DORA: resiliencia operativa digital para las criptomonedas.

DORA exige a las instituciones financieras, incluidos los proveedores de servicios de criptomonedas con licencia MiCA, establecer un marco para la gestión del riesgo TIC. Esto abarca la identificación de vulnerabilidades, las pruebas de resiliencia digital, la notificación de incidentes TIC graves a los supervisores y la gestión de los riesgos derivados de la externalización a proveedores tecnológicos externos, como los servicios en la nube.

Un elemento importante es que las entidades deben probar periódicamente si sus sistemas resisten ataques e interrupciones, con pruebas obligatorias más avanzadas para las empresas más grandes y críticas. Los contratos con proveedores TIC externos críticos también deben cumplir requisitos específicos, para que la interrupción de un proveedor no se extienda de forma incontrolada a los usuarios finales.

Para la mayoría de los usuarios, DORA es una regulación en segundo plano invisible: no verá un «aviso DORA» separado en una plataforma. Sin embargo, sí nota sus efectos de forma indirecta, por ejemplo a través de una comunicación más clara de los proveedores autorizados durante las interrupciones, con actualizaciones oportunas sobre la causa y el tiempo de recuperación previsto en lugar de un largo silencio.

DORA también puede llevar a una plataforma a desactivar o ralentizar temporalmente ciertos servicios cuando se sospeche que se ha producido un incidente de seguridad grave, precisamente porque está obligada a responder con cautela, e investigar y notificar el incidente antes de reanudar por completo el servicio.

DORA y MiCA se complementan: MiCA regula, entre otras cosas, qué ocurre si los fondos de los clientes se pierden por negligencia, mientras que DORA se centra en prevenir las interrupciones y los ciberincidentes que pueden provocar dichas pérdidas. Por tanto, un proveedor que cumple ambas normativas está sujeto a normas más estrictas tanto de conducta como de resiliencia técnica.

Para los usuarios, el resultado práctico es que las plataformas sujetas a DORA suelen contar con procedimientos internos más estrictos para la gestión de accesos, copias de seguridad y planes de contingencia. Esto reduce el riesgo de tiempos de inactividad prolongados o pérdida de datos, aunque ningún sistema es completamente infalible.

DORA tiene un alcance amplio y afecta no solo a los proveedores de servicios de criptomonedas, sino también a bancos, empresas de inversión, entidades de pago y, bajo ciertas condiciones, a sus proveedores TIC externos críticos. Para el sector cripto, esto significa que tanto el propio proveedor como las partes de las que depende técnicamente deben cumplir determinados requisitos de resiliencia.