Informes DORA para el órgano de administración: indicadores, evidencias y cuadro de mando

1. Empieza por las decisiones que debe tomar el consejo

La documentación del consejo puede contener todos los indicadores de seguridad que recoge la organización y no responder a la pregunta principal: ¿podemos seguir atendiendo a los clientes cuando algo falla? Un informe aporta valor a la reunión cuando revela una incertidumbre importante, explica las ventajas y los inconvenientes de una opción o respalda una decisión sobre recursos, prioridades o riesgos.

Pregunta: ¿qué ha cambiado desde la reunión anterior? ¿Qué servicio al cliente podría sufrir una interrupción con consecuencias inaceptables? ¿Qué hay que decidir hoy? Presenta las respuestas antes de los gráficos de apoyo. Un consejero no debería tener que deducir la necesidad de financiación urgente a partir de una casilla roja en la página treinta.

Dentro del marco general de gestión del riesgo TIC, el artículo 5 aborda la responsabilidad del órgano de dirección y la formación periódica; el artículo 6 trata el marco de gestión del riesgo y su revisión; y el artículo 13, apartado 5, exige que el personal directivo de TIC informe al menos una vez al año sobre determinados resultados y recomendaciones. Consulta DORA, artículos 5, 6 y 13.

Estas disposiciones no imponen un cuadro de mando aprobado ni un formato universal para la documentación mensual del consejo. Elige una frecuencia proporcional a los riesgos y a la estructura de gobierno, con un procedimiento para elevar los asuntos urgentes entre reuniones. Distingue las notificaciones exigidas por ley, las solicitudes del supervisor y los informes internos a la dirección. Esta guía propone un método práctico; no sustituye la evaluación de las obligaciones de cada entidad. Para conocer la distribución de funciones, consulta nuestra guía sobre las responsabilidades del consejo según DORA.

2. Organiza el informe alrededor de servicios e impacto en el negocio

Empieza con una lista breve de servicios de negocio reconocibles para los consejeros: realizar un pago, acceder a una cuenta de inversión, liquidar una operación o recibir una comunicación de siniestro. Relaciónalos con la evaluación de las funciones esenciales o importantes de la entidad. No sustituyas esta visión del negocio por una simple lista de aplicaciones. Un servicio puede depender de varias aplicaciones, equipos, instalaciones y proveedores externos.

Para cada servicio, identifica un responsable de negocio y describe la consecuencia de una interrupción. Incluye clientes o transacciones afectados, plazos críticos, alternativas manuales y el punto en que los retrasos acumulados se vuelven difíciles de gestionar. Distingue el impacto medido de las estimaciones. Si los recuentos de clientes son incompletos, declara la incertidumbre en lugar de presentar un total que parezca preciso.

Una fila útil combina el riesgo y las pruebas que lo respaldan: principal escenario de fallo, objetivo de recuperación, última prueba pertinente y debilidad pendiente. Restaurar correctamente una base de datos aporta pocas garantías sobre el servicio de pagos si el ejercicio excluyó la gestión de identidades y accesos, la conciliación y la conectividad de salida.

Haz visibles los cambios. Un nuevo proveedor, una adquisición, el lanzamiento de un producto o una migración pueden dejar obsoleto el mapa de servicios. Marca la evaluación como pendiente de actualización si cambia una dependencia importante. De lo contrario, el informe puede seguir en verde aunque sus pruebas describan un modelo operativo que ya no existe.

Mantén los inventarios técnicos detallados accesibles mediante enlaces con control de acceso. La página destinada al consejo debe explicar consecuencias y decisiones; la documentación de respaldo debe permitir rastrear las afirmaciones hasta sus fuentes y equipos responsables.

3. Define cada métrica antes de asignarle un color

Una cifra porcentual sin denominador se presta a confusión. «Pruebas de recuperación completadas: 90 %» puede significar nueve de diez ejercicios previstos, nueve de diez servicios de negocio o nueve de diez aplicaciones. Son medidas distintas. Escribe el numerador y el denominador junto al indicador y señala las exclusiones.

• Propósito: la decisión o cuestión de riesgo a la que ayuda a responder la métrica.
• Población: los servicios, sistemas, proveedores o personas incluidos, además de exclusiones.
• Cálculo: el numerador, denominador, unidad y tratamiento de datos faltantes exactos.
• Responsabilidad: responsable de negocio, persona que prepara los datos y persona que los revisa.
• Fechas: periodo observado, fecha de extracción, fecha de revisión y próxima actualización.
• Evidencias: el documento o registro que respalda el resultado, con su versión y unas reglas de gestión definidas.
• Escalado: umbral interno acordado y actuación que se activa al superarlo.

Distingue entre “no probado”, “prueba fallida” y “evidencia no disponible”. Unificarlos en un solo estado verde o ámbar oculta el trabajo necesario. Muestra cifras absolutas junto a los porcentajes para que una población pequeña no genere una confianza engañosa. Pasar de una acción atrasada a dos supone duplicar, pero su relevancia depende del servicio afectado y la gravedad.

Mantén la comparabilidad. Si el denominador se amplía tras una adquisición, muestra tanto la nueva población como el motivo de la discontinuidad. No interpretes un menor porcentaje de finalización como un empeoramiento de la ejecución sin comprobar el alcance.

4. Distingue los objetivos de recuperación de los resultados demostrados

El objetivo de tiempo de recuperación, o RTO, describe el tiempo previsto para restaurar un servicio o capacidad tras una interrupción. El objetivo de punto de recuperación, o RPO, describe la ventana aceptable de pérdida de datos expresada en tiempo. Ninguno demuestra recuperación real. Informa por separado el objetivo y el resultado observado, junto con el escenario, el alcance y los límites de medición.

Un RTO de cuatro horas no significa que baste con terminar un comando de restauración en ese plazo y conciliar los datos después. Define cuándo empieza el cómputo y qué condiciones operativas deben cumplirse para darlo por terminado. Para el RPO, registra el último punto de recuperación utilizable y si la conciliación de operaciones confirmó que los datos estaban completos. Un sistema puede reiniciarse rápidamente con datos demasiado antiguos o poco fiables.

En el marco general, el artículo 11, apartado 6, contempla pruebas anuales de los planes de continuidad y recuperación para todas las funciones, además de pruebas cuando se produzcan cambios sustanciales. El artículo 24, apartado 6, exige pruebas adecuadas al menos anuales de todos los sistemas y aplicaciones TIC que sustenten funciones esenciales o importantes, salvo en las microempresas. Consulta las disposiciones de DORA sobre pruebas. Confirma el ámbito aplicable a tu entidad antes de convertir estos requisitos en un calendario.

El artículo 25 del Reglamento Delegado 2024/1774relaciona las pruebas de continuidad con los análisis de impacto en el negocio y las evaluaciones de riesgos. Exige analizar y corregir las deficiencias e informar de ellas al órgano de dirección. Vincula cada objetivo incumplido a una medida correctora, a un responsable y a un plan para repetir la prueba.

Mantén aparte las pruebas de penetración basadas en amenazas (TLPT). Se aplican a las entidades identificadas, no a todas. Los criterios de selección y los requisitos se detallan en el Reglamento Delegado 2025/1190, junto con los artículos 26–27 de DORA. Un ejercicio de discusión de escenarios, un análisis de vulnerabilidades o una prueba de penetración ordinaria no son TLPT. Indica qué demuestra realmente cada ejercicio.

5. Muestra la concentración de proveedores a través de las dependencias de servicios

El número de proveedores no revela la concentración. Tres proveedores pueden depender de la misma región de nube, plataforma de identidad o ruta de telecomunicaciones. Para cada servicio importante, pregunta qué dependencias pueden fallar a la vez y si la alternativa propuesta es operacionalmente independiente. Distingue entre alternativas contractuales y alternativas que ya han sido configuradas, dotadas de personal y probadas.

La guía de la ABE sobre el registro de información explica el registro de acuerdos contractuales sobre servicios TIC y ofrece recursos para la presentación de información. Utiliza el registro como fuente para el informe al consejo. Que esté completo es útil, pero el consejo también necesita entender qué implican esas relaciones para la continuidad de los servicios.

Una sección breve sobre dependencias puede mostrar los servicios respaldados por un proveedor, las últimas verificaciones, las limitaciones pendientes, el tiempo estimado para sustituirlo y la próxima decisión necesaria. Presenta el plazo de salida como una estimación hasta que exista un trabajo creíble que lo respalde. Incluye extracción de datos, migración, competencias, restricciones contractuales y transición de clientes, no solo sustitución de infraestructura.

Plantea una pregunta concreta: si el proveedor dejara de estar disponible o de ser adecuado, ¿qué servicio nos obligaría a actuar primero y qué impediría una transición ordenada? Eleva expresamente al nivel competente la información que falta y las dependencias cuya responsabilidad sigue sin aclararse. Nuestra guía DORA sobre riesgos de terceros proveedores de servicios TIC desarrolla con más detalle las preguntas sobre proveedores y contratos.

6. Explica las tendencias de los incidentes y cuánto tiempo llevan abiertos los riesgos

Los recuentos de incidentes necesitan contexto. Un aumento puede reflejar una mejor detección, no una menor resiliencia. Una caída puede deberse a una fuente de datos incompleta. Indica la definición utilizada, el periodo observado, el impacto relevante en los servicios y cualquier cambio en la recogida de datos. Distingue los niveles internos de gravedad de la clasificación regulatoria de incidentes: un gráfico del consejo no debe redefinir implícitamente el proceso de notificación.

Son útiles los minutos de interrupción por servicio, las causas recurrentes, los cambios fallidos, los resultados de recuperación y el tiempo transcurrido para las medidas correctoras importantes. Para medir los tiempos de detección o respuesta, utiliza criterios de inicio y fin coherentes. Las medias pueden ocultar una interrupción prolongada: muestra el intervalo de resultados o el caso más relevante cuando afecte a la decisión.

Sigue las acciones derivadas de incidentes, pruebas, auditorías y revisiones de proveedores en una vista común de decisiones manteniendo su origen. Cada elemento necesita un responsable, fecha de vencimiento original, fecha de vencimiento actual, servicio afectado, evidencia de finalización y un revisor. Un ticket marcado como “hecho” no debe significar automáticamente que se ha eliminado la debilidad subyacente.

Muestra ampliaciones y acciones reabiertas. Mover la fecha límite puede mejorar el gráfico de atrasos sin cambiar la exposición. Registra quién autorizó la ampliación, el motivo, la protección provisional y la próxima revisión. Prioriza las consecuencias de la debilidad pendiente en vez de premiar a los equipos por cerrar muchas incidencias de bajo impacto.

Cierra la sección explicando brevemente el problema recurrente y la intervención propuesta. Si varios incidentes revelan la misma responsabilidad sin asignar, una decisión operativa clara puede ser más útil que un nuevo cuadro de mando.

7. Relaciona los registros de formación con el juicio demostrado

Completar la formación demuestra participación, pero no que los consejeros puedan cuestionar una previsión de recuperación optimista o decidir qué servicios priorizar en una situación difícil. Combina los registros de formación con unos pocos ejercicios prácticos. Pide a los participantes que identifiquen pruebas que faltan, elijan cuándo elevar una decisión y expliquen las ventajas y los inconvenientes de las opciones ante una interrupción ficticia.

Indica a quién se ha asignado la formación, los contenidos y su versión, las fechas de finalización, el método de evaluación y el seguimiento necesario. Registra los cambios de función y las nuevas incorporaciones para mantener el denominador correcto. Si alguien tiene experiencia previa pertinente, documenta cómo se ha tenido en cuenta y qué conocimientos de la organización debe adquirir todavía.

Una conversación sobre la formación puede revelar que los participantes conocen la terminología del ransomware, pero no quién puede autorizar un gasto de emergencia. La acción queda clara: precisar quién tiene autoridad, actualizar el plan y ensayar su aplicación. No presentes la nota media de un cuestionario como medida de la resiliencia global de la organización.

Para diseñar el programa, utiliza nuestra guía de requisitos DORA para la formación del consejo. Para practicar, la guía de ejercicios de respuesta a incidentes para directivos muestra cómo convertir una interrupción en decisiones y aprendizaje documentado. Restringe adecuadamente el acceso a los registros individuales. El consejo suele necesitar datos sobre cobertura, carencias y acciones resultantes, no las respuestas detalladas de cada participante.

8. Un cuadro de mando ficticio con desviaciones que requieren una actuación

Este ejemplo es totalmente ficticio. Las cifras no son referencias sectoriales, umbrales legales ni resultados de ninguna organización real. Supón que una entidad financiera ha seleccionado cuatro servicios para el informe. La documentación de septiembre refleja la situación a 30 de septiembre e identifica a los responsables de las evidencias para el seguimiento.

En este ejemplo se cumplió el objetivo de pérdida de datos, pero no el plazo de recuperación. Resumir ambos como «recuperación correcta» ocultaría el retraso del servicio. La fila de cobertura mide servicios, no todo el conjunto de sistemas que deben probarse; el registro de pruebas debe conservar ese segundo ámbito por separado.

La tabla tampoco equipara un resultado desconocido a una prueba fallida. Los consejeros distinguen las incertidumbres que deben investigarse de las debilidades demostradas que necesitan financiación. Vincula cada fila a sus pruebas, conservadas con controles de gestión y acceso. Mantén la decisión en los informes siguientes hasta verificar su resultado.

9. Convierte el informe en un proceso de decisión repetible

Utiliza un registro de decisiones breve junto a cada excepción significativa. Describe el servicio afectado, el escenario, la evidencia disponible y la incertidumbre restante. Expón opciones realistas, su coste o implicación en recursos, la recomendación de la dirección y la consecuencia de aplazar. Identifica la persona autorizada para decidir y la fecha límite para la decisión.

Ejemplo de decisión: aprobar la mejora propuesta para la recuperación del servicio de pagos, con el director de operaciones como responsable de su ejecución. Exigir una nueva prueba frente a los objetivos establecidos antes de la fecha acordada. Registrar las medidas provisionales, la exposición residual y las condiciones de escalado. Presentar el resultado y las pruebas al siguiente comité competente.

Si aceptas un riesgo temporalmente, registra la justificación, la autoridad, las condiciones y la fecha de vencimiento de esa aceptación. Es una decisión de gobierno: no elimina un incumplimiento legal. Un acta genérica que diga que el consejo «ha tomado nota del informe» explica poco sobre las preguntas críticas, las alternativas o el seguimiento.

1. Acuerda qué servicios se incluyen y relaciónalos con los requisitos aplicables y las responsabilidades internas.
2. Empieza con pocos indicadores y defínelos antes de automatizar la recogida de datos.
3. Asigna responsables de los datos y revisores, fija una fecha de corte y determina cómo tratar las pruebas que falten.
4. Contrasta un indicador de muestra con su fuente y comprueba que la explicación corresponde al resultado real.
5. Ensaya con una desviación ficticia y comprueba si la documentación permite tomar una decisión clara.
6. Registra la decisión, comunica la acción y verifica sus efectos en los informes siguientes.

Empieza con documentación fiable que los participantes puedan examinar críticamente. Automatiza la recogida cuando las definiciones sean estables. Para una base común en la supervisión por parte de los directivos, el curso «Formación DORA en ciberseguridad para administradores y directivos» ofrece ocho módulos y unas tres horas de estudio guiado. Intégralo en un programa más amplio de debates, práctica y seguimiento adaptados a la organización. Completarlo no demuestra, por sí solo, el cumplimiento normativo.