BCE publica guía sobre externalización de servicios en la nube y Reglamento DORA

El Banco Central Europeo (BCE) publicó este miércoles sus expectativas supervisoras respecto a la externalización de servicios en la nube de los bancos de la zona del euro.

El BCE informó en un comunicado de que ha finalizado una guía sobre la externalización de servicios en la nube tras realizar una consulta pública que finalizó en julio de 2024.

La guía aclara las expectativas del BCE en relación con el cumplimiento por parte de los bancos de los requisitos establecidos en el Reglamento DORA.

También ofrece a los bancos que utilizan servicios en la nube de terceros buenas prácticas para la gestión eficaz del riesgo de externalización, basadas en las prácticas observadas en el sector.

El Reglamento sobre la resiliencia operativa digital (Digital Operational Resilience Act, DORA) es una normativa de la Unión Europea (UE), que se aplica desde el 17 de enero de 2025, para reforzar la seguridad informática de los bancos, compañías de seguros y empresas de inversión.

Su objetivo es garantizar que el sector financiero en Europa pueda mantener su resiliencia en caso de perturbaciones operativas graves.

La guía del BCE hará que la supervisión sea más coherente y asegurará la igualdad de condiciones para los bancos que supervisa.

Además, añade el comunicado, «introduce revisiones que aportan claridad sobre las medidas de gestión de riesgos recomendadas para la externalización de servicios en la nube».

Las revisiones también proporcionan claridad sobre el ámbito de aplicación y la naturaleza jurídica de la guía, armonizando la terminología con la normativa relevante.

Al igual que otras guías del BCE, esta guía no establece requisitos, prácticas ni normas jurídicamente vinculantes.

Tampoco introduce nuevas normas o requisitos además de los impuestos actualmente por el Reglamento DORA.

«Las entidades de crédito dependen de unos pocos proveedores terceros para la externalización de los servicios en la nube. Esto hace que estén expuestas a diferentes riesgos, como los de seguridad de TI (tecnología de la información) y cibernéticos, que continúan siendo una prioridad para el BCE en tiempos de elevadas tensiones geopolíticas», señaló Anneli Tuominen, miembro del Consejo de Supervisión del BCE.

El BCE analizó los 696 comentarios recibidos de 26 encuestados durante la consulta pública, lo que contribuyó a mejorar la guía.

La guía final diferencia más claramente los requisitos establecidos en el Reglamento DORA y las buenas prácticas recomendadas por el BCE.

También aclara la manera en que se aplica el principio de proporcionalidad.