DORA a Andorra: què han de preparar les entitats per al termini del 2028

Per què DORA arriba a Andorra

L’Acord Monetari obliga Andorra a incorporar els actes de la Unió que figuren en el seu annex. La Decisió (UE) 2026/475 de la Comissió, que actualitza aquest annex, hi inclou DORA amb termini fins al 31 de desembre del 2028, i el Reglament (UE) 2023/1114 de mercats de criptoactius (MiCA) amb termini fins al 31 de desembre del 2027. Són terminis límit d’incorporació: les dates d’aplicació efectives, l’abast concret i la supervisió dependran de les normes andorranes que els incorporin.

A qui afecta

A la Unió, DORA s’aplica a les entitats financeres que enumera l’article 2.1: entitats de crèdit, entitats de pagament i de diner electrònic, empreses de serveis d’inversió, gestores de fons, asseguradores i, entre d’altres, els proveïdors de serveis de criptoactius autoritzats d’acord amb MiCA. Per a una entitat andorrana, l’abast concret dependrà de com s’incorpori el reglament, però el punt de partida és aquesta llista.

Què demana DORA

• Gestió del risc TIC. Un marc de gestió del risc tecnològic aprovat i supervisat per l’òrgan de direcció, que n’és responsable (art. 5 a 15).
• Incidents. Classificar els incidents i notificar els greus al supervisor. A la Unió, la regla general és fer la notificació inicial dins de les quatre hores següents a la classificació com a greu i abans de 24 hores des que se’n té coneixement; si es classifica com a greu més tard, el termini és de quatre hores des de la classificació. Després venen l’informe intermedi, en 72 hores des de la notificació inicial, i l’informe final, un mes després de l’últim intermedi (Reglament Delegat (UE) 2025/301).
• Proves. Un programa de proves de resiliència digital i, per a les entitats que designi l’autoritat, proves de penetració basades en amenaces (TLPT).
• Proveïdors TIC. Externalitzar un servei no allibera l’entitat de la responsabilitat de complir les seves obligacions (art. 28.1). Cal portar un registre d’informació de tots els contractes amb proveïdors TIC (art. 28.3), amb les plantilles del Reglament d’Execució (UE) 2024/2956, i incloure-hi unes clàusules mínimes: serveis, ubicació de les dades, recuperació, nivells de servei i drets de rescissió (art. 30).

No tothom ho aplica igual

Tres preguntes decideixen quines parts toquen a cada entitat:

• Marc simplificat? Les empreses de serveis d’inversió petites i no interconnectades, algunes entitats de pagament i de diner electrònic exemptes i altres supòsits de l’article 16.1 apliquen un marc de gestió del risc TIC més lleuger en lloc dels articles 5 a 15.
• Microempresa? Menys de 10 persones i un volum de negoci o balanç anual de fins a 2 milions d’euros (art. 3.60). Els centres de negociació, les contraparts centrals, els registres d’operacions i els dipositaris centrals de valors no ho són mai. Les microempreses no necessiten, per exemple, el programa de proves de l’article 24 ni l’estratègia de risc de tercers de l’article 28.2.
• Designada per a TLPT? Les proves de penetració basades en amenaces només s’exigeixen a les entitats designades, i mai a les microempreses ni a les del marc simplificat.

Incidents i protecció de dades

Si un incident afecta dades personals, pot ser també una violació de seguretat que cal notificar a l’Agència Andorrana de Protecció de Dades sense dilació i, si és possible, en 72 hores (LQPD, art. 36). Són dos processos amb dos destinataris i terminis diferents: val la pena preparar-los junts. Ho expliquem a la guia de protecció de dades a Andorra.

Per on començar

Encara cal veure amb quina norma l’incorporarà Andorra i com se’n farà la supervisió. Però la part més laboriosa de DORA no dependrà d’aquestes decisions:

1. 1

   Inventari

   Actius, funcions essencials o importants i proveïdors que les sostenen. Sense inventari no es pot avaluar cap risc ni omplir el registre d’informació.
2. 2

   Contractes

   Revisar els contractes TIC vigents amb les clàusules de l’article 30 al cap. Renegociar amb un gran proveïdor de núvol porta temps.
3. 3

   Incidents

   Un procediment que digui qui classifica un incident, amb quins criteris i qui notifica, coordinat amb el de violacions de seguretat de l’LQPD.
4. 4

   Continuïtat

   Provar el pla de resposta i recuperació de les funcions essencials i documentar-ne el resultat.
5. 5

   Registre d’informació

   Començar a omplir-lo amb les plantilles europees: a la Unió, l’autoritat el pot demanar sencer en qualsevol moment (art. 28.3).

DORA en un sol expedient

Preguntes freqüents