Hoy, día 29 de abril de 2025, ofrecemos a los lectores de este blog 7 reflexiones de urgencia sobre el caos sufrido ayer en España, durante un día “histórico” en sentido propio; sin abusar, como se suele, del adjetivo para ubicar la fecha en la “Historia de la ineficiencia” de nuestra Nación. Para ser positivos en este contexto, añadimos 10 lecciones que nos parece que nos puede dar DORA (“Digital Operational Resilience Act”, Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero), desde el ámbito europeo de la resiliencia financiera.
Siete reflexiones desde el caos (KA28)
Trataremos de ordenar el torrente de ideas indignadas que nos asalta en forma de reflexiones serenas, para ser útiles a nuestros lectores, sobre el caos eléctrico y, por lo tanto, digital que vivimos los ciudadanos españoles en la jornada inolvidable de ayer y que procedemos a bautizar como el KA28 (como evocación de las cumbres del Himalaya).
1ª. El KA28 -y sus secuelas de hoy mismo 29 de abril- mostró la enorme vulnerabilidad eléctrica y, por ende, digital de nuestro país. En este sentido, basta recordar las palabras -que hoy se vuelven lamentablemente proféticas en nuestro país- del Considerando (1) de DORA, cuando, ya en 2023, decía: “En la era digital, las tecnologías de la información y la comunicación (TIC) son el soporte de sistemas complejos utilizados en actividades cotidianas. Mantienen nuestras economías en marcha en sectores clave como el sector financiero, y mejoran el funcionamiento del mercado interior. El aumento de la digitalización y la interconexión también amplifica el riesgo relacionado con las TIC, y hace que la sociedad en su conjunto, y el sistema financiero en particular, sea más vulnerable a las ciberamenazas o a las perturbaciones de las TIC. Si bien el uso generalizado de los sistemas de TIC y la alta digitalización y conectividad son hoy en día características fundamentales de las actividades de las entidades financieras de la Unión, sigue siendo necesario abordar e integrar mejor su resiliencia digital en sus marcos operativos más amplios”.
2ª. El carácter sistémico del KA28 constató la ausencia de un plan público de prevención y gestión del riesgo eléctrico y digital.
3ª. La falta de explicaciones -que seguimos esperando a dia de hoy- sobre la causa del KA28 y, lo que es peor, las explicaciones tardías, confusas e incomprensibles ofrecidas en forma “mágica” de fuga misteriosa de 15 Gigas (¿?) contribuye a prolongar la desinformación ciudadana. En particular, la duda razonable de la ciudadanía sobre la verdadera causa de KA28 -si estamos ante un fallo involuntario, querido, un “resultado imprevisto” (en términos de inteligencia artificial) o un ciberataque- le mantiene “en una ardiente oscuridad” del todo nociva.
4ª. Lo anterior abunda en una suerte de experimento de sociología conductual de los ciudadanos -que se viene desarrollando desde la pandemia del COVID- de sumisión a una obediencia ciega a los poderes públicos mediante el miedo y la incertidumbre; porque, sin olvidar la asombrosa, por civilizada, reacción de la sociedad civil frente el KA28, convendrán conmigo que la manipulación obscena de los desastres naturales y artificiales por los políticos no es el mejor modo de enseñar civismo.
5ª. El KA28 ha tenido y tendrá consecuencias extremadamente dañinas sobre la Economía española a nivel interno y exterior. En este último sentido, vuelve a ser lamentablemente profético en nuestro país el Considerando (27) de DORA cuando señala: “La dependencia del uso de servicios de TIC por parte de las entidades financieras se debe en parte a su necesidad de adaptarse a una economía mundial digital competitiva emergente, de aumentar su eficiencia empresarial y de satisfacer la demanda de los consumidores. La naturaleza y el alcance de dicha dependencia han estado en constante evolución en los últimos años, haciendo bajar los costes de la intermediación financiera, permitiendo expandirse a las empresas y ampliar las actividades financieras, y ofreciendo al mismo tiempo una amplia gama de herramientas de TIC para gestionar procesos internos complejos”.
6ª. La solución real del KA28 debe pasar porque se identifique a los responsables del caos a los efectos oportunos, para evitar que, como en ocasiones de desastres naturales recientes; los errores se oculten y parezca que haya sido una suerte de “efecto mariposa”, sin lepidóptero a quien echarle la culpa.
7ª. El impacto del KA28 en nuestro sistema financiero, sin medios de pago, ni cajeros, ni transferencias; obliga a replantear por las autoridades europeas y españolas competentes, el grado de cumplimiento de las obligaciones en cuanto a la resiliencia operativa digital que, desde el 25 de enero de 2025, deben cumplir nuestras entidades financieras.
Las diez lecciones de DORA
Al hilo de esta última reflexión, procede recordar que, desde el día 17 de enero de 2025, las entidades financieras europeas -entre ellas, las españolas- deberán tener establecido un sistema sólido de la resiliencia operativa digital que cumpla los exigentes requisitos que establece el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero (DORA) (el lector interesado en profundizar en el conocimiento de este complejo Reglamento puede ver las publicaciones que se citan en la nota bibliográfica final).
Nos parece que DORA, como regulación de un sector económico particularmente maduro en su digitalización, como es el financiero, puede ofrecer enseñanzas útiles y servir de modelo para otros sectores socialmente vitales que están en proceso de digitalización; como son, por ejemplo, el sistema sanitario o el sistema judicial.
Pasemos a las diez lecciones de DORA:
1ª. Todo sistema social y económico que resulte de importancia vital para la sociedad debe ofrecer un grado aceptable de “resiliencia operativa digital”, definida -por DORA (art.3.1). como “la capacidad de una entidad financiera para construir, asegurar y revisar su integridad y fiabilidad operativas asegurando, directa o indirectamente mediante el uso de servicios prestados por proveedores terceros de servicios de TIC, toda la gama de capacidades relacionadas con las TIC necesarias para preservar la seguridad de las redes y los sistemas de información que utiliza una entidad financiera y que sustentan la prestación continuada de servicios financieros y su calidad, incluso en caso de perturbaciones”.
2ª. Para conseguir el nivel aceptable de resiliencia operativa digital, el sistema debe valorar, en tiempo real, su nivel de vulnerabilidad -definida por DORA (art.3.16)- como “una debilidad, susceptibilidad o defecto de un activo, sistema, proceso o control que puede ser explotado”.
3ª. Para la valoración anterior, el sistema debe desarrollar la inteligencia sobre amenazas -que DORA define (art.3.15)- como la “información que se ha agregado, transformado, analizado, interpretado o enriquecido para proporcionar el contexto necesario para la toma de decisiones y permitir una comprensión pertinente y suficiente para mitigar las repercusiones de un incidente relacionado con las TIC o de una ciberamenaza, incluidos los detalles técnicos de un ciberataque, los responsables del ataque, su modus operandi y sus motivaciones”.
4ª. El proceso de implantación de la resiliencia operativa digital exige tener identificados “ex ante” los riesgos a los que enfrenta que podemos definir como la posibilidad -que se mueve en grados de probabilidad entre los extremos de la imposibilidad y la certeza- de que suceda un daño a causa de un evento dañoso. A estos efectos, DORA ofrece un conjunto dedefiniciones de riesgos relevantes en el sector de las finanzas digitales como son el riesgo relacionado con las TIC de carácter endógeno o exógeno, esto es, derivado de terceros, el riesgo de concentración de TI y la ciberamenaza.
5ª. La resiliencia operativa digital requiere que el sistema solvente “ex post”, del modo más eficiente posible, en términos de tiempo y de reparación, los incidentes que acaezcan. A estos efectos, DORAofrece un conjunto dedefiniciones de incidentes relevantes en el sector de las finanzas digitales que, en función de su gravedad y de su relación con los pagos, pueden clasificarse en las siguientes categorías: Incidentes comunes relacionados con las TIC que pueden ser normaleso graves e incidentes operativos o de seguridad relacionados con los pagos que también pueden ser normales o graves. También puede resultar útil la definición -en su art.3.24- de ciberataque como un “incidente malintencionado relacionado con las TIC provocado mediante una tentativa, perpetrada por cualquier agente de riesgo, de destruir, revelar, alterar, desactivar o robar un activo, de obtener acceso no autorizado a ese activo o de hacer uso no autorizado de él”.
6ª. El funcionamiento del sistema de resiliencia operativa digital (ROD) inspirado en DORA debería operar en una secuencia trifásica que partiera de la gestión del riesgo operativo digital, siquiera con la prevención de incidentes mediante la resiliencia y acabara con la solución de los incidentes que sin duda acaecerán, a pesar de las medidas preventivas que se adopten.
7ª. En la primera fase de gestión del riesgo operativo eléctrico y digital, las entidades deberían tener establecido un sistema global de gestión de riesgos, del que formará parte el subsistema de gestión del riesgo operativo digital (ROD), que reposara sobre un documento básico cual es el marco de gestión del riesgo relacionado con las TIC que debe reunir requisitos de calidad análogos a los exigidos por DORA y ser gestionado eficientemente por el órgano de dirección de la entidad. Ello requeriría que las entidades adopteran las medidas siguientes:
a) El establecimiento de un marco de gestión del riesgo operativo digital relacionado con las TIC que reúna los requisitos de calidad (adecuación, fiabilidad, capacidad y resiliencia) y de cantidad o contenido (estrategias, políticas, procedimientos, y protocolos y herramientas).
b) La gobernanza y control del marco interno de gestión del ROD por el órgano de dirección de la entidad.
c) La ejecución del marco de gestión del ROD mediante un proceso que constara de las fases siguientes: protección y prevención, detección de actividades anómalas, respuesta y recuperación, aprendizaje y evolución y comunicación.
8ª. La segunda fase de prevención de los incidentes operativos eléctricos y digitales debería descansar sobre las pruebas de resiliencia operativa digital que deberían ajustarse a los programas de pruebas que, a su vez e inspirándose en DORA, cumplieran dos tipos de requisitos:
a) Requisitos objetivos de las pruebas normales y avanzadas.
b) Requisitos subjetivos de los probadores externos e internos.
9ª. La tercera fase de la solución de los incidentes operativos eléctricos y digitales debería ordenarse en las siguientes actividades a realizar por las entidades:
a) La detección de los incidentes operativos digitales.
b) La clasificación de los incidentes operativos digitales y de las ciberamenazas.
c) La notificación de los incidentes operativos digitales y de las ciberamenazas a las autoridades competentes con un distinto alcance: La notificación obligatoria de los incidentes graves relacionados con las TIC y la notificación voluntaria de las ciberamenazas importantes.
10ª. El sistema de gestión del riesgo relacionado con las TIC debería culminar con su supervisión pública y la eventual sanción de sus infracciones por parte de las entidades públicas y privadas.
Nota bibliográfica: el lector interesado en profundizar en el conocimiento de esta materia y, especialmente, en el DORA puede consultar:
Las entradas que publicamos en este blog los días 6,7,9 y 10 de febrero de este año con el título común de “DORA. Ley Europea de Resiliencia Operativa Digital del Sector Financiero. Reglamento (UE) 2022/2554”; la entrada del 17 de marzo pasado, dedicada a dar cuenta de “La nueva Ley de los Mercados de Valores y de los Servicios de Inversión: aprobación del Proyecto de Ley por los Plenos del Congreso y del Senado (2): Aspectos generales y ejes cardinales” y la de 13 de abril de 2023 “DORA llega a España: La nueva Ley de los Mercados de Valores y de los Servicios de Inversión adapta el régimen de las empresas de servicios de inversión al Reglamento de la UE sobre la resiliencia operativa digital en el sector financiero (DORA)”. Y las entradas de 30 y 31 de octubre de 2023 sobre “El Reglamento de la UE sobre la resiliencia operativa digital en el sector financiero (DORA): Conferencias recientes impartidas sobre la materia”.
También puede consultar nuestros estudios sobre “DORA. La Ley europea de resiliencia operativa digital del sector financiero. Reglamento (UE) 2022/2554” en La Ley Unión Europea, nº 113, abril 2023; “Los 20 principios básicos de la ley europea de resiliencia Operativa Digital del Sector Financiero (DORA)”, publicado en el Diario La Ley, n.º 10262, Sección Tribuna, 5 de abril de 2023; y la “Supervisión y sanción de la resiliencia operativa digital del sector financiero en Europa. Reglamento (UE) 2022/2554. DORA”, publicado en la Revista Iberoamericana del Mercados de Valores (RIMV) n.º 68 (2023), pp. 24-32.