Los cinco pilares y el alcance del reglamento

DORA se ordena en cinco pilares: la gestión del riesgo TIC, la gestión y notificación de incidentes, las pruebas de resiliencia operativa digital, la gestión del riesgo de los proveedores TIC y el intercambio de información sobre amenazas. Cada uno tiene sus obligaciones, pero comparten una idea de fondo: la resiliencia no es un asunto del área técnica, es un asunto de gobierno de la entidad.

Por eso el reglamento coloca al órgano de dirección (el consejo, la junta o el equivalente) en el centro: define la estrategia, aprueba el marco, supervisa su aplicación y responde por él. La dirección de tecnología lo ejecuta y el proveedor presta un servicio, pero ninguno de los dos desplaza esa responsabilidad.

DORA se aplica a entidades financieras de una lista que incluye entidades de crédito, aseguradoras, empresas de servicios de inversión y entidades de pago, entre otras. Se mira la actividad que desarrolla cada sociedad, no el nombre del grupo: un grupo financiero puede tener dentro una sociedad que no hace nada financiero.

Abre entidades_del_grupo y lee la columna actividad de las cinco sociedades.

Un mapa de documentos contra pilares es la primera herramienta del analista: de un vistazo muestra dónde hay política y dónde no. La tabla pilares numera los cinco de P1 a P5 y documentos_del_grupo dice a qué pilar responde cada documento. Un pilar sin ningún documento es un hueco de gobierno, aunque el resto esté pulido.

Que un documento exista no basta: tiene que haberse revisado a la luz de la norma. La tabla marco trae la fecha desde la que se aplica el reglamento. Un documento cuya última revisión es anterior a esa fecha no pudo tenerlo en cuenta, y lo correcto es marcarlo para revisión, no darlo por cubierto.