La creciente dependencia de las entidades financieras en tecnolog铆as digitales ha incrementado la exposici贸n a riesgos cibern茅ticos. Como es sabido, el Reglamento (UE) sobre Resiliencia Digital Operativa (DORA) establece un marco regulatorio para reforzar la resiliencia digital del sector financiero, exigiendo la notificaci贸n de incidentes TIC significativos a las autoridades competentes. Actualmente, estas notificaciones se realizan a nivel nacional, lo que puede generar dificultades en la supervisi贸n que de lugar a respuestas descoordinadas dentro de la UE. En cambio, parecer铆a que la centralizaci贸n de la notificaci贸n de incidentes TIC tendr铆a impacto significativo en la resiliencia digital del sector financiero especialmente en el sentido de fortalecer la confianza en la seguridad de los sistemas financieros europeos.
Sanabria. Desde el restaurante del camping
Sobre la base de tales reflexiones, el 17 de enero de 2025, las tres Autoridades Europeas de Supervisi贸n (EBA, EIOPA y ESMA) publicaron un informe conjunto sobre la viabilidad de una mayor centralizaci贸n en la notificaci贸n de incidentes importantes relacionados con las Tecnolog铆as de la Informaci贸n y la Comunicaci贸n (TIC) . El informe plantea la pregunta de si ser铆a viable una mayor centralizaci贸n en la notificaci贸n de incidentes significativos relacionados con las Tecnolog铆as de la Informaci贸n y la Comunicaci贸n (TIC) dentro del sector financiero de la Uni贸n Europea (UE). Esta evaluaci贸n se lleva a cabo en el marco del Art铆culo 21 de la Ley de Resiliencia Operativa Digital (DORA) . Destaca la necesidad de mejorar la eficiencia y coherencia en la notificaci贸n de incidentes TIC dentro del sector financiero a cuyos efectos formula tres posibles modelos sobre los que analiza su viabilidad:
- Modelo de referencia b谩sica (baseline): consiste en mantener las estructuras actuales de notificaci贸n de incidentes sin cambios significativos, aunque con ciertas mejoras en los est谩ndares de notificaci贸n. En este modelo, cada entidad financiera continuar铆a notificando incidentes TIC a su autoridad nacional competente, que luego transmitir铆a la informaci贸n a las autoridades europeas de supervisi贸n. Aunque este modelo respeta la estructura regulatoria actual, su principal desventaja es la falta de una respuesta coordinada a nivel europeo y posibles duplicaciones en la notificaci贸n.
- Modelo mejorado intercambio de datos: cuya esencia radica en la introducci贸n de mecanismos avanzados para compartir informaci贸n entre las autoridades competentes. Resultar铆a aparentemente sencillo de poner en marcha , dado que no exige grandes cambios en la arquitectura de las notificaciones. Sin embargo, su mayor coste y dificultad t茅cnica deriva de que actualmente existen distintos modelos y est谩ndares nacionales cuya armonizaci贸n exige esfuerzos e inversi贸n. Y cuya perfecta compatibilidad no est谩 garantizada a d铆a de hoy.
- Modelo totalmente centralizado que plantea la creaci贸n de una plataforma 煤nica en toda la Uni贸n Europea para la recopilaci贸n y gesti贸n de informes de incidentes relacionados con las TIC. Conforme a este planteamiento, las entidades financieras reportar铆an directamente a un organismo central, eliminando la necesidad de notificaciones a nivel nacional. La mayor centralizaci贸n, adem谩s de viable, ofrece ciertos beneficios. Con todo, tambi茅n identifica que la alta concentraci贸n de informaci贸n sensible conlleva un mayor riesgo de p茅rdida de datos, lo que requerir铆a la puesta en marcha de controles integrales de seguridad de la informaci贸n en una soluci贸n centralizada. Y, que implica retos significativos en t茅rminos de costos y armonizaci贸n regulatoria.
El estudio, que聽 ha sido remitido al Parlamento Europeo, al Consejo Europeo y a la Comisi贸n Europea para su consideraci贸n en futuros desarrollos regulatorios formula recomendaciones clave, que incluyen:
- Evaluaci贸n de costos y beneficios antes de poner en marcha cualquier cambio en la estructura de notificaci贸n.
- Desarrollo de infraestructura tecnol贸gica que facilite la interoperabilidad entre sistemas nacionales y europeos.
- Promoci贸n de la cooperaci贸n regulatoria para garantizar una transici贸n eficiente hacia modelos m谩s centralizados.
La Comisi贸n Nacional del Mercado de Valores (CNMV) de Espa帽a realiz贸 (poco antes de haberse hecho p煤blico el informe mencionado, un ejercicio de autoevaluaci贸n con 245 entidades financieras para evaluar su preparaci贸n ante la entrada en vigor de DORA. El informe revel贸 buenas medidas de gobernanza y ciberseguridad en general, pero tambi茅n identific贸 carencias en la gesti贸n de incidentes y en la gesti贸n del riesgo de proveedores de servicios TIC, especialmente en entidades de menor tama帽o que no pertenecen a un grupo.