Cuando la ciberseguridad de las entidades financieras (particularmente, bancos) se ha convertido en una demanda de la población para no ver como sus ahorros pueden “evaporarse” por culpa, por ejemplo, de operaciones de pago digitales no autorizadas; interesa recordar que, desde el 17 de enero de 2025, todas las entidades financieras europeas (bancos, aseguradoras, agencias de rating, gestoras de fondos, etc.) esta obligadas a cumplir los muy complejos y exigentes requisitos que establece el Reglamento (UE) 2022/2554 (DORA).
Por lo anterior, nos alegra ofrecer a los lectores nuestra nueva monografía sobre La Ley Europea de Resiliencia Operativa Digital del Sector Financiero (ISBN 978-84-290-2972-7, Depósito Legal M-21241-2025) que culmina la trilogía sobre la Digitalización Mercantil Europea (DME) de la Colección de Derecho Mercantil de la Editorial Reus. Esta serie se inauguró con la primera monografía sobre las Leyes Europeas de Mercados y Servicios Digitales dedicada a comentar las dos disposiciones generales que regulan la digitalización de los mercados y de los servicios que son la Ley Europea de Mercados Digitales (Reglamento (UE) 2022/1925, LEMD) y la Ley Europea de Servicios Digitales (Reglamento (UE) 2022/2065, LESD); y siguió con la dedicada a comentar el Reglamento (UE) 2023/1114 del Parlamento Europeo y del Consejo, de 31 de mayo de 2023, relativo a los mercados de criptoactivos, denominado MiCA por referencia a su acrónimo en inglés: “Regulation on Markets in Crypto-assets”.
En esta nueva monografía ofrecemos un comentario sintético del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) 1060/2009, (UE) 648/2012, (UE) 600/2014, (UE) 909/2014 y (UE) 2016/1011, conocido como Ley de Resiliencia Operativa Digital / Digital Operational Resilience Act e identificado en el mercado financiero internacional por su acrónimo anglosajón DORA.
La utilidad que puede tener esta nueva monografía consiste en ofrecer un analisis conciso y claro de una disposición cuantitativamente voluminosa (con 106 considerandos y 64 artículos que ocupan 79 hojas del DOUE) y cualitativamente compleja -que emplea técnicas regulatorias novedosas como las pruebas de resiliencia operativa digital- cuyo impacto en la regulación de los mercados financieros en Europa recomienda ofrecer al público hispanoparlante un comentario sintético de su contenido.
Hemos de advertir al lector que mantenemos el formato “espartano” de la colección que atiende a su vocación fundamentalmente didáctica y responde al principio paradójico que nos esforzamos en aplicar y que recomienda explicar de la manera más sencilla posible las regulaciones más complejas e intrincadas con una regle de proporcionalidad directa que nos dice que cuanta mayor complejidad regulatoria, tanta mayor claridad expositiva.
A lo anterior cabe añadir que, en un contexto de docencia digitalizada, una monografía en papel no tiene más justificación que servir de guía básica que ayude a los estudiantes y profesionales a no perderse en la jungla de conceptos y normas que pueblan el ecosistema de la resiliencia operativa digital del sector financiero.
En particular, esta monografía distribuye su contenido en los seis capítulos siguientes:
El Capítulo 1 expone los aspectos generales de DORA abordando su ámbito de aplicación interno y externo; su vigencia; el contexto normativo en el que se ubica, con especial atención a la inserción de DORA en el paquete europeo de finanzas digitales, su carácter complementario respecto del sistema de gestión del riesgo de las entidades financieras basado en el capital y su supletoriedad genérica y específica; sus características, destacando su carácter directamente vinculante y la proporcionalidad en su aplicación; y el contexto económico de las tecnologías de la información y la comunicación (TIC) donde habita.
El Capítulo 2 expone la estructura de DORA, comenzando por sus elementos subjetivos que son las entidades financieras donde se diferencia entre las entidades financieras incluidas (entidades del mercado bancario, del mercado de valores, del mercado de seguros y entidades transversales a los tres sectores del mercado financiero) y las entidades financieras excluidas. Después, se exponen los elementos objetivos, tales somo el riesgo, el incidente y la resiliencia.
El Capítulo 3 expone el funcionamiento de DORA conforme a un proceso trifásico que comienza con la gestión del riesgo operativo digital por parte de las entidades financieras, que están obligadas a establecer un marco de gestión del riesgo operativo digital relacionado con las TIC que cumpla los requisitos de calidad (adecuación, fiabilidad, capacidad y resiliencia) y los requisitos de cantidad o contenido (estrategias, políticas, procedimientos, protocolos y herramientas). El órgano de dirección de cada entidad financiera deberá gestionar dicho marco mediante un sistema de gobernanza y control “ad hoc” y ejecutar el marco de gestión del riesgo operativo digital adoptando las medidas previstas para la protección y la prevención; la detección de actividades anómalas; la respuesta y recuperación, el aprendizaje y evolución y la comunicación. A esta primera fase de gestión del riesgo operativo digital por parte de las entidades financieras sigue la segunda dirigida a la prevención del incidente operativo digital, con especial atención a las novedosas pruebas de resiliencia operativa digital que parten de los programas de pruebas que han de cumplir los requisitos objetivos de las pruebas normales y avanzadas de penetración y los requisitos subjetivos exigibles tanto a los probadores internos como a los externos. Las dos fases de gestión del riesgo operativo digital y prevención del incidente operativo digital por parte de las entidades financieras desembocan en la tercera fase de solución de los incidentes operativos digitales que se articula mediante la detección de los incidentes operativos digitales y de las ciberamenazas; su clasificación y su notificación obligatoria de los incidentes graves relacionados con las TIC y la notificación voluntaria de las ciberamenazas importantes que debe conducir al aprovechamiento de aquella información por las autoridades de supervisión. Este Capitulo 3 acaba exponiendo la regulación especial que DORA dedica a la gestión del riesgo operativo digital derivado de terceros que nace del principio de especialización de las actividades económicas y de la consiguiente necesidad de las entidades financieras de externalizar o subcontratar servicios TIC con terceros proveedores. A partir de ahí, se exponen los “principios fundamentales de una buena gestión del riesgo relacionado con las TIC derivado de terceros” que consisten en la responsabilidad, la proporcionalidad y la adecuada contratación de aquellos servicios tanto en la fase precontractual, como en la contractual y en la postcontractual.
El Capítulo 4 se dedica a exponer los instrumentos del control de la aplicación de DORA comenzando por su supervisión que puede mostrar dos formas: la privada por las propias entidades financieras o autosupervisión y la supervisión pública por las autoridades competentes diferenciando los dos tipos de sujetos de esta relación administrativa de sujeción especial: las autoridades públicas supervisoras (autoridades europeas de supervisión, el Foro de supervisión y el supervisor principal) y los sujetos supervisados. Este Capítulo 4 se completa con una alusión al régimen sancionador exponiendo las tres fases típicas de la sujeción de determinadas entidades financieras, la infracción de las obligaciones impuestas por DORA y las sanciones resultanes.
El Capítulo 5 expone cómo el Derecho español, en la Ley de los mercados de valores y de los servicios de inversión, adapta el régimen de las empresas de servicios de inversión al DORA precisando la adaptación al DORA del régimen sancionador aplicable a las empresas de servicios de inversión en la tipificación de sus incumplimientos como infracciones muy graves o graves y en el régimen de las sanciones imponibles. Añade una explicación sobre el ajuste temporal de la adaptación al DORA del régimen sancionador aplicable a las empresas de servicios de inversión y acaba exponiendo otras adaptaciones de las sociedades gestoras de IIC y de EIC a DORA. El Capítulo 6 sigue la pauta común a esta serie de monografías sobre la Digitalización Mercantil Europea (DME) inscritas en la Colección de Derecho Mercantil de la Editorial Reus ofreciendo al lector unas conclusiones que sintetizan en unas pocas páginas el contenido de esta obra.
