Consultoría DORA: resiliencia operativa digital
Te ayudamos a organizar el trabajo de resiliencia operativa digital: comprender las obligaciones aplicables, conocer las dependencias tecnológicas y preparar una respuesta coordinada.
¿Para quién es este servicio?
Entidades financieras sujetas al reglamento y proveedores TIC que necesitan atender las exigencias de sus clientes. El alcance de las obligaciones se analiza en cada caso.
Cómo te acompañamos
Revisamos el gobierno del riesgo TIC y las capacidades existentes. Conectamos la gestión de incidentes, las pruebas de resiliencia y el control de terceros en una hoja de ruta coherente, apoyándonos en los procesos que tu organización ya utiliza.
Qué trabajamos contigo
Análisis de aplicabilidad
Alcance del trabajo y identificación de las deficiencias respecto a los requisitos aplicables.
Riesgo TIC y continuidad
Revisión de funciones críticas, dependencias y planes de continuidad y recuperación.
Incidentes y pruebas
Procedimientos, responsabilidades y planificación de ejercicios ajustados al contexto.
Gestión de terceros
Apoyo en el inventario, el registro de información y la revisión de requisitos a proveedores.
La resiliencia operativa empieza por conocer las dependencias TIC
Para abordar DORA no basta con revisar políticas de seguridad de forma aislada. Es necesario identificar las funciones de negocio que dependen de la tecnología, los activos y servicios TIC que las sostienen y los terceros que intervienen en su prestación. Con ese contexto podemos contrastar las capacidades existentes con las obligaciones aplicables y priorizar las mejoras que reduzcan el impacto de una interrupción.
Riesgos, incidentes y continuidad como un trabajo coordinado
La gestión del riesgo TIC debe conectarse con la detección y gestión de incidentes, la continuidad del negocio, la recuperación y las pruebas de resiliencia operativa digital. Revisamos cómo se asignan las responsabilidades, cómo circula la información durante una incidencia y qué evidencias permiten comprobar que los procedimientos se aplican. Las pruebas deben ayudar a detectar debilidades y generar acciones de mejora, no convertirse únicamente en un requisito documental.
Control de proveedores TIC y seguimiento continuo
Las dependencias de proveedores requieren conocer los servicios contratados, su relevancia para las funciones de la entidad y los riesgos asociados. El trabajo puede incluir la revisión de la información disponible sobre contratos, niveles de servicio, continuidad y mecanismos de seguimiento, de acuerdo con las obligaciones que correspondan a cada organización. Un diagnóstico inicial permite definir prioridades, pero la resiliencia se mantiene mediante revisiones periódicas, responsabilidades claras y decisiones informadas.
Antes de empezar
¿Un proveedor TIC tiene las mismas obligaciones que una entidad financiera?
No necesariamente. Diferenciamos las obligaciones de la entidad financiera, los compromisos contractuales de su proveedor y, cuando corresponda, el régimen de supervisión de proveedores terceros esenciales.
¿Se pueden reutilizar medidas de ISO/IEC 27001?
Sí. Un sistema de gestión puede aportar una base útil, pero es necesario contrastar los requisitos específicos de DORA y la normativa que los desarrolla.
¿Garantizáis el cumplimiento con un diagnóstico?
El diagnóstico identifica deficiencias y prioridades. El cumplimiento requiere implantar, aplicar y revisar las medidas, además de valorar las obligaciones concretas de la organización.
Referencia: Reglamento (UE) 2022/2554 · EUR-Lex.
Servicios relacionados con DORA
Un sistema de gestión de seguridad de la información puede servir como base para gestionar riesgos TIC. Consulta además nuestra consultoría ISO 27001 y el servicio de responsable del SGSI externo, según las necesidades de tu organización.