El pasado día 12 de diciembre, la CNMV publicó el “Informe del resultado de la autoevaluación sobre la preparación de las entidades respecto a DORA” que nos parece particularmente oportuno ante la inminente obligación de las entidades financieras europeas de tener establecido, desde el día 17 de enero de 2025, un sistema sólido de la resiliencia operativa digital que cumpla los exigentes requisitos que establece el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero (DORA). El seguimiento del Reglamento DORA que hemos realizado en este blog y fuera de él (el lector interesado puede ver la nota bibliográfica final) nos lleva a dar noticia sintética de su contenido.
A) Finalidad
Constata la CNMV en su anuncio que esta autoevaluación ha tenido dos finalidades respecto de los sujetos implicados:
a) Por un lado, ha permitido concienciar a las entidades sujetas a la supervisión de la CNMV sobre los principales requisitos de DORA.
b) Por otro lado, ha servido a la CNMV para conocer el estado actual de preparación de las entidades antes de la entrada en vigor del Reglamento y, adicionalmente, ofrecerles asesoramiento sobre diversas cuestiones suscitadas durante el proceso de contestación al cuestionario (a través del buzón de correo de ciberseguridad@cnmv.es).
B) Contenido
Este “Informe del resultado de la autoevaluación sobre la preparación de las entidades respecto a DORA” (Dirección General de Política Estratégica y Asuntos Internacionales. Departamento de Estrategia, Innovación y Finanzas Sostenibles. 4 de diciembre de 2024) ofrece un contenido doble:
a) Refleja el resultado de un ejercicio de autoevaluación que han realizado 245 entidades -que abarcan Empresas de Servicios de Inversión, Sociedades Gestoras y Plataformas de Financiación Participativa- en relación con los principales aspectos sobre resiliencia operativa que se recogen en el Reglamento DORA.
b) Recoge recomendaciones, expectativas, aspectos normativos destacables y referencias a materiales de apoyo de carácter más técnico que pueden resultar de ayuda en la implementación de DORA.
Desde el punto de vista regulatorio, nos parece de una especial utilidad e interés su Anexo de “Referencias normativas en distintos ámbitos” que recoge dos tipos de datos:
b.1) Referencias precisas a los correspondientes artículos del Reglamento de Resiliencia Operativa Digital (DORA) y de las normas -vigentes o en preparación (borradores)- que lo desarrollan y que pueden clasificarse en las tres categorías siguientes: Normas técnicas de regulación (RTS “Regulatory Technical Standards”); Normas técnicas de ejecución (ITS “Implementing Technical Standards”) y Directrices (GL).
De las primeras Normas técnicas de regulación se recogen las referencias a las ya aprobadas mediante los Reglamentos Delegados (UE) 2024/1772 de la Comisión sobre los criterios para la clasificación de los incidentes relacionados con las TIC (RTS1); 2024/1773 de la Comisión sobre la política sobre acuerdos con proveedores de servicios de TIC (RTS2); y el 2024/1774 de la Comisión sobre el marco de gestión de riesgos TIC y el marco simplificado de gestión de riesgos TIC (RTS3). Además, se recogen las referencias contenidas en 5 borradores finales de otras tantas Normas técnicas de regulación.
De las Normas técnicas de ejecución se recogen las referencias al Borrador final ITS sobre el registro de proveedores (rechazado por la Comisión Europea y sujeto a cambios) (ITS1).
De las Directrices, se recogen las referencias a los Borradores finales de las Directrices sobre la estimación agregada anual sobre costes y pérdidas causadas por incidentes TIC graves (GL1) y de las Directrices para la cooperación en la supervisión e intercambio de información entre las AES y las autoridades competentes (GL2).
b.2) Las referencias normativas indicadas se relacionan con los distintos aspectos de los 8 ámbitos siguientes: funciones y responsabilidades, estrategias, políticas y procedimientos, planes, informes y registros, revisiones periódicas, revisiones anuales, obligaciones con la CNMV y exenciones a microempresas o ESI pequeñas no interconectadas.
C) Conclusiones
El “Informe del resultado de la autoevaluación sobre la preparación de las entidades respecto a DORA”, una vez analizadas en detalle las respuestas de las entidades, llega a las siguientes conclusiones generales:
a) “Se ha observado que, en general, tienen buenas medidas de gobernanza, de ciberseguridad y de continuidad de negocio, aunque faltan en numerosos casos la revisión periódica o el seguimiento de dichas revisiones”.
b) “No obstante, se han detectado más carencias en la gestión de incidentes, en la gestión de pruebas y en la gestión del riesgo de proveedores de servicios de TIC. Las entidades de menor tamaño que no pertenecen a un grupo son las que están peor preparadas”.
c) “Por lo tanto, se puede concluir que las entidades financieras tienen el reto de adecuarse al nuevo Reglamento y la oportunidad de mejorar su capacidad de resiliencia. En concreto, deberán analizar cómo implementar la regulación en su organización, de manera proporcional a su tamaño, perfil de riesgo y complejidad”.
d) “La CNMV colaborará con el sector para que esta implementación se haga de manera eficiente pero también realizará un seguimiento que le permita valorar si se han implementado las medidas de manera adecuada”.
Nota bibliográfica: el lector interesado en profundizar en el conocimiento del DORA puede consultar las entradas que publicamos en este blog los días 6,7,9 y 10 de febrero de 2023 con el título común de “DORA. Ley Europea de Resiliencia Operativa Digital del Sector Financiero. Reglamento (UE) 2022/2554”; la entrada de 13 de abril de 2023 titulada “DORA llega a España: La nueva Ley de los Mercados de Valores y de los Servicios de Inversión adapta el régimen de las empresas de servicios de inversión al Reglamento de la UE sobre la resiliencia operativa digital en el sector financiero (DORA)”; y las entradas publicadas los días 30 y 31 de octubre de 2023 sobre “El Reglamento de la UE sobre la resiliencia operativa digital en el sector financiero (DORA): Conferencias recientes impartidas sobre la materia”. También puede consultar nuestros estudios sobre “DORA. La Ley europea de resiliencia operativa digital del sector financiero. Reglamento (UE) 2022/2554” en La Ley Unión Europea, nº 113, abril 2023; “Los 20 principios básicos de la ley europea de resiliencia Operativa Digital del Sector Financiero (DORA)”, publicado en el Diario La Ley, n.º 10262, Sección Tribuna, 5 de abril de 2023; y la “Supervisión y sanción de la resiliencia operativa digital del sector financiero en Europa. Reglamento (UE) 2022/2554. DORA”, publicado en la Revista Iberoamericana del Mercados de Valores (RIMV) n.º 68 (2023), pp. 24-32.