- DORA. La entidad financiera facilita, a petición de la autoridad competente, información completa y actualizada sobre el riesgo de TIC y su marco de gestión (art. 6(3)), el informe de la revisión anual de ese marco (art. 6(5)) y el registro completo de contratos de servicios de TIC (art. 28(3)).
- FCA, SYSC 15A. La empresa mantiene una autoevaluación escrita de su resiliencia operativa, conserva cada versión al menos seis años y la entrega a la FCA a petición (SYSC 15A.6.1R, 15A.6.2R).
- VARA, Technology and Information Rulebook. Las evidencias de pruebas y auditorías se documentan y se ponen de inmediato a disposición de la VARA para su inspección (norma I.E.3).
▸ Supervisión · Inspección de TI
Preparar a una entidad autorizada para la inspección de TI de su regulador
La inspección de TI del regulador se prepara antes de que llegue la carta del supervisor: el regulador pide registros que sus propias normas ya le obligan a llevar, y espera que coincidan con el funcionamiento real de sus sistemas. Trazamos el mapa de requisitos de su régimen, contrastamos las evidencias con la realidad, corregimos lo que se puede corregir a tiempo y preparamos el expediente que entregan sus responsables.
▸ Ciberseguridad
- Regímenes
- DORA, FCA SYSC 15A, MAS, VARA, RPAA
- Para
- EDE, entidades de pago, VASP, grupos
- Usted recibe
- Un expediente de evidencias por norma
- Fuentes
- 11
- Fuentes verificadas
- 23.10.2026
Consulta a un socio · respuesta por escrito en 24 horas
Qué revisa el regulador en la TI de una entidad autorizada
El supervisor busca cuatro cosas: un marco de gestión de riesgos documentado, registros de incidentes, control sobre los proveedores y la prueba de que la dirección lo supervisa todo. La mayoría de los regímenes ya obliga a entregarlos a petición.
Cumplimiento MAS TRM, reglamento tecnológico VARA, resiliencia operativa FCA: qué normas le aplican
La licencia determina las normas. Un mismo grupo puede estar sujeto a DORA por una EDE en la UE, a SYSC 15A por una entidad de pago en el Reino Unido, a las notices de la MAS en Singapur, al reglamento de la VARA en Dubái y a la RPAA en Canadá.
UE: DORA
Se aplica desde el 17 de enero de 2025 a entidades de pago, de dinero electrónico y proveedores de criptoactivos autorizados conforme a MiCA (art. 2(1), art. 64). El marco de riesgo de TIC se revisa al menos una vez al año (art. 6(5)).
Reino Unido: resiliencia operativa FCA
SYSC 15A abarca a las entidades de dinero electrónico, de pago y a los proveedores registrados de información sobre cuentas (SYSC 15A.1.1R(3)). Hasta el 31 de marzo de 2025 tenían plazo para prestar sus servicios de negocio importantes dentro de la tolerancia al impacto. La FCA publica los cuestionarios de autoevaluación CQUEST y ORQUEST.
Singapur: cumplimiento MAS TRM
Las directrices de la MAS sobre riesgo tecnológico (18 de enero de 2021) se dirigen a todos los sectores autorizados, pagos incluidos. La notice FSM-N13, vigente para los proveedores de tokens de pago digitales desde el 6 de noviembre de 2024, fija cifras: notificar a la MAS en 1 hora desde que se descubre un incidente relevante, informe de causa raíz en 14 días, recuperación de cada sistema crítico en 4 horas como máximo y hasta 4 horas de inactividad no programada por sistema crítico en 12 meses.
Dubái: reglamento tecnológico VARA
El VASP nombra un CISO (norma I.I.1), encarga a un tercero independiente las evaluaciones de vulnerabilidades y pruebas de penetración (norma I.E.1) y pasa auditorías independientes periódicas (norma I.E.4).
Canadá: RPAA
El proveedor de pagos registrado ante el Bank of Canada mantiene un marco de gestión de riesgos y respuesta a incidentes (art. 17(1)) y notifica sin demora a los afectados y al Banco un incidente con impacto material (art. 18(1)), con marcos implantados desde el 8 de septiembre de 2025. En Canadá, la parte técnica se canaliza a través de la marca de TI del grupo, itopsi.com.
Cómo preparamos el expediente de evidencias para la inspección
Trabajamos a partir de la lista de normas del propio regulador: cada requisito recibe un responsable, un documento y la prueba de que funciona. Las brechas se cierran antes de la inspección o se recogen en un plan de remediación con fechas que aprueba la dirección.
- Mapa de normas. Requisitos de su licencia y documentos que exigen.
- Carta de alcance (scope letter). Entidades, sistemas, plazo y precio cerrado; sin firma no se revisa nada.
- Contraste con la realidad. Documentos frente a configuración: accesos, registros, copias y restauraciones, contratos, incidentes. Una persona verifica cada hallazgo.
- Remediación. Lo rápido lo corregimos nosotros o con su proveedor de TI; lo largo recibe responsable y fecha.
- El expediente. Ordenado por número de norma, con una nota breve para la dirección por área.
- Ensayo. Repaso con las personas designadas de las preguntas habituales de los inspectores.
Varias licencias en un grupo: una base de controles, expedientes separados
Un grupo con una EDE en la UE, una entidad de pago en el Reino Unido y un VASP en Dubái puede operar un solo conjunto de controles y obtener de él un expediente por regulador. Las diferencias están sobre todo en los plazos de notificación.
Los plazos de notificación son lo que más difiere: DORA pide una notificación inicial en las 4 horas siguientes a clasificar un incidente como grave y a más tardar 24 horas después de conocerlo, la MAS 1 hora desde el descubrimiento, la RPAA sin demora. Un procedimiento con una tabla por régimen los mantiene.
Las licencias las lleva nuestra práctica de licencias.
Lo que las normas obligan a mostrar al regulador
| Requisito | Qué significa | Fuente |
|---|---|---|
| Información completa y actualizada sobre el riesgo de TIC a petición de la autoridad (art. 6(3)) | Una revisión documental puede empezar cualquier día | DORA, art. 6(3) |
| Servicios de negocio importantes dentro de la tolerancia al impacto desde el 31 de marzo de 2025 | El mapeo y las pruebas de escenarios ya deberían estar hechos | FCA, Operational resilience |
| Notificar a la MAS en 1 hora; informe de causa raíz en 14 días | El procedimiento de incidentes para Singapur se mide en horas | MAS Notice FSM-N13, párr. 7–8 |
| Evidencias de pruebas y auditorías disponibles de inmediato para la VARA | El expediente de resultados de pruebas tiene que existir antes de la visita | VARA, norma I.E.3 |
| Un marco de gestión de riesgos y respuesta a incidentes; aviso sin demora | El proveedor canadiense documenta sus incidentes y comunica al Banco los materiales | RPAA, arts. 17(1), 18(1) |
Qué recibe
- Un mapa de normas por licencia: requisito, responsable, documento, evidencia
- El expediente de evidencias ordenado por número de norma, con una nota breve para la dirección en cada área
- La lista de brechas con responsables y fechas, y las brechas rápidas corregidas y revisadas
- Borradores de respuesta a las peticiones adicionales del regulador durante la inspección, que envían sus responsables
Qué necesitamos de usted
- La carta o lista de peticiones del regulador, si ya llegó, y los documentos de la licencia
- Tiempo de la dirección, del CISO o responsable del riesgo de TIC y del proveedor de TI
- Acceso de lectura a configuraciones y registros según una lista acordada
- La carta de alcance firmada antes de cualquier revisión
Límites del trabajo
- El regulador dirige la inspección y saca sus propias conclusiones; nosotros preparamos a la empresa y los materiales
- Sus responsables hablan con el regulador y firman cada envío
- La interpretación de una norma y cualquier dictamen jurídico corresponden a su abogado
- El expediente contiene solo lo que confirma una configuración o un registro
Riesgos de prepararse por cuenta propia, con un chatbot o con un freelance
- Por cuenta propia
- Los documentos se redactan la semana previa. Una política de la semana pasada y registros que empiezan ayer dicen más que la política.
- Chatbot
- Redacta una política para un sistema que nunca ha visto. El inspector compara la política con la práctica, y un control descrito y nunca ejecutado se convierte en hallazgo.
- Freelance
- Suele conocer un solo régimen. Con licencias en tres jurisdicciones, un plazo incumplido ya es una infracción.
Preguntas frecuentes
Un marco de gestión del riesgo de TIC documentado y revisado cada año, el registro de incidentes y notificaciones, el registro de proveedores, los resultados de pruebas y restauraciones, y la prueba de que la dirección lo supervisa. El detalle depende del régimen, y estos cinco temas aparecen en casi todas las peticiones.
Las directrices de la MAS fijan principios para todos los sectores autorizados, y la notice FSM-N13 añade cifras para los proveedores de tokens de pago digitales: notificación en 1 hora, informe de causa raíz en 14 días, recuperación de un sistema crítico en 4 horas. El reglamento de la VARA obliga a los VASP de Dubái: CISO, pruebas independientes, evidencias disponibles.
Depende del número de licencias y sistemas y del estado de los documentos. Si el regulador ya fijó una fecha, planificamos hacia atrás: primero lo que pidió, después las demás brechas según el riesgo. Damos un calendario realista tras una consulta de pago de 30 minutos y la revisión de la carta del regulador o de las normas de su licencia.
El precio depende del número de licencias y jurisdicciones, de los sistemas y proveedores, del estado de las políticas y los registros, y de las correcciones previas a la inspección. Tras una consulta de pago de 30 minutos fijamos el alcance y un precio cerrado en una carta de alcance, con los borradores de respuesta a peticiones adicionales incluidos.
Depende del régimen. La VARA exige evaluaciones de vulnerabilidades y pruebas de penetración a cargo de un tercero independiente cualificado; DORA exige TLPT al menos cada tres años solo a las entidades que designan los supervisores. Las pruebas están disponibles a petición con un probador independiente, y nosotros fijamos el alcance y cerramos los hallazgos.
Fuentes (verificadas el 23.10.2026)
- Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA)EUR-Lex
- Commission Delegated Regulation (EU) 2025/301 on major ICT-related incident reportingEUR-Lex
- SYSC 15A.1 ApplicationFCA Handbook
- SYSC 15A.6 Self-assessment and documentationFCA Handbook
- Operational resilienceFinancial Conduct Authority
- Guidelines on Risk Management Practices – Technology RiskMonetary Authority of Singapore
- MAS Notice FSM-N13 Notice on Technology Risk ManagementMonetary Authority of Singapore
- Technology and Information Rulebook, I. Chief Information Security Officer and ManagementVARA
- Technology and Information Rulebook, E. Testing and AuditVARA
- Retail Payment Activities Act, ss. 17–18Justice Laws Website
- Retail payments supervisionBank of Canada
Siguiente paso · respuesta por escrito en 24 horas
Empiece con una línea sobre su tarea
Basta una línea. Un socio la lee y responde por escrito en 24 horas.
- Un socio responde por escrito en 24 horas
- Tras su solicitud llega un presupuesto por escrito
- No se paga nada hasta que usted acepte el presupuesto
O escriba a hello@innovacg.com