DORA: incidentes reales que cambiaron el debate regulatorio
Entendemos por riesgo sistémico el riesgo de que el fallo de una parte del sistema financiero desencadene un colapso en cadena que afecte al sistema en su conjunto, más allá de la entidad o componente que originó el problema.
La idea central es la del contagio: en un sistema altamente interconectado, los problemas no se quedan donde empiezan. Se propagan.
El riesgo sistémico financiero clásico se gestiona con capital, liquidez y resolución ordenada de entidades. Esos instrumentos son inútiles contra un fallo tecnológico en un proveedor crítico compartido: por mucho capital que tenga un banco, no puede procesar pagos si su infraestructura cloud está caída.
DORA es el primer marco regulatorio europeo diseñado específicamente para gestionar el riesgo sistémico de origen tecnológico en el sector financiero.
El problema de la concentración tecnológica en cifras
Estudios del Consejo de Estabilidad Financiera (FSB) y del Banco de Pagos Internacionales (BIS) publicados entre 2020 y 2023 estiman que:
- Tres proveedores de servicios cloud (Amazon Web Services, Microsoft Azure y Google Cloud) concentran más del 65% de la infraestructura cloud del sector financiero global.
- En Europa, la mitad de las entidades bancarias significativas supervisadas por el BCE tienen dependencias críticas de dos o menos proveedores de infraestructura cloud.
- Un fallo simultáneo de los dos principales proveedores cloud del sector financiero europeo podría afectar a la operatividad de más de 400 entidades de forma simultánea.
La transición desde una percepción del riesgo TIC como riesgo operativo menor, hacia su reconocimiento como riesgo sistémico prioritario fue el resultado de una serie de incidentes que demostraron, de forma dolorosa y pública, la magnitud real del problema. Los cuatro casos que se presentan a continuación, documentados entre 2018 y 2023, son representativos de los tipos de incidente que motivaron la aceleración del proceso legislativo que culminó en DORA.