El proyecto de ley aprobado por el Gobierno el 14 de julio y presentado el 5 de agosto traspone al ordenamiento español el Reglamento de Resiliencia Operativa Digital, más conocido por sus siglas en inglés, DORA y no es un ejercicio decorativo de armonización normativa, ya que estamos ante la respuesta, tardía pero necesaria, a un riesgo que el sector financiero llevaba años gestionando con más intuición que marco legal, la dependencia tecnológica de terceros proveedores capaz de paralizar una entidad entera sin que existiera un procedimiento claro para exigir responsabilidades.
La norma amplía el ámbito subjetivo del Reglamento más allá de lo que muchos operadores esperaban. No solo bancos, aseguradoras o gestoras quedan sujetos a su régimen: también operadores de sistemas de pago y mutualidades de previsión social que superen determinados umbrales entran en el radio de acción de una gobernanza tecnológica que, hasta ahora, buena parte del sector trataba como buena práctica recomendada y no como obligación legal exigible.
El régimen sancionador introducido merece atención particular. Durante años, la gestión de incidentes tecnológicos se resolvía puertas adentro, con comités de crisis internos y comunicaciones cuidadosamente medidas hacia el supervisor. Ese modelo se transforma. Las pruebas de resiliencia digital dejan de ser un ejercicio de cumplimiento cosmético para convertirse en un elemento auditable, con consecuencias sancionadoras tangibles si el operador no puede acreditar que las realizó con el rigor que exige la norma.
No todo son luces en esta transposición. Llega después de la fecha de aplicación directa del Reglamento europeo, lo que ha obligado a numerosas entidades a operar durante meses bajo un régimen de aplicación inmediata sin desarrollo interno claro, generando precisamente la inseguridad jurídica que DORA pretendía erradicar. Y el tratamiento de los criptoactivos dentro de este mismo paquete normativo, aunque necesario, corre el riesgo de diluirse entre disposiciones pensadas originalmente para la banca tradicional.
La valoración, con la franqueza que exige el análisis técnico, es que la norma resulta necesaria y, en líneas generales, proporcionada. Pero su verdadero examen no se hará en el Congreso, sino en la primera auditoría seria a un operador de pagos que hasta ahora asumía que la ciberresiliencia era terreno reservado a la gran banca. Ahí se comprobará si el legislador ha construido un marco robusto o si simplemente ha trasladado el problema unos meses hacia adelante.
ALEJANDRO KLOCK VARAS
JURISTA MEDIADOR CIVIL Y MERCANTIL
www.legaltimes.es
