Marco de Gestión del Riesgo ICT bajo DORA 2026: Guía Completa para Entidades Financieras

Desde el 17 de enero de 2025, toda entidad financiera en la UE debe mantener un marco documentado de gestión del riesgo ICT aprobado por el consejo de administración bajo el Reglamento DORA. Los arts. 5–16, junto con tres Reglamentos Delegados (RTS), especifican exactamente qué políticas, funciones, herramientas y evidencias esperarán encontrar los supervisores en una inspección. Este artículo desglosa cada componente del marco TIC con los requisitos técnicos concretos.

¿Qué responsabilidades tiene el consejo bajo el art. 5 DORA?

El art. 5 es el artículo más inspeccionado del Capítulo II. Establece que el órgano de administración —no el CTO ni el CISO— debe: aprobar y revisar al menos anualmente la estrategia de gestión de riesgos TIC, asignar un presupuesto ICT adecuado al perfil de riesgo, garantizar que la función TIC cuente con personal cualificado suficiente, y recibir al menos una vez al año un informe del responsable de la función de riesgo TIC o de seguridad de la información. Los supervisores están examinando actas del consejo para verificar que los debates sobre riesgos TIC son sustantivos, no meramente formales. Un consejo que aprueba el marco TIC sin evidencia de comprensión real del contenido supone una brecha de gobernanza directamente sancionable.

¿Qué debe incluir el marco de riesgos TIC documentado?

El art. 6 exige que el marco ICT sea documentado, exhaustivo y actualizado tras incidentes mayores o cambios materiales. El marco debe cubrir como mínimo: estrategia de resiliencia digital alineada con la estrategia de negocio, política de gestión de riesgos TIC con roles y responsabilidades, inventario completo de activos TIC clasificados por criticidad, política de seguridad de la información aprobada por el consejo, política de continuidad del negocio y recuperación ante desastres con RTO y RPO definidos, política de gestión de parches con SLA por nivel de criticidad, política de criptografía y gestión de claves, y procedimientos de gestión y notificación de incidentes. El RTS 2024/1774 especifica los requisitos mínimos de cada una de estas políticas.

¿Cómo debe gestionarse el inventario de activos TIC?

El art. 8 obliga a mantener un inventario actualizado de todos los activos de hardware, software, datos y servicios de terceros TIC. El Reglamento Delegado 2024/1774 (RTS sobre herramientas de gestión de riesgos TIC) especifica los campos mínimos obligatorios: identificador único del activo, tipo de activo (hardware/software/datos), función de negocio soportada, clasificación de criticidad (crítico/importante/estándar), propietario responsable designado, ubicación física o lógica, contrato de soporte activo y fecha de fin de vida prevista. La frecuencia de revisión mínima es anual, o tras cualquier cambio significativo de infraestructura. La revisión del inventario debe estar documentada con evidencia de aprobación del órgano de gestión.

Una brecha recurrente en las inspecciones: los proveedores SaaS contratados directamente por unidades de negocio (herramientas de CRM, RRHH, comunicación) que no están registrados en el inventario central de IT. Bajo DORA, cualquier servicio de terceros que soporte una función de negocio debe incluirse en el inventario, independientemente de si fue contratado por IT o por otra área.

¿Qué controles mínimos de protección exige el art. 9?

El art. 9 establece los controles mínimos de protección y prevención que debe implementar toda entidad financiera. Para sistemas clasificados como críticos, la autenticación multifactor (MFA) es obligatoria. Los requisitos adicionales incluyen: segmentación de red para aislar sistemas críticos de los entornos de menos criticidad, cifrado de datos en tránsito y en reposo equivalente a AES-256 para datos sensibles, gestión de parches de seguridad con SLA definidos por nivel de criticidad CVSSv3 (parches con puntuación ≥9.0 en 24–72 horas), política de gestión de accesos con revisión trimestral de privilegios y aplicación del principio de mínimo privilegio, y política formal de criptografía y gestión de claves aprobada por el órgano de administración con revisión anual.

¿Cómo se estructura el BCP/DRP exigido por el art. 11?

El art. 11 exige un Plan de Continuidad del Negocio (BCP) y un Plan de Recuperación ante Desastres (DRP) para los sistemas TIC que soporten funciones críticas e importantes. Los requisitos concretos son: RTO y RPO definidos para cada sistema crítico en función del impacto que tendría su interrupción, capacidades de respuesta y recuperación probadas al menos anualmente (o tras un incidente mayor o cambio de infraestructura relevante), pruebas que incluyan escenarios de ciberataque (no solo fallos técnicos), y documentación de los resultados con deficiencias y acciones correctoras que se presenta al órgano de administración. El art. 12 complementa el BCP/DRP exigiendo copias de seguridad diarias como mínimo, copias offline para sistemas críticos y pruebas de restauración completa al menos anualmente.

Preguntas frecuentes sobre el marco TIC de DORA

¿El consejo puede delegar la aprobación del marco TIC en un comité de riesgos?

Sí, en parte. El consejo puede delegar la supervisión operativa en un comité de riesgos o equivalente, pero la aprobación de la estrategia ICT y la responsabilidad última sobre el marco de gestión de riesgos TIC deben recaer en el órgano de administración en pleno. El art. 5(4) DORA exige que el órgano de administración reciba al menos un informe anual del responsable de la función TIC. Los supervisores verifican si el consejo entiende realmente el contenido del marco o solo lo aprueba formalmente.

¿Qué valores de RTO y RPO son suficientes bajo DORA?

DORA no establece valores mínimos de RTO ni RPO en el texto del Reglamento. Los valores deben estar justificados en función del impacto de la interrupción del servicio sobre los clientes, la entidad y el sistema financiero. La EBA ha indicado en sus directrices que para servicios de pago y custodia de activos se esperan RTOs de horas, no días. El requisito clave es que los objetivos sean realizables: deben probarse anualmente y documentarse los resultados.

¿La política de seguridad de la información ya existente cumple con el art. 9?

Depende de su contenido. El art. 9 y el RTS 2024/1774 exigen que la política de seguridad de la información esté aprobada formalmente por el órgano de administración (no solo por el CTO), revisada al menos anualmente, y que cubra específicamente: controles de acceso (con MFA para sistemas críticos), cifrado, gestión de parches con SLA, y política de criptografía y gestión de claves. Muchas políticas previas a DORA no alcanzan el nivel de detalle exigido por el RTS.

¿Con qué frecuencia hay que revisar el marco TIC completo?

Al menos una vez al año, y siempre después de un incidente TIC significativo, un cambio material en el modelo de negocio o un cambio relevante en la infraestructura TIC. La revisión incluye la actualización del inventario de activos (art. 8), las pruebas del BCP/DRP (art. 11) y la revisión independiente del marco completo (art. 15).

¿Qué RTS complementan los requisitos del Capítulo II?

Los tres principales son: el Reglamento Delegado (UE) 2024/1774 (RTS sobre herramientas de gestión de riesgos TIC para el marco estándar), el Reglamento Delegado (UE) 2024/1773 (RTS sobre el marco simplificado para entidades pequeñas y no complejas) y el Reglamento de Ejecución (UE) 2024/2956 (ITS sobre el registro normalizado de proveedores TIC terceros). Son vinculantes y de aplicación directa desde enero de 2025.

¿Cómo ayuda IgeraLegal a documentar el marco TIC?

IgeraLegal actúa como asistente de compliance RAG especializado en DORA: responde preguntas sobre los artículos del Capítulo II y los RTS en segundos, citando la fuente exacta. Genera plantillas de política de gestión de riesgos TIC, política de seguridad de la información, BCP/DRP con estructura DORA-compliant, inventario de activos con los campos del RTS 2024/1774, y borradores del informe del CISO al consejo. Todo adaptado al tipo y tamaño de la entidad, sin alucinaciones.