Formación DORA: qué prevén los artículos 13 y 5

La formación DORA es una obligación del Reglamento (UE) 2022/2554. Las entidades financieras deben ofrecer a toda su plantilla, dirección incluida, programas de concienciación sobre la seguridad de las TIC. Deben añadir formaciones sobre resiliencia operativa digital. El texto habla de módulos obligatorios, sin imponer un formato. Un e-learning anual puede formar parte de ello, pero no es la única respuesta.

Esto es lo que prevén los artículos 13 y 5, quién está afectado y cómo construir un programa que cambie los reflejos.

Lo que pide DORA: el artículo 13, apartado 6

DORA se aplica desde el 17 de enero de 2025, directamente en todos los Estados miembros, sin ley de transposición. El artículo 13, apartado 6, pide a las entidades financieras que elaboren estos programas de concienciación y estas formaciones. Deben integrarlos en sus planes de formación del personal en forma de módulos obligatorios.

Estos programas se dirigen a todos los empleados y a los miembros de la dirección. El nivel de complejidad debe ser proporcionado a sus funciones. El texto no fija frecuencia, duración ni soporte.

Los proveedores terceros de servicios TIC también pueden verse afectados «cuando proceda». Depende de las condiciones previstas en los contratos (artículo 30, apartado 2, letra i).

Quién está afectado por la formación DORA

El ámbito de aplicación figura en el artículo 2 del Reglamento. Abarca, en particular, las entidades de crédito y de pago, las empresas de inversión y las aseguradoras. Se dirige también a los intermediarios de seguros y a los proveedores de servicios de criptoactivos. La lista completa puede consultarse en EUR-Lex.

El régimen simplificado del artículo 16 recoge la misma exigencia. También pide programas de concienciación y formación para el personal y la dirección. Las estructuras pequeñas no quedan, por tanto, dispensadas.

La formación de la dirección: el artículo 5

El artículo 5, apartado 4, se dirige al órgano de dirección. Sus miembros deben mantener activamente actualizados conocimientos y competencias suficientes para comprender y evaluar el riesgo relacionado con las TIC. Deben seguir con regularidad una formación específica, proporcionada a ese riesgo.

El artículo 5, apartado 2, hace también del órgano de dirección el responsable del presupuesto. Debe asignar recursos a los programas de concienciación y a las formaciones a que se refiere el artículo 13, apartado 6, y revisarlos periódicamente. La formación no es, por tanto, solo asunto del departamento de formación: es un tema de gobernanza.

Lo que el texto no dice y lo que esperan los supervisores

DORA no define qué es una formación «suficiente». En su base de preguntas y respuestas, la EIOPA (la autoridad europea de seguros) indica que estas formaciones deben adaptarse a las funciones del personal y de la dirección. La lectura es, por tanto, proporcionada: un miembro del consejo, un asesor de oficina y un administrador de sistemas no tienen las mismas necesidades.

El Reglamento Delegado (UE) 2024/1774 precisa el marco de gestión del riesgo TIC. Añade que el personal debe conocer los canales para comunicar comportamientos anómalos. Saber a quién escalar una alerta forma, pues, parte de la formación.

En Francia, la ACPR publicó una nota DORA sobre las TIC en diciembre de 2024 y un anexo TIC al informe sobre el control interno. Una entidad debe esperar tener que explicar su programa, su público y sus evaluaciones.

Por qué el e-learning anual no resuelve el riesgo humano

Un módulo sobre contraseñas y enlaces sospechosos transmite información. No prepara para la llamada de un falso asesor, de un falso proveedor o de un falso compañero de soporte. Este presiona al empleado para obtener un código o una validación.

En estas situaciones, el interlocutor es educado, está informado y tiene prisa. El empleado debe encontrar palabras para verificar, negarse y comunicar el incidente, a menudo en pocos segundos. Ese reflejo se construye practicándolo. Nuestro artículo sobre los límites del e-learning para los reflejos de ciberseguridad explica el mecanismo.

DORA pide una formación en resiliencia operativa digital, no un certificado de lectura. Un programa que no cambia lo que hacen las personas el día de un ataque cumple la letra del texto, no su objetivo.

Un escenario típico para un equipo de back office

Imaginemos una llamada recibida por una gestora de pagos. El interlocutor se presenta como técnico de un proveedor informático del banco. Explica que un incidente bloquea transferencias y pide, para resolverlo, un código recibido por SMS en el teléfono de la gestora.

El escenario pone a prueba tres gestos: verificar la identidad por un canal independiente, negarse a comunicar el código y comunicar la llamada. Las frases útiles son cortas:

• «Nunca comunico un código por teléfono. Le devuelvo la llamada al número del contrato».
• «Deme su nombre y su servicio, los anoto y aviso a seguridad».
• «Si es urgente, el incidente se abrirá por el circuito habitual».

Estos gestos se encuentran en nuestros artículos sobre la negativa bajo presión por teléfono y sobre la devolución de llamada. Forman parte de la resiliencia operativa: un incidente evitado vale más que un incidente bien gestionado.

Errores frecuentes en los programas DORA

• Olvidar a la dirección. Está contemplada dos veces, en los artículos 5 y 13.
• Tratar la formación como un simple expediente de prueba. El texto habla de resiliencia, es decir, de comportamientos.
• Un contenido idéntico para todos. La proporcionalidad respecto a las funciones está en el texto.
• Formar solo por escrito. Los ataques por teléfono no se preparan solo con textos.
• No revisar el programa. El órgano de dirección debe revisarlo periódicamente.

Construir un programa DORA que funcione

1. Segmentar los públicos. Dirección, asesores y front office, back office y tesorería, equipos informáticos, soporte. Cada grupo recibe las situaciones que le conciernen.
2. Combinar los formatos. Módulos cortos para los conocimientos básicos, sesiones de práctica para los gestos sensibles.
3. Entrenar a viva voz. Los ataques por teléfono se juegan en conversación. La puesta en situación es el formato adecuado para responder.
4. Hacer debriefing y repetir. Un feedback preciso sobre lo que se dijo y después un nuevo intento.
5. Conservar constancia. Quién, cuándo, sobre qué y con qué evaluación, incluida la dirección.

Una lista de cinco preguntas para auditar su programa

• ¿Están cubiertos todos los empleados y todos los miembros de la dirección?
• ¿Está el contenido adaptado a cada función?
• ¿Son obligatorios los módulos, como pide el texto?
• ¿Sabe el personal a quién comunicar un incidente?
• ¿Puede probar lo que se ha adquirido, y no solo lo que se ha abierto?

La puesta en situación, una vía para cumplir la obligación

Face Up permite a los formadores crear sus propios juegos de rol a partir de sus casos reales, con la ayuda de un asistente de diseño. El alumno habla, de viva voz o en vídeo, con un personaje interpretado por una IA. Puede ser un falso asesor bancario o un falso proveedor informático.

Después recibe un debriefing: puntos fuertes, puntos que mejorar, plan de acción y citas de lo que dijo. Puede repetir. Para el sector bancario, detallamos los escenarios en nuestro artículo sobre el vishing en los bancos. La cuestión de la prueba se trata en el artículo sobre la trazabilidad de la formación.

Preguntas frecuentes

¿Impone DORA un número de horas de formación?

No. El artículo 13, apartado 6, habla de programas y de módulos obligatorios, sin duración ni frecuencia cifradas. El nivel debe ser proporcionado a las funciones de las personas formadas.

¿Hay que formar también a los directivos?

Sí, por dos motivos. Están contemplados en el artículo 13 como todos los miembros de la dirección. El artículo 5 pide además al órgano de dirección que siga con regularidad una formación específica sobre el riesgo TIC.

¿Están afectados los proveedores de servicios TIC?

Pueden estarlo. El artículo 13 menciona a los proveedores terceros «cuando proceda». El artículo 30 prevé que los contratos puedan exigirles seguir los programas de la entidad.

¿Basta un e-learning para cumplir?

El texto no prohíbe ningún formato. En la práctica, una entidad tendrá que demostrar que su programa está adaptado a las funciones y se centra en los riesgos reales. Un módulo uniforme lo demuestra mal.

Para pasar del certificado a la práctica, empiece por los equipos más expuestos al teléfono y amplíe después el programa. Nuestro panorama de las formaciones obligatorias sitúa DORA entre las demás obligaciones, y el artículo sobre la formación de los directivos en NIS2 ofrece su equivalente europeo. Para ver un juego de rol sobre uno de sus casos, reserve una demostración.