La resilienciaera una postura.Ahora esuna obligación.
- En vigor
- 16 de enero de 2023
- Aplicable desde
- 17 de enero de 2025
- Obliga a
- 21 tipos de entidad financiera
- Alcanza a
- Sus proveedores TIC externos
Veintiún tipos de entidad financiera, y los proveedores que hay detrás.
Qué exige
Un marco de riesgo TIC del que responde el órgano de dirección
La responsabilidad recae en el órgano de dirección y no puede delegarse. El marco debe estar documentado, revisado y probado frente a las dependencias propias de la entidad, no frente a una plantilla.
Un incidente grave se notifica contra reloj
Los incidentes graves relacionados con las TIC se clasifican y se notifican a la autoridad competente. Las normas técnicas fijan los plazos: notificación inicial en cuatro horas desde la clasificación como grave y a más tardar 24 horas desde que se tuvo conocimiento, informe intermedio en 72 horas desde esa notificación e informe final en un mes.
Pruebas de penetración guiadas por amenazas, al menos cada tres años
Las entidades identificadas por su autoridad realizan pruebas avanzadas sobre sistemas en producción. Las instituciones significativas emplean equipos rojos externos; quien prueba con personal propio debe recurrir a probadores externos en cada tercera prueba.
Los propios probadores deben estar asegurados
Los probadores deben estar certificados, poseer la pericia y la idoneidad necesarias y disponer de un seguro de responsabilidad civil profesional. Es uno de los pocos lugares donde un reglamento europeo nombra el seguro como condición para poder realizar el trabajo.
Un registro de cada acuerdo TIC
Un registro de información sobre todos los acuerdos contractuales con proveedores TIC externos, mantenido a nivel de entidad, subconsolidado y consolidado, con el formato del Reglamento de Ejecución (UE) 2024/2956. Es el documento que convierte «usamos un proveedor de nube» en un hecho supervisable.
Los proveedores críticos se supervisan directamente
Los proveedores TIC externos designados críticos quedan sujetos a un marco de supervisión de la Unión con un supervisor principal, junto a la supervisión de las entidades que los utilizan. La concentración en unos pocos proveedores pasó a ser materia regulatoria y no una observación de mercado.