00eda significativamente el alcance de esta normativa y se aplicar\u00e1 a la mayor\u00eda de las actividades empresariales de una entidad que se considere dentro del \u00e1mbito de aplicaci\u00f3n en la UE.<\/p>\n

Adem\u00e1s, las AES podr\u00e1n designar \u00abproveedores terceros de servicios TIC esenciales\u00bb bas\u00e1ndose en criterios preestablecidos y en el potencial impacto sist\u00e9mico que podr\u00edan causar si sufrieran un fallo operativo de gran envergadura.<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t\t

\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t
\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

(2) Principales disposiciones de DORA<\/b><\/span><\/p>\n

DORA exige a todas las entidades financieras reguladas en la UE que garanticen que pueden resistir todo tipo de perturbaciones y amenazas relacionadas con las TIC.\u00a0<\/span><\/p>\n

Esto implica la aplicaci\u00f3n de medidas en los siguientes \u00e1mbitos fundamentales, que se denominan los cinco pilares de la resiliencia:<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

a)<\/b>\u00a0\u00a0\u00a0\u00a0 Gesti\u00f3n de riesgos de las TIC<\/b>. El primer pilar se refiere a la adopci\u00f3n de un marco integral de gesti\u00f3n de riesgos y gobernanza de las TIC para hacer frente a la evoluci\u00f3n de los riesgos digitales. En particular, las entidades financieras deber\u00e1n garantizar que su documentaci\u00f3n en materia de TIC (procedimientos, pol\u00edticas, controles, herramientas) cumple los requisitos de DORA. A este respecto, el Reglamento exige que el marco de gesti\u00f3n de riesgos de las TIC abarque la identificaci\u00f3n, protecci\u00f3n y detecci\u00f3n de los riesgos de las TIC y establezca mecanismos que permitan aprender de los incidentes externos e internos.\u00a0\u00a0<\/span><\/p>\n

La gobernanza de las TIC tambi\u00e9n deber\u00e1 adaptarse. El Reglamento exige expl\u00edcitamente que los miembros del \u00f3rgano de direcci\u00f3n de la entidad financiera se mantengan activamente al d\u00eda con los conocimientos y competencias suficientes para comprender y evaluar el riesgo de TIC y su impacto en las operaciones de la entidad financiera, incluso siguiendo regularmente una formaci\u00f3n espec\u00edfica acorde con el riesgo de TIC que se est\u00e9 gestionando. Adem\u00e1s, los miembros del \u00f3rgano de direcci\u00f3n deben desempe\u00f1ar un papel activo y central en la direcci\u00f3n y adaptaci\u00f3n a DORA del marco de riesgo de TIC de la entidad y de la estrategia general de resiliencia digital.<\/p>\n

b)<\/b>\u00a0\u00a0\u00a0 Gesti\u00f3n y notificaci\u00f3n de incidentes relacionados con las TIC<\/b>. El segundo pilar se refiere a la gesti\u00f3n y notificaci\u00f3n de incidentes relacionados con las TIC. Las entidades financieras utilizar\u00e1n un procedimiento simplificado para registrar y clasificar los incidentes relacionados con las TIC y notificar los incidentes importantes a las autoridades.\u00a0<\/span><\/p>\n

Esto minimiza el posible impacto de las amenazas cibern\u00e9ticas en la confianza del consumidor y la estabilidad financiera, garantizando una respuesta r\u00e1pida y coordinada.\u00a0<\/span><\/p>\n

DORA tambi\u00e9n establece requisitos para notificar, voluntariamente, a las autoridades competentes una ciberamenaza importante. \u00a0<\/span><\/p>\n

c)<\/b>\u00a0\u00a0\u00a0\u00a0 Pruebas de resiliencia operativa digital<\/b>. El tercer pilar exige que las instituciones financieras realicen peri\u00f3dicamente evaluaciones, como evaluaciones de vulnerabilidad, pruebas de intrusi\u00f3n y ejercicios basados en distintos escenarios.\u00a0<\/span><\/p>\n

Todos los sistemas y procesos esenciales ser\u00e1n sometidos a pruebas rigurosas y exhaustivas por parte de DORA para garantizar que pueden resistir y recuperarse de las perturbaciones operativas.<\/p>\n

d)<\/b>\u00a0\u00a0\u00a0 Estrategia para el riesgo de terceros en el \u00e1mbito de las TIC<\/b>. Se imponen obligaciones a las entidades financieras que adoptar\u00e1n y revisar\u00e1n peri\u00f3dicamente una estrategia para evaluar regularmente los riesgos procedentes de proveedores terceros de servicios de TIC, incluidos los servicios en la nube.\u00a0<\/span><\/p>\n

La estrategia sobre el riesgo de terceros en materia de TIC incluir\u00e1 una pol\u00edtica sobre el uso de servicios de TIC que presten apoyo a \u00abfunciones cr\u00edticas o importantes\u00bb prestados por proveedores terceros de servicios de TIC.\u00a0<\/span><\/p>\n

Adem\u00e1s, las organizaciones financieras deben asegurarse de que sus proveedores terceros cumplen los mismos requisitos exigentes de resiliencia operativa. Esto implica llevar a cabo la diligencia debida, supervisar el rendimiento y asegurarse de que los acuerdos contractuales contengan cl\u00e1usulas que obliguen al cumplimiento de los requisitos de DORA.<\/p>\n

Se mantendr\u00e1 un registro de la informaci\u00f3n relacionada con todos los acuerdos contractuales sobre el uso de servicios de TIC.<\/p>\n

e)<\/b>\u00a0\u00a0\u00a0\u00a0 Intercambio de informaci\u00f3n e inteligencia<\/b>. El quinto pilar prev\u00e9 la posibilidad, con car\u00e1cter opcional, de que las entidades financieras intercambien informaci\u00f3n e inteligencia sobre ciberamenazas, mejorando la capacidad global del sector financiero para identificar, responder y reducir los riesgos de las TIC.<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00abDORA abarca una amplia variedad de entidades financieras reguladas a nivel de la UE, incluidas las entidades de cr\u00e9dito y las empresas de servicios de inversi\u00f3n, las entidades de pago y de dinero electr\u00f3nico, las entidades de contrapartida central y de registro de operaciones, los gestores de fondos de inversion alternativos, las empresas e intermediarios de (re)seguros, los proveedores de servicios de criptoactivos, y los emisores y proveedores de servicios de crowdfunding<\/i>.\u00bb<\/h4>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t
\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

(3) Normas t\u00e9cnicas de DORA recientemente publicadas<\/b><\/span><\/p>\n

Las AES han recibido el mandato de desarrollar conjuntamente varios instrumentos normativos, que complementar\u00e1n los pilares de DORA.\u00a0\u00a0<\/span><\/p>\n

A este respecto y como se ha indicado anteriormente, el 17 de enero de 2024, las AES publicaron el primer conjunto de proyectos de normas t\u00e9cnicas de regulaci\u00f3n (NTR) y una nueva norma t\u00e9cnica de ejecuci\u00f3n (NTE), que representan directrices que las partes interesadas deben cumplir para concretar los requisitos de DORA.\u00a0<\/span><\/p>\n

Las NTR y las NTE abarcan los siguientes aspectos:<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

a)<\/b>\u00a0\u00a0\u00a0\u00a0 NTR sobre el marco de gesti\u00f3n de riesgos de las TIC y sobre un marco simplificado de gesti\u00f3n de riesgos de las TIC<\/b><\/p>\n

Las normas reglamentarias esbozadas en este documento especifican los criterios espec\u00edficos expuestos en los art\u00edculos 15 y 16.3 de DORA.\u00a0<\/span><\/p>\n

Estos criterios se refieren a las directrices y procedimientos para salvaguardar, prevenir, identificar y responder a los riesgos de las TIC en el \u00e1mbito de la gesti\u00f3n.\u00a0<\/span><\/p>\n

Las normas destacan los componentes esenciales a los que deben atenerse las instituciones financieras que operan bajo el r\u00e9gimen simplificado y que poseen menores niveles de escalabilidad, riesgo, tama\u00f1o y complejidad. Establecen un marco simplificado para la gesti\u00f3n de los riesgos de las TIC, haciendo hincapi\u00e9 en los principios de proporcionalidad y en un enfoque basado en el riesgo.<\/p>\n

El marco de las TIC est\u00e1 regulado por las NTR, que exigen un conjunto exhaustivo de 20 pol\u00edticas y procedimientos que abarcan \u00e1mbitos como la gesti\u00f3n de activos de TIC, el cifrado y los controles criptogr\u00e1ficos, la gesti\u00f3n de proyectos de TIC, la adquisici\u00f3n, el desarrollo y el mantenimiento de sistemas de TIC, la seguridad f\u00edsica y medioambiental, los recursos humanos, la gesti\u00f3n de identidades, el control de accesos, la gesti\u00f3n de incidentes relacionados con las TIC y la continuidad de las actividades de TIC.\u00a0<\/span><\/p>\n

El 17 de julio de 2024 se publicar\u00e1n normas t\u00e9cnicas adicionales para la comprobaci\u00f3n avanzada de los sistemas de TIC mediante pruebas de penetraci\u00f3n basadas en amenazas.\u00a0<\/span><\/p>\n

Adem\u00e1s, las AES podr\u00e1n considerar la posibilidad de elaborar nuevas directrices en los \u00e1mbitos que se han suprimido por el momento de las NTR, as\u00ed como sobre aspectos de seguridad derivados de los servicios en la nube.\u00a0<\/span><\/p>\n

b)<\/b>\u00a0\u00a0\u00a0 NTR sobre los criterios de clasificaci\u00f3n de los incidentes relacionados con las TIC\u00a0<\/span><\/b><\/p>\n

Estas nuevas NTR especifican los criterios para la clasificaci\u00f3n de incidentes graves relacionados con las TIC, incluido el enfoque para la clasificaci\u00f3n de incidentes graves, los umbrales de materialidad de cada criterio de clasificaci\u00f3n, los criterios y umbrales de materialidad para determinar las ciberamenazas significativas, los criterios para que las autoridades competentes eval\u00faen la relevancia de los incidentes para las autoridades competentes de otros Estados miembros, y los detalles de los incidentes que deben compartirse a este respecto.\u00a0<\/span><\/p>\n

Estas NTR tambi\u00e9n establecen una lista de siete criterios de clasificaci\u00f3n para determinar si un incidente constituye un \u00abincidente importante relacionado con las TIC\u00bb, as\u00ed como umbrales que detallan la importancia relativa de cada criterio. Los criterios son los siguientes: clientes y contrapartidas financieras afectados, impacto en la reputaci\u00f3n, extensi\u00f3n geogr\u00e1fica, duraci\u00f3n y tiempo de inactividad del servicio, p\u00e9rdidas de datos, servicios esenciales afectados e impacto econ\u00f3mico.\u00a0<\/span><\/p>\n

Los detalles del proyecto de plantillas de notificaci\u00f3n de incidentes se publicar\u00e1n el 17 de julio de 2024.<\/p>\n

c)<\/b>\u00a0\u00a0\u00a0\u00a0 NTR para especificar la pol\u00edtica relativa a los servicios de TIC de apoyo a funciones cr\u00edticas o importantes prestados por proveedores de servicios de TIC externos.<\/b><\/p>\n

Estas nuevas NTR especifican partes de los acuerdos de gobernanza, gesti\u00f3n de riesgos y marco de control interno que las entidades financieras deben establecer en relaci\u00f3n con el uso de proveedores de servicios de TIC externos. Su objetivo es garantizar que las organizaciones financieras mantengan la autoridad sobre sus riesgos operativos, la seguridad de los datos y la continuidad de la actividad durante la vigencia de sus acuerdos contractuales con estos proveedores terceros de servicios de TIC.\u00a0<\/span><\/p>\n

Se centran en los acuerdos contractuales con terceros proveedores de servicios de TIC (intragrupo).\u00a0 El proyecto de NTR se ha elaborado teniendo en cuenta las especificaciones ya existentes que figuran en las Directrices sobre acuerdos de externalizaci\u00f3n publicadas por las AES y otras especificaciones pertinentes que figuran en las Directrices de la ABE sobre las TIC y la gesti\u00f3n de los riesgos de seguridad.<\/p>\n

El 17 de julio de 2024 se publicar\u00e1n otras normas t\u00e9cnicas sobre c\u00f3mo evaluar a los proveedores de servicios de TIC en el contexto de la subcontrataci\u00f3n de \u00abfunciones cr\u00edticas o importantes\u00bb, as\u00ed como sobre c\u00f3mo llevar a cabo la supervisi\u00f3n de los proveedores de servicios de TIC identificados como esenciales.<\/p>\n

d)<\/b>\u00a0\u00a0\u00a0 Normas T\u00e9cnicas de Ejecuci\u00f3n (NTE) para establecer las plantillas del registro de informaci\u00f3n<\/b><\/p>\n

Las plantillas proporcionadas establecen el marco para un registro de subcontrataci\u00f3n de TIC que las entidades financieras deben mantener y actualizar peri\u00f3dicamente en relaci\u00f3n con sus acuerdos contractuales con terceros proveedores de servicios de TIC.\u00a0<\/span><\/p>\n

El registro de subcontrataci\u00f3n de TIC desempe\u00f1ar\u00e1 un papel fundamental en la gesti\u00f3n de los riesgos de los proveedores de servicios externos de TIC para las entidades financieras y ser\u00e1 utilizado por las autoridades competentes para supervisar el cumplimiento de \u00a0DORA e identificar a los proveedores de servicios externos de TIC esenciales sujetos a la supervisi\u00f3n de \u00a0DORA. El establecimiento de este registro requerir\u00e1 un esfuerzo significativo para muchas empresas, ya sea introduciendo nuevas herramientas o realizando amplias modificaciones en los sistemas existentes.<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Las AES presentar\u00e1n el proyecto final de RTS a la Comisi\u00f3n Europea para su adopci\u00f3n. Tras su adopci\u00f3n en forma de Reglamento Delegado de la Comisi\u00f3n, se someter\u00e1 al examen del Parlamento Europeo y del Consejo antes de su publicaci\u00f3n en el Diario Oficial de la Uni\u00f3n Europea. La fecha prevista de aplicaci\u00f3n de estas NTR es el 17 de enero de 2025.<\/p>\n

(4) Aplicaci\u00f3n en Luxemburgo<\/b><\/span><\/p>\n

El 4 de agosto de 2023, se present\u00f3 al Parlamento luxemburgu\u00e9s (Chambre des D\u00e9put\u00e9s<\/i>) el proyecto de ley n\u00ba 82911<\/sup> (\u00abProyecto de Ley\u00bb).\u00a0<\/span><\/p>\n

Considerando que las disposiciones del Reglamento ser\u00e1n directamente aplicables en el Derecho luxemburgu\u00e9s a partir del 17 de enero de 2025, los principales objetivos del Proyecto de Ley se limitan a lo siguiente:<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

a) Designar a las autoridades luxemburguesas competentes responsables de velar por la aplicaci\u00f3n del Reglamento por parte de las entidades incluidas en el \u00e1mbito de aplicaci\u00f3n sujetas a su supervisi\u00f3n, a saber, la Commission de Surveillance du Secteur Financier<\/i> (CSSF) y el Commissariat aux Assurances<\/i> (CAA).<\/p>\n

b) Dotar a la CSSF y al CAA de los poderes de supervisi\u00f3n e investigaci\u00f3n necesarios para el desempe\u00f1o de sus funciones.<\/p>\n

c) Establecer un sistema adecuado de sanciones y otras medidas administrativas.\u00a0<\/span><\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t\t

\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n

\u00abLas AES presentar\u00e1n el proyecto final de RTS a la Comisi\u00f3n Europea para su adopci\u00f3n. Tras su adopci\u00f3n en forma de Reglamento Delegado de la Comisi\u00f3n, se someter\u00e1 al examen del Parlamento Europeo y del Consejo antes de su publicaci\u00f3n en el Diario Oficial de la Uni\u00f3n Europea. La fecha prevista de aplicaci\u00f3n de estas NTR es el 17 de enero de 2025.\u00bb<\/h4>\n<\/blockquote>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t
\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Sobre la base del Proyecto de Ley en su versi\u00f3n actual, la CSSF y la CAA estar\u00e1n especialmente facultadas para pronunciar, dentro de los l\u00edmites de sus respectivas competencias, sanciones espec\u00edficas contra las personas sujetas a su respectiva supervisi\u00f3n si se infringen determinadas disposiciones de DORA.<\/p>\n

Adem\u00e1s de implementar \u00a0DORA, el Proyecto de Ley transpone a la legislaci\u00f3n luxemburguesa la Directiva (UE) 2022\/2556 de 14 de diciembre de 2022 (\u00abDirectiva de modificaci\u00f3n de DORA\u00bb), que modifica directivas europeas espec\u00edficas del sector financiero para implementar requisitos de resiliencia digital y seguridad de las TIC.<\/p>\n

En este sentido, el Proyecto de Ley introduce modificaciones puntuales en nueve leyes luxemburguesas relacionadas con el sector financiero, como son la ley de 5 de abril de 1993 sobre el sector financiero (modificada) (\u00abLFS\u00bb); la ley de 10 de noviembre de 2009 sobre servicios de pago (modificada) (\u00abLPS\u00bb); la ley de 17 de diciembre de 2010 sobre organismos de inversi\u00f3n colectiva (modificada); la ley de 12 de julio de 2013 sobre gestores de fondos de inversi\u00f3n alternativos (modificada); y la ley de 7 de diciembre de 2015 sobre el sector asegurador (modificada).<\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00abSobre la base del Proyecto de Ley en su versi\u00f3n actual, la CSSF y la CAA estar\u00e1n especialmente facultadas para pronunciar, dentro de los l\u00edmites de sus respectivas competencias, sanciones espec\u00edficas contra las personas sujetas a su respectiva supervisi\u00f3n si se infringen determinadas disposiciones de DORA.\u00bb<\/h4>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t<\/section>\r\n\t\t\t\t\t
\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

(5)\u00a0 Implicaciones pr\u00e1cticas: \u00bfQu\u00e9 significa \u00a0DORA para las entidades financieras luxemburguesas?<\/b><\/span><\/p>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\r\n\t\t\t\t\t\t\t\t
\r\n\t\t\t\t\r\n\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t\t\t<\/div>\r\n\t\t\t\t<\/div>\r\n\t\t\t\t\t\t\t\t\t
\r\n\r\n\t\t\t\t\r\n\t\t\t\t
\r\n\t\t\t\t\t\t\t\t\t\t\r\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

a) Acuerdos de externalizaci\u00f3n<\/b><\/p>\n

En febrero de 2019, la Autoridad Bancaria Europea (ABE) public\u00f3 directrices revisadas sobre acuerdos de externalizaci\u00f3n, que fueron integradas por la CSSF en su pr\u00e1ctica administrativa y enfoque normativo mediante la Circular CSSF 22\/806 sobre acuerdos de externalizaci\u00f3n de 22 de abril de 2022 (\u00abCircular CSSF 22\/806<\/b>\u00ab).\u00a0\u00a0<\/span><\/p>\n

Dada la aplicaci\u00f3n de DORA y la transposici\u00f3n de la Directiva a la legislaci\u00f3n nacional de Luxemburgo, cabe esperar que la Circular CSSF 22\/806 se vea afectada. De hecho, los acuerdos de externalizaci\u00f3n deber\u00e1n cumplir en todo momento los requisitos organizativos para la externalizaci\u00f3n de conformidad con las disposiciones de la LFS y la LPS.\u00a0<\/span><\/p>\n

Dado que estas dos leyes se modificar\u00e1n para incorporar\/seguir el nuevo r\u00e9gimen de DORA, en \u00faltima instancia significa que la mencionada Circular CSSF 22\/806 tambi\u00e9n requerir\u00e1 una revisi\u00f3n.\u00a0<\/span><\/p>\n

Aun as\u00ed, las entidades pertinentes que actualmente siguen las normas de externalizaci\u00f3n implementadas en la Circular CSSF 22\/806 tendr\u00e1n cierto grado de tranquilidad al saber que ya habr\u00e1 elementos significativos de cumplimiento.\u00a0<\/span><\/p>\n

b)<\/b>\u00a0\u00a0\u00a0 \u00a0Impacto en la contrataci\u00f3n con terceros<\/b><\/p>\n

La aplicaci\u00f3n de DORA es amplia. No s\u00f3lo se aplica a los acuerdos de externalizaci\u00f3n, sino tambi\u00e9n a los servicios de TIC en su conjunto.\u00a0<\/span><\/p>\n

En la pr\u00e1ctica, este \u00e1mbito de aplicaci\u00f3n m\u00e1s amplio significa que las entidades de servicios financieros que ya han completado un proyecto para cumplir con las directrices reglamentarias sobre externalizaci\u00f3n tendr\u00e1n que revisar aquellos servicios que no se consideraban externalizaci\u00f3n pero que entrar\u00e1n en la definici\u00f3n de servicios TIC de DORA.\u00a0<\/span><\/p>\n

A continuaci\u00f3n, tendr\u00e1n que evaluar esos contratos en relaci\u00f3n con los requisitos contractuales de DORA.<\/p>\n

Para todos los contratos que impliquen a una entidad financiera y a terceros proveedores de servicios de TIC sobre el uso de servicios de TIC, \u00a0DORA establece requisitos contractuales, con normas m\u00e1s estrictas aplicables a los proveedores que apoyan \u00abfunciones esenciales o importantes<\/strong>\u00ab. El art\u00edculo 3 de DORA define las funciones de la siguiente manera:\u00a0<\/span><\/p>\n

\u00abcuya perturbaci\u00f3n afectar\u00eda significativamente al rendimiento financiero de una entidad financiera o a la solidez o continuidad de sus servicios y actividades o cuya interrupci\u00f3n o ejecuci\u00f3n defectuosa o fallida afectar\u00eda significativamente al cumplimiento continuado de una entidad financiera con las condiciones y obligaciones de su autorizaci\u00f3n, o con sus dem\u00e1s obligaciones con arreglo al Derecho aplicable en materia de servicios financieros\u00bb.<\/i><\/p>\n

Esto afectar\u00e1 tanto a los contratos nuevos como a los ya existentes. Los derechos y obligaciones de la entidad financiera y del proveedor de servicios de TIC deben establecerse expresamente en los contratos pertinentes, que deben constar por escrito.\u00a0<\/span><\/p>\n

Los criterios contractuales de DORA siguen de cerca las Directrices de la ABE para los contratos de externalizaci\u00f3n mencionadas anteriormente. Varias cl\u00e1usulas, como las siguientes, le resultar\u00e1n familiares:<\/p>\n