Vivimos un tiempo en el que las ciberamenazas crecen exponencialmente en el sistema financiero tanto en términos cuantitativos, por su número y volumen de operaciones afectadas; como en términos cualitativos, por los instrumentos utilizados, como, por ejemplo, los modelos de inteligencia artificial de frontera (Frontier AI Models FAIM).
Si a lo anterior añadimos nuestro deber de cumplir el compromiso asumido en la entrada de este blog del pasado día 28 de agosto en la que anunciábamos la celebración del III Congreso Internacional sobre los “Nuevos retos del Derecho societario y financiero en materia de digitalización, toquenización y sostenibilidad” pendiente entonces de celebrarse en la Universidad de Zaragoza y nuestra participación en la última de las mesas del viernes 11 de septiembre sobre “Digitalización y mercados financieros”. Si, además, nos comprometíamos a ofrecer una síntesis de nuestra intervención en una entrada de este blog a publicar el 15 de septiembre, si la fecha, afortunadamente, llegó y nuestra intervención se produjo y hoy es 15 de septiembre de 2026; en un gesto de excentricidad en los tiempos de corren en nuestro país, es forzoso que cumplamos la palabra dada, sin mentir a nuestros queridos lectores.
Dado que el tema de la resiliencia operativa digital de las entidades financieras es inabarcable en una exposición y dado que nos venimos ocupando de la cuestión desde hace algún tiempo tanto en este blog como fuera de él (el lector interesado puede consultar la nota bibliográfica final); nos ha parecido oportuno formular, en términos socráticos, tres preguntas clave sobre la resiliencia operativa digital de las entidades financieras, a la luz de los últimos desarrollos regulatorios que afectan a la materia, cuales son, por orden cronológico, el Aviso de la Junta Europea de Riesgo Sistémico de 25 de junio de 2026 sobre los ciberriesgos sistémicos derivados de modelos de inteligencia artificial de frontera (al que nos referimos en la entrada de 27 de agosto pasado); y el Reglamento (UE) 2026/1744 (RIA 2) por el que se modifica, entre otros, el Reglamentos (UE) 2024/1689 (RIA 1) en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (Ómnibus digital sobre IA) (al que nos referimos en las entradas de 31 de agosto y de 1, 3 y 4 de septiembre).
A) ¿Qué es la resiliencia operativa digital de las entidades financieras?
Antes de entrar en la selva frondosa de la regulación financiera en la UE, es útil comenzar recordando que el DRAE nos dice que la resiliencia es la “capacidad de adaptación de un ser vivo frente a un agente perturbador o un estado o situación adversos”. Sobre esta base sólida ya podemos avanzar para señalar que la resiliencia operativa digital de las entidades financieras es una propiedad -total, sistémica u holística- del sistema de resiliencia establecido en el DORA que se define en su art.3.1 como “la capacidad de una entidad financiera para construir, asegurar y revisar su integridad y fiabilidad operativas asegurando, directa o indirectamente mediante el uso de servicios prestados por proveedores terceros de servicios de TIC, toda la gama de capacidades relacionadas con las TIC necesarias para preservar la seguridad de las redes y los sistemas de información que utiliza una entidad financiera y que sustentan la prestación continuada de servicios financieros y su calidad, incluso en caso de perturbaciones”.
B) ¿Qué nuevos ataques dañan la ciberseguridad financiera?
En términos generales, para responder a esta segunda pregunta, conviene transitar por dos estadios que son:
a) El riesgo: Podemos definir el riesgo, en el sector financiero, como la posibilidad – que se mueve en grados de probabilidad entre los extremos de la imposibilidad y la certeza- de que suceda una pérdida de un activo financiero a causa de un evento dañoso. Si transitamos de lo general a lo particular, el DORA nos ofrece, en su art.3, las definiciones siguientes de riesgos relevantes en el sector de las finanzas digitales: El riesgo relacionado con las TIC, el riesgo relacionado con las TIC derivado de terceros y el riesgo de concentración de TIC
b) El incidente: La noción de incidente en el sector financiero en general muestra analogías racionales con la del siniestro en el seguro, esto es, el acontecimiento previsto en el contrato que actualiza en forma de realidad lo que era una mera probabilidad (riesgo) y genera el daño. Si transitamos de lo general a lo particular, el DORA nos ofrece, en su art.3, las definiciones siguientes de incidentes relevantes en el sector de las finanzas digitales. En función de su gravedad y de su relación con los pagos, podemos ofrecer las siguientes categorías de incidentes: Incidentes comunes relacionados con las TIC que pueden ser clasificados en las siguientes categorías: Normales y Graves; Incidentes operativos o de seguridad relacionados con los pagos que también pueden ser normales y graves
Una vez establecidas las bases elementales, podemos intentar responder a la pregunta sobre los nuevos ataques que dañan la ciberseguridad financiera a los procedentes de agentes que utilizan los llamados modelos de inteligencia artificial de frontera (Frontier AI Models FAIM) definidos en la sección 2 del Aviso de la JERS como “modelos de IA de uso general más avanzados que pueden afectar significativamente a ciberoperaciones ofensivas o defensivas”. Esta definición -manifiestamente mejorable por su carácter genérico- se complementa en el Aviso con las del “modelo de IA de uso general” remitiéndose al artículo 3, punto 63, del RIA; y del “modelo de IA de uso general con riesgo sistémico” por remisión al modelo de uso general clasificado como de riesgo sistémico con arreglo al artículo 51, apartado 1, del RIA. El Aviso también constata -en su considerando (2)- que “los FAIM son significativamente mejores que los modelos de IA anteriores a la hora de encontrar formas de llevar a cabo ciberataques, superando a los modelos anteriores en coste, rapidez y precisión, lo que actualmente rivaliza con los principales expertos humanos”.
Una vez que sabemos qué son los FAIM, interesa formularse las siguientes preguntas:
a) ¿Por qué los FAIM determinan un nuevo campo de batalla en la ciberseguridad financiera? Porque que los FAIM son “capaces de detectar vulnerabilidades, generar aprovechamientos operativos y ejecutar de forma autónoma ciberataques a gran escala con una velocidad, una magnitud y un nivel de precisión muy superiores a los de los modelos de IA anteriores. Esto constituye un cambio de paradigma en el ámbito de la ciberseguridad y un punto de inflexión respecto a la capacidad de IA”.
b) ¿Qué tipo de vulnerabilidades de las entidades financieras determinan los ataques de los FAIM? Los FAIM han demostrado su “capacidad para descubrir vulnerabilidades y crear nuevos aprovechamientos, exponiendo así a los principales sistemas operativos y programas informáticos utilizados en casi todas las organizaciones al riesgo de ciberataques”. En cuanto a las dimensiones temporales de tales vulnerabilidades, se pueden distinguir dos periodos: históricamente, el descubrimiento de estas vulnerabilidades ha sido poco frecuente y, a menudo, las han detectado investigadores de seguridad, lo que ha permitido aplicar medidas correctivas específicas. En la actualidad, las prácticas del sistema financiero para corregir vulnerabilidades son predominantemente reactivas y se basan en actualizaciones periódicas y respuestas ad hoc a las vulnerabilidades reveladas. Este enfoque funciona en un entorno de amenazas en el que el tiempo permite que el descubrimiento de vulnerabilidades siga siendo manejable. En cuanto a las dimensiones cuantitativas de las vulnerabilidades provocadas por los FAIM, el Aviso predice un aumento del volumen de vulnerabilidades lo que tiene un doble efecto:) Por una parte, las prácticas actuales pueden resultar insuficientes para mantener la resiliencia operativa. Por otra parte, este aumento del volumen también “expone a los actuales procesos de corrección de vulnerabilidades a una sobrecarga, ya que priorizan las medidas correctoras basadas en el riesgo y requieren pruebas de los parches de software antes de su aplicación para garantizar la estabilidad operativa”.
c) ¿Por qué los FAIM determinan con sus nuevos ataques riesgos sistémicos para el sistema financiero? Por el “descubrimiento acelerado de vulnerabilidades, la reducción del tiempo disponible para la respuesta y la defensa eficaz, el aumento de la magnitud y la sofisticación de los ciberataques, y la aparición de nuevas dependencias y riesgos de concentración en el sistema financiero”. En particular, la evaluación sistémica realizada por la JERS identifica tres fuentes de asimetría en el sector financiero que alteran los FAIM: La primera asimetría inducida por los FAIM se produce entre jurisdicciones, porque la concentración geográfica de los principales proveedores de IA fuera de la UE deja a esta expuesta a una dependencia estratégica y a un riesgo geopolítico. La segunda asimetría inducida por los FAIM se produce entre los expertos en ciberseguridad y los atacantes porque los FAIM reducen el precio de admisión de los agresores ya que resulta probable que estos agentes de riesgo recurran cada vez más a los FAIM para llevar a cabo las partes más avanzadas técnicamente e intensivas en mano de obra de las operaciones ofensivas, reduciendo los costes. La tercera asimetría inducida por los FAIM se produce entre entidades financieras mejor dotadas y aquellas otras menos equipadas de medidas de ciberseguridad.
C) ¿Qué defensas pueden arbitrar las entidades financieras para prevenir, detectar y solventar las ciberamenazas?
Desde el punto de vista regulatorio -que es el propio de este blog- podemos identificar -siguiendo el Aviso de la JERS- cuatro instrumentos normativos básicos de defensa frente a los abusos de las nuevas ciberamenazas en el sector financiero en general y, en particular, de las que proceden en los últimos tiempos del uso de los FAIM. La importancia, complejidad y la afectación sistémica de esta nueva batalla requieren la gestión de instrumentos normativos de defensa que combinan cuatro nociones regulatorias:
a) Las dos nociones regulatorias de carácter genérico se refieren a:
a.1) Los sistemas y modelos de IA: Es el Reglamento (UE) 2024/1689 (RIA 1) -recientemente modificado por el Reglamento (UE) 2026/1744 (RIA 22)- el que establece normas armonizadas para la introducción en el mercado, la puesta en servicio y el uso de sistemas de IA y modelos de IA de uso general en la Unión, incluidos, en determinadas circunstancias, los sistemas y modelos de IA ofrecidos por proveedores de IA establecidos en terceros países cuando el resultado generado por el sistema de IA se utilice en la UE, o un modelo de IA se integre en un sistema introducido en el mercado de la UE. Este reglamento también establece normas específicas, incluido un régimen regulador más estricto, para los modelos clasificados como modelos de IA de uso general con riesgo sistémico.
Procede recordar que el RIA 2 modifica los siguientes aspectos del RIA 1 relacionados con la ciberseguridad:
a) Sustituye la definición de “componente de seguridad” en el art.3.14 del RIA 1 para dejarla establecida del siguiente modo: “un componente de un producto o un sistema de IA que cumple una función de seguridad para dicho producto o sistema de IA, o cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes; a efectos de la presente definición, un componente cumple una función de seguridad cuando su finalidad prevista es prevenir o mitigar los riesgos para la salud y la seguridad de las personas o los bienes” (apartado 4 del art.1 del RIA 2).
b) Excluye de la definición de “componente de seguridad” a los “sistemas de IA que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad”; sin perjuicio de que “los sistemas de IA cuyo fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad se considerarán componentes de seguridad” (art.6.1.bis y ter del RIA 1 añadido por el art.1.8 del RIA 2).
c) Excluye de la clasificación como sistemas de IA de alto riesgo -por no cumplir la condición establecida en la letra b) del apartado 1 del art.6 del RIA sobre productos en los que el sistema de IA sea componente de seguridad- “los productos que deban someterse a una evaluación de la conformidad de terceros únicamente debido a riesgos distintos de los riesgos para la salud y la seguridad, en particular los riesgos relacionados con la distribución del espectro radioeléctrico o las interferencias electromagnéticas que no afecten a la salud y la seguridad” (art.6.1.quater del RIA 1 añadido por el art.1.8 del RIA 2).
d) Presume que un sistema de IA de alto riesgo que entre en el ámbito de aplicación del Reglamento (UE) 2024/2847 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y cumpla las condiciones establecidas en el artículo 12, apartado 1, de dicho Reglamento de Ciberresiliencia; dicho sistema cumple los requisitos de ciberseguridad establecidos en el artículo 15 del RIA 1(apartado 3 del art.42 del RIA 1 añadido por el art.1.18 del RIA 2).
e) Establece un punto de entrada único donde las empresas pueden cumplir con todas las obligaciones de notificación de incidentes; solventando la dispersión actúa de las obligaciones de las empresas de notificar incidentes de ciberseguridad con arreglo a varias leyes, incluida, entre otras, la Directiva SRI 2, el Reglamento General de Protección de Datos (RGPD) y la Ley de Resiliencia Operativa Digital en el sector financiero (DORA). En este sentido procede recordar que el RIA 1 establece un sistema de vigilancia poscomercialización por parte de los proveedores de los sistemas de IA quienes deberán establecer y documentar un sistema de vigilancia poscomercialización de forma proporcionada a la naturaleza de las tecnologías de IA y a los riesgos de los sistemas de IA de alto riesgo y que la finalidad material de los sistemas de vigilancia poscomercialización consiste en posibilitar las debidas alarmas que se articularán mediante el mecanismo de notificación de incidentes graves por los proveedores de sistemas de IA de alto riesgo introducidos en el mercado de la Unión a las autoridades de vigilancia del mercado de los Estados miembros en los que se haya producido dicho incidente.
a.2) La ciberseguridad de los fabricantes de productos de hardware y software con elementos digitales: es el Reglamento (UE) 2024/2847 que introduce requisitos obligatorios de ciberseguridad para los fabricantes que comprenden la planificación, el diseño, el desarrollo y el mantenimiento de productos de hardware y software con elementos digitales introducidos en el mercado de la UE; exigiendo, también, que los fabricantes se ocupen de las vulnerabilidades durante el ciclo de vida de sus productos. El Aviso de la JERS destaca que “una vez sea plenamente aplicable en diciembre de 2027, las entidades financieras que introduzcan dichos productos en el mercado de la Unión también tendrán que garantizar que estos cumplen estos requisitos”
b) Las dos nociones regulatorias de tipo específicamente financiero se refieren a:
b.1) La resiliencia operativa digital: Es el Reglamento (UE) 2022/2554 (DORA) que establece un marco exhaustivo para que las entidades financieras identifiquen, gestionen, supervisen y mitiguen los riesgos relacionados con las TIC, incluidos los riesgos derivados de ciberataques. El Aviso de la JERS señala que “dada la interconexión del sector financiero y su dependencia de los sistemas de TIC y de proveedores de servicios terceros, un ciberataque eficaz que afecte a una o varias entidades financieras o a sus proveedores de servicios esenciales podría tener implicaciones sistémicas significativas. Las autoridades de supervisión financiera deben dar la prioridad adecuada a las actividades de supervisión en este ámbito, teniendo en cuenta las posibles repercusiones de dichos ciberataques en la estabilidad, la integridad y la fiabilidad del sistema financiero, así como los daños operativos, financieros y para los consumidores que puedan ocasionar”.
b.2) Los ciberincidentes transfronterizos: La Recomendación JERS/2021/17 indicaba que las AES desarrollaran conjuntamente -a través del Comité Mixto y junto con el Banco Central Europeo (BCE), la JERS y las autoridades nacionales pertinentes- una respuesta coordinada eficaz a escala de la Unión en caso de ciberincidente transfronterizo grave o amenaza conexa que pudiera tener efectos sistémicos en el sector financiero de la Unión. Esto dio lugar a la creación del marco paneuropeo de coordinación de ciberincidentes sistémicos (EU-SCICF), que proporciona una valiosa.
Nota bibliográfica: Resulta muy recomendable consultar el documento de la CNMV sobre “Preguntas frecuentes sobre el Reglamento 2022/2554 de resiliencia operativa digital (Reglamento DORA)” (Fecha de actualización 10/02/2026) que se estructura en una introducción, unas definiciones, ámbito y proporcionalidad, la gestión del riesgo relacionado con las TIC, la gestión, clasificación y notificación de incidentes relacionados con las TIC, las pruebas de resiliencia operativa digital y la gestión del riesgo relacionado con las TIC derivado de terceros.
El lector interesado en disponer de una visión panorámica de las diferentes regulaciones implicadas en este nuevo campo de batalla puede consultar, en general, las numerosas entradas publicadas en este mismo blog sobre las diferentes cuestiones referidas. En concreto y para evitar reiteraciones innecesarias; remitimos a los lectores interesados a las entradas de este mismo blog de 08.04.2024 sobre “Ciberseguridad jurídico-financiera: I Encuentro de Académicos sobre ciberseguridad y Derecho organizado por el INCIBE en León los días 4 y 5 de abril de 2024” y de 27.08.2026 sobre “Los Modelos de Inteligencia Artificial de Frontera (FAIM) marcan un nuevo campo de batalla en la ciberseguridad financiera: Aviso de la JERS de 25 de junio de 2026”.
Por último, el lector interesado puede consultar nuestras monografías sobre “La Ley Europea de Inteligencia Artificial. Reglamento (UE) 2024/1689 de 13 de junio de 2024”, Ed. American Publishers Inc, EEUU 2026 (disponible en AMAZON en formato papel y Kindle) y sobre “La Ley Europea de Resiliencia Operativa Digital del Sector Financiero”. Editorial Reus. Colección de Derecho Mercantil, Madrid 2025.