Reevaluación de las copias de seguridad y la recuperación ante desastres para las organizaciones sujetas a la normativa de la UE: conciliar la DORA, la NIS2 y la soberanía de los datos

En muchos mercados, pero especialmente en los mercados regulados de la UE, la recuperación ante desastres está pasando de ser, como era habitual, una mera función de TI a convertirse en una obligación de cumplimiento normativo con un peso financiero y jurídico real.  

La introducción de DORA y NIS2 transforma el «tenemos un plan» en un «demuestra que funciona», mientras que la soberanía de los datos añade una tercera presión que la mayoría de las directrices ignoran por completo; más detalles al respecto a continuación.  

En definitiva, este artículo ofrece a los directores técnicos (CTO), a los responsables de seguridad de la información (CISO) y a los responsables de TI un marco práctico para reevaluar su situación actual en relación con estos ámbitos normativos, con listas de verificación claras y los pasos a seguir al final del artículo. 

En resumen, hemos incluido unas listas de comprobación y una sección de preguntas frecuentes al final del artículo. Vamos a ello. 

Lo que encontrarás en este artículo: 

• A quién se aplica realmente esto  

• Definiciones clave en la planificación de la recuperación ante desastres 

• ¿Qué ha cambiado realmente con la DORA y la NIS2? 

• La verdadera brecha: el cumplimiento sobre el papel frente a la resiliencia en la práctica 

• La disyuntiva entre soberanía y resiliencia de la que nadie habla 

• Riesgos relacionados con proveedores y terceros: la dimensión del cumplimiento normativo que se suele pasar por alto 

• Reevaluación de tu estrategia de recuperación ante desastres 

• Preguntas frecuentes 

A quién (o a qué sectores) se aplica realmente esto 

La Ley DORA (Ley de Resiliencia Operativa Digital) se aplica alas entidades financierasque operan en la UE y a sus proveedores de TIC críticos. Por su parte, la Directiva NIS2 se aplica a las entidades esenciales e importantes de dieciocho sectores, entre los que se incluyen la energía, la sanidad, el transporte y las infraestructuras digitales.  

Muchas organizaciones reguladas están sujetas a ambos regímenes a la vez, sobre todo cuando sus servicios o cadenas de suministro abarcan varios sectores. 

Esta superposición supone un escollo para más organizaciones de las que cabría esperar.  

¿Se aplica la DORA a las empresas no financieras? 

No directamente.La normativa DORA está dirigida a las entidades financierasy a los proveedores de TIC que prestan servicios a estas.  

Una empresa de pagos es una entidad financiera a efectos de la DORA, pero también puede considerarse una infraestructura digital o un proveedor de servicios gestionados a efectos de la NIS2.  

De acuerdo con el ámbito deaplicación del artículo 2, apartado 2, letra c),un grupo hospitalario está obligado a cumplir la directiva NIS2 para el sector sanitario. No obstante, si gestiona los pagos a través de un intermediario financiero regulado, algunos aspectos de los requisitos de DORA en materia de riesgos de las TIC pueden seguir afectándole a nivel contractual, aunque el propio hospital no sea una entidad financiera. 

Ámbito de aplicación de DORA 

La DORA es aplicada conjuntamente por las Autoridades Europeas de Supervisión —la ABE, la AEVM y la AEPO— y abarca unas veinte categorías de entidades financieras, entre las que se incluyen: 

• Entidades de crédito y de pago 

• Empresas de inversión y gestores de activos 

• Empresas de seguros y reaseguros 

• Proveedores de servicios relacionados con criptoactivos 

• Mercados de negociación y contrapartes centrales 

• Proveedores externos de TIC de carácter crítico que presten servicios a cualquiera de los anteriores 

¿Están exentas de la DORA las pequeñas entidades financieras? 

No. Las entidades más pequeñas se benefician de un marco simplificado, no de una exención. Por ejemplo, una pequeña empresa de inversión no tendrá que cumplir las mismas obligaciones que un banco de importancia sistémica, pero sí se le aplicarán los requisitos fundamentales en materia de gestión de riesgos de las TIC y notificación de incidentes. 

En esencia, la obligación fundamental sigue siendo la misma para todos: gestionar los riesgos relacionados con las TIC, mantener un plan de continuidad del negocio y de recuperación ante desastres, e informar de los incidentes graves dentro de los plazos establecidos. 

Ámbito de aplicación de la NIS2 

La NIS2 clasifica a las organizaciones en dos categorías: entidades esenciales y entidades importantes. Esta distinción depende principalmente del sector y del tamaño, más que de una lista única y fija. 

Los proveedores de servicios en la nube, los operadores de centros de datos y las empresas de servicios de TI gestionados entran dentro de la categoría de «infraestructura digital» de la Directiva NIS2. Si tu organización depende de uno de estos proveedores, su nivel de cumplimiento pasa a formar parte de tu propio panorama de riesgos, y no solo del suyo.  

¿Cuál es la diferencia entre una entidad esencial y una entidad importante según la NIS2? 

Las entidades esenciales están sujetas a una supervisión directa, que incluye auditorías proactivas. Las entidades importantes se supervisan de forma reactiva, normalmente solo tras un incidente o una reclamación. Ambas tienen obligaciones fundamentales similares en materia de gestión de riesgos y continuidad del negocio, pero el nivel de supervisión regulatoria difiere. 

Por qué es importante tener esto en cuenta antes de seguir adelante 

La definición del alcance es el punto en el que se estancan muchas revisiones de recuperación ante desastres. Los equipos suelen dar por sentado que están cubiertos por la normativa más visible en su sector y pasan por alto por completo las demás. Una forma rápida de comprobarlo: 

• Es probable que entres en el ámbito de aplicación de la DORA si eres una entidad financiera o si prestas servicios de TIC esenciales a una de ellas. 

• Es probable que entres en el ámbito de aplicación de la NIS2 si operas en uno de los dieciocho sectores enumerados, cumples los umbrales de tamaño pertinentes y dependes de redes y sistemas de información para prestar tus servicios. 

• Podrías estar sujeto a ambas normas si eres una entidad financiera que también cumple los requisitos para ser considerada infraestructura digital o proveedor de servicios gestionados, o si tu cadena de suministro abarca varios sectores. 

La transposición nacional añade una variable más. Las autoridades nacionales se encargan de su aplicación a nivel local; por ejemplo, la BaFin en Alemania, la CSSF en Luxemburgo, la ACPR en Francia y la DNB en los Países Bajos. Dado que la NIS2 es una directiva, cada Estado miembro elabora su propia legislación.La «Cyberbeveiligingswet» de los Países Bajoses un ejemplo de su interpretación en el ámbito de la ciberseguridad.  

Los umbrales exactos, los plazos y los mecanismos de aplicación pueden variar según el país, aunque las obligaciones subyacentes estén armonizadas a nivel de la UE.  

La DORA funciona de forma diferente: al tratarse de un reglamento, se aplica de forma directa y uniforme en todos los Estados miembros, sin necesidad de transposición a la legislación nacional. Esa es una de las razones por las que las entidades financieras suelen considerar que los requisitos de la DORA son más concretos a la hora de cumplir con ellos que los de la NIS2. 

¿Qué normativa debo consultar primero?
Empieza por tu sector. Insistimos: las entidades financieras deben consultar primero la DORA y, a continuación, evaluar si alguna parte de su actividad también entra dentro del ámbito de aplicación de la NIS2. Las organizaciones ajenas al sector financiero deben consultar primero la lista de sectores y los umbrales de tamaño de la NIS2. 

En definitiva, el cumplimiento normativo influye cada vez más en casi todas las decisiones posteriores de tu estrategia de copias de seguridad y recuperación ante desastres, desde las pruebas hasta el lugar en el que se pueden almacenar legalmente los datos de recuperación.  

Si no estás seguro de qué régimen se aplica, es importante aclarar esta cuestión lo antes posible. Asegúrate de coordinarte con tu equipo jurídico o de cumplimiento normativo. 

Antes de profundizar en las implicaciones concretas de cada marco normativo, repasemos rápidamente algunos términos clave que debes conocer a la hora de planificar la recuperación ante desastres. 

Definiciones clave en la planificación de la recuperación ante desastres 

Si tienes experiencia en la planificación de la recuperación ante desastres, probablemente puedas saltarte esta sección. Sin embargo, para aquellos que no la tengan, a continuación se detallan los conceptos clave y la terminología con los que debes familiarizarte. 

Hay cuatro conceptos clave que constituyen el núcleo de cualquier plan de recuperación ante desastres:  

Objetivo de tiempo de recuperación (RTO) 

El RTO es el tiempo de inactividad máximo aceptable antes de que una interrupción del servicio resulte perjudicial. 

Objetivo de punto de recuperación (RPO) 

El RPO es la pérdida máxima de datos que una empresa puede tolerar, medida en tiempo y no en volumen. 

Análisis del impacto en el negocio (BIA)  

El BIA es el proceso que consiste en identificar qué sistemas son los más importantes y qué ocurre si fallan. 

Inmutabilidad 

La inmutabilidad significa que los datos de las copias de seguridad no pueden ser modificados ni eliminados por nadie, ni siquiera por un administrador, lo que impide que un ataque de ransomware afecte a tu última copia limpia. 

Nota: La inmutabilidad protege los datos frente a posibles alteraciones, pero no aclara quién puede acceder al entorno de copia de seguridad en primer lugar. La gestión del acceso —que consiste en controlar y registrar quién dispone de credenciales para acceder a los sistemas de copia de seguridad y recuperación— es un control independiente, y los auditores lo comprueban cada vez más junto con la inmutabilidad, en lugar de en su lugar. 

¿Cómo se traduce esto en un ejemplo real de recuperación ante desastres?  

Un sistema bancario central con un RPO de 15 minutos requiere que las copias de seguridad se realicen al menos cada 15 minutos. Ya que, si el intervalo es mayor, se corre el riesgo de perder más datos de los que la empresa puede asumir.  

Si ese mismo sistema tiene un RTO de 1 hora, el propio proceso de recuperación —y no solo la programación de las copias de seguridad— debe restablecer su pleno funcionamiento en un plazo de 60 minutos desde que se declare la interrupción del servicio.  

Los términos «copia de seguridad», «recuperación ante desastres» y «continuidad del negocio» se utilizan de forma imprecisa en el lenguaje cotidiano, pero los organismos reguladores y los auditores los tratan de manera muy diferente. Vale la pena tener en cuenta esa distinción.  

Otro término que verás aparecer con frecuencia es el de «proveedor externo crítico de TIC» (CTPP). Se trata de un proveedor cuyo fallo podría provocar daños sistémicos en todos tus servicios.  

En el marco de la DORA, estos proveedores están sujetos a la supervisión directa de las autoridades de la UE, en lugar de a la supervisión que ejercen únicamente sus clientes. Si tu proveedor de recuperación ante desastres pudiera considerarse razonablemente un CTPP, esa condición modificaría lo que debe incluir tu contrato con él, lo cual es un aspecto que conviene tener en cuenta cuando se evalúen a los proveedores, más que las definiciones. 

¿Qué ha cambiado realmente con la DORA y la NIS2? 

La DORA y la NIS2 han convertido la recuperación ante fallos y desastres en una obligación reglamentaria de cumplimiento obligatorio, que incluye requisitos de pruebas, plazos estrictos de presentación de informes y sanciones económicas. La DORA se aplica directamente en toda la UE desde enero de 2025. La NIS2 entró en vigor en octubre de 2024, aunque su transposición a la legislación nacional sigue siendo desigual entre los Estados miembros. 

Requisitos de DORA en materia de gestión de riesgos de las TIC, pruebas y notificación de incidentes 

Los artículos 11 y 12 de la DORA exigen a las entidades financieras que dispongan de políticas de continuidad de las actividades de las TIC, planes de recuperación ante desastres y políticas de copias de seguridad. Estas deben someterse a pruebas periódicas y actualizarse tras cada interrupción, prueba de resiliencia o constatación de una deficiencia en una auditoría. Los artículos 17 a 23 van más allá y establecen un régimen estricto de notificación de incidentes: los incidentes graves relacionados con las TIC deben clasificarse según criterios definidos y notificarse a los organismos reguladores en cuestión de horas. 

El artículo 21 de la Directiva NIS2 y la obligación de garantizar la continuidad de las actividades 

El artículo 21, apartado 2, letra c), de la Directiva NIS2exige a las entidades esenciales e importantes que establezcan medidas de continuidad de la actividad, que abarquen la gestión de copias de seguridad, la recuperación ante desastres y la gestión de crisis, como parte de un enfoque más amplio de gestión de riesgos que contemple todo tipo de amenazas. 

El papel del RGPD junto con la DORA y la NIS2 

El RGPD no establece directamente requisitos en materia de recuperación ante desastres, pero sí limita los lugares en los que, legalmente, se pueden restaurar y tratar las copias de seguridad de los datos personales. Un plan de recuperación que restaure los datos personales en una jurisdicción que carezca de una decisión de adecuación o de un mecanismo de transferencia válido puede cumplir los requisitos de continuidad del negocio de la DORA o la NIS2, pero seguir constituyendo un incumplimiento del RGPD.  

Merece la pena comprobarlo específicamente en el caso de cualquier región de recuperación situada fuera del Espacio Económico Europeo (EEE). 

DORA frente a NIS2: resumen 

El papel de las normas ISO 22301, ISO 27001 y TIBER-EU 

Ninguna de las dos normativas exige el cumplimiento de la norma ISO 22301 ni de la ISO 27001, pero ambas se ajustan en gran medida a lo que esperan los auditores, por lo que conviene adoptarlas como marco de trabajo en lugar de considerarlas elementos opcionales.  

DORA también introduce las pruebas de penetración basadas en amenazas (TLPT) en el marco de TIBER-EU. Esto exige a las entidades más grandes y críticas que simulen ataques reales en sistemas en funcionamiento, yendo mucho más allá de un simple ejercicio teórico. 

Sanciones y cumplimiento de la ley: ¿qué está realmente en juego? 

Los consejos de administración suelen reaccionar más rápidamente ante las cifras que ante los riesgos abstractos. Aquí tienes algunas que conviene tener a mano para justificar los cambios en tu infraestructura: 

• Las multas de la DORApueden ascender a 10 millones de euros o al 5-10 % de la facturación anual, lo que sea mayor. 

• Las multas previstas en el NIS2pueden ascender a 10 millones de euros o al 2 % de la facturación global en el caso de las entidades esenciales, y a 7 millones de euros o al 1,4 % en el caso de las entidades importantes. 

• Ambos regímenes permiten la imposición de nuevas sanciones, incluida la suspensión temporal de los servicios 

En resumen, tanto la DORA como la NIS2 establecen que un plan de recuperación que nunca haya sido sometido a pruebas independientes no solo constituye una deficiencia operativa, sino también un riesgo financiero y de cumplimiento para la empresa.  

La verdadera brecha: el cumplimiento sobre el papel frente a la resiliencia en la práctica 

Un plan de recuperación ante desastres puede cumplir todos los requisitos normativos establecidos por la DORA o la NIS2 y, aun así, fallar cuando más importa.  

El cumplimiento garantiza que existan las políticas, los contratos y los registros de pruebas.  

La resiliencia garantiza que los sistemas se recuperen efectivamente en el plazo acordado, con los datos acordados intactos.  

Se trata de cuestiones distintas, y es precisamente al tratarlas como si fueran una sola donde se esconden la mayoría de las lagunas. 

Ejemplo: Una empresa supera su auditoría anual con un plan perfectamente documentado, unos RTO y RPO aprobados, y varios años de ejercicios de simulación archivados. Entonces se produce un incidente real de ransomware, y la conmutación por error tarda catorce horas, frente a un RTO establecido de cuatro.  

La última prueba de restauración completa solo abarcó un subconjunto de sistemas, no el entorno de producción bajo carga real. La documentación era correcta. El plan, sencillamente, nunca se había puesto a prueba. 

5 indicios de que un plan cumple con la normativa, pero no es resiliente 

• Las pruebas consisten únicamente en ejercicios de simulación basados en debates o revisiones de planes, sin que se lleve a cabo una restauración completa en condiciones similares a las de producción. 

• Los RTO y los RPO existen sobre el papel, pero no se han contrastado con los tiempos de recuperación reales de los últimos doce meses. 

• Se da por sentada la integridad de la copia de seguridad, pero no se verifica, ya que no existe una comprobación independiente de que los datos restaurados estén en buen estado y sean utilizables. 

• La documentación sobre la recuperación no se ha actualizado desde el último cambio en la infraestructura. 

• No hay un responsable designado para las decisiones que se toman durante la primera hora de un incidente, lo que supone una deficiencia tanto en materia de gobernanza como en el ámbito técnico. 

La resiliencia física se pasa por alto de la misma manera. Un plan puede superar todos los controles documentales aunque tanto el centro principal como el de recuperación se encuentren conectados a la misma red eléctrica o situados en la misma zona inundable, una laguna que solo se hace evidente cuando es una interrupción física —y no un ciberataque— lo que provoca la caída de los sistemas. 

Lo que realmente buscan los auditores y los organismos reguladores 

Los auditores ahora solicitan pruebas en lugar de garantías, entre las que se incluyen:  

• Restaurar registros 

• Resultados de las pruebas con marca de tiempo 

• Líneas claras que van desde una prueba concreta hasta una solución concreta 

Un plan que refleje una intención, pero que no arroje resultados, sigue considerándose una carencia, por muy bien que quede sobre el papel. 

Las organizaciones que logran cerrar esta brecha más rápidamente dejan de preguntarse si cuentan con un plan de recuperación ante desastres y empiezan a preguntarse cuándo fue la última vez que comprobaron que funciona y ante qué tipo de situaciones.  

Es precisamente en esa segunda cuestión donde entra en juego una auditoría de recuperación ante desastres, pero ya hablaremos de ello más adelante.  

La disyuntiva entre soberanía y resiliencia de la que nadie habla 

La disyuntiva es la siguiente: la configuración de recuperación ante desastres que permite restaurar los datos más rápidamente no suele ser la que mantiene tus datos bajo la jurisdicción de la UE, y son pocas las organizaciones que eligen deliberadamente entre ambas opciones.  

La normativa impulsa una recuperación rápida y flexible, independientemente de dónde se encuentre esa capacidad.  

Las expectativas en materia de soberanía apuntan en la dirección contraria, favoreciendo unas infraestructuras que permanezcan bajo el control de la UE, aunque ello suponga una recuperación más lenta o costosa.  

La mayoría de los consejos sobre recuperación ante desastres ignoran por completo este conflicto, como si la rapidez y la soberanía siempre fueran compatibles. En la práctica, a menudo no lo son, y la elección de la región de recuperación es precisamente donde surge esa tensión. 

Residencia de datos, soberanía de datos y localización de datos 

Antes de poder elegir una región de recuperación de forma acertada, conviene tener claro contra qué te estás protegiendo realmente, ya que estos tres términos se suelen considerar sinónimos, aunque no lo son.  

Residencia de los datos 

Significa que los datos se almacenan en una ubicación determinada, lo cual es el requisito más fácil de cumplir y el más fácil de cumplir sin darse cuenta de que no se ha ido lo suficientemente lejos.  

Soberanía de los datos 

Los datos siguen estando sujetos a la legislación de dicha jurisdicción, independientemente de quién sea el propietario de la infraestructura o de dónde tenga su sede la empresa matriz.  

Localización de datos 

Un requisito legal estricto según el cual determinados datos deben permanecer dentro de un país o una región, sin excepciones.  

Esta distinción tiene una repercusión directa en la recuperación ante desastres, ya que una copia de seguridad puede estar alojada en uncentro de datos de la UEy, aun así, no superar una prueba de soberanía si el proveedor que la gestiona sigue estando legalmente sujeto a la jurisdicción de un gobierno extranjero en virtud de la legislación de su país de origen. 

Nube soberana frente a hiperescaladores frente a híbrida 

Esa diferencia entre residencia y soberanía es precisamente lo que determina la elección entre los tres modelos de infraestructura disponibles para un complejo de recuperación. 

Ninguno de estos modelos es adecuado en todos los casos, pero para la recuperación ante desastres en el mercado regulado de la UE,la nube soberanasuele ser el punto de partida más sólido. Cubre por completo la brecha de soberanía, y la brecha de madurez de las herramientas que antes la separaba de los hiperescaladores se ha reducido considerablemente, a medida que los proveedores han perfeccionado sus capacidades de recuperación y conmutación por error específicamente para cargas de trabajo reguladas. 

Un hiperescalador ofrece velocidad y escala puras, pero vuelve a plantear la cuestión jurisdiccional con la que se iniciaba esta sección, algo que conviene sopesar cuidadosamente en lugar de optar por ello por comodidad. 

Las configuraciones híbridas son la forma en que muchas organizaciones reguladas logran este equilibrio en la práctica, manteniendo las cargas de trabajo reguladas en una infraestructura soberana, mientras que las cargas de trabajo de recuperación, que son realmente de menor sensibilidad, se canalizan a través de un hiperescalador.  

Sin embargo, para la mayoría de las organizaciones sujetas a regulación, la vía más segura y sostenible consiste en desarrollar desde el principio el entorno de recuperación sobre una infraestructura soberana, y considerar el uso de los hiperescaladores como una excepción que debe justificarse, en lugar de como la norma a la que la soberanía tiene que adaptarse. 

Lista de verificación para decidir dónde se almacenarán los datos de recuperación 

Teniendo en cuenta esa disyuntiva, la cuestión práctica no es qué modelo es el mejor en teoría, sino cuál se adapta mejor a tus obligaciones específicas en materia de recuperación. Antes de decidirte por una región o un proveedor de recuperación, analiza lo siguiente: 

• ¿Qué normativa —DORA, NIS2 o su equivalente nacional— determina realmente sus requisitos de soberanía, y abarca todo el entorno informático o solo sistemas específicos? 

• Independientemente de si la empresa matriz de tu proveedor está sujeta a solicitudes de acceso legales procedentes del extranjero, con independencia de la ubicación física de los servidores 

• Si un modelo híbrido —que combine una infraestructura soberana para los datos regulados y un hiperescalador para todo lo demás— satisface tanto los requisitos de cumplimiento normativo como las necesidades en materia de tiempo de recuperación. 

• Cuál es, concretamente, la diferencia real en cuanto a costes y rendimiento para tus cargas de trabajo de recuperación, comprobada con cifras reales en lugar de suposiciones 

Pocas organizaciones toman esta decisión de forma consciente en lo que respecta a sus recursos de recuperación ante desastres. Por lo general, se trata de una situación heredada del proveedor que se eligió hace años, mucho antes de que existieran la DORA o la NIS2, y que rara vez se revisa una vez tomada la decisión original. Revisar esta cuestión de forma deliberada, centrándose específicamente en los datos de recuperación y no en el conjunto del entorno, es uno de los pasos más ignorados en una verdadera reevaluación de la recuperación ante desastres. 

Otro aspecto que suele pasarse por alto: el riesgo asociado a terceros. 

Riesgos relacionados con proveedores y terceros: la dimensión del cumplimiento normativo que se suele pasar por alto 

Como ya se ha mencionado anteriormente en este artículo, según la mayoría de las normativas, cualquier fallo en la recuperación ante desastres sigue siendo responsabilidad de tu organización, incluso cuando es un proveedor quien gestiona la infraestructura.  

Son las autoridades reguladoras las que te hacen responsable, no tu proveedor,incluso si un CTPP crítico provoca la interrupción del servicio. Por eso, los contratos con los proveedores, y no solo la arquitectura técnica, también deben formar parte del debate sobre el cumplimiento normativo. 

Requisitos de DORA en los contratos con terceros en materia de TIC 

De conformidad conlos artículos 28 a 30 de la DORA, los contratos de TIC deben cumplir una serie de requisitos específicos. Entre ellos se incluyen unos niveles de servicio claros, derechos de auditoría, cláusulas de rescisión y la obligación de cooperar en caso de incidentes. Si un proveedor pudiera ser designado razonablemente como CTPP, su contrato deberá reflejarlo, ya que los CTPP están sujetos a la supervisión directa de las autoridades de control de la UE, además de lo que establezca su propio acuerdo. 

¿Qué ocurre si nuestro proveedor de recuperación ante desastres (DR) es designado como CTPP? 

Aunque estén bajo la supervisión directa de las autoridades de la UE, su organización sigue teniendo la obligación de cumplir con la normativa. La designación añade un nivel adicional de supervisión, pero no exime de su responsabilidad. 

DRaaS frente a la coubicación 

La elección entre la recuperación ante desastres como servicio y la coubicación suele depender de tres factores:  

1. Con qué rapidez necesitas recuperarte 
2. Cuánta experiencia se puede mantener a nivel interno 
3. ¿Qué grado de control necesitas sobre la ubicación de los datos? 

El modelo DRaaS es adecuado para las empresas que buscan rapidez sin tener que desarrollar ellas mismas la capacidad necesaria, siempre y cuando se hayan resuelto adecuadamente con el proveedor las cuestiones relativas a la soberanía mencionadas anteriormente en este artículo.  

La coubicación resulta adecuada para aquellas empresas que necesitan un mayor control sobre la ubicación de los datos, en las que la infraestructura debe permanecer de forma identificable dentro de una jurisdicción específica, en lugar de ser gestionada íntegramente por un tercero. 

Cualquiera de las dos opciones puede generar, sin que uno se dé cuenta, una dependencia del proveedor si no se negocian desde el principio las condiciones de rescisión. Un contrato de DRaaS sin una vía de salida clara y probada te deja dependiente de las herramientas de recuperación propias de un único proveedor, lo cual es precisamente la cuestión de control operativo que conviene resolver antes de firmar, y no después de que se produzca un incidente. 

¿Cumple el DRaaS con los requisitos de DORA y NIS2?
Puede cumplirlo, siempre que el contrato cumpla los requisitos de DORA relativos a terceros y el proveedor pueda demostrar que ha realizado pruebas de recuperación, y no se limite únicamente a ofrecer copias de seguridad alojadas. 

Proporcionalidad para las entidades más pequeñas 

Según elMarco simplificado de gestión de riesgos de las TIC, las empresas reguladas de menor tamaño tienen obligaciones simplificadas, pero no están exentas. La obligación de gestionar el riesgo de terceros sigue siendo aplicable, adaptada al tamaño y la complejidad de la empresa. 

Seguro cibernético y pruebas de verificación 

Las aseguradoras exigen cada vez más pruebas de que se han realizado recientemente pruebas de recuperación con resultados satisfactorios antes de suscribir una póliza. Esto hace que las pruebas resulten útiles desde el punto de vista comercial, y no sean solo una formalidad reglamentaria. 

Reevaluación de tu estrategia de recuperación ante desastres 

Reevaluar la recuperación ante desastres implica analizar seis aspectos que se han mencionado a lo largo de este artículo: la ubicación de los datos y la jurisdicción, los riesgos legales y normativos, el control operativo y la dependencia de un único proveedor, la continuidad del negocio y la resiliencia física, la gobernanza, el cumplimiento normativo y la preparación en materia de soberanía, y la seguridad y la gobernanza del acceso.  

La mayoría de las organizaciones comprueban uno o dos de estos aspectos cada vez, por lo que las deficiencias pasan desapercibidas hasta que un incidente o una auditoría obligan a plantearse la cuestión. 

Estas áreas interactúan más de lo que parece a primera vista.  

Una gestión deficiente suele ocultarse tras una sólida documentación técnica, ya que nadie ha comprobado si el plan se mantiene firme ante las dificultades.  

La dependencia de un proveedor puede socavar silenciosamente un compromiso de residencia, si la empresa matriz de dicho proveedor sigue estando sujeta a la legislación extranjera, independientemente de la ubicación física de los servidores. 

¿Podemos evaluar nosotros mismos las seis áreas?
Algunas organizaciones pueden hacerlo, pero una revisión independiente suele sacar a la luz los problemas más rápidamente, ya que los equipos internos suelen dar por sentado que los controles funcionan en lugar de comprobarlos directamente. 

Teniendo esto en cuenta, a continuación te presentamos seis preguntas que debes plantearte a la hora de reevaluar las estrategias de copias de seguridad y recuperación ante desastres. 

Las 6 preguntas que debes hacerte antes de tu próxima auditoría 

• ¿Dónde se almacenan legalmente los datos de recuperación y bajo qué jurisdicción? 

• ¿Cuál es el riesgo real si no se cumplen los requisitos de DORA, NIS2 o su equivalente nacional? 

• ¿En qué medida depende la recuperación de un único proveedor y cuánto costaría cambiar de proveedor? 

• ¿Se ha probado alguna restauración completa en condiciones similares a las de producción durante el último año? 

• ¿Hay un responsable designado para cada fase de la recuperación, con pruebas que lo demuestren? 

• ¿Quién puede acceder a los sistemas de copia de seguridad? ¿Y está ese acceso debidamente regulado? 

¿Con qué frecuencia debemos reevaluar nuestra estrategia de recuperación ante desastres?
Al menos una vez al año, y de inmediato tras cualquier fusión, cambio importante en la infraestructura o nuevo plazo normativo. Un análisis de impacto en el negocio (BIA) que no se revise durante un periodo superior a ese tiende a desfasarse respecto a las prioridades empresariales actuales. 

Cómo priorizar las carencias una vez que las hayas detectado 

No todas las deficiencias tienen la misma importancia. Empieza por cualquier aspecto relacionado con el riesgo legal o la recuperación no probada, ya que son los dos que tienen más probabilidades de salir a la luz durante un incidente real o una auditoría. A continuación vienen las deficiencias en materia de gobernanza y acceso, ya que suelen ser más baratas de solucionar, pero es fácil pasarlas por alto. La dependencia de un proveedor suele ser la que más tiempo lleva resolver, así que señálala cuanto antes, aunque la abordes en último lugar. 

Conclusión 

La recuperación ante desastres de las copias de seguridad en un mercado regulado de la UE se encuentra ahora en la encrucijada de tres presiones distintas:  

1. Demostrar la resiliencia en el marco de DORA y NIS2 
2. Mantener los datos de recuperación dentro de la jurisdicción adecuada 
3. Gestionar el riesgo asociado a los proveedores que conllevan ambas situaciones.  

Si no estás seguro de cómo respondería tu configuración actual, no dudes en ponerte en contacto con el equipo de Ilkari para analizar tus necesidades de recuperación ante desastres, ya sea en la nube o en coubicación.