Ley de Resiliencia Operativa Digital

El reglamento DORA tiene como objetivo armonizar los requisitos existentes para la gestión de los riesgos asociados a los proveedores de servicios TIC externos. Entre las obligaciones impuestas a las entidades financieras, se encuentra el establecimiento de una estrategia respecto de los riesgos vinculados a los proveedores de servicios de TI de terceros.

El objetivo de DORA está explícitamente definido en su considerando 105, un preámbulo que precede al texto de la ley y expone sus motivaciones: « alcanzar un alto nivel de resiliencia operativa digital para todas las entidades financieras reguladas ».

Pero, concretamente, ¿qué se entiende por « resiliencia operativa digital »? Según el propio texto de DORA, esto se refiere a: “la capacidad de una entidad financiera para desarrollar, garantizar y reevaluar su integridad y fiabilidad operativas asegurando, directa o indirectamente, mediante el uso de servicios proporcionados por proveedores externos de servicios TIC, la totalidad de las capacidades relacionadas con las TIC necesarias para garantizar la seguridad de las redes y sistemas de información que utiliza, y que sustentan la prestación continua de servicios financieros y su calidad, incluyendo en caso de perturbaciones” – DORA, Artículo 3(1)

El Reglamento sobre la resiliencia operativa digital afecta a 21 tipos de entidades. Estas son las que se describen en el Artículo 2:

• las entidades de crédito;
• las entidades de pago, incluidas las entidades de pago exentas en virtud de la Directiva (UE) 2015/2366;
• los proveedores de servicios de información sobre cuentas;
• las entidades de dinero electrónico, incluidas las entidades de dinero electrónico exentas en virtud de la Directiva 2009/110/CE;
• las empresas de inversión;
• los proveedores de servicios sobre criptoactivos y los emisores de tokens relacionados con uno o varios activos;
• los depositarios centrales de valores;
• las contrapartes centrales;
• las plataformas de negociación;
• los registros centrales;
• los gestores de fondos de inversión alternativos;
• las sociedades de gestión;
• los proveedores de servicios de comunicación de datos;
• las empresas de seguros y reaseguro;
• los intermediarios de seguros, los intermediarios de reaseguro y los intermediarios de seguros como actividad secundaria;
• las instituciones de pensiones profesionales;
• las agencias de calificación crediticia;
• los administradores de índices de referencia de importancia crítica;
• los proveedores de servicios de financiación participativa;
• los registros de titulización;
• los proveedores de servicios TIC externos

Sont exclus du champ d’application de DORA :

• les gestionnaires de fonds d’investissement alternatifs visés à l’Article 3(2) de la directive 2011/61/UE;
• les entreprises d’assurance et de réassurance en fonction de leur taille, telles que visées à l’Article 4 de la directive 2009/138/CE;
• les institutions de retraite professionnelle qui gèrent des régimes de retraite qui, ensemble, ne comptent pas plus de quinze affiliés au total;
• les personnes physiques ou morales exemptées en vertu des Articles 2 et 3 de la directive 2014/65/UE;
• les intermédiaires d’assurance, intermédiaires de réassurance et intermédiaires d’assurance à titre accessoire qui sont des micro-entreprises ou des PME. La définition est donnée dans l’article 4(60) de DORA : qui emploie moins de dix personnes et dont le CA annuel et/ou le total du bilan annuel n’excède pas 2 millions d’euros;
• les offices des chèques postaux visés à l’article 2(5.3), de la Directive 2013/36/UE.

A noter que les États membres peuvent choisir d’exclure du scope de DORA certaines entités nationales de crédit ou d’investissement très spécifiques, telles que visées à l’Article 2(5) de la directive 2013/36/UE. En France par exemple, l’Etat pourrait choisir d’épargner la Caisse des dépôts et consignations.