Marc Sureda
AENOR y Trend Micro han reunido a representantes del sector financiero en un taller de trabajo para analizar cómo el Reglamento de Resiliencia Operativa Digital (DORA) está transformando la gobernanza tecnológica y la gestión del riesgo. En un contexto de creciente exposición a las ciberamenazas, la sesión se centró en el papel de la regulación europea como marco de referencia para reforzar la resiliencia operativa y en la forma en que las entidades financieras pueden adaptar sus modelos de gobierno de TI y sus procesos de control.
La jornada fue inaugurada por Rafael García Meiro, consejero delegado de AENOR, y por Toni Abellán, responsable de Trend Micro en España. Desde la perspectiva de la certificación, García Meiro destacó la función de los esquemas de evaluación como soporte a la confianza digital. Señaló que, a medida que las organizaciones despliegan más tecnología en sus procesos, necesitan reforzar sus capacidades de ciberseguridad y disponer de modelos de gobernanza que integren las mejores prácticas del mercado.
Durante su intervención, Rafael García Meiro destacó el papel de la certificación como eje esencial de la confianza digital: “Cuanto más confiamos en la tecnología, más necesitamos de la ciberseguridad. En AENOR trabajamos para identificar las mejores prácticas y reforzar la seguridad del modelo de gobernanza tecnológica. La certificación es un elemento diferenciador que aporta confianza, simplifica el cumplimiento normativo y fortalece la seguridad jurídica de las organizaciones”.
Por su parte, Toni Abellán, Country Manager de Trend Micro en España, ha subrayado la necesidad de entender DORA como una oportunidad estratégica: “La regulación debe habilitar el negocio, no limitarlo. DORA nos impulsa hacia una ciberseguridad más proactiva y estratégica, en la que el CISO forme parte del núcleo de las decisiones corporativas. La ciberseguridad debe ser el denominador común que trace un camino seguro para todas las compañías del sector financiero”.
La sesión contó con un panel de expertos integrado por Silvia Senabre, responsable del Grupo de Riesgo Tecnológico del Banco de España; Maribel de la Vega, presidenta de la Comisión de Auditoría de Nationale-Nederlanden España; Rafael Vergara, responsable de soluciones de digitalización y tecnología en AENOR; y Raúl Guillén, evangelizador de Trend Micro. El debate se centró en la forma en que DORA está redefiniendo la gestión del riesgo tecnológico a lo largo de toda la cadena de valor, incluyendo la relación con proveedores y terceros.
Durante la jornada se subrayó que DORA marca un punto de inflexión al ofrecer un marco común para homogeneizar la resiliencia operativa en toda la cadena de valor del sector financiero. Desde la autoridad supervisora se destacó que el reglamento da un paso adelante en la armonización de los requisitos de resiliencia, facilitando una visión de conjunto y reforzando la cooperación entre entidades y proveedores de servicios. Por parte de las áreas de auditoría interna se puso el acento en cómo la norma impulsa la integración de la tecnología en la estrategia de negocio, al hacer más visibles los riesgos tecnológicos y ayudar a orientar la asignación de recursos para mitigarlos.
Desde la óptica de la certificación, se subrayó que la regulación tiende a armonizar los estándares de seguridad y a consolidar un lenguaje común entre entidades, supervisores y proveedores, lo que puede incrementar la eficiencia y la transparencia en el sector. A nivel de ciberseguridad, se remarcó que el nuevo marco regulatorio se concibe como una oportunidad para evolucionar hacia modelos más maduros y sostenibles, con capacidad para anticipar amenazas y generar valor para las organizaciones, y no solo para reaccionar ante incidentes.
El encuentro también puso el foco en varias prioridades operativas que las entidades deberán reforzar para alinearse con el espíritu de DORA. Entre ellas se mencionaron la monitorización continua de la seguridad, la necesidad de elevar el nivel de concienciación en los equipos directivos facilitando la comprensión del riesgo tecnológico y la importancia de intensificar la colaboración entre entidades financieras, aseguradoras y proveedores tecnológicos. El objetivo de estas líneas de trabajo es compartir buenas prácticas y elevar los estándares de seguridad a todos los actores críticos de la cadena de valor.
Los datos de Trend Micro sitúan al sector bancario entre los más afectados por incidentes de ciberseguridad, con un peso relevante de las vulnerabilidades en la nube, configuraciones incorrectas y riesgos asociados a terceros y proveedores. Esta realidad refuerza la necesidad de consolidar una gobernanza tecnológica robusta y un marco de regulación homogéneo, elementos que se identifican como pilares del Reglamento de Resiliencia Operativa Digital. La exposición a estos vectores de riesgo obliga a las entidades a revisar sus controles, políticas y acuerdos de servicio, especialmente en entornos de nube y prestación de servicios externalizados.
En este contexto, los participantes coincidieron en que resulta clave disponer de referencias estructuradas que permitan aterrizar las exigencias de DORA en procesos y controles concretos. En este escenario, la ISO 27001:2022 se presentó como una base de partida para abordar los requisitos de DORA, al proporcionar un sistema de gestión de la seguridad de la información que integra la identificación y tratamiento de riesgos, la protección de activos digitales y la gestión de incidentes. Este estándar internacional ofrece un marco reconocido para diseñar y mantener controles, políticas y procedimientos que pueden alinearse con las obligaciones del reglamento.
La certificación DORA que impulsa AENOR aspira a convertirse en una herramienta para fortalecer la resiliencia operativa digital del sector financiero europeo, alineando tecnología, negocio y cumplimiento regulatorio. Más allá del seguimiento formal de la norma, el enfoque expuesto durante el taller pone el acento en convertir la resiliencia operativa en un factor competitivo y en un componente relevante para la confianza y estabilidad del ecosistema financiero. De este modo, DORA se configura como un instrumento para acercar las decisiones de negocio a la realidad del riesgo tecnológico, integrando ciberseguridad, estrategia corporativa y exigencias regulatorias en un mismo plano de análisis.
