Respuesta ante Incidentes en DORA: Simulación Práctica en el Consejo

1. Evalúe las decisiones, no la capacidad de recitar la normativa

La difícil decisión del consejo en un incidente grave de tecnología rara vez es «¿Debemos tomarnos esto en serio?». Es más probable que sea si se detiene un servicio empresarial, se opera con controles reducidos, se financia una alternativa de emergencia o se hace una declaración al cliente cuando los hechos aún no están completos. Un simulacro expone estas tensiones antes de un incidente real.

DORA Artículos 17–19 aborda la gestión de incidentes, la clasificación y la notificación. El artículo 17 incluye la escalada a la alta dirección correspondiente y la información al órgano de administración acerca de incidentes graves, su impacto, respuesta y controles adicionales. Eso no convierte a la junta en el jefe operativo del incidente. El ejercicio debe comprobar si las responsabilidades y la escalada funcionan en conjunto.

Establece tres resultados prácticos: una decisión clara con responsable, una tarea de reporte con persona responsable y un registro que explique los hechos disponibles en su momento. No concedas un aprobado solo porque todo el mundo asistió. El resultado valioso puede ser descubrir que nadie puede acceder al portal de informes durante un fallo del sistema de identidad.

El ejercicio que aparece a continuación es material de formación ficticio. No sustituye a las pruebas técnicas de recuperación, a un programa completo de pruebas de resiliencia ni a las pruebas de penetración orientadas a amenazas. La duración de 90 minutos es un formato sugerido, no un mínimo regulatorio.

2. Separa la clasificación, urgencia y escalada al consejo

Un incidente puede requerir atención de la dirección antes de que se resuelva su clasificación reglamentaria. A su vez, un incidente mayor que deba notificarse puede requerir un aviso inmediato mientras el trabajo de recuperación ya progresa. No condicione ninguna decisión a la disponibilidad del responsable para aprobar una nota de prensa.

Las reglas de clasificación detalladas están en Reglamento Delegado (UE) 2024/1772. El artículo 8 combina los servicios críticos afectados con condiciones específicas de materialidad; no es una norma que cualquier interrupción técnica sea automáticamente un incidente mayor. Las normas también abordan incidentes recurrentes. Utilice una hoja de clasificación aprobada que aplique los criterios y umbrales reales, en lugar de improvisar una valoración semafórica durante la reunión.

Para el ejercicio, otorga a un participante de cumplimiento o riesgos la responsabilidad de recomendar la clasificación y sus hechos justificativos. Otorga al responsable del incidente la responsabilidad sobre las prioridades operativas. Otorga a un responsable de notificaciones autorizado la preparación y remisión de la comunicación correspondiente. Tu asignación real de autoridad puede diferir; déjala por escrito antes del primer “inject”.

• ¿Qué se sabe sobre los servicios, clientes, transacciones y datos afectados?
• ¿Qué es una estimación, qué la respalda y cuándo se actualizará?
• ¿Qué criterios de clasificación se cumplen, no se cumplen o siguen siendo inciertos?
• ¿Quién puede decidir y actuar si la persona normalmente responsable no está disponible?

Registra por separado la hora de reconocimiento real y la hora de clasificación. Un informe posterior a ejecutivos no reinicia el reloj de conocimiento. Igualmente, identificar un incidente y concluir que es grave son eventos distintos que requieren una cronología precisa.

3. Practica los cronómetros de reporte con un ejemplo resuelto

El siguiente resumen trata sobre el reporte de incidentes graves relacionados con las TIC bajo Artículo 5 del Reglamento Delegado (UE) 2025/301. Utilice el texto legal real y el proceso de notificación de incidentes de su autoridad competente.

En nuestro ejemplo ficticio, la detección ocurre el martes a las 09:00 y la clasificación como grave a las 10:00. El plazo normal de notificación inicial es a las 14:00 de ese martes, sujeto al deber de notificar cuanto antes. Si se presenta a las 11:30, el plazo de 72 horas para el informe intermedio concluye a las 11:30 del viernes. Una actualización posterior cambia el punto de referencia para el plazo de un mes del informe final. Un mes no equivale a 30 días.

No existe una pausa generalizada durante el fin de semana. Cuando sea aplicable, el artículo 5(4) permite la presentación hasta las 12:00 horas del siguiente día laborable si el plazo cae en fin de semana o festivo en el Estado miembro de la entidad declarante. El apartado 5 excluye las presentaciones iniciales e intermedias por parte de entidades de crédito, contrapartes centrales, operadores de centros de negociación y otras entidades financieras identificadas como esenciales o importantes bajo NIS2. Según el apartado 6, las autoridades también pueden excluir a otras entidades significativas o sistémicas tras notificárseles; esa decisión se aplica a los incidentes notificados después de la notificación. Confirme la aplicabilidad antes de confiar en la exención.

Si no puede cumplir un plazo, informe a la autoridad competente sin demora indebida y antes de la fecha límite correspondiente, explicando los motivos. Esto no implica una prórroga automática.

4. Prepara el espacio y las reglas del ejercicio

Invita a la presidencia o al delegado ejecutivo responsable de decisiones, a un responsable del servicio de negocio, al responsable del incidente, de riesgos o cumplimiento, legal, comunicación y a un secretario. Incluye un representante de gestión de proveedores cuando el servicio dependa de una plataforma externa. En una organización pequeña, una persona puede asumir varios roles, pero hay que dejar claras las responsabilidades.

Envíe un paquete de preparación breve: el servicio empresarial relevante, el mapa de escalado, los objetivos de recuperación, la vía de reporte, la lista de contactos actualizada y un registro de decisiones en blanco. Pida a los participantes que utilicen los procedimientos reales de la organización. El facilitador controla los hechos ficticios y el reloj del ejercicio. El anotador recoge las decisiones, no una transcripción de toda la conversación.

Mantén separado el tiempo del ejercicio del tiempo del escenario. Una discusión de cinco minutos puede representar una hora en el incidente ficticio, pero el facilitador debe anunciar el salto. Etiqueta cada mensaje y borrador como “EJERCICIO”. No envíes notificaciones de práctica a un regulador, cliente o proveedor salvo que se haya acordado su participación. Usa una ruta segura de envío ficticio.

Nuestra entidad ficticia ofrece un servicio de pagos al cliente a través de una plataforma de procesamiento externa. A las 09:00 del martes, operaciones detecta fallos en el procesamiento de pagos. La causa es incierta. Para este ejercicio, la organización ha considerado que la función soportada es crítica o importante. Aun así, los participantes deben aplicar los criterios de clasificación de incidentes graves; la sola etiqueta de función no determina ese resultado.

5. Sigue esta agenda de 90 minutos

Esta agenda prioriza la toma de decisiones frente a la presentación de diapositivas. El facilitador debe detener especulaciones técnicas prolongadas y solicitar una decisión, un requerimiento de información o un seguimiento identificado. No resuelva toda la incertidumbre para los participantes: decidir qué evidencia es necesaria forma parte del ejercicio.

Si se pospone una decisión, quien redacte el acta debe registrar quién volverá con qué pruebas y para cuándo. “Involucraremos al departamento legal” no es una acción finalizada si nadie identifica el contacto legal, la pregunta que debe responderse o el plazo disponible. El mismo estándar se aplica a “llamar al proveedor” y a “activar el plan de recuperación”.

6. Usa tres inyecciones que fuerzan un verdadero compromiso

Inyecte uno: el servicio está fallando, pero la causa es incierta

A la hora del escenario 09:15, los pagos fallidos van en aumento. El proveedor reconoce un problema en la plataforma pero no ofrece una estimación de recuperación. Algunos clientes están reintentando, lo que podría generar un problema de conciliación. El equipo de operaciones puede restringir temporalmente el procesamiento, pero hacerlo interrumpirá a los clientes que en este momento podrían no estar afectados.

Pregunte: ¿qué daño al cliente se está limitando y qué nuevo perjuicio podría crear la restricción? ¿Quién tiene autoridad para modificar el servicio? ¿Qué hechos mínimos se necesitan ahora? ¿Cómo distinguirá el equipo una transacción demorada de otra que debe repetirse? Se espera como resultado una decisión operativa acotada, un responsable definido y un momento de revisión, no una suposición sobre la causa técnica.

Inyecte dos: clasificación confirmada y el notificador habitual está ausente

A la hora del escenario 10:00, el facilitador presenta una evaluación que demuestra que se cumplen tanto la condición de servicios críticos afectados como los umbrales de materialidad aplicables. Para el ejercicio, el equipo autorizado clasifica el incidente como grave a las 10:00. El responsable habitual de notificaciones no está disponible. El sustituto nunca ha usado el portal de envío y no sabe si su acceso funciona.

Pida a los participantes que identifiquen la vía de notificación y completen una notificación inicial simulada utilizando la información disponible. Registre con honestidad los datos desconocidos y asigne su seguimiento. ¿Cuál es el plazo inicial? ¿Quién envía? ¿Quién confirma la recepción? ¿Puede la organización proceder sin esperar a otra reunión de consejo programada? Utilice Reglamento de Ejecución (UE) 2025/302 para las plantillas y procedimientos de reporte; un registro de decisiones de ejercicios no sustituye el formulario regulatorio.

Inyecte tres: el proveedor afirma que el servicio ha vuelto, pero la confianza es incompleta

A la hora del escenario 11:15, el proveedor informa que el procesamiento se ha restablecido. La conciliación interna todavía no ha confirmado que los intentos duplicados se hayan gestionado correctamente. Un cliente principal solicita una declaración pública asegurando que ningún registro se ha visto afectado. El responsable del servicio propone reabrir inmediatamente; el líder del incidente quiere una validación adicional.

Pregunte qué evidencia respalda la reapertura y quién puede aceptar cualquier riesgo operativo residual. ¿Puede el servicio reabrirse en fases? ¿Qué pueden afirmar con precisión las comunicaciones actualmente? ¿Qué actualización necesita la autoridad competente? Establezca condiciones para la vuelta a la normalidad, un validador posterior y una próxima sesión informativa específica. No recompense la reapertura más rápida si los participantes no pueden explicar cómo se comprobarán los registros de los clientes.

7. Mantén un registro de decisiones que muestre el razonamiento

Un buen registro permite reconstruir por qué se tomó una decisión razonable con información incompleta. Debe distinguir una decisión de un supuesto e identificar quién puede cambiarla. El siguiente ejemplo es ficticio e ilustra un método de registro, no una respuesta recomendada para cualquier incidente de pago.

Incluye las marcas de tiempo de conciencia, clasificación y envío en la cronología del incidente junto con el registro. Usa siempre la misma zona horaria. Conserva la fuente de hechos importantes y mantén las estimaciones previas cuando cambien. Un número de impacto al cliente corregido no debe sobrescribir silenciosamente el dato sobre el que se basó la decisión original.

8. Convierte las observaciones en un rastreador de acciones basado en evidencias

Comience el análisis con observaciones: ¿qué decisión se retrasó, qué dato no se pudo obtener y qué proceso no se pudo demostrar? Evite conclusiones generales como “la comunicación fue deficiente” sin un ejemplo. Pregunte a los participantes qué decisiones habría cambiado si el incidente hubiera empezado fuera del horario habitual o hubiera afectado a sus herramientas habituales de colaboración.

Conserva la versión del escenario, la asistencia y roles, decisiones materiales, hoja de clasificación, notificaciones simuladas, brechas observadas y decisiones de seguimiento. Protege el expediente según su sensibilidad. El propósito es el aprendizaje organizativo útil, no la difusión innecesaria de información real de clientes o secretos de proveedores.

Estos objetivos son decisiones ilustrativas de gestión, no plazos legales. Asigne un responsable para el cierre y conserve el riesgo residual no resuelto. Integre los hallazgos relevantes en el panel de informes para la junta. Si el ejercicio revela una dependencia externa sin alternativa creíble, utilice el guía de riesgos de terceros para vincular el hallazgo con los contratos, la concentración y la planificación de salida.

9. Conecta el aprendizaje ejecutivo con la próxima repetición de la prueba

El seguimiento más útil es un ejercicio más reducido que demuestre que se ha corregido una debilidad. Si la primera sesión expuso un problema de acceso a informes, demuestre el canal del suplente. Si mostró dudas sobre la reapertura de un servicio, prueba de nuevo las condiciones de aprobación. Repetir la misma presentación con carencias sin resolver apenas aporta garantías nuevas.

Utiliza el Guía de requisitos de formación para el consejo bajo DORA para conectar el ejercicio con el aprendizaje continuo del órgano de gestión. BlueTeam Academy Curso de Formación para Consejos y Ejecutivos DORA introduce los conceptos de gobernanza para los equipos de dirección de entidades financieras dentro del alcance de DORA. La finalización del curso o el registro de asistencia no demuestra el cumplimiento organizativo. Combina esa base con tu propio contexto de servicio, decisiones observadas y mejoras verificadas.