DORA en entidades de pago y de dinero electrónico: el riesgo de TIC bajo control

En el artículo 2(1), para el mercado de pagos cuentan las letras b), c), d) y f). Una exención conforme a PSD2 o a la Directiva de dinero electrónico mantiene a la entidad dentro de DORA.

El marco simplificado para entidades pequeñas

El artículo 16 libera de los artículos 5 a 15 a las entidades de pago y de dinero electrónico exentas. A cambio, mantienen un marco documentado, supervisan sus sistemas de forma continua, identifican las dependencias de proveedores de TIC y prueban con regularidad sus planes de continuidad con copias y restauración. El Reglamento Delegado (UE) 2024/1774 desarrolla el detalle.

El marco forma parte del sistema general de gestión de riesgos (art. 6(1)). Se revisa al menos una vez al año, o de forma periódica en las microempresas, y tras incidentes graves; el informe de revisión se entrega a la autoridad cuando lo solicita (art. 6(5)). Fuera de las microempresas hacen falta además una función independiente de control del riesgo de TIC (art. 6(4)) y auditoría interna periódica (art. 6(6)).

La responsabilidad del órgano de dirección

Conforme al artículo 5(2), el órgano de dirección asume la responsabilidad última del riesgo de TIC. El consejo aprueba las políticas, y sus miembros deben entender lo que aprobaron.

Copias de seguridad y restauración

El artículo 12 exige políticas de copia con alcance y frecuencia según la criticidad de los datos, y procedimientos de restauración. Los comprobamos restaurando.

El artículo 19(4) de DORA fija la secuencia, y el Reglamento Delegado (UE) 2025/301 de la Comisión fija los relojes:

• notificación inicial en las 4 horas siguientes a la clasificación, como máximo 24 horas desde el conocimiento;
• informe intermedio en las 72 horas siguientes a la notificación inicial, aunque el estado del incidente no haya cambiado;
• informe final a más tardar un mes después del último informe intermedio.

Si el incidente afecta a los intereses financieros de los clientes, la entidad les informa sin demora indebida (art. 19(3)). Preparamos el procedimiento de clasificación, los roles y las plantillas, y un ejercicio de simulación para que el equipo cumpla estos plazos antes del primer incidente real.

El registro se lleva a nivel de entidad y de grupo (art. 28(3)). Antes de contratar, la entidad evalúa el riesgo, incluido el de concentración, y examina al proveedor (art. 28(4)). El artículo 30(2) fija las cláusulas obligatorias: servicios y subcontratación, ubicación y protección de los datos, niveles de servicio, asistencia ante un incidente.

El registro de una EDE típica incluye la plataforma en la nube, el procesamiento de pagos, el proveedor de KYC, el correo, el CRM y la contabilidad. Lo construimos y listamos los contratos que hay que modificar.

Redactamos esta sección, conforme al artículo 5(1)(j) de PSD2 o al artículo 62(2)(j) de MiCA, para que coincida con su marco DORA. La licencia en su conjunto la lleva nuestra práctica de licencias.