DORA (Reglamento UE 2022/2554): guía de resiliencia operativa digital para empresas brasileñas que operan o atienden a la UE

Qué es el DORA y por qué alcanza a empresas fuera de la UE

El Digital Operational Resilience Act es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, complementado por la Directiva (UE) 2022/2556. Por ser un reglamento, y no una directiva, tiene aplicabilidad directa en todos los Estados miembros, sin depender de una ley nacional de transposición. Fue publicado en diciembre de 2022, con fecha de aplicación fijada para el 17 de enero de 2025. El objetivo declarado es consolidar y armonizar, bajo un único régimen, las exigencias de resiliencia operativa digital que antes estaban dispersas en normas sectoriales europeas.

La lógica del DORA parte de una constatación simple: la estabilidad del sistema financiero europeo depende cada vez más de la continuidad de los sistemas de TIC, muchos de ellos operados por terceros. En lugar de tratar la seguridad de la información como un anexo de gobernanza, el reglamento eleva la resiliencia operativa digital a requisito prudencial, con obligaciones de directorio, métricas, pruebas y reporte. Resiliencia, en el vocabulario del DORA, es la capacidad de prevenir, resistir, contener y recuperarse de incidentes relacionados con las TIC, preservando la integridad y la continuidad de las funciones críticas.

El alcance extraterritorial no deriva de una cláusula explícita como la del RGPD, sino de la arquitectura de riesgo de terceros. Las entidades financieras europeas pasan a ser legalmente responsables de garantizar que sus prestadores de servicios de TIC, dondequiera que estén, cumplan requisitos contractuales mínimos, permitan la auditoría y el acceso, y soporten pruebas. Para una fintech, VASP o SaaS brasileño que vende a un banco, una aseguradora o un CASP regulado en la UE, esto significa que el DORA llega por la vía contractual, aun sin que la empresa esté física o jurídicamente en la Unión.

A quién se aplica el DORA: entidades financieras y prestadores de TIC

El Artículo 2 del reglamento enumera el universo de destinatarios. Son cerca de veinte categorías de entidades financieras, entre ellas instituciones de crédito, instituciones de pago y de dinero electrónico, empresas de inversión, aseguradoras y reaseguradoras, gestoras de fondos, agencias de calificación crediticia, infraestructuras de mercado y, en virtud del Reglamento MiCA (UE 2023/1114), los prestadores de servicios de criptoactivos (CASP) y emisores de tokens referenciados a activos. Las empresas brasileñas de cripto que pretendan actuar como CASP autorizado en la UE entran directamente en ese perímetro.

Junto a las entidades financieras, el DORA introduce una categoría propia: los prestadores terceros de servicios de TIC (ICT third-party service providers). La definición es amplia y cubre servicios digitales y de datos prestados de forma continuada, incluyendo computación en la nube, software, procesamiento de datos, centros de datos y servicios de seguridad gestionada. Estos prestadores no reciben obligaciones directas en el caso general, pero se convierten en objeto de las exigencias de gestión de riesgo de terceros impuestas a las entidades financieras, y deben aceptar cláusulas contractuales específicas.

Hay, sin embargo, un régimen de supervisión directa para los prestadores clasificados como críticos (Critical ICT Third-Party Providers, CTPPs). La designación la realizan las Autoridades Europeas de Supervisión (ESAs: EBA, EIOPA y ESMA) con base en criterios como el número de entidades financieras atendidas, la sustituibilidad y la importancia sistémica. Designado como crítico, el prestador pasa a responder a un Lead Overseer, que puede conducir investigaciones, inspecciones in situ y emitir recomendaciones, con posibilidad de aplicar penalidades periódicas hasta la regularización.

Para la mayoría de las empresas brasileñas de TIC, el escenario realista no es la designación como CTPP, sino la obligación indirecta: el cliente europeo trasladará, por contrato, los deberes de subcontratación, auditoría, localización de datos, planes de salida y cooperación en pruebas. Rechazar esas cláusulas equivale, en la práctica, a quedar fuera del mercado financiero europeo.

Los cinco pilares del DORA

El primer pilar es la gestión de riesgo de TIC (Capítulo II, Artículos 5 a 16). Exige un framework documentado, bajo la responsabilidad última del órgano de administración, que cubra la identificación de activos y funciones críticas, la protección y prevención, la detección, la respuesta y la recuperación, las políticas de backup y restauración, y el aprendizaje post-incidente. El directorio no puede delegar la responsabilidad: debe aprobar la estrategia, asignar presupuesto y mantener un conocimiento actualizado sobre los riesgos de TIC.

El segundo pilar trata de la gestión, clasificación y reporte de incidentes (Capítulo III). Las entidades deben tener un proceso para detectar, registrar y clasificar los incidentes relacionados con las TIC según criterios armonizados (impacto, duración, alcance geográfico, pérdidas de datos, criticidad de los servicios). Los incidentes graves deben comunicarse a la autoridad competente en ventanas definidas por los estándares técnicos, con notificación inicial, informe intermedio e informe final. Existe además la comunicación voluntaria de ciberamenazas significativas.

El tercer pilar es el de las pruebas de resiliencia operativa digital (Capítulo IV). Todas las entidades deben mantener un programa de pruebas proporcional al riesgo, con evaluaciones de vulnerabilidad, análisis de código, pruebas de penetración y ejercicios de continuidad. Las entidades significativas, identificadas por las autoridades, deben realizar Threat-Led Penetration Testing (TLPT) al menos cada tres años, siguiendo la metodología europea TIBER-EU, con pruebas basadas en inteligencia de amenazas reales. El TLPT abarca también a los prestadores de TIC que soportan funciones críticas.

El cuarto pilar cubre la gestión de riesgo de terceros de TIC (Capítulo V), con el Artículo 28 estableciendo principios generales y el Artículo 30 fijando el contenido contractual mínimo: descripción de los servicios, localización del procesamiento de datos, derechos de acceso y auditoría, requisitos de seguridad, condiciones de subcontratación, estrategias de salida y cooperación con las autoridades. El quinto pilar, el más liviano, incentiva el intercambio voluntario de información e inteligencia sobre ciberamenazas entre las entidades financieras, dentro de arreglos de confianza y en conformidad con la protección de datos.

Plazos, estándares técnicos y cadena normativa

La fecha de aplicación del DORA es el 17 de enero de 2025, conforme al Artículo 64. A partir de ese hito, las obligaciones son exigibles y las autoridades nacionales competentes pasan a supervisar el cumplimiento. No hay un período de adaptación adicional previsto en el texto; las entidades y los prestadores deberían tener los controles implementados en esa fecha.

El reglamento es un texto de principios, detallado por estándares técnicos vinculantes elaborados por las ESAs: normas técnicas de regulación (RTS) y normas técnicas de ejecución (ITS), adoptadas por la Comisión Europea como actos delegados y de ejecución. Esos estándares especifican, por ejemplo, el contenido de la política de gestión de riesgo de TIC, los criterios de clasificación de incidentes, las plantillas de reporte, el contenido del Register of Information y la metodología de TLPT. Seguir esa capa es esencial, porque es en ella donde se encuentran los requisitos concretos y auditables.

Un elemento operativo relevante es el Register of Information: cada entidad financiera debe mantener y reportar a las autoridades un registro estructurado de todos los acuerdos contractuales con prestadores de TIC, distinguiendo los que soportan funciones críticas o importantes. Ese registro alimenta la designación de prestadores críticos y la supervisión sistémica. En la práctica, un proveedor brasileño será inventariado en ese registro del cliente europeo, con un nivel de criticidad asignado.

Cómo se posiciona una empresa brasileña: regulada, prestadora o subcontratada

Antes de adecuarse, la empresa debe entender qué papel ocupa. Si es una fintech o un VASP que busca autorización para operar como entidad financiera en la UE, será destinataria directa del DORA y responderá por los cinco pilares en su totalidad. Si es un SaaS, proveedor de nube, seguridad gestionada o procesamiento que solo vende a entidades financieras europeas, será un prestador tercero de TIC, alcanzado por las obligaciones contractuales y de auditoría que el cliente le traslada.

El punto más sensible es la función crítica o importante. Si su servicio sostiene una función que, en caso de fallo, comprometería la continuidad o la conformidad de la entidad financiera, el contrato tendrá el conjunto completo de exigencias del Artículo 30, y hay probabilidad de que el cliente exija la participación en el TLPT y en las pruebas de continuidad. Los servicios no críticos enfrentan un conjunto contractual reducido, pero aun así formalizado. Identificar esa clasificación temprano evita sorpresas comerciales.

Para la mayoría de los prestadores brasileños, la estrategia eficaz es anticiparse: estructurar la postura de seguridad y la documentación de forma que las cláusulas del DORA ya tengan respaldo operativo. Esto transforma el cumplimiento de un obstáculo comercial en un diferencial competitivo, acortando el ciclo de debida diligencia y onboarding con clientes europeos. Es exactamente en ese punto donde se aplica el enfoque de Seguridad Normativa de Decripte: traducir los requisitos regulatorios en controles verificables y evidencias auditables.

Dónde actúa Decripte en la adecuación al DORA

Decripte apoya a las empresas brasileñas en los cuatro pilares más exigentes del DORA con servicios técnicos directos. En la gestión de riesgo de TIC, conducimos la identificación de activos y funciones críticas, la evaluación de riesgos y el diseño de controles alineados con el Capítulo II y las RTS aplicables, con la documentación que el directorio necesita para asumir la responsabilidad prevista en el reglamento.

En pruebas de resiliencia, ejecutamos evaluaciones de vulnerabilidad y pentest convencional y, para los casos sujetos a Threat-Led Penetration Testing, conducimos ejercicios basados en inteligencia de amenazas alineados con la lógica del TIBER-EU, en la posición de prestador de pruebas que la entidad financiera europea puede contratar. En respuesta a incidentes, ayudamos a montar el proceso de detección, clasificación y reporte exigido por el Capítulo III, con playbooks compatibles con las ventanas de notificación y con las plantillas de informe de las ESAs.

En la gestión de riesgo de terceros, actuamos del lado del prestador brasileño: revisamos la adherencia de la postura de seguridad a las cláusulas del Artículo 30, preparamos a la empresa para las auditorías y los derechos de acceso del cliente, y organizamos la documentación que alimenta el Register of Information del contratante europeo. El objetivo es que su empresa llegue a la mesa de negociación con el cumplimiento listo, en lugar de reactivo.

Cómo cumplir

1. 1

   Determine su papel y alcance

   Defina si la empresa es una entidad financiera sujeta al DORA, un prestador tercero de TIC o un subcontratado de un prestador. Mapee qué clientes europeos son entidades financieras y cuáles de sus servicios sostienen funciones críticas o importantes para ellos. Ese encuadre determina la profundidad de toda la adecuación.

2. 2

   Mapee activos, funciones críticas y dependencias

   Construya un inventario de activos de TIC, flujos de datos, subcontratados y dependencias que soportan los servicios vendidos a clientes europeos. Identifique los puntos únicos de fallo y la localización del procesamiento y almacenamiento de datos, información que el cliente necesitará para su Register of Information.

3. 3

   Estructure el framework de gestión de riesgo de TIC

   Implemente políticas y controles que cubran identificación, protección, detección, respuesta, recuperación y backup, con la aprobación y supervisión del órgano de administración. Alinéelo con el Capítulo II del DORA y con las RTS, y produzca evidencias auditables: políticas versionadas, registros de riesgo y métricas.

4. 4

   Monte el proceso de gestión y reporte de incidentes

   Defina la detección, el registro y la clasificación de incidentes según los criterios armonizados (impacto, duración, alcance, pérdida de datos). Cree playbooks que permitan apoyar al cliente europeo en las notificaciones inicial, intermedia y final, dentro de las ventanas de los estándares técnicos, y establezca canales de comunicación acordados contractualmente.

5. 5

   Prepárese para las pruebas y el TLPT

   Establezca un programa continuo de evaluación de vulnerabilidades y pentest. Para los servicios que sostienen funciones críticas, prepare a la empresa para participar en el Threat-Led Penetration Testing conducido bajo la metodología TIBER-EU, garantizando entornos, alcance y cláusulas que autoricen la prueba sin violar otros compromisos.

6. 6

   Ajuste los contratos al Artículo 30

   Revise los contratos con clientes financieros europeos para acomodar los derechos de acceso y auditoría, los requisitos de seguridad, las reglas de subcontratación, la localización de datos, las estrategias de salida y la cooperación con las autoridades. Negocie condiciones viables antes de que el cliente imponga un modelo unilateral.

7. 7

   Consolide la gobernanza y las evidencias continuas

   Centralice la documentación de cumplimiento, mantenga actualizado el registro de subcontratados y establezca revisiones periódicas y post-incidente. Trate el cumplimiento como un diferencial comercial: un paquete de evidencias listo acorta la debida diligencia del cliente europeo y sostiene las renovaciones.

Preguntas frecuentes