El sector cree que Bruselas pierde una gran oportunidad real de simplificación.
Elaborar leyes es complicado y, a veces, las nuevas normativas acaban generando efectos indeseados. Ese parece ser el caso de la reforma de la legislación digital que la Comisión Europea presenta hoy y de la que el sector bancario europeo denuncia que le supondrá una renovada carga burocrática, justo lo contrario de lo que se pretende conseguir.
De toda la maraña de normas que la institución presidida por Ursula von der Leyen prepara, es la relativa a la ciberseguridad la que más preocupa a las entidades financieras. El sector esperaba que la iniciativa de simplificación del Ejecutivo comunitario acabase con los problemas de la excesiva complejidad de esta normativa, pero, a la vista de los cambios que se conocen hasta la fecha, parece que la Comisión Europea ha optado por no aliviar esta carga o, al menos, lo hace de una forma que no termina de convencer a la banca.
El problema es que el sector financiero se ve golpeado por dos tipos distintos de requerimientos en este ámbito: los relativos a la Ley de Ciberresiliencia (CRA) y los que se derivan de la Ley de Resiliencia Operativa Digital (DORA). Bruselas propondrá hoy la creación de un hub único al que todas las compañías que comercialicen algún tipo de producto o servicio digital tendrán que reportar sus incidentes de ciberseguridad, una amenaza que afecta cada vez más a un sector en permanente fase de transformación, como es la banca.
Más costes
Pero la creación del nuevo hub no cambia la situación de las entidades, que alertan de que se ven obligadas a duplicar sus procesos de reporte en caso de ciberincidente. Esto genera una redundancia burocrática y más costes de cumplimiento normativo en un momento en el que el objetivo de las iniciativas legislativas de la Comisión Eu-ropea es el contrario, señalan.
Fuentes comunitarias aseguran que los solapamientos entre ambas normativas son mínimos y que cada regulación apunta en una dirección.
«Todo se resume en que la CRA busca evitar ciberataques con productos digitales sólidos y DORA se centra en cómo se recupera una entidad de un ataque a su red o en sus proveedores tecnológicos», indican los expertos, que consideran que las distintas firmas que conforman el sector financiero deben cumplir con esos dos requisitos.
Sin embargo, el sector bancario denuncia que en la práctica eso no está ocurriendo y que esa distinción y los solapamientos son patentes porque las tecnologías a través de las que proporcionan los productos vigilados por la CRA afectan también a la entidad y sus proveedores en lo reglado por Dora. A su juicio, casi siempre se reporta atendiendo a ambos reglamentos a la vez, pero con criterios, información y requisitos distintos porque los estándares varían entre ambas regulaciones.
La banca, además, duda sobre la conveniencia de la creación del propio hub, al considerar que no solo no alivia la carga burocrática, sino que puede convertirse en sí mismo en un problema de ciberseguridad, al concentrar todos los datos sobre la reacción de las entidades y otras empresas a ataques digitales y sus estrategias de respuesta.
La banca pide una solución para la complejidad normativa que se ha establecido en el sector a raíz de la implementación de las normas digitales y acude al propio reglamento de la CRA en busca de la solución. La legislación acordada por el Parlamento Europeo y el Consejo de la Unión Europea contemplaba la posibilidad de eximir de los requerimientos a aquellos sectores que ya se viesen afectados por una normativa digital propia, como en el caso del sistema financiero es Dora.
Duplicidades
De esta forma, las entidades, insisten en que lo único que tiene que hacer la institución presidida por Ursula von der Leyen es activar esta cláusula de escape para aliviar las duplicidades regulatorias contra las que clama la banca.
El problema, según señalan fuentes financieras, es que Bruselas ha dejado bastante claro que no tiene planeado hacer uso de ese poder.