La entrada en vigor del Reglamento de Resiliencia Operativa Digital (DORA) supone un antes y un después en el panorama de la regulación financiera europea. Esta normativa, que obliga a las entidades financieras, incluidas las de inversión o financiación participativa, a reforzar su resiliencia digital, gestionar de forma adecuada los riesgos tecnológicos y mejorar sus protocolos de respuesta ante ciberataques, está destinada a transformar no solo la operativa interna de estos actores, sino también el ecosistema en el que se mueven, incluyendo el sector Fintech y Proptech.
Urbanitae, como actor relevante en el ámbito de la inversión, se encuentra en el epicentro de este cambio, lo que subraya la importancia de adaptarse a un entorno regulatorio cada vez más exigente.
¿Qué es DORA?
La regulación DORA, o Digital Operational Resilience Act, es una normativa de la Unión Europea que establece un marco legal uniforme para garantizar la resiliencia operativa digital en el sector financiero. Su objetivo principal es que todas las entidades financieras, desde bancos hasta sociedades de inversión y proveedores de servicios TIC, dispongan de sistemas robustos que les permitan gestionar los riesgos tecnológicos y operativos, proteger la información de sus clientes y asegurar la continuidad de sus servicios ante posibles ciberataques o incidencias disruptivas.
El reglamento entró en vigor el 16 de enero de 2023 y se empezó a aplicar a el pasado 17 de enero, ofreciendo un plazo de adaptación de dos años para que las entidades cumplan con sus exigentes requisitos. Entre estos, se incluye la implementación de planes de contingencia, evaluaciones periódicas de riesgos y pruebas de resiliencia operativa, todas medidas claves para incrementar la resiliencia digital y proteger los datos en un entorno cada vez más interconectado y vulnerable.
Tal y como recoge el Ministerio de Economía, Comercio y Empresa, esta normativa es especialmente relevante para las entidades de inversión, ya que refuerza la ciberseguridad en el manejo de grandes volúmenes de información sensible, y establece un estándar que armoniza las prácticas en toda la UE.
Según Nacho Bautista, responsable de la vertical de crowfunding de la AEFI (Asociación Española de FinTech e InsurTech) y CEO de Fundeen, «DORA no viene a sugerir, viene a exigir. Y lo que exige es que las entidades de inversión dejen de ver la ciberseguridad como una casilla que marcar y empiecen a tratarla como un pilar fundamental de su operativa. Ya no vale con tener un antivirus decente o hacer una copia de seguridad de vez en cuando. Ahora hablamos de gestionar riesgos digitales con la misma seriedad con la que gestionamos riesgos financieros”.
¿Cómo deben prepararse las entidades ante la nueva regulación?
La adaptación a DORA requiere una transformación integral en la gestión de riesgos y en la operativa digital. Las instituciones financieras deben iniciar un diagnóstico completo de su infraestructura tecnológica, identificando y clasificando con detalle sus activos y procesos críticos, lo que les permitirá detectar vulnerabilidades y establecer las medidas de protección necesarias para minimizar riesgos.
«La gestión de riesgos va a volverse más proactiva que reactiva. No solo se tratará de solucionar problemas cuando ocurran, sino de anticiparlos y prevenirlos. Esto implica establecer controles continuos sobre todos los sistemas críticos, realizar auditorías internas frecuentes y mantener una vigilancia constante sobre posibles vulnerabilidades», explica Bautista.
En paralelo, es fundamental revisar la relación con los proveedores externos. Según recoge la Autoridad Europea de Valores y Mercados (ESMA), DORA impone un control riguroso sobre toda la cadena de suministro de servicios TIC, exigiendo que cada colaborador cumpla con los estándares de seguridad establecidos. La revisión y actualización de los contratos, con cláusulas claras que definan las responsabilidades y protocolos de notificación, es esencial.
Además, las entidades necesitarán «equipos dedicados a la ciberseguridad, profesionales que entiendan tanto la tecnología como los riesgos específicos del sector financiero», señala el representante de la AEFI y de Fundeen. «También harán falta herramientas de monitorización en tiempo real y sistemas de detección de intrusiones que permitan reaccionar rápidamente ante cualquier amenaza”.
¿Cómo afecta la regulación DORA a entidades como Urbanitae?
Urbanitae, al ser una plataforma de financiación participativa regulada por la CNMV, está sujeta a un marco normativo que garantiza la transparencia y la protección de los inversores, pero que también debe adaptarse a las exigencias del nuevo Reglamento de DORA.
«Las plataformas de crowdfunding inmobiliario y de otros sectores, por su naturaleza digital, están especialmente expuestas a riesgos tecnológicos. Cumplir con DORA puede parecer un lastre al principio (más costes, más procesos, más auditorías…) pero también puede ser un diferenciador clave», explica Bautista.
El impacto de la regulación DORA en una entidad como Urbanitae se manifiesta en la necesidad de fortalecer la ciberseguridad y la gestión de riesgos tecnológicos. La normativa exige que las entidades financieras, incluyendo aquellas dedicadas al crowdfunding inmobiliario, establezcan sistemas robustos para identificar y mitigar vulnerabilidades en sus infraestructuras digitales. Esto implica que Urbanitae deberá revisar y auditar no solo sus propios sistemas, sino también la cadena de proveedores tecnológicos que utiliza para el procesamiento y almacenamiento de la información de sus inversores y de los proyectos financiados.
En este sentido, Nacho Bautista reconoce que «los inversores no solo buscan buenas rentabilidades, también buscan confianza. Y en un mundo donde los ciberataques son cada vez más frecuentes, saber que tu dinero está protegido por una plataforma que cumple con los más altos estándares de seguridad es, sin duda, un valor añadido”.
La adaptación a DORA, aunque implica retos en términos de inversión y actualización tecnológica, es percibida en Urbanitae como una oportunidad para posicionarnos como un referente en el sector, demostrando un firme compromiso con la seguridad digital y la resiliencia operativa.
Aplicación de DORA en otros sectores
Aunque DORA se dirige principalmente al sector financiero, sus implicaciones se extienden a otros ámbitos. Las aseguradoras, los proveedores de servicios en la nube y las entidades de telecomunicaciones se verán forzadas a elevar sus estándares de protección, favoreciendo la estandarización de las prácticas de seguridad a nivel europeo.
