Cumplimiento DORA para la infraestructura de red
El Reglamento de Resiliencia Operativa Digital (UE 2022/2554) exige a las entidades financieras gestionar el riesgo TIC, probar su resiliencia y notificar los incidentes con precisión. ConnectMyAssets le ayuda a cubrir la parte de red de DORA: un inventario completo de activos TIC, políticas de cumplimiento continuas, historial de configuraciones y evidencias de auditoría, todo on-premise.
Pruebas DORA sobre su red TIC.
Por qué el cumplimiento DORA importa en las redes financieras
DORA se aplica a más de 22.000 entidades financieras y proveedores terceros de servicios TIC en la UE, con aplicación desde el 17 de enero de 2025.
Capítulo II, gestión del riesgo TIC
Los artículos 5 a 16 exigen un marco completo de gestión del riesgo TIC. Las entidades financieras deben identificar, clasificar y documentar todos los activos TIC, incluidos los componentes de red, mapear sus interdependencias y aplicar medidas de protección y prevención.
Capítulo III, notificación de incidentes
Los artículos 17 a 23 exigen clasificar los incidentes relacionados con las TIC según criterios concretos (duración, pérdida de datos, impacto en el servicio) y notificarlos a las autoridades competentes en plazos estrictos. Los registros de cambios de red y las instantáneas de configuración son evidencias clave.
Capítulo IV, pruebas de resiliencia
Los artículos 24 a 27 exigen pruebas periódicas de resiliencia operativa digital, incluidas evaluaciones de vulnerabilidades y, para las entidades significativas, pruebas de penetración basadas en amenazas (TLPT). La validación de la configuración de red y las pruebas de conmutación por error son componentes centrales.
Capítulo V, riesgo de terceros
Los artículos 28 a 44 establecen un marco para gestionar el riesgo de los proveedores terceros de TIC. Las entidades financieras deben mantener un registro de todos los acuerdos con terceros TIC y evaluar el riesgo de concentración, sobre todo para funciones críticas o importantes.
Capacidades de cumplimiento DORA para la red
Controles de la infraestructura de red vinculados a los capítulos y artículos del reglamento DORA.
Inventario y clasificación de activos TIC (art. 8)
Un barrido de descubrimiento sin estado y la recopilación por SSH sin agentes mantienen un inventario vivo de routers, switches, firewalls y puntos de acceso: modelo, número de serie, firmware, interfaces, VLAN y vecinos LLDP/CDP. La criticidad, los atributos personalizados y los grupos de equipos clasifican cada equipo, y el mapa real de los dispositivos conectados se reconstruye en cada análisis.
Políticas de protección y prevención (art. 9)
Exprese su política de seguridad TIC como reglas de cumplimiento: catálogo integrado más cualquier regla personalizada escrita con el lenguaje de condiciones. Las reglas se heredan por grupos de equipos, se ponderan de 0 a 100 y se evalúan de forma continua. Las bases de reglas de firewall se analizan en busca de reglas ensombrecidas, conflictivas y any/any.
Detección y evidencias de incidentes (art. 10 y 17 a 19)
Soron detecta los cambios de configuración en cada análisis periódico (incluso cada 5 minutos), además de dispositivos no autorizados, movimientos MAC/IP, puertos abiertos prohibidos y hosts inalcanzables. Las alertas llegan en la aplicación, por correo electrónico, syslog o webhook. El historial de configuraciones y el registro de auditoría le dan evidencias con fecha y hora para clasificar y notificar incidentes.
Copia de seguridad y restauración (art. 11 y 12)
La configuración de cada equipo se recopila por SSH con su historial completo y un diff línea a línea entre dos versiones cualesquiera. Para restaurar, vuelva a desplegar una versión anterior en el equipo mediante ZTP. Las pruebas de resiliencia se verifican fácilmente: compare la configuración antes y después de la prueba.
Vulnerabilidades y ciclo de vida de los fabricantes (art. 9 y 28)
Las versiones de firmware se cruzan con las CVE que llegan desde la infraestructura en la nube de ConnectMyAssets (CISA KEV, EPSS, EUVD con el aviso de ENISA). El fin de vida y el fin de soporte se siguen con previsiones presupuestarias, de modo que la concentración de fabricantes y la obsolescencia alimentan su registro de riesgo de terceros.
Informes y paneles (art. 5)
Paneles personalizables compartidos por grupo de usuarios, informes programados por correo electrónico para la dirección, impresión y exportación a PDF, exportaciones CSV y NDJSON para su herramienta GRC. Cada cifra abre las filas que la componen, para que el consejo y el auditor vean los mismos números.
Tres pasos hacia el cumplimiento DORA de su red
Evaluar: identificación de activos TIC y brechas
Despliegue ConnectMyAssets on-premise, lance un descubrimiento y recopile sus equipos por SSH. El inventario, las políticas de cumplimiento integradas, el análisis de firewalls y la correspondencia con CVE le dan una primera visión puntuada de las brechas frente a su marco de riesgo TIC.
Implementar: controles y segregación de funciones
Escriba las reglas de su política de seguridad, bloquéelas en los grupos adecuados y reparta las funciones con 81 permisos, grupos de usuarios anidados y SSO (LDAP, Active Directory, OpenID Connect) con MFA. Corrija las brechas con scripts personalizados, con vista previa, reglas de riesgo y diff antes/después.
Mantener: evaluación continua e informes
El cumplimiento se evalúa de forma continua con 365 días de historial. Las alertas saltan ante cualquier desviación, los informes programados llegan a la dirección y las exportaciones alimentan sus informes de supervisión y las revisiones de las pruebas de resiliencia.
Funciones relacionadas de la plataforma
Preguntas frecuentes sobre DORA
Preguntas habituales sobre el cumplimiento del reglamento DORA para la infraestructura de red.
¿A quién se aplica DORA?
DORA se aplica a 21 categorías de entidades financieras, entre ellas entidades de crédito, empresas de servicios de inversión, compañías de seguros, entidades de pago, proveedores de servicios de criptoactivos y centros de negociación. También se aplica a los proveedores terceros de servicios TIC críticos designados por las Autoridades Europeas de Supervisión (AES).
¿Cuándo es aplicable DORA?
DORA entró en vigor el 16 de enero de 2023, con un periodo de implantación de dos años. Es directamente aplicable en todos los Estados miembros de la UE desde el 17 de enero de 2025. A diferencia de una directiva, DORA es un reglamento y no requiere transposición nacional: se aplica directamente.
¿En qué se diferencia DORA de NIS2 para las entidades financieras?
DORA es un reglamento sectorial (lex specialis) para el sector financiero, mientras que NIS2 es una directiva transversal. Cuando los requisitos de DORA son al menos tan estrictos como los de NIS2, las entidades financieras cumplen DORA en su lugar. DORA establece requisitos más detallados que NIS2 sobre gestión del riesgo TIC, clasificación de incidentes, pruebas de resiliencia y supervisión de terceros.
¿Qué marco de gestión del riesgo TIC exige DORA?
El capítulo II (artículos 5 a 16) exige un marco completo de gestión del riesgo TIC que incluye: identificación y clasificación de activos TIC (art. 8), medidas de protección y prevención (art. 9), capacidades de detección (art. 10), procedimientos de respuesta y recuperación (art. 11), políticas de copia de seguridad y restauración (art. 12) y procesos de aprendizaje y evolución (art. 13).
¿Cuáles son los requisitos de notificación de incidentes de DORA?
El artículo 19 de DORA exige a las entidades financieras clasificar los incidentes TIC según criterios como el impacto en los clientes, la duración, la extensión geográfica, la pérdida de datos y la criticidad de los servicios afectados. Los incidentes graves deben notificarse a las autoridades competentes con una notificación inicial, un informe intermedio y un informe final. Los plazos exactos se definen en las normas técnicas de regulación (RTS).
¿Exige DORA pruebas de penetración?
Sí. El artículo 26 exige a las entidades financieras significativas realizar pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años, siguiendo el marco TIBER-EU. Todas las entidades financieras deben realizar evaluaciones periódicas de vulnerabilidades TIC y pruebas basadas en escenarios según el artículo 25. La validación de la configuración de red suele incluirse en el alcance de las pruebas.
Logre el cumplimiento DORA de su red
Descubra cómo ConnectMyAssets ayuda a las entidades financieras a cumplir los requisitos de DORA con una gobernanza de red automatizada y la gestión del riesgo TIC.