El primer informe de un incidente mayor de TIC de DORA: Lecciones para los bancos

El primer resumen de incidentes de DORA proporciona una base de evidencia temprana

En junio de 2026, las Autoridades Europeas de Supervisión publicaron el primer resumen anual de incidentes importantes relacionados con las TIC en virtud de la Ley de Resiliencia Operativa Digital. El informe es importante no porque ofrezca una visión completa del riesgo operativo tras un solo ciclo de notificación, sino porque comienza a establecer una base de evidencia armonizada en todo el sector financiero europeo. Los incidentes tecnológicos están cada vez más interconectados, y un fallo que afecte a un proveedor puede propagarse a otras instituciones, países y sectores.

El marco de notificación de DORA está diseñado para mejorar esta visibilidad. La clasificación y la notificación uniformes permiten a los supervisores identificar dependencias comunes y coordinar respuestas a incidentes transfronterizos. Para los bancos, su valor práctico es ofrecer una base más sólida para mejorar internamente la gestión de incidentes.

La clasificación y la escalada deben ser claras

No todos los problemas técnicos son incidentes importantes. Por ello, las instituciones necesitan criterios que permitan al personal distinguir los problemas operativos rutinarios de los eventos que requieren la atención de la alta dirección y de los reguladores. El impacto en los clientes, la duración, la difusión geográfica, las pérdidas financieras, el compromiso de los datos y la criticidad del servicio pueden influir en la clasificación.

Esto requiere coordinación entre las funciones de tecnología, riesgo, cumplimiento y negocio. Los equipos de tecnología pueden identificar el fallo inicial, pero las áreas de negocio comprenden el impacto en los clientes y en la operativa. Los equipos de cumplimiento gestionan las obligaciones de notificación, mientras que las funciones de comunicación pueden necesitar informar a los clientes y a otras partes interesadas. Las responsabilidades deben establecerse antes de que se produzca el evento.

La respuesta a incidentes debe proteger los servicios críticos

El propósito de la resiliencia no es simplemente restaurar la tecnología. Es mantener o recuperar los servicios empresariales críticos. Los bancos pueden necesitar activar sistemas de respaldo, utilizar soluciones manuales, conciliar transacciones o cambiar la comunicación con los clientes. La alta dirección debe tomar, en ocasiones, decisiones en condiciones de gran incertidumbre.

Por tanto, la preparación es fundamental. Los planes de incidentes deben ser lo bastante concisos para utilizarse en una crisis real. Los contactos críticos, los derechos de decisión y los canales de comunicación alternativos deben seguir estando disponibles incluso cuando los sistemas normales se vean interrumpidos. Los objetivos de recuperación deben incluir la integridad de los datos y la corrección de las operaciones, además del tiempo de actividad técnico.

La revisión posterior al incidente es igualmente importante. Deben examinarse sistemáticamente la causa raíz, la eficacia de la detección, la escalada, la comunicación y la subsanación. Un banco que restablece el servicio sin aprender del evento se ha recuperado a nivel operativo, pero no ha mejorado a nivel organizacional.

El riesgo de terceros es cada vez más sistémico

El primer resumen de DORA también refuerza el carácter transfronterizo del riesgo tecnológico. Las empresas financieras dependen en gran medida de proveedores de servicios en la nube, proveedores de software y otros servicios externos. Un banco puede mantener controles internos sólidos y, aun así, estar expuesto al fallo de un proveedor. Por tanto, la diligencia debida y la gestión de contratos deben incluir la resiliencia, la comunicación de incidentes y la capacidad de recuperación.

El riesgo de concentración es especialmente significativo. Si un proveedor crítico presta servicios a un gran número de instituciones, una interrupción puede convertirse en un evento que afecte a todo el sector. Esta es una de las razones por las que las autoridades europeas prestan mayor atención a los proveedores críticos de terceros en virtud de DORA.

La inteligencia artificial añade otra dimensión. Las Autoridades Europeas de Supervisión señalaron que las herramientas cada vez más capaces impulsadas por IA deberían animar a las entidades financieras a reforzar la ciberseguridad. Por tanto, los bancos deben incluir las dependencias de la IA y las amenazas potenciadas por la IA en los escenarios de resiliencia, en lugar de tratarlas como temas de innovación independientes.

La información de gestión debe centrarse en los patrones

La notificación armonizada también crea una oportunidad para el aprendizaje en todo el sector. Un banco individual solo ve sus propios incidentes, mientras que los supervisores pueden identificar patrones en muchas empresas. Las instituciones deben reproducir esta lógica internamente. Varios incidentes menores causados por el mismo proceso deficiente pueden aportar más información que un evento dramático pero inusual.

Por tanto, los paneles de control de la dirección deben incluir las causas raíz recurrentes, las dependencias de proveedores, el rendimiento de la recuperación y las acciones de subsanación vencidas. El objetivo no es generar más informes por sí mismos, sino hacer visible la debilidad operativa antes de que varios problemas pequeños se combinen en un fallo grave.

Conclusión

El primer informe de incidentes de DORA marca la transición de un marco regulatorio sobre el papel a evidencia de eventos reales. Los bancos ahora cuentan con una base más clara para comparar sus prácticas internas con las expectativas de todo el sector. La lección central es que el fallo tecnológico es inevitable, pero la calidad de la preparación determina si la interrupción sigue siendo manejable o se convierte en una crisis.

La Academia Bancaria de eBSI considera la resiliencia operativa como parte de la competencia bancaria moderna. Los profesionales de operaciones, riesgo, cumplimiento y dirección necesitan comprender lo suficiente para reconocer cómo la disrupción digital afecta a su propio rol. DORA es más útil cuando cambia el comportamiento entre incidentes, no solo durante ellos.

Fuente

Autoridad Bancaria Europea, «Las Autoridades Europeas de Supervisión publican el primer informe sobre incidentes importantes relacionados con las TIC en virtud de DORA», 3 de junio de 2026.

El valor de la notificación de incidentes reside en el aprendizaje colectivo

Un marco de notificación armonizado permite a los supervisores identificar patrones que ninguna institución puede ver por sí sola. Los incidentes recurrentes relacionados con un tipo particular de proveedor, una debilidad de control o un método de ataque pueden indicar una vulnerabilidad en todo el sector. Con el tiempo, esta evidencia puede influir en las prioridades de supervisión y ayudar a las instituciones financieras a dirigir la inversión hacia las áreas que más importan.

Los bancos deben aplicar el mismo principio internamente analizando grupos de incidentes en lugar de tratar cada incidente como algo aislado. Varios cortes menores causados por un mismo problema de configuración recurrente pueden merecer más atención que un solo evento dramático pero inusual. El análisis de tendencias puede revelar dónde los controles se están deteriorando gradualmente. Por eso la información de gestión debe incluir las causas raíz recurrentes y las acciones de subsanación pendientes, no solo el número de incidentes notificados durante el período.

La calidad de la notificación también depende de la cultura organizacional. El personal debe informar sobre los cuasiaccidentes y los problemas emergentes sin temer que la transparencia se trate como un fallo. Una cultura que oculta incidentes menores para proteger las métricas de rendimiento suele aumentar la probabilidad de un incidente mayor en el futuro. DORA puede proporcionar el marco, pero la resiliencia depende en última instancia del comportamiento dentro de la institución.

Preparación para el próximo ciclo de notificación

Los bancos deben utilizar el primer resumen anual como un estímulo para revisar la calidad de sus propios datos de incidentes. Si las clasificaciones son inconsistentes o las causas raíz se registran superficialmente, la organización pierde gran parte del valor de aprendizaje que DORA pretende crear. Por tanto, las taxonomías internas deben aplicarse con la suficiente uniformidad para permitir un análisis de tendencias significativo a lo largo del tiempo.

Las instituciones también deben comprobar si la notificación regulatoria puede completarse sin distraer al personal clave de la recuperación operativa. Los mejores acuerdos permiten que la información necesaria para la notificación se recopile como parte del proceso de respuesta, en lugar de reconstruirse posteriormente. Esto reduce la duplicación y mejora la precisión.