Los retos ocultos de la DORA a los que aún se enfrentan las empresas

El Ley de Resiliencia Operativa Digital (DORA) El plazo ya ha vencido, y las entidades financieras deberían cumplir plenamente la normativa. Sin embargo, en la práctica, muchas empresas siguen encontrando obstáculos inesperados a la hora de poner en práctica sus marcos normativos.

Desde deficiencias en el cumplimiento por parte de terceros hasta incoherencias en las auditorías, las organizaciones están descubriendo que el hecho de ajustarse a la normativa DORA sobre el papel no siempre se traduce en una ejecución fluida. Analicemos los retos reales a los que se enfrentan las empresas y por qué la resiliencia operativa sigue siendo un objetivo en constante evolución.

1. Cumplimiento normativo por parte de terceros: un eslabón débil que persiste

A pesar de todos los esfuerzos realizados, muchas entidades financieras siguen teniendo dificultades para garantizar el cumplimiento normativo por parte de sus proveedores externos.

Por qué sigue siendo un problema:

• No existen directrices claras y precisas sobre cuáles son los requisitos; se trata más bien de una cuestión de interpretación del marco jurídico.
• Revisar todos los procesos operativos y las tecnologías de terceros sigue siendo poco realista.
• Los costes de cumplimiento normativo y la asignación de recursos siguen siendo un punto conflictivo, y algunos proveedores aún se resisten a cumplir determinados requisitos.

“Aunque la normativa DORA regula la gestión de las TIC, resulta prácticamente imposible que las empresas revisen todos los procesos operativos y las tecnologías de sus proveedores externos”. — Tautvydas Jašinskas, director de seguridad de la información (CISO) de ConnectPay.

Las empresas deben pasar ahora de la planificación del cumplimiento normativo a la aplicación activa de las normas, garantizando que los riesgos relacionados con terceros se supervisen y aborden de forma continua.

2. TLPT: interrupciones y retrasos

Las pruebas de penetración basadas en amenazas (TLPT) eran uno de los retos más esperados y ahora están demostrando ser un elemento disruptivo en la práctica.

¿Por qué tienen dificultades las empresas? Principalmente, porque el proceso de pruebas provoca interrupciones en la actividad empresarial, sobre todo en el caso de las empresas que no tienen experiencia previa en simulacros de ataque (red teaming).

“Si las empresas no han llevado a cabo previamente pruebas de penetración, ejercicios de ”red teaming” o pruebas TLPT, podrían sufrir interrupciones en su actividad o tiempos de inactividad». — Tautvydas Jašinskas, director de seguridad de la información (CISO) de ConnectPay.

3. Confusión en materia de auditoría: falta de un enfoque normalizado

Ahora que las auditorías están en marcha, las empresas están detectando inconsistencias en la forma en que se evalúa el cumplimiento de la DORA.

¿A qué se debe esta confusión?

• Varios proveedores de servicios utilizan metodologías de auditoría desarrolladas por ellos mismos, lo que da lugar a interpretaciones dispares sobre el cumplimiento normativo.
• Las evaluaciones de riesgos y los indicadores clave de rendimiento (KPI) varían considerablemente de una empresa a otra, en función de su nivel de madurez en materia de seguridad.
• La falta de un enfoque estandarizado hace que algunas empresas inviertan en medidas innecesarias, mientras que otras pueden estar pasando por alto deficiencias fundamentales.

A falta de unas directrices normativas claras, las empresas deben colaborar con los auditores, otros profesionales del sector y las autoridades reguladoras para establecer las mejores prácticas. Básicamente, los evaluadores se preguntan qué deben evaluar, por lo que corresponde a las empresas decidir si obtener excelentes resultados evaluando aquellos aspectos que ya funcionan bien o si evaluar aquellos que presentan dificultades y encontrar oportunidades de mejora.

4. Supervisión reguladora: ¿algo más que multas?

Ahora que ha comenzado la aplicación de la normativa, las empresas se están dando cuenta de que el modelo de la DORA, basado en sanciones, no les está ayudando necesariamente a afrontar los retos operativos.

¿Qué hay que cambiar?

• Las sanciones, no solo para las empresas sino también para los particulares responsables de garantizar el cumplimiento de la DORA, pueden ascender a millones de euros, independientemente de que las acciones sean intencionadas o no.
• Muchas empresas consideran que las herramientas automatizadas de supervisión normativa serían más eficaces que recurrir únicamente a las sanciones.
• Sin un apoyo proactivo, las empresas corren el riesgo de ser sancionadas por interpretaciones erróneas, en lugar de recibir orientación sobre las mejores prácticas.

Para seguir avanzando, las empresas deberían impulsar una mayor participación en el ámbito normativo, con el fin de garantizar que el cumplimiento normativo siga siendo un proceso continuo y no solo un requisito puntual.

“En mi opinión, la verdadera seguridad no se consigue imponiendo multas, sino invirtiendo en resiliencia. Si realmente queremos fortalecer el ecosistema, las sanciones deberían orientarse a subsanar las brechas de seguridad, y no solo a castigar el incumplimiento. En la actualidad, las auditorías consumen una cantidad significativa de recursos que, de otro modo, podrían destinarse a mejoras sustanciales en materia de seguridad. Un enfoque más inteligente consistiría en armonizar la aplicación de la normativa con una mitigación sostenible de los riesgos, garantizando que las organizaciones construyan defensas duraderas en lugar de limitarse a pagar por sus vulnerabilidades”. — Tautvydas Jašinskas, director de seguridad de la información (CISO) de ConnectPay.

¿Y ahora qué?

El cumplimiento de la normativa DORA no se limitaba a cumplir un plazo, sino que se trataba de desarrollar una resiliencia a largo plazo. A medida que las empresas superan la fase inicial de implantación, el verdadero reto consiste en mantener el cumplimiento normativo al tiempo que se adaptan a los riesgos en constante evolución.

• El cumplimiento por parte de terceros debe velarse de forma activa, no solo documentarse.
• Las empresas deberían colaborar para establecer buenas prácticas de auditoría, a falta de un enfoque estandarizado.
• Los despachos de abogados y los organismos reguladores deben asumir un papel más proactivo a la hora de orientar a las empresas en el cumplimiento normativo continuo, proporcionando directrices claras y dejando menos margen para la interpretación.

Dicho esto, el proceso de DORA no termina con la fecha límite: es solo el comienzo de una nueva realidad en materia de resiliencia operativa.