¿Por qué la Ley de Resiliencia Operativa Digital (DORA) necesita integrar el Identificador de Entidad Jurídica (LEI)? Como explica Alexandre Kech de GLEIF en una publicación reciente de su blog, se debe a que la DORA busca abordar un desafío fundamental: identificar y gestionar los riesgos asociados con los proveedores de TIC de terceros que sustentan los servicios financieros modernos. Sin identificadores estandarizados y verificables como el LEI, es prácticamente imposible mapear estas conexiones con precisión y garantizar la rendición de cuentas entre los proveedores de TIC.
DORA, que entra en vigor, es la normativa de ciberseguridad más reciente de la Unión Europea, cuyo objetivo es reforzar la resiliencia operativa de las entidades financieras. Como vimos el año pasado con la caída del servicio de CrowdStrike, existe una creciente interconexión entre la tecnología y las finanzas, donde un único incidente cibernético puede tener repercusiones en diversos sectores y fronteras. DORA exige a las empresas de servicios financieros que documenten e informen sobre sus principales proveedores de TI, en parte para ayudar a los reguladores a comprender dónde existen dependencias específicas en el sector.
El LEI proporciona una forma estandarizada de identificar a los aproximadamente 15 000 proveedores de TIC involucrados en el sector financiero y mapea sus estructuras corporativas a nivel internacional. Al vincular inequívocamente a las entidades, el LEI puede mejorar la visibilidad, simplificar el cumplimiento normativo y agilizar la notificación de incidentes. Es una herramienta práctica para reducir la complejidad y fomentar la confianza en el mundo interconectado actual.
Forjar una economía digital resiliente: el poder de una identidad normalizada para las organizaciones
En un mundo cada vez más digitalizado, los ciberataques son cada vez más frecuentes y sofisticados. Dado que toda la infraestructura crítica depende en gran medida de proveedores de servicios de TIC externos, permitir la identificación sistemática e inequívoca de estos proveedores a través de identificadores de organizaciones normalizados y verificables es clave para garantizar la confianza y la resiliencia cibernética. La Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea marca un importante precedente normativo que aborda este desafío para el sector financiero y debería adoptarse globalmente para proteger todos los ecosistemas digitales en todo el mundo.
Los ciberataques representan una amenaza inmediata y creciente para la estabilidad financiera mundial.
Un informe de 2024 del Fondo Monetario Internacional (FMI) concluye que, en los últimos 20 años, el sector financiero ha sido objeto de más de 20.000 ciberataques, que han provocado pérdidas directas por valor de 12.000 millones de USD, por no hablar de los costes indirectos ocasionados por el daño a la reputación.
Lo peor está por venir. El informe del FMI revela que los ataques se han duplicado desde la pandemia de COVID-19, y que sus crecientes frecuencia y sofisticación plantean «una grave amenaza para la estabilidad macro financiera por la pérdida de confianza y la interrupción de servicios críticos, así como por la interconexión tecnológica y financiera».
La cuestión de la «interconexión tecnológica» es motivo de especial preocupación. Si bien las empresas financieras son ampliamente reconocidas como líderes en ciberseguridad, la digitalización de los servicios financieros significa que las instituciones dependen cada vez más de proveedores de servicios de TIC externos para respaldar funciones críticas y brindar servicios básicos directamente.
Un análisis realizado por las tres autoridades de supervisión europeas concluye que alrededor de 15.000 de estos proveedores prestan servicios a instituciones financieras solo en la UE. Esta situación plantea desafíos a la resiliencia operativa en dos frentes. La dependencia de las instituciones financieras de múltiples proveedores puede introducir diversos puntos de debilidad y fragmentar las operaciones. También puede llegar a crear cadenas de suministro complejas y opacas difíciles de desentrañar, particularmente, en caso de que se produzca un incidente de ciberseguridad. Por su parte, el uso generalizado de ciertos proveedores —por ejemplo, en servicios de computación en la nube— aumenta el riesgo de que ataques o problemas individuales se propaguen y se conviertan en problemas sistémicos.
Considerando lo que está en juego, garantizar que los proveedores de servicios de TIC estén sujetos a un cierto nivel de supervisión normativa es un objetivo de política clave en múltiples jurisdicciones. La Unión Europea ha asumido un papel de liderazgo a este respecto con la introducción de la Ley de Resiliencia Operativa Digital (DORA), que tiene como objetivo fortalecer la resiliencia operativa de las entidades financieras mejorando su capacidad para gestionar los riesgos relacionados con las TIC.
Reforzar la resiliencia operativa mediante una identidad normalizada para las organizaciones
Identificar los proveedores de servicios de TIC que emplean las entidades financieras resulta clave para gestionar tales riesgos; destaca la importancia de contar con unos identificadores de organizaciones normalizados y verificables como el Identificador de Entidad Legal (LEI).
Como bien público global, el LEI es un identificador normalizado que se puede aplicar a todos los proveedores de TIC externos en todo el mundo. Al permitir la identificación sistemática e inequívoca de entidades a escala transfronteriza, el LEI aborda la fragmentación y:
- Mejora la detección de la estructura corporativa: el LEI permite la identificación de vínculos corporativos entre proveedores de TIC externos, tanto dentro como fuera de la UE. Esto ayuda a las instituciones y a los supervisores a detectar interconexiones y posibles riesgos operativos que de otro modo quedarían ocultos por estructuras societarias complejas.
- Une los puntos: el LEI actúa como un conector de datos, lo que permite la integración automatizada con otras fuentes de datos esenciales, como las autoridades de registro locales (por ejemplo, el registro mercantil local y la cámara de comercio), los proveedores de servicios financieros y los mercados de valores. Esto facilita una visión más completa de las dependencias de las TIC.
- Permite la integración digital y la automatización: el ecosistema totalmente digital del LEI permite una conciliación de datos perfecta a través de un acceso a API gratuito y descargas de archivos completos. Este marco digital elimina la intervención manual y permite la recopilación y el análisis rápidos de datos, brindando a las instituciones y a los supervisores las herramientas que necesitan para controlar las dependencias de las TIC y tomar decisiones más informadas.
- Agiliza la diligencia debida, el cumplimiento normativo y la comunicación de incidentes: la identificación precisa a partir de LEI minimiza los errores de información, mejora la calidad de los datos y permite una provisión de información normativa más fiable. En caso de incidentes relacionados con las TIC, los LEI proporcionan una referencia clara y normalizada para todas las partes involucradas. Esto simplifica la comunicación de incidentes, garantiza la coherencia y facilita una rápida resolución.
Crear una economía digital resiliente
Es evidente que las crecientes velocidad y sofisticación de los ciberataques tienen repercusiones que se extienden mucho más allá de los servicios financieros. La complejidad del mundo digitalizado actual significa que toda la infraestructura crítica depende en gran medida de los proveedores de servicios de TIC. Por tanto, las cadenas de suministro globales, la prestación de servicios de salud, la energía y los suministros, las telecomunicaciones y el transporte están expuestos a las mismas vulnerabilidades significativas.
La DORA ofrece un marco para comenzar a abordar este desafío. Reconocer la importancia de una identificación para las organizaciones normalizada y verificable como un facilitador crítico de la resiliencia cibernética y la confianza en los ecosistemas digitales supone un importante precedente normativo que debería replicarse en todos los rincones de la economía global.