Por Diego Ignacio Gómez, sénior corporate counsel experto en la gestión de asuntos legales en América Latina y el Caribe
El Reglamento DORA (Digital Operational Resilience Act) de la Unión Europea establece un marco obligatorio para la resiliencia operativa digital en el sector financiero. Su objetivo es asegurar que bancos, aseguradoras, fintechs y otros actores, junto con sus proveedores críticos de tecnología, puedan prevenir y gestionar incidentes tecnológicos y de ciberseguridad. DORA es plenamente aplicable desde este año, acompañado de normas técnicas detalladas.
¿Por qué debe importarle a un in-house counsel en Latam?
Aunque DORA es una norma europea, su alcance trasciende fronteras. Como in-house counsel, debe considerar DORA si su empresa:
- Tiene filiales o sucursales en la UE, ya que la matriz debe demostrar cumplimiento y control a nivel de grupo, incluyendo operaciones y soporte desde Latam.
- Es proveedor de servicios ICT – Information and Communication Technologies (nube, ciberseguridad, desarrollo, data centers) para entidades financieras europeas, lo que puede implicar obligaciones contractuales y regulatorias bajo DORA, especialmente si es considerado proveedor crítico.
- Ofrece servicios a clientes de la UE desde Latam (por ejemplo, fintechs con operaciones cross-border), lo que puede requerir alineación contractual y operativa con DORA para mantener relaciones comerciales.
¿Qué implica DORA en la práctica para el área legal?
Como in-house counsel, su rol será clave en la revisión y adaptación de políticas, contratos y procesos internos. DORA exige:
- Un marco de gestión de riesgos ICT aprobado por el directorio, con roles claros y políticas documentadas. Esto incluye inventario de activos, clasificación de datos, gestión de vulnerabilidades y continuidad de negocio.
- Procesos robustos para la gestión de incidentes, con obligaciones de notificación estrictas a autoridades europeas en caso de incidentes mayores. El área legal debe asegurar que los procedimientos internos permitan cumplir con los plazos y formatos exigidos.
- Pruebas periódicas de resiliencia, incluyendo ejercicios avanzados (como TLPT – pruebas de penetración guiadas y/o red teaming – simulación de ataques para identificar vulnerabilidades) para entidades relevantes. El área legal debe revisar los acuerdos con proveedores para asegurar la participación y cobertura de estas pruebas.
- Gestión de riesgos de terceros ICT: DORA impone requisitos contractuales mínimos (SLA, notificación de incidentes, auditoría, subcontratación, portabilidad y reversibilidad). Es fundamental revisar y renegociar contratos para incorporar estas cláusulas y evitar riesgos de incumplimiento.
- Intercambio de información sobre amenazas, siempre respetando la confidencialidad y la normativa de protección de datos.
- Responsabilidad del directorio: el órgano de administración debe aprobar el marco de resiliencia y recibir formación. El área legal debe facilitar la capacitación y asegurar la trazabilidad de las decisiones.
¿Qué cambia respecto a las buenas prácticas actuales?
DORA convierte en obligatorias muchas prácticas que antes eran solo recomendadas. Unifica la gestión de ciberseguridad, continuidad y proveedores bajo un marco común, con foco en resultados y evidencia documental. Para el área legal, esto significa que los contratos, políticas y reportes deben ser revisados y alineados a los nuevos estándares, evitando enfoques fragmentados por país.
Implicancias prácticas para el área legal en Latam
- Contratos: Revise y actualice los contratos de servicios ICT con clientes y proveedores europeos para incluir cláusulas DORA (SLA, notificación de incidentes, auditoría, subcontratación, portabilidad, reversibilidad). Negociaciones tardías pueden afectar la continuidad de negocios.
- Inventario y dependencias: Trabaje con áreas técnicas para mapear servicios críticos, flujos de datos y proveedores. Esto facilita auditorías y la gestión de riesgos de concentración.
- Preparación para incidentes: Adapte los playbooks legales y de compliance a los requisitos de reporte y evidencia de DORA. Coordine con equipos en diferentes jurisdicciones para cumplir plazos y formatos.
- Pruebas y resiliencia: Asegure que los contratos permitan la realización de pruebas avanzadas (TLPT, red teaming) y que los proveedores colaboren en estos ejercicios.
- Gobierno y formación: Promueva la capacitación del directorio y la alta gerencia sobre DORA, y asegure la documentación de decisiones y métricas de resiliencia.
- Datos y jurisdicción: Documente ubicaciones, cifrado y accesos a datos. Coordine con privacidad y protección de datos para cumplir con GDPR y transferencias internacionales.
- Integración normativa: Busque sinergias con marcos locales para evitar duplicidades y facilitar la supervisión.
- Cronograma: Priorice la revisión de contratos y la planificación de pruebas, ya que suelen ser los principales cuellos de botella.
Plan de acción para el área legal
- Realice un diagnóstico de brechas (gap assessment) respecto a DORA y normas técnicas aplicables.
- Defina la gobernanza y los roles legales en la gestión de resiliencia digital.
- Colabore en el inventario de activos y proveedores críticos.
- Actualice políticas y contratos con enfoque DORA.
- Refuerce la gestión de incidentes y la preparación de reportes regulatorios.
- Asegure la participación legal en pruebas de resiliencia y ejercicios avanzados.
- Promueva la capacitación del directorio y equipos clave.
- Integre métricas de resiliencia en los reportes legales y de compliance.
Conclusión
Para el abogado in-house en Latam, DORA no solo implica nuevos desafíos regulatorios, sino que abre la puerta a fortalecer la gestión integral de riesgos y anticipar las demandas contractuales y operativas de clientes y socios europeos. Adoptar una postura proactiva en la revisión de contratos, políticas y procesos permitirá a la organización no solo cumplir con DORA, sino también diferenciarse como un aliado estratégico, confiable y resiliente en el mercado internacional. La capacidad de adaptarse rápidamente y demostrar cumplimiento será fundamental para proteger la reputación, asegurar la continuidad del negocio y generar nuevas oportunidades de crecimiento.
