A partir del 17 de enero de 2025, la Ley de Resiliencia Operativa Digital (DORA) de la UE es completamente exigible. Para bancos, aseguradoras, empresas de inversión, procesadores de pagos y cientos de otras entidades financieras que operan en la UE, la era de la autocertificación en resiliencia digital ha terminado.

DORA introduce requisitos vinculantes y específicos para gestión de riesgo ICT, clasificación e informe de incidentes, pruebas de resiliencia operativa digital y gestión de riesgo de terceros. El incumplimiento expone a las empresas a acción supervisora, multas significativas y — críticos — responsabilidad personal para la gestión senior.

El monitoreo de la dark web no se menciona por nombre en DORA. Pero cuando lee lo que DORA realmente requiere, queda claro que la inteligencia de amenaza continua de la dark web es uno de los controles técnicos más directos disponibles para cumplir con las obligaciones centrales de la regulación.

Esta guía explica exactamente cómo.

Qué es DORA y a quién aplica

La Ley de Resiliencia Operativa Digital (Regulación UE 2022/2554) establece un marco unificado para la resiliencia operativa digital en todo el sector financiero de la UE. A diferencia de una directiva (que debe ser transpuesta a la ley nacional), DORA es una regulación — se aplica directa y uniformemente en todos los estados miembros de la UE.

DORA aplica a:

• Instituciones de crédito (bancos)
• Instituciones de pago e instituciones de dinero electrónico
• Empresas de inversión
• Proveedores de servicios de criptoactivos (CASPs)
• Entidades de seguros y reaseguros
• Fondos de pensiones y gestores de activos
• Agencias de calificación de crédito
• Firmas de auditoría
• Proveedores de servicios de terceros ICT designados como "críticos" por reguladores

Si su organización proporciona servicios a cualquiera de los anteriores, también puede estar sujeta a requisitos de DORA directamente o a través de obligaciones contractuales impuestas por sus clientes.

Los cinco pilares de DORA y dónde encaja el monitoreo de la dark web

Pilar 1: Gestión de riesgo ICT (Artículos 5–16)

DORA requiere que las entidades financieras implementen un marco integral de gestión de riesgo ICT que incluya:

• Identificación continua de todos los riesgos relacionados con ICT
• Medidas de protección y prevención proporcionales a los riesgos identificados
• Capacidades de detección para identificar actividades anómalas
• Procedimientos de respuesta y recuperación con RPOs y RTOs definidos
• Aprendizaje y evolución — actualizar evaluaciones de amenaza basadas en inteligencia nueva

El monitoreo de la dark web apoya este pilar directamente. La regulación requiere que las empresas implementen procesos para detectar incidentes relacionados con ICT, incluyendo "actividades ICT anómalas." Las credenciales que aparecen en mercados de la dark web, actores de amenaza discutiendo la infraestructura de su empresa o registros de robo revelando sesiones de empleados comprometidas son exactamente el tipo de señales pre-incidente que los requisitos de detección de DORA están diseñados para atrapar.

Bajo el Artículo 10, las empresas deben tener la capacidad de detectar actividades anómalas "tan rápidamente como sea posible." El monitoreo de la dark web en tiempo real — con alertas activadas dentro de minutos de un nuevo hallazgo — es uno de los pocos controles técnicos que te da esta capacidad para amenazas de origen externo.

Pilar 2: Gestión de incidentes relacionados con ICT, clasificación e informe (Artículos 17–23)

Aquí es donde DORA se vuelve operacionalmente exigente. Las empresas deben:

• Clasificar incidentes como "mayores" o no mayores usando criterios definidos por DORA
• Reportar incidentes mayores a autoridades competentes dentro de plazos ajustados
• Emitir notificaciones iniciales dentro de 4 horas de la clasificación, informes intermedios dentro de 72 horas e informes finales dentro de 1 mes

Los criterios de clasificación incluyen factores como el número de clientes afectados, criticidad de datos, duración de la interrupción del servicio y daño reputacional. Una filtración de credenciales que da a los atacantes acceso a cuentas de clientes casi definitivamente calificaría como un incidente mayor.

El monitoreo de la dark web apoya la clasificación temprana de incidentes. Descubrir que las credenciales de empleados se venden activamente en un foro de la dark web — antes de que se detecte acceso a sistemas — le da al equipo de respuesta de incidentes advertencia temprana para investigar, clasificar y preparar informes antes de que ocurra una filtración completa.

El reloj de informe de 4 horas comienza en clasificación, no descubrimiento. El descubrimiento anterior significa informes mejor preparados.

Pilar 3: Pruebas de resiliencia operativa digital (Artículos 24–27)

DORA requiere pruebas regulares de resiliencia operativa digital, incluyendo evaluaciones de vulnerabilidad, pruebas de penetración y — para entidades significativas — Pruebas de penetración lideradas por amenaza avanzada (TLPT).

TLPT es un enfoque basado en inteligencia de amenaza estructurado (basado en el marco TIBER-EU) donde la fase de inteligencia de amenaza implica investigar qué actores de amenaza real saben sobre y se dirigen activamente a su organización.

El monitoreo de la dark web proporciona la capa de inteligencia para TLPT. Entender qué credenciales, documentos e información de infraestructura sobre su empresa están actualmente disponibles en la dark web es una entrada fundamental al componente de Inteligencia de Amenaza Dirigida (TTI) de cualquier ejercicio TIBER/TLPT.

Pilar 4: Gestión de riesgo de terceros ICT (Artículos 28–44)

DORA coloca obligaciones significativas sobre cómo las empresas financieras gestionan relaciones con proveedores de terceros ICT. Las empresas deben:

• Mantener un registro completo de todos los arreglos contractuales de ICT
• Conducir diligencia debida en proveedores de ICT nuevos y existentes
• Incluir disposiciones contractuales específicas cubriendo acceso a datos, estándares de seguridad, derechos de auditoría y notificación de incidentes
• Monitorear y evaluar el riesgo de terceros de ICT de manera continua

La exposición de la cadena de suministro es un caso de uso de monitoreo de la dark web. Cuando un vendedor o proveedor de servicio de ICT del que depende su empresa aparece en una filtración, fuga de credenciales o discusión de foro de la dark web, ese es un evento de riesgo de terceros que DORA requiere que evalúe y responda.

DarkVault monitorea exposiciones de terceros y cadena de suministro — alertándole cuando una empresa de la que depende aparece en una fuga de la dark web, antes de que esa exposición se vuelva su problema.

Pilar 5: Arreglos de intercambio de información (Artículo 45)

DORA alienta a entidades financieras a participar en arreglos de intercambio de inteligencia de amenaza. Las empresas que participan en ISACs (Centros de información y análisis del sector) o comunidades de inteligencia específicas del sector se benefician de mayor conocimiento de amenaza y pueden recibir trato preferente de supervisores.

La inteligencia de amenaza operacionalizada del monitoreo de la dark web fluye directamente en programas de intercambio de información. La inteligencia específica y contextual de fuentes de la dark web — campañas nuevas, filtraciones de credenciales, discusiones de actores de amenaza — es exactamente lo que las comunidades de intercambio de información están diseñadas para intercambiar.

Requisitos de inteligencia de amenaza de DORA: Leyendo entre líneas

El Artículo 13 de DORA específicamente requiere que entidades financieras tengan procesos para:

"Recopilar información sobre vulnerabilidades y amenazas cibernéticas, y analizarlas para entender cómo pueden afectar los sistemas ICT de la entidad financiera."

Esto es tan cercano a un requisito directo de monitoreo de la dark web como el lenguaje regulatorio consigue sin nombrar una tecnología específica. La dark web es donde se discuten vulnerabilidades en sus sistemas, donde se venden credenciales extraídas de esos sistemas y donde actores de amenaza anuncian sus intenciones.

Una empresa que monitorea solo telemetría interna e ignora inteligencia de amenaza disponible externamente no está cumpliendo este requisito.

Cumplimiento práctico de DORA con DarkVault

Aquí está cómo DarkVault mapea a los requisitos técnicos de DORA:

Qué buscarán los supervisores

Los supervisores financieros europeos (BCE, EBA, autoridades competentes nacionales) que conducen inspecciones de DORA examinarán evidencia de que las empresas han:

• Implementado procesos continuos de monitoreo de riesgo ICT
• Pueden demostrar detección temprana de amenazas cibernéticas
• Tienen evaluaciones documentadas de riesgo de terceros
• Conducen pruebas de resiliencia operativa regular informadas por inteligencia de amenaza actual

Los informes de monitoreo de la dark web, registros de alertas y procedimientos de respuesta documentados proporcionan exactamente este tipo de evidencia. Las empresas con programas de monitoreo bien documentados están significativamente mejor posicionadas en revisiones supervisoras.

Iniciándose: Su lista de verificación de monitoreo de la dark web DORA

Antes de su próxima revisión supervisora, confirme que tiene:

• ✅ Monitoreo continuo de mercados de credenciales de la dark web y foros
• ✅ Detección de registros de robo para compromiso de dispositivo de empleado
• ✅ Alertas en tiempo real con procedimientos de respuesta documentados
• ✅ Cobertura de monitoreo de terceros y cadena de suministro
• ✅ Informes automatizados para evidencia y visibilidad a nivel de junta
• ✅ Integración con su flujo de trabajo de gestión de incidentes

Vea su exposición actual de la dark web en 60 segundos. Ejecute un escaneo de dominio gratuito — sin registro requerido — para entender su línea de base antes de su próxima evaluación de DORA. Luego inicie una prueba de 14 días con acceso a plataforma completa para construir la capacidad de monitoreo continuo que DORA requiere.

Preguntas frecuentes

¿DORA ya está en efecto? Sí. DORA se volvió completamente exigible el 17 de enero de 2025. Todas las entidades financieras dentro del alcance deben tener sus programas de cumplimiento operativos ya.

¿DORA requiere monitoreo de la dark web específicamente? No por nombre. Pero los requisitos de DORA para identificación continua de riesgo ICT, detección de actividad anómala y recopilación de inteligencia de amenaza se cumplen más comprensivamente a través del monitoreo de la dark web como control técnico central.

¿Quién aplica DORA? Autoridades competentes nacionales (NCAs) de cada estado miembro de la UE, el Banco Central Europeo (para instituciones de crédito significativas) y para proveedores críticos de terceros ICT, equipos de supervisión conjunta compuestos por las ESAs (EBA, ESMA, EIOPA).

¿Cuáles son las sanciones por incumplimiento de DORA? Para entidades financieras, las NCAs pueden imponer medidas supervisoras, requerir pasos de remediación específicos y — para fallas repetidas — sanciones financieras. Para proveedores críticos de terceros ICT, el Marco de supervisión puede imponer pagos de penalización periódica de hasta el 1% de la facturación diaria promedio mundial.