A principios de este mes, las Autoridades Europeas de Supervisión (EBA, EIOPA y ESMA) publicaron conjuntamente una guía sobre la supervisión en virtud de la Ley de Resiliencia Operativa Digital (DORA), en la que se detalla cómo supervisarán a los proveedores críticos de TIC de terceros (CTPP). La guía explica cómo los Equipos Conjuntos de Examen (JET, por sus siglas en inglés) coordinarán la supervisión paneuropea para gestionar el riesgo sistémico de las TIC en todo el sector financiero.
El marco de supervisión incluye cinco actividades principales: designación de proveedores críticos, evaluaciones anuales de riesgos, exámenes exhaustivos, emisión de recomendaciones y seguimiento de las medidas correctivas. Asimismo, establece expectativas claras para la colaboración, el intercambio de datos y la interacción estructurada entre los proveedores de servicios de salud y los organismos reguladores.
El debate regulatorio sobre el alcance de DORA dio lugar a una versión final simplificada, que redujo la carga de cumplimiento sin comprometer las altas expectativas de supervisión. Para los proveedores, la resiliencia sigue siendo fundamental, y esto se extiende más allá de los clientes directos a toda la cadena de subcontratación.
Esta guía representa un paso fundamental en la puesta en práctica de las ambiciones de supervisión transfronteriza de DORA, especialmente ante la creciente dependencia del sector financiero de un número limitado de proveedores tecnológicos. DORA contribuye a traducir este riesgo en un modelo de supervisión práctico y multicapa, tal como se describe en esta guía. El objetivo es mejorar la resiliencia digital en todo el sector. Resulta vital encontrar el equilibrio entre los costes de cumplimiento y la capacidad de los proveedores de las instituciones financieras para centrarse en sus riesgos cibernéticos.
DORA destaca el papel fundamental de la infraestructura digital en los servicios financieros.
Ley de Resiliencia Operativa Digital (DORA): Supervisión de proveedores externos críticos
Guía sobre actividades de supervisión
1. Introducción
1. Reconociendo el papel fundamental que desempeña la tecnología en la viabilidad y competitividad del sector financiero, así como la creciente dependencia de las entidades financieras (FE) de servicios externos de TIC, la Ley de Resiliencia Operacional Digital (DORA) introduce un marco integral de supervisión para los proveedores de servicios terceros (CTPP) críticos de las Tecnologías de la Información y la Comunicación (TIC). Las tres Autoridades Supervisoras Europeas (ESAs) están facultadas para supervisar los CTPPs a escala paneuropea, reforzando la resiliencia operativa digital global en las distintas áreas financieras de la Unión. Este marco de supervisión ayuda a abordar los posibles riesgos sistémicos y de concentración derivados de la dependencia del sector financiero de un número limitado de proveedores de TIC. Complementa, en lugar de reemplazar, las propias responsabilidades de las entidades financieras en la gestión de riesgos relacionados con las TIC y la supervisión ya ejercida sobre ellas por las autoridades competentes (CA).
2. Las ESA son primero responsables de designar como CTPP aquellos proveedores de servicios TIC que atienden a entidades financieras en Europa y que son críticos para cada uno de los sectores financieros bajo su responsabilidad. Posteriormente, cada ESA asume el papel de Supervisor Principal (LO) de las CTPP dentro de su respectivo sector financiero. En esta función, realizan actividades de supervisión en colaboración con las CA pertinentes, asegurando un enfoque coordinado de la gestión de riesgos TIC en todo el panorama financiero. Las ESAs tienen facultades para solicitar información, realizar investigaciones e inspecciones generales, emitir recomendaciones, supervisar su implementación e imponer pagos periódicos de multas a las CTPP. Estas tareas de supervisión son realizadas por los Equipos Conjuntos de Exámenes (JETs), compuestos por personal de las ESAs, de los CAs relevantes que supervisan los FEs en la UE y las autoridades NIS que supervisan los CTPP.
3. La gobernanza del marco se define con el objetivo de promover la convergencia y un proceso de toma de decisiones sólido. Incluye especialmente la Red Conjunta de Supervisión (JON) y el Foro de Supervisión (OF), organismos creados con la responsabilidad clave de garantizar el mantenimiento de un marco coordinado, centrado en los resultados y proporcionado, con un enfoque en la confianza, así como en la supervisión, la rendición de cuentas y la transparencia.
4. El propósito de esta guía es explicar el marco de supervisión del CTPP, incluyendo sus objetivos, principios subyacentes, estructura, actividades, procesos de implementación y resultados esperados. La guía ofrece una visión general de: (i) la estructura de gobernanza, (ii) los procesos de supervisión, (iii) los principios fundacionales, (iv) las herramientas disponibles para los supervisores; (v) el proceso de adopción.
5. Esta guía está dirigida principalmente a los CTPPs, FEs, CAs y al público general interesado en comprender el marco y las actividades de supervisión de DORA.
6. Está redactada intencionadamente para facilitar la comprensión del marco regulatorio y su aplicación práctica. No sustituye los actos jurídicos, que deben consultarse en el Diario Oficial de la UE para el texto completo de las disposiciones pertinentes. Puede ser revisada y reeditada con el tiempo a medida que se desarrolle la experiencia en supervisión.
2. Conceptos clave
7. La guía se basa en las definiciones establecidas por DORA. Sin embargo, debido a su naturaleza operativa, también utiliza terminología y conceptos relacionados con el modelo operativo de la ESA. Para facilitar una comprensión explícita y común de estos conceptos clave, la siguiente tabla resume el significado de los términos principales incluidos en esta guía:
3. Visión general del marco de supervisión de DORA
3.1 Alcance del marco de supervisión de la DORA
6. El marco de supervisión DORA se aplica exclusivamente a proveedores de servicios TIC externos designados como críticos por las ESA. La designación se basa en una evaluación anual que utiliza varios criterios que incluyen el impacto sistémico, la interconexión, la naturaleza crítica de los servicios, la sustituibilidad limitada y el número y tipo de entidades financieras a las que se atienden. Una vez designado como crítico, el proveedor de servicios TIC externo queda sujeto a la supervisión de los ESAs.
7. El marco de supervisión de DORA no cubre los servicios proporcionados por las CTPP a los FEs que no se consideran servicios TIC según DORA, ni cuestiones relacionadas con los servicios TIC proporcionados por las CTPPs a clientes que no están regulados bajo DORA3.
3.2 Objetivos del marco de supervisión de DORA
8. El marco de supervisión de DORA dota a los supervisores de herramientas para supervisar las actividades y los riesgos que los CTPP suponen para el sector financiero. Para ello, los supervisores deben evaluar si los CTPP cuentan con normas, procedimientos, mecanismos y acuerdos integrales, sólidos y eficaces para gestionar esos riesgos.
9. De forma más holística, la realización de las actividades de supervisión contribuye a (i) promover la convergencia y eficiencia en relación con los enfoques de supervisión al abordar el riesgo de terceros de TIC en el sector financiero, y (ii) fortalecer la resiliencia operativa digital de los ED que dependen de los CTPP para la prestación de servicios TIC que apoyan la oferta de servicios financieros. Por lo tanto, las actividades de supervisión contribuyen directamente a la preservación de la estabilidad del sistema financiero de la Unión y a la integridad del mercado interior de servicios financieros.
10. Teniendo en cuenta los objetivos anteriores, el resultado esperado del marco de supervisión de DORA es fortalecer la comprensión colectiva de las ESAs y las Autoridades Competentes sobre los riesgos que plantean las CTPP para el sector financiero, y mitigar dichos riesgos. Operativamente hablando, los resultados tangibles de las actividades de supervisión incluirían4: (i) la designación de los proveedores críticos de servicios de TIC terceros para el sector financiero de la UE; (ii) el desarrollo del conocimiento y la comprensión de los servicios TIC proporcionados por las CTPP y sus riesgos relacionados; (iii) la identificación de áreas donde son necesarias acciones de mitigación de riesgos; (iv) la formalización de estas últimas mediante recomendaciones específicas dirigidas a las CTPPs; (v) la posibilidad de que las CA se beneficien, de acuerdo con DORA, de la información relevante recopilada durante la supervisión, incluyendo información derivada de recomendaciones para la supervisión de las TIC de las FE y riesgos de terceros.
3.3 Principios del marco de supervisión de DORA
11. Para alcanzar los objetivos del marco de supervisión de la DORA de manera coherente, fiable y que resulte en un resultado transparente, los ESAs reconocen un conjunto de principios fundamentales que deben aplicarse transversalmente a través de las actividades de supervisión. Estos principios están en el núcleo de cada actividad de supervisión. Los supervisores consideran los principios cuando definen la frecuencia, el alcance y la intensidad de los compromisos de supervisión. La siguiente infografía muestra los principios fundamentales que rigen las actividades de supervisión:
3.4 El papel de los CAs: relación entre la supervisión de los CTPPs y la supervisión de los FEs
12. El marco de supervisión complementa la supervisión del riesgo TIC de los ED realizada por los CAs. Por esta razón, está integrada en él una sólida cooperación entre los ESAs y los CAs. Los CAs participan en la realización de actividades de supervisión involucrando personal experto a los JETs y orientan los resultados de estas actividades a través de su pertenencia a los órganos de gobernanza. Además, los CAs informan a los supervisores sobre cuestiones materiales con un CTPP, que se identificaron en la supervisión de los FEs basándose en ese CTPP. A cambio, los supervisores comparten ideas relevantes con los CAs sobre las actividades de supervisión, permitiendo que los CAs las consideren para su propia supervisión continua de los FEs.
13. Dado que el intercambio de información entre las AES y las AC es un requisito clave para el éxito del marco de supervisión, las ESAs han preparado Directrices ad hoc5 que detallan los procedimientos y condiciones para la asignación y ejecución de tareas, así como los intercambios de información entre las CA y las ESAs.
4. Gobernanza y organización del marco de supervisión de DORA
14. El marco de supervisión de DORA, como cualquier otra actividad de la ESA, está integrado en la gobernanza general de las ESA, bajo la autoridad general de la Junta de Supervisores y del Comité Conjunto. Para tener en cuenta la naturaleza genuinamente colaborativa del marco, DORA también prevé organismos específicos, el Foro de Supervisión y la Red Conjunta de Supervisión, que contribuyen a la preparación de decisiones por parte de los órganos de gobierno de la ESA.
15. Operativamente, la actividad de supervisión la llevan a cabo los ESAs que actúan como LOs, con equipos dedicados llamados JETs, en los que participan los CAs. Por razones de eficiencia operativa, los ESAs han decidido agrupar sus equipos para llevar a cabo sus operaciones conjuntamente, como una Empresa Conjunta de Supervisión (JOV).
16. La infografía a continuación y las subsecciones posteriores ofrecen una visión general de los roles y funciones de cada conjunto de actores clave.
4.1.1 Órganos de gobierno de las ESA
17. La gobernanza de las ESAs está garantizada por su alta dirección bajo la autoridad de la Junta de Supervisores (BoS)7 y la Junta de Administración.
18. Los procesos de toma de decisiones de los ESAs se aplican de acuerdo con la arquitectura de gobernanza global de los ESAs, tal como estipulan los reglamentos fundacionales de los ESAs.
19. En el contexto de las actividades de supervisión de DORA, por ejemplo, la BoSs participa en la aprobación de la designación de los CTPP y el nombramiento relacionado de la LO.
4.1.2 Comité Conjunto de las tres ESAs
20. El Comité Conjunto (JC) es el comité intersectorial más alto entre las tres ESA. En relación con la supervisión de las CTPPs, adopta las decisiones pertinentes a recomendación del Foro de Supervisión. En particular, las ESAs toman decisiones sobre la designación de las CTPP a través del JC y a recomendación de la OF.
21. Las Reglas de Procedimiento de la JC se publican en las tres páginas web de la ASA: JC Reglas de procedimiento.
4.1.3 Órganos y funciones de supervisión
4.1.3.1 Foro de Supervisión (OF)
22. El Foro de Supervisión (OF) es el comité permanente de las ESAs dedicado a la supervisión de DORA, creado como un subcomité de Comité Conjunto. Realiza trabajos preparatorios tanto para ciertos actos individuales dirigidos a los CTPP como para la emisión de recomendaciones colectivas por parte del JC, asegurando un enfoque coherente de las actividades de supervisión. Está compuesto por los presidentes de los ESAs, altos representantes de los CAs y varios observadores de autoridades nacionales y europeas.
23. El OF discute regularmente los desarrollos relevantes sobre el riesgo y vulnerabilidades de las TIC y promueve un enfoque coherente en el seguimiento del riesgo de terceros de TIC a nivel de la Unión. Está facultado para realizar evaluaciones colectivas anuales de los resultados y hallazgos de las actividades de supervisión de todas las CTPP, promover medidas de coordinación que aumenten la resiliencia operativa digital de los FE y fomentar las mejores prácticas para abordar el riesgo de concentración en TIC. Cuando sea apropiado, el OF puede consultar a expertos independientes. El OF también participa en la designación de los CTPP y en la evaluación de las dependencias de terceros de las TIC en los FE.
24. El OF está obligado a presentar (al Comité Conjunto) puntos de referencia integrales para los CTPPs12 que sean adoptados por el Comité Conjunto como posiciones conjuntas de los ESAs.
25. El mandato del OF (JC 2024 93) se publica en las páginas web de las ESAs: mandato del OF.
4.1.3.2 Supervisor Principal (LO)
26. Para cada CTPP, DORA prevé el nombramiento de un Supervisor Principal (LO), que es el ESA responsable de que los FEs tengan en conjunto la mayor parte de los activos totales del valor total de todos los FEs que utilizan los servicios del relevante CTPP13. Esta participación se determina por la suma de los balances individuales de esos FEs. Es importante señalar que los ESAs siguen un enfoque conjunto de supervisión.
27. La tarea de la LO es supervisar la CTPP asignada y llevar a cabo las actividades de supervisión. Por lo tanto, la LO es la entidad que mantiene el contacto principal con la CTPP en todos los asuntos relacionados con la supervisión. La LO adopta todas las leyes pertinentes, incluidas las decisiones y recomendaciones relativas a las CTPP asignadas.
28. La LO es responsable de evaluar si un CTPP dispone de normas, procedimientos, mecanismos y disposiciones integrales, sólidas y eficaces para gestionar el riesgo TIC que pueda suponer para los FE. Los detalles de cómo debe llevarse a cabo esta evaluación y en qué debe centrarse se describen en el Artículo 33 de DORA, y más allá en las secciones dedicadas de esta guía, que cubren las actividades específicas de supervisión.
29. Para supervisar eficazmente las CTPP, la LO está facultada para solicitar información y documentación relevantes, realizar investigaciones e inspecciones generales, emitir recomendaciones y solicitar un plan de remediación e informes que especifiquen las acciones tomadas o los remedios implementados por la CTPP en relación con las recomendaciones.
30. Para financiar las actividades de supervisión, la LO tiene la tarea de cobrar tasas de supervisión a las CTPP, que cubren íntegramente los gastos de la LO relacionadas con la realización de tareas de supervisión. Para cobrar las tasas, la LO recopila los datos necesarios sobre las facturaciones aplicables de las CTPP, estima los costes anuales totales de supervisión, calcula y cobra las tasas de supervisión correspondientes. Otras competencias de la LO incluyen la facultad de imponer pagos de multas por periodo a las CTPP en los casos mencionados en el Artículo 35, la facultad de emitir opiniones y divulgaciones públicas de los pagos de multas, y la capacidad de firmar Memorandos de Entendimiento (MoUs) con autoridades de terceros países.
4.1.3.3 Red Conjunta de Supervisión (JON)
31. El JON es creado por los supervisores según el Artículo 34 de la DORA para coordinar la realización de las actividades de supervisión sobre los CTPP. Supervisa y dirige la realización de las actividades de supervisión con el objetivo de preparar decisiones y actos antes de que sean presentados al OF. Sus miembros son los directores ejecutivos de los ESAs, el director Adjunto de Supervisión de DORA del ESA y representantes de alto nivel del personal. ENISA y el BCE pueden nombrar observadores para el JON.
4.1.3.4 Equipos Conjuntos de Exámenes (JETs)
32. Al realizar actividades de supervisión, los supervisores cuentan con la asistencia de los JETs. Se establece un JET dedicado para cada CTPP conforme al Artículo 40 y el Reglamento delegado de la Comisión (CDR) relacionado sobre el JET14. El JET trabaja bajo la coordinación de un miembro designado del personal de los supervisores, el ‘coordinador de la LO’.
33. El JET asiste y apoya a los supervisores en la realización de las actividades de supervisión descritas en esta Guía. Sus miembros poseen una experiencia relevante en TIC, incluyendo riesgos operativos. Las tareas del JET se enumeran en el Artículo 1 del CDR correspondiente e incluyen, entre otras cosas, la preparación y redacción del plan anual individual de supervisión, la redacción de recomendaciones o la contribución a cualquier actividad de supervisión horizontal.
34. Tras la designación de los CTPP y la consideración de los planes anuales de supervisión para todos los CTPPs, se solicita a las siguientes autoridades que nominen a su personal como miembros de los JETs:
• los ESA;
• los CAs relevantes que supervisan los FEs a los que el CTPP proporciona servicios TIC;
• de forma voluntaria, las CAs nacionales bajo NIS 2 supervisando el CTPP;
• de forma voluntaria, una CA nacional del Estado miembro de la UE donde se establezca el CTPP.
35. Estas autoridades deben asegurarse de que el personal designado cumpla con la experiencia técnica específica requerida en los perfiles requeridos en los JETs. Los supervisores aplican una combinación de criterios y principios15 al identificar el número de miembros del personal que deben conformar cada JET.
4.1.4 La Empresa Conjunta de Supervisión DORA
36. Para maximizar sinergias, garantizar la coherencia en las tareas de supervisión y lograr un uso más eficiente de los recursos, los tres ESAs han creado una empresa conjunta de supervisión (JOV) de DORA liderada por un director Conjunto de Supervisión. La creación de esta organización, que ha entrado en funcionamiento desde octubre de 2024, garantiza que la supervisión diaria se realice con un enfoque integrado intersectorial. Operativamente, todas las actividades de supervisión se realizan dentro del ámbito del JOV. El gráfico siguiente resume los beneficios de la estructura conjunta para todos los interesados implicados.
5. Actividades de supervisión de DORA
37. La supervisión de la DORA implica las siguientes actividades realizadas por los supervisores:
i. Designación: Cada año, las ESAs publican la lista de las CTPPs, que se designan en función de los datos incluidos en los Registros de Información de los acuerdos contractuales de las FEs con las TPPs de TIC y otros datos disponibles. Tras la designación, las CTPP pagarán tasas de supervisión a los supervisores. Las TPP no incluidas en la lista de CTPP pueden solicitar ser reevaluadas para ser designadas como críticas (proceso optin). Dicho proceso implica el pago de una tasa fija y un periodo de evaluación de solicitud de seis meses por parte de las ESAs.
ii. Evaluación y planificación de riesgos: Cada año, los supervisores realizan una evaluación de riesgos del CTPP. La evaluación tiene como objetivo estimar el perfil de riesgo específico del CTPP. A partir de los resultados de esta evaluación, los supervisores desarrollan planes anuales de supervisión individuales (es decir, específicos para cada CTPP) y un plan estratégico plurianual que cubra toda la población de CTPPs. Los planes de supervisión individuales se comunican a cada CTPP. Los CTPP pueden presentar una declaración razonada que evidencie el impacto esperado en sus clientes que no son entidades financieras y, cuando sea apropiado, formular soluciones para mitigar riesgos.
iii. Exámenes: En la ejecución del plan de supervisión y de forma continua, los supervisores interactúan con los CTPPs con el fin de evaluar los riesgos que pueden suponer para los CTPP europeos. Los exámenes se realizan incluyendo el análisis de la documentación recibida de los CTPPs, investigaciones generales, inspecciones y tareas de seguimiento regular y continuo.
iv. Recomendaciones y seguimientos: Como resultado de los exámenes, los supervisores pueden emitir recomendaciones no vinculantes en áreas específicas, basadas, por ejemplo, en los hallazgos de investigaciones o inspecciones generales. Como parte de las tareas de seguimiento continuo, los supervisores, en colaboración con los CAs, hacen seguimiento de la implementación de las recomendaciones por parte de los CTPPs. Se puede solicitar a los CTPPs que presenten un plan de remediación tras las recomendaciones e informes que detallen las acciones/remedios tomados o implementados por los CTPPs en relación con las recomendaciones. Los supervisores comparten las recomendaciones e información sobre el seguimiento con los CAs que supervisan a los FEs utilizando los servicios del CTPP. Las recomendaciones y seguimientos pueden posteriormente alimentar la fase de evaluación y planificación de riesgos para el año siguiente.
5.1 Designación de los CTPP y expectativas sobre la interacción con los CTPP
38. Esta sección describe cómo las ESAs evalúan la criticidad de los proveedores de servicios TIC terceros para el sector financiero, permitiendo identificar las CTPP, e introduce los pasos procedimentales que conducen a la designación de las CTPPs. Cuando corresponde, la designación se realiza a nivel de la empresa matriz de las CTPPs.
5.1.1 Evaluación de criticidad y designación de las CTPP
39. Los criterios que deben seguir los ESA al designar los CTPP están definidos en el Artículo 31 de la DORA y en el CDR17 dedicado. Estos criterios se refieren a los siguientes cuatro dominios: a) el impacto sistémico en la estabilidad, continuidad o calidad de la prestación de servicios financieros en caso de que el TPP TIC relevante sufra un fallo operativo a gran escala en la prestación de sus servicios; b) el carácter sistémico o la importancia de los FE que dependen del TPP TIC relevante; c) la dependencia de los FE en los servicios proporcionados por el TPP TIC relevante en relación con funciones críticas o importantes de los FE que en última instancia implican el mismo TPP TIC; y d) el grado de sustituibilidad del TPP TIC.
40. Se evalúa la criticidad de las TPPs en relación con los cuatro dominios y se evalúa con 11 criterios tomados del mencionado CDR18. Seis criterios son de naturaleza cuantitativa, mientras que cinco son cualitativos.
41. Desde la perspectiva de los procesos, la evaluación de los ESAs sigue a una evaluación en dos pasos de los Registros de Información, que se reportan desde los FEs a sus CAs y, a su inversión, a los ESAs.
42. El primer paso consiste en la aplicación de los criterios cuantitativos a los registros consolidados de información recibida de los CAs. En el segundo paso, los ESAs aplican los cinco subcriterios adicionales al conjunto de datos resultantes de la aplicación del primer paso.
43. Los ESAs también utilizan cualquier otra información adicional disponible. La combinación de estos dos pasos proporciona la lista de CTPPs, tal como se muestra en el gráfico a continuación.
44. Tras la evaluación de los criterios, la LO notifica a los proveedores de servicios terceros de TIC sobre los resultados de la evaluación de criticidad. Tras esta notificación, los proveedores disponen de seis semanas para presentar una declaración razonada a los ESAs con cualquier información relevante para los fines de la evaluación de criticidad.
45. La designación es seguida por la publicación de la lista de CTPP. Los TPP TIC que no estén incluidos en la lista tienen la opción de solicitar voluntariamente una evaluación para la designación CTPP. La información que debe proporcionarse en la solicitud de adhesión voluntaria y la forma de evaluar las solicitudes están especificadas en el Artículo 1 de la CDR sobre la armonización de condiciones que permiten la realización de supervisión.
5.1.2 Expectativas clave para los puntos de coordinación de las CTPP de la UE y las filiales de las CTPPs no pertenecientes a la UE
46. Una vez designada como crítica, una CTPP debe colaborar de buena fe con los supervisores y ayudarles a cumplir sus tareas según la definición del Artículo 33 de la DORA, evaluando específicamente si la CTPP dispone de normas, procedimientos, mecanismos y acuerdos integrales, sólidos y eficaces para gestionar el riesgo TIC que pueda suponer para los FE.
47. Para desempeñar eficazmente sus tareas, los supervisores establecerán un diálogo continuo con el CTPP, que debe estar debidamente organizado para gestionar las múltiples solicitudes anticipadas de los supervisores.
48. Dado el número de interacciones esperadas para la realización de la supervisión, es importante aclarar las expectativas sobre la sustancia corporativa del punto de coordinación del CTPP o de la coordinación subsidiaria con los supervisores.
49. El Anexo ofrece una visión general de las principales expectativas para los puntos de coordinación de los CTPP de la UE y sus filiales de los CTPP no pertenecientes a la UE.
5.2 Evaluación de riesgos y planificación de supervisión
50. Los supervisores han implementado un Proceso de Evaluación de Riesgos de Supervisión (ORAP) dedicado, destinado a evaluar los riesgos que plantean los CTPP para los FEs y así elegir un enfoque proporcionado y basado en el riesgo para sus exámenes. Este proceso se lleva a cabo anualmente. Se basa en los datos recopilados a través de actividades de supervisión previas y fuentes adicionales (por ejemplo, la evaluación del panorama de amenazas, notificaciones de incidentes, resultados de la supervisión de los FEs realizados por los CAs, etc.).
51. La evaluación de riesgos identifica el perfil de riesgo de cada CTPP, basado en la identificación y evaluación a alto nivel de los riesgos que enfrenta el CTPP y los controles que se han implementado para mitigarlos. La identificación y evaluación de riesgos específicos del CTPP se realiza en función de los distintos tipos de riesgos inherentes y externos, que se han identificado como relevantes para el CTPP, basándose en los servicios de TIC que ofrece a los FE.
52. La evaluación de riesgos impulsa la identificación de prioridades de supervisión para abordar los riesgos identificados relacionados con uno o más servicios TIC, que se utilizan como insumo para el plan anual individual de supervisión, así como para el plan de supervisión plurianual.
5.3 Exámenes
53. Las actividades de un JET consisten, por un lado, en mantener un seguimiento continuo de la situación del CTPP y, por otro, en realizar diversos exámenes en forma de investigaciones generales o inspecciones in situ, tal como se prevé en el plan anual de supervisión. Además, casos que incluyen la aparición de una situación inesperada, como un incidente o una nueva amenaza, pueden conducir a la apertura de una Solicitud de Información (RfI), lo que permite al supervisor evaluar la necesidad de una acción investigativa, como una inspección.
54. Este rango de acciones proporciona un enfoque gradual y proporcional para profundizar las verificaciones, basado en la importancia de los riesgos identificados. La siguiente sección ofrece descripciones generales de cada uno, contextualizadas dentro del marco de supervisión de DORA.
55. Los resultados de los exámenes respaldan las recomendaciones de los supervisores al CTPP. Estos resultados se incorporan a las evaluaciones de riesgos y planes de supervisión para el año siguiente, permitiendo un seguimiento continuo de los riesgos residuales y el progreso en el cumplimiento.
56. El siguiente gráfico muestra las interrelaciones entre exámenes (investigaciones y inspecciones generales), el seguimiento regular continuo y la evaluación anual de riesgos y el plan anual de supervisión individual:
5.3.1 Monitorización regular continua
57. El monitoreo regular continuo sirve como base para una supervisión efectiva, formando el trasfondo de las interacciones entre los supervisores y los CTPP como parte de investigaciones e inspecciones generales. Este proceso implica principalmente, pero no exclusivamente, tareas basadas en escritorio, incluyendo la recopilación, análisis y evaluación sistemáticos tanto de información específica de la empresa como de todo el sector obtenida a partir de las CTPP.
58. Las actividades regulares de seguimiento continuas generalmente, pero no exclusivamente, implican: i. Reuniones con los CTPPs: Tanto a nivel directivo como de personal, tales reuniones buscan mantener una comprensión y conocimiento actualizados del CTPP y complementar la información ya recopilada durante la evaluación de riesgos, mediante la interacción directa con las personas responsables de asuntos específicos de riesgo. ii. Recogida e evaluación de datos e información periódicas: Los supervisores mantienen un nivel mínimo de información obtenida para cualquier tipo de CTPP, basado en información recibida regularmente o ad hoc mediante informes y análisis periódicos. Informa sobre riesgos potenciales y ofrece la oportunidad de monitorizar los CTPP en todos los ámbitos (comparación entre pares basada en datos). Un tipo esencial de información solicitada por los supervisores son los diversos informes periódicos de los CTPP. Agiliza las actividades de supervisión estableciendo un proceso armonizado y eficiente para la recopilación, revisión y cálculo de tarifas de información. Este enfoque garantiza la coherencia en todos los CTPP, mejora la planificación tanto para supervisores como para proveedores, y mejora la precisión y completitud de la información crítica.
59. La información periódica recogida se analiza regularmente y retroalimenta (entre información de otras fuentes) en las evaluaciones anuales de riesgos respecto a cuestiones específicas de cada entidad, creando así un ciclo continuo de interacción informativa y regulatoria.
60. Ejemplos de informes periódicos de información incluyen organigramas, documentación presupuestaria de TIC, informes de pruebas de seguridad de la información, programas e informes de gestión de riesgos, estados financieros auditados, etc.
61. A través de estas actividades, los supervisores desarrollan una comprensión integral y continua de la organización, los modelos de negocio, los desarrollos estratégicos y los riesgos asociados de los CTPP, asegurando que las actividades de supervisión se documenten a lo largo del tiempo. Además, la monitorización regular continua permite identificar posibles vulnerabilidades, como debilidades en los marcos de gestión de riesgos TIC, estructuras de gobernanza o enfoques estratégicos de riesgo. Además, sirve como mecanismo para hacer seguimiento de la implementación de recomendaciones previas y evaluar si las deficiencias se han abordado eficazmente.21 Los conocimientos derivados del monitoreo regular continuo alimentan la evaluación anual de riesgos y el plan anual de supervisión individual, así como las investigaciones generales e inspecciones.
5.3.2 Solicitudes de información
62. Fuera del contexto de investigaciones e inspecciones generales, los supervisores también tienen el poder de solicitar a los CTPP que presenten información ya sea mediante ‘Solicitud Simple’ (Simple RfI) o por ‘Decisión’ (Decisión RfI). Esto es especialmente adecuado para el contexto de la aparición de una nueva situación, que no podría haber sido cubierta por el plan de supervisión. Permite a los supervisores solicitar al CTPP información preliminar para, por ejemplo, decidir si son necesarios algunos exámenes.
63. Las RFI indican clara y con precisión la información necesaria, así como su alcance y el plazo para responder.
5.3.3 Investigaciones generales
64. Las investigaciones generales son revisiones formales realizadas por supervisores que cubren una o más áreas de riesgo de las CTPP. El objetivo de una investigación general es recopilar información23 sobre cómo las CTPP gestionan los riesgos asociados a los servicios prestados a las FE.
65. Las investigaciones generales son interacciones formales y estructuradas entre supervisores y CTPPs. Estas investigaciones se inician mediante una decisión y autorización escrita de los supervisores, que detallan elementos clave como las personas que llevan a cabo la investigación, el objeto y el propósito, una explicación de las áreas específicas bajo escrutinio, información sobre posibles pagos periódicos de multas y los recursos o recursos disponibles. Esta decisión sirve como marco para el proceso de investigación, garantizando transparencia y claridad para todas las partes implicadas. Existen varios tipos de revisiones que pueden emplearse, conjunta o de forma independiente, en el contexto de investigaciones generales, dependiendo de la necesidad específica de supervisión. La siguiente tabla ofrece ejemplos de posibles tipos de investigaciones generales
66. Las investigaciones generales consolidan cualquier hallazgo resultante en un informe de investigación. Esto puede informar la emisión de cualquier recomendación para corregir posibles áreas de incumplimiento identificadas durante la investigación general, así como la solicitud posterior, tras la finalización de las actividades de supervisión, de informes que especifiquen las acciones tomadas o los remedios implementados por las CTPP en relación con las recomendaciones realizadas.
5.3.4 Inspecciones
67. Las inspecciones se utilizan como método para supervisar los CTPP con un nivel mayor de intrusión, en comparación con lo que proporcionan las investigaciones generales y, en menor medida, la monitorización regular continua. Las inspecciones pueden realizarse en cualquier local comercial de los CTPP, en las oficinas centrales o en cualquier edificio operativo, en instalaciones secundarias del CTPP y también pueden realizarse fuera de las instalaciones si esto es adecuado para los supervisores. Las inspecciones buscan lograr una comprensión más profunda de las operaciones empresariales de las CTPP, la gestión de riesgos y los controles internos, entre otros aspectos, mediante la recopilación de información. En comparación con las investigaciones generales, las inspecciones suelen implicar también una comunicación más directa e inmediata con la CTPP. Durante las inspecciones, los JETs realizan tareas de inspección in situ y fuera de ella.
68. Basándose en la evaluación de riesgos realizada, los supervisores determinan la frecuencia de las inspecciones para cada CTPP. Las principales inspecciones de un año determinado se basan en la evaluación anual de riesgos e incluyen en el plan anual de supervisión individual, que determinará cómo dichas inspecciones ayudarán a alcanzar los objetivos anuales de supervisión. Sin embargo, los supervisores también pueden realizar inspecciones adicionales en función de la información recogida durante el año de supervisión y de nuevos riesgos que surjan en el mercado.
69. De forma similar a las investigaciones generales, las inspecciones se rigen por una decisión y autorización por escrito de los supervisores, que detallan varios elementos clave como las personas que realizarán la inspección, el objeto y el propósito, y la fecha de inicio de la inspección. La decisión también ofrece una explicación de las áreas o temas específicos a examinar. Además, incluye información sobre la posibilidad de pagos periódicos de multas y sobre los recursos disponibles. La decisión garantiza que todos los aspectos de la inspección estén claramente definidos y comunicados a las partes implicadas. El siguiente gráfico resume algunos de los aspectos clave que definen las inspecciones. Cabe destacar que las inspecciones están destinadas a ser basadas en riesgos, orientadas al futuro y orientadas a la acción. Su objetivo principal debe ser obtener una mejor visualización y comprensión de las prácticas, procesos, disposición y equipamiento de las CTPP.
70. Las inspecciones in situ están diseñadas para examinar a fondo áreas de riesgo específicas. A pesar de esta personalización, todas las inspecciones in situ comparten etapas comunes. Estas etapas se reflejan en el plan anual de supervisión y abarcan varias fases clave:
i. El proceso comienza con la planificación de la inspección y la recopilación inicial de información, seguidas de tareas de definición de alcance y preinspección. Posteriormente avanza hacia la recopilación y análisis de información in situ.
ii. La inspección la llevan a cabo los miembros mandatados del JET en las instalaciones del CTPP que son relevantes para los exámenes. Su objetivo es comprobar y evaluar la situación del CTPP y los riesgos que puede suponer para los FEs.
iii. La inspección concluye con la preparación de un informe de inspección que presenta los hechos y hallazgos preliminares de la inspección. Se comparte con el CTPP para su verificación.
iv. El informe de inspección se somete a una evaluación de calidad y se realizan tareas posteriores a la inspección.
v. Sobre la base de los hallazgos y tras una evaluación de calidad, el JET prepara recomendaciones preliminares.
vi. Los hallazgos materiales, las recomendaciones preliminares y cualquier posible calendario de remediación se discuten con el CTPP, especialmente en una reunión de clausura. Las recomendaciones se adoptan a través del proceso de supervisión y gobernanza.
71. Aunque cada inspección está diseñada de forma única para abordar áreas de riesgo concretas, este marco proporciona una estructura coherente para el proceso de inspección, asegurando exhaustividad y uniformidad entre diferentes inspecciones.
5.3.5 Lenguaje de comunicación
72. El inglés sirve como lengua de trabajo operativa para los ESAs y CAs implicados en el marco de supervisión de DORA.
73. El inglés es también el idioma preferido para las comunicaciones entre los supervisores y los CTPP. Sin embargo, los supervisores cumplen con los requisitos lingüísticos mencionados en el Reglamento 1 de 1958.
5.4 Recomendaciones y seguimiento
74. Como resultado de los exámenes, los supervisores están facultados para emitir recomendaciones a los CTPP y para dar seguimiento a dichas recomendaciones. Cada recomendación está directamente vinculada a un hallazgo específico del examen. Los supervisores comunican estas recomendaciones de forma transparente al CTPP, conectando claramente cada hallazgo con su recomendación correspondiente. Este proceso garantiza que los CTPP comprendan la base de cada recomendación y las áreas específicas que requieren atención o mejora.
5.4.1 Recomendaciones
75. Los supervisores pueden emitir recomendaciones al CTPP sobre las áreas de evaluación identificadas en el Artículo 33(1)27 de la DORA y todos los elementos listados en el Artículo 33(3) de la DORA relacionados con las normas, procedimientos, mecanismos y disposiciones que los CTPP tienen para gestionar los riesgos de TIC que puedan suponer para los FE, incluyendo:
• el uso de requisitos o procesos específicos de seguridad y calidad TIC, en particular en relación con el despliegue de parches, actualizaciones, cifrado y otras medidas de seguridad.
.• el uso de condiciones y términos bajo los cuales los CTPP prestan servicios TIC a los FE.
• cualquier subcontratación planificada, cuando la LO considere que una subcontratación adicional puede desencadenar riesgos para la prestación de servicios por parte del FE, o para la estabilidad financiera.
• abstenerse de entrar en un nuevo acuerdo de subcontratación.
76. Las recomendaciones se proporcionan con una indicación de su sensibilidad y de la prioridad esperada para la remediación.
77. Los supervisores deciden cuán detalladas deben ser las recomendaciones respecto a las acciones solicitadas a los CTPP, dependiendo de la naturaleza de los hallazgos. Los supervisores articulan sus recomendaciones con claridad sobre lo previsto:
• resultado final, independientemente de las acciones internas específicas que se lleven a cabo con ese fin, siempre que estas acciones no generen riesgos adicionales en otras áreas;
• plazo para completar las acciones correctivas. Algunas acciones pueden identificarse como a corto plazo (por ejemplo, 3-6 meses), mientras que las remediaciones más complejas tendrán periodos más largos (por ejemplo, hasta 1-2 años).
78. Como parte del proceso de emisión de recomendaciones, a las CTPP se les conceden 30 días para proporcionar información que evidencie el impacto esperado de la recomendación en clientes que no sean FE y formular soluciones para mitigar riesgos.
79. Finalmente, cuando se emite una recomendación, los CTPP tienen el deber de notificar formalmente a los supervisores su intención de seguir la recomendación.
5.4.2 Seguimiento de las recomendaciones
80. Cuando un CTPP notifica a los supervisores su intención de seguir una recomendación, estos solicitan al CTPP que comparta un plan de remediación explicando cómo planean abordar los hallazgos asociados a la recomendación. Estos planes de remediación describen las acciones y medidas que el CTPP planea tomar o implementar para cumplir con la recomendación emitida. El plan de remediación, junto con los informes sobre el progreso en la implementación, es la herramienta utilizada por los supervisores durante el monitoreo regular continuo para dar seguimiento a las recomendaciones.
81. Además del papel de los supervisores respecto a los CTPP, el marco de supervisión prevé un papel específico para los CAs en relación con el seguimiento de las recomendaciones. Más concretamente, a medida que los CAs ejercen responsabilidad de supervisión sobre los FE, estos aseguran un seguimiento adecuado de los riesgos identificados en las recomendaciones respecto a los FEs que utilizan los servicios de los CTPP. Como parte de las acciones de seguimiento, los supervisores pueden pedir a los CA que informen sobre su evaluación sobre el impacto que estas medidas tienen en los FE.
82. Si un CTPP decide no seguir una recomendación, debe proporcionar una explicación razonada. Si los supervisores consideran que esta explicación es insuficiente, DORA exige que revelen públicamente la identidad del CTPP. Esta divulgación incluirá información sobre el tipo y naturaleza del incumplimiento. Esta medida garantiza transparencia y responsabilidad en el proceso de supervisión, animando a los CTPP a tomar en serio las recomendaciones e implementar los cambios necesarios para mantener el cumplimiento de las normativas DORA.
83. En esos casos, las CAs pueden, entre otras cosas, decidir emitir advertencias a las FEs dependiendo de los riesgos asociados a la recomendación. Finalmente, en tales casos, tras consultar al OF, los supervisores pueden emitir opiniones no vinculantes y no públicas a las CAs para promover medidas de seguimiento consistentes y convergentes. Como medida de último recurso, las CA pueden requerir que una FE suspenda, o incluso termine, el uso o despliegue de un servicio proporcionado por un CTPP.
6. Procesos de supervisión de DORA
84. Esta sección ofrece una visión general de los procesos administrativos que siguen los supervisores al ejecutar las actividades de supervisión.
85. Los procesos varían para cada actividad de supervisión. Sin embargo, los primeros pasos están estandarizados en todas las actividades y pueden resumirse en un proceso general especificado.
86. Los otros apartados ilustran los procesos respecto a: i. Solicitud de información por simple solicitud; ii. Solicitud de información por decisión; iii. Investigaciones generales; iv. Inspecciones; v. Emisión y seguimiento de recomendaciones; y vi. Actividades de supervisión fuera del Sindicato.
87. Los diagramas proporcionados ilustran los procesos de manera simplificada. Para procesos completos y detallados, consulte las respectivas referencias legales y textos jurídicos.