DORA en la práctica para entidades de pago y de dinero electrónico

DORA se aplica a una amplia gama de entidades financieras de la UE, incluidas las entidades de pago, las entidades de dinero electrónico, las empresas de servicios de inversión y los proveedores de servicios de criptoactivos. Establece requisitos de gestión del riesgo de las TIC, notificación de incidentes, pruebas de resiliencia y gestión del riesgo de terceros proveedores de TIC.

Dónde suele concentrarse el trabajo

• Mantener un registro de información sobre todos los acuerdos contractuales con proveedores terceros de servicios de TIC.
• Garantizar que los contratos con proveedores de TIC contengan las cláusulas que exige DORA, en particular para funciones esenciales o importantes.
• Clasificar y notificar los incidentes graves relacionados con las TIC en los plazos establecidos.
• Documentar un marco de gestión del riesgo de las TIC proporcionado al tamaño y al perfil de riesgo de la empresa.

Proporcionalidad

DORA incorpora el principio de proporcionalidad, y determinadas entidades más pequeñas pueden aplicar un marco simplificado de gestión del riesgo de las TIC. La proporcionalidad no elimina las obligaciones relativas a los contratos con terceros ni a la notificación de incidentes, que siguen siendo las áreas en las que los supervisores detectan carencias con más frecuencia.

Contratar con proveedores tecnológicos

Muchas fintech dependen de proveedores de nube, de plataformas centrales y de KYC cuyas condiciones estándar no se redactaron pensando en DORA. Renegociar esas condiciones —o documentar por qué un proveedor no da soporte a una función esencial— debería formar parte de toda contratación y renovación de proveedores.

Este artículo es un comentario de carácter general y no constituye asesoramiento jurídico. Las posiciones regulatorias cambian; solicite asesoramiento sobre sus circunstancias concretas.