{"id":36186,"date":"2026-10-29T09:41:37","date_gmt":"2026-10-29T08:41:37","guid":{"rendered":"https:\/\/vanleeuwenlawfirm.eu\/es\/?p=36186"},"modified":"2026-10-29T09:51:15","modified_gmt":"2026-10-29T08:51:15","slug":"resiliencia-operativa-digital-nis2-y-dora","status":"publish","type":"post","link":"https:\/\/vanleeuwenlawfirm.eu\/es\/analisis-y-perspectivas\/actualidad-juridica-analisis-a-medida\/ia-resiliencia-digital\/resiliencia-operativa-digital-nis2-y-dora\/","title":{"rendered":"Resiliencia Operativa Digital, NIS2 y DORA"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La resiliencia operativa digital ya no constituye para su organizaci\u00f3n una cuesti\u00f3n meramente t\u00e9cnica relacionada con la ciberseguridad, la disponibilidad de las redes, las copias de seguridad, los controles de acceso o la recuperaci\u00f3n de los sistemas de tecnolog\u00edas de la informaci\u00f3n y la comunicaci\u00f3n. La cuesti\u00f3n central de gobierno consiste ahora en determinar si, ante una perturbaci\u00f3n digital grave, su organizaci\u00f3n sigue siendo capaz de proteger, mantener y restablecer sus funciones esenciales o importantes de manera controlada, verificable y jur\u00eddicamente defendible, y si puede rendir cuentas de las decisiones adoptadas antes, durante y despu\u00e9s del incidente. Este cambio de perspectiva es fundamental. Una organizaci\u00f3n puede haber implantado medidas t\u00e9cnicas de seguridad altamente sofisticadas y, sin embargo, continuar siendo insuficientemente resistente frente a una indisponibilidad prolongada de un entorno cloud, la compromisi\u00f3n de identidades digitales, un incidente de software que afecte a un proveedor estrat\u00e9gico, un ataque de ransomware a gran escala, la p\u00e9rdida temporal de acceso a datos esenciales, una interrupci\u00f3n de la infraestructura de pagos o el fallo simult\u00e1neo de varios sistemas interdependientes. Las consecuencias jur\u00eddicas y operativas de estos acontecimientos dependen cada vez menos exclusivamente del fallo t\u00e9cnico inicial o del vector de ataque y cada vez m\u00e1s de la forma en que se hayan organizado previamente las dependencias, responsabilidades, facultades de escalado, prioridades de recuperaci\u00f3n, obligaciones de comunicaci\u00f3n y relaciones contractuales. NIS2, la legislaci\u00f3n nacional de ciberseguridad que la implementa y el Reglamento de Resiliencia Operativa Digital, DORA, sit\u00faan esta evoluci\u00f3n dentro de un marco regulatorio vinculante. Para las organizaciones comprendidas en el \u00e1mbito de aplicaci\u00f3n del r\u00e9gimen NIS2, un sistema de obligaciones relativas a la gesti\u00f3n de riesgos, registro, notificaci\u00f3n y gobierno exige un control demostrable de los riesgos de ciberseguridad. Para las entidades financieras sujetas a DORA, desde el 17 de enero de 2025 se aplica un r\u00e9gimen europeo espec\u00edfico relativo, entre otras materias, a la gesti\u00f3n del riesgo TIC, la clasificaci\u00f3n y notificaci\u00f3n de incidentes graves relacionados con las TIC, las pruebas de resiliencia operativa digital, el riesgo derivado de terceros proveedores de servicios TIC y la supervisi\u00f3n de proveedores externos cr\u00edticos. El criterio de evaluaci\u00f3n se ha desplazado, por tanto, desde la mera existencia de pol\u00edticas de ciberseguridad hacia la capacidad de demostrar el funcionamiento efectivo de un sistema coherente en el que la tecnolog\u00eda, los servicios cr\u00edticos, las dependencias de proveedores, la toma de decisiones en situaciones de crisis, la supervisi\u00f3n por los \u00f3rganos de direcci\u00f3n y las obligaciones legales de rendici\u00f3n de cuentas se encuentren realmente conectados.<\/p>

Para su organizaci\u00f3n, esta evoluci\u00f3n implica que la resiliencia operativa digital debe abordarse como una cuesti\u00f3n de control a escala empresarial en la que el an\u00e1lisis jur\u00eddico, la tecnolog\u00eda, la gesti\u00f3n del riesgo operativo, el control interno, las compras, la externalizaci\u00f3n, el gobierno de los datos, la gesti\u00f3n de crisis, el cumplimiento normativo, la auditor\u00eda interna y la toma de decisiones ejecutivas deben permanecer continuamente alineados. La pregunta relevante no consiste \u00fanicamente en determinar si puede prevenirse un ciberincidente, sino tambi\u00e9n en establecer qu\u00e9 procesos deben seguir disponibles durante una perturbaci\u00f3n, qu\u00e9 sistemas son indispensables para sustentarlos, cu\u00e1l es el periodo m\u00e1ximo de indisponibilidad aceptable, qu\u00e9 datos deben permanecer disponibles y ser fiables, qu\u00e9 proveedores resultan realmente indispensables, qu\u00e9 capacidades alternativas pueden utilizarse efectivamente y qu\u00e9 decisiones deben poder adoptarse en plazos extremadamente breves durante una crisis. A ello se a\u00f1ade que varios reg\u00edmenes jur\u00eddicos pueden resultar simult\u00e1neamente aplicables sin emplear necesariamente la misma terminolog\u00eda, los mismos criterios de alcance, los mismos umbrales de notificaci\u00f3n, las mismas relaciones de supervisi\u00f3n o los mismos requisitos de gobierno. Una entidad financiera sujeta a DORA puede, por ejemplo, formar parte de un grupo m\u00e1s amplio en el que otras entidades est\u00e9n sometidas principalmente a NIS2, a requisitos sectoriales, a normativa de protecci\u00f3n de datos, a regulaci\u00f3n prudencial o a obligaciones contractuales de ciberseguridad. Un enfoque integrado no exige, por tanto, tratar todas las obligaciones jur\u00eddicas como si fueran id\u00e9nticas. Exige un modelo central de gobierno en el que, para cada entidad, funci\u00f3n cr\u00edtica, servicio, sistema, proveedor y categor\u00eda de incidente, pueda identificarse qu\u00e9 r\u00e9gimen jur\u00eddico resulta aplicable, qu\u00e9 funci\u00f3n responsable debe actuar, qu\u00e9 informaci\u00f3n debe estar disponible y qu\u00e9 elementos probatorios deben permitir demostrar posteriormente que se adoptaron medidas adecuadas. Su organizaci\u00f3n debe poder acreditar as\u00ed que la continuidad operativa digital no depende de conocimientos informales concentrados en un n\u00famero reducido de especialistas t\u00e9cnicos, sino que descansa sobre responsabilidades demostrables, capacidades de recuperaci\u00f3n probadas, procesos decisorios controlados, obligaciones contractuales exigibles frente a proveedores y un \u00f3rgano de direcci\u00f3n capaz de comprender y gestionar efectivamente los riesgos digitales materiales.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

NIS2, legislaci\u00f3n nacional de ciberseguridad y obligaciones sectoriales en materia de seguridad digital<\/h4>

La implementaci\u00f3n de NIS2 ha transformado para muchas organizaciones la ciberseguridad, traslad\u00e1ndola desde un \u00e1mbito predominantemente t\u00e9cnico hacia un \u00e1rea expresa de gobierno y responsabilidad jur\u00eddica. Para su organizaci\u00f3n, una gesti\u00f3n eficaz del cumplimiento debe comenzar, por tanto, con una evaluaci\u00f3n precisa del \u00e1mbito de aplicaci\u00f3n. Debe determinarse si la organizaci\u00f3n en su conjunto, una entidad jur\u00eddica concreta, una actividad espec\u00edfica o un determinado servicio se encuentran comprendidos en un sector regulado y qu\u00e9 calificaci\u00f3n jur\u00eddica se deriva de ello. Esta evaluaci\u00f3n puede resultar compleja cuando los grupos empresariales desarrollan varias actividades, los servicios se prestan a trav\u00e9s de diferentes entidades jur\u00eddicas, las funciones digitales de soporte se encuentran centralizadas o proveedores externos desempe\u00f1an un papel esencial en la prestaci\u00f3n de servicios regulados. Un an\u00e1lisis excesivamente restrictivo puede provocar que determinadas obligaciones legales no sean identificadas o lo sean demasiado tarde. Por el contrario, un enfoque excesivamente amplio puede generar controles ineficientes, obligaciones de reporting innecesarias y una p\u00e9rdida de precisi\u00f3n en la supervisi\u00f3n directiva. Su organizaci\u00f3n debe ser capaz, por consiguiente, de reconstruir qu\u00e9 servicios presta, qu\u00e9 calificaciones jur\u00eddicas resultan aplicables, qu\u00e9 sistemas y proveedores sustentan esos servicios y d\u00f3nde se encuentran efectivamente atribuidas las responsabilidades correspondientes dentro del sistema de gobierno. Este per\u00edmetro jur\u00eddico constituye posteriormente el punto de partida para la evaluaci\u00f3n de riesgos, el registro, las medidas de gesti\u00f3n de riesgos, la notificaci\u00f3n de incidentes, la supervisi\u00f3n por la direcci\u00f3n y la relaci\u00f3n con las autoridades competentes. El \u00e1mbito de aplicaci\u00f3n no debe considerarse una calificaci\u00f3n jur\u00eddica realizada una \u00fanica vez. Fusiones, adquisiciones, nuevos servicios digitales, variaciones en los criterios de dimensi\u00f3n o facturaci\u00f3n, nuevos proveedores, reorganizaciones internas y modificaciones de la regulaci\u00f3n sectorial pueden alterar las obligaciones aplicables. Su organizaci\u00f3n se beneficia, por ello, de un proceso peri\u00f3dico de reevaluaci\u00f3n en el que el per\u00edmetro jur\u00eddico, las actividades empresariales y las dependencias digitales se examinen conjuntamente.<\/p>

Las obligaciones de diligencia y gesti\u00f3n de riesgos derivadas del marco NIS2 exigen asimismo medidas basadas en el riesgo y proporcionadas a la naturaleza de sus actividades, a la probabilidad de las amenazas relevantes, a las posibles consecuencias sociales de una perturbaci\u00f3n y a las caracter\u00edsticas t\u00e9cnicas y organizativas de su entorno digital. Una pol\u00edtica gen\u00e9rica de seguridad de la informaci\u00f3n resulta, por tanto, insuficiente. Su organizaci\u00f3n debe poder explicar por qu\u00e9 determinadas medidas de seguridad son adecuadas, qu\u00e9 evaluaci\u00f3n de riesgos las sustenta y c\u00f3mo se controla su eficacia real. Entre las \u00e1reas relevantes de control pueden incluirse la gesti\u00f3n de incidentes, la continuidad de negocio, la gesti\u00f3n de crisis, la seguridad de la cadena de suministro, la gesti\u00f3n de vulnerabilidades, los controles de acceso, la criptograf\u00eda, las comunicaciones seguras, la higiene digital, la formaci\u00f3n, la autenticaci\u00f3n multifactor y la evaluaci\u00f3n del riesgo de proveedores. La coherencia entre estas medidas resulta m\u00e1s importante que la mera existencia formal de documentos separados. Un sistema s\u00f3lido de gesti\u00f3n de identidades, por ejemplo, ofrece una protecci\u00f3n limitada si las cuentas de recuperaci\u00f3n est\u00e1n insuficientemente protegidas. Una pol\u00edtica detallada de proveedores proporciona una protecci\u00f3n insuficiente si los contratos no conceden derechos efectivos de auditor\u00eda, informaci\u00f3n, notificaci\u00f3n de incidentes o terminaci\u00f3n. Un plan de respuesta a incidentes resulta insuficiente si el personal desconoce cu\u00e1ndo un acontecimiento debe considerarse jur\u00eddicamente sujeto a notificaci\u00f3n. Las medidas t\u00e9cnicas deben, por tanto, vincularse de forma sistem\u00e1tica con escenarios operativos concretos, obligaciones jur\u00eddicas espec\u00edficas y responsabilidades de gobierno claramente identificadas. De este modo, el sistema de control se convierte en verdaderamente verificable y se evita que el cumplimiento se reduzca a un ejercicio documental desconectado de la realidad operativa.<\/p>

La dimensi\u00f3n de gobierno asociada a NIS2 requiere especial atenci\u00f3n porque los riesgos digitales pasan a formar parte directamente de la supervisi\u00f3n y responsabilidad de los \u00f3rganos de direcci\u00f3n. Los miembros de la direcci\u00f3n deben disponer de una comprensi\u00f3n suficiente de los principales riesgos cibern\u00e9ticos, de la eficacia de las medidas adoptadas y de las consecuencias de las deficiencias estructurales. Esto exige mucho m\u00e1s que cuadros de mando peri\u00f3dicos con cifras sobre vulnerabilidades, alertas de phishing o incidentes de seguridad. El \u00f3rgano de direcci\u00f3n necesita informaci\u00f3n que permita comprender la exposici\u00f3n material de los servicios cr\u00edticos, la rapidez con la que se corrigen las vulnerabilidades graves, el grado de dependencia respecto de determinados proveedores, la capacidad real de recuperaci\u00f3n de los procesos esenciales, la eficacia de los controles de acceso, el estado de las principales observaciones de auditor\u00eda y el nivel de preparaci\u00f3n frente a escenarios en los que fallen simult\u00e1neamente varias capas de defensa. La formaci\u00f3n de la direcci\u00f3n tambi\u00e9n debe adaptarse a las responsabilidades inherentes al cargo. Los directivos no necesitan convertirse en especialistas operativos en ciberseguridad, pero s\u00ed deben ser capaces de identificar qu\u00e9 riesgos presentan relevancia estrat\u00e9gica o material, qu\u00e9 incertidumbres subsisten, qu\u00e9 decisiones requieren escalado y cu\u00e1ndo son necesarias inversiones adicionales. Si posteriormente una autoridad de supervisi\u00f3n plantea cuestiones, la evaluaci\u00f3n no se limitar\u00e1 a determinar si exist\u00edan pol\u00edticas. Tambi\u00e9n podr\u00e1 abarcar la calidad de las evaluaciones de riesgo, la rapidez y adecuaci\u00f3n de las medidas correctoras, la proporcionalidad de las decisiones y el grado en que las deficiencias conocidas fueron efectivamente tratadas. Una posici\u00f3n s\u00f3lida exige, por tanto, una trazabilidad verificable de la toma de decisiones en la que la aceptaci\u00f3n de riesgos, las decisiones de inversi\u00f3n, las excepciones, las prioridades de remediaci\u00f3n y los escalados est\u00e9n motivados y documentados de manera demostrable.<\/p>

DORA, gesti\u00f3n del riesgo TIC en el sector financiero y supervisi\u00f3n regulatoria<\/h4>

DORA establece para las entidades financieras un marco europeo integral en el que el riesgo TIC ya no puede tratarse como una especialidad tecnol\u00f3gica separada, sino que debe gestionarse como un componente central del gobierno y control de los servicios financieros. Para su organizaci\u00f3n, esto significa que la gesti\u00f3n del riesgo TIC debe conectarse directamente con la estrategia empresarial, la gesti\u00f3n del riesgo operativo, la planificaci\u00f3n de continuidad, la gesti\u00f3n de proveedores, la gesti\u00f3n de incidentes y la supervisi\u00f3n regulatoria. El criterio central consiste en determinar si su organizaci\u00f3n es capaz de identificar, proteger, detectar, gestionar, recuperar y evaluar sistem\u00e1ticamente los riesgos relacionados con las TIC. Esto exige un marco coherente de gesti\u00f3n del riesgo TIC en el que las responsabilidades est\u00e9n claramente asignadas, los activos de informaci\u00f3n y los activos TIC sean identificables, las dependencias cr\u00edticas sean conocidas y se mantengan medidas adecuadas de seguridad y recuperaci\u00f3n. Debe ser posible establecer qu\u00e9 funciones dependen de qu\u00e9 aplicaciones, infraestructuras, fuentes de datos y proveedores externos. Un producto financiero, un servicio de pago, un proceso asegurador, una funci\u00f3n de negociaci\u00f3n o un portal de clientes pueden depender de decenas de componentes t\u00e9cnicos distribuidos entre m\u00faltiples entornos internos y externos. Cuando dichas dependencias \u00fanicamente son conocidas por equipos de TI aislados, surge un riesgo de gobierno significativo. DORA exige, por ello, un enfoque en el que la informaci\u00f3n t\u00e9cnica se traduzca en relevancia operativa y directiva. La direcci\u00f3n debe poder comprender qu\u00e9 fallos TIC pueden producir un impacto material, qu\u00e9 secuencia de recuperaci\u00f3n resulta necesaria y qu\u00e9 riesgos aparecen cuando un proveedor externo deja de estar disponible.<\/p>

Una caracter\u00edstica esencial de DORA consiste en que la eficacia de la gesti\u00f3n del riesgo TIC no se eval\u00faa exclusivamente a partir de la seguridad preventiva, sino a lo largo de todo el ciclo de vida de una perturbaci\u00f3n digital. La detecci\u00f3n, la respuesta, la recuperaci\u00f3n, el aprendizaje y la mejora estructural adquieren as\u00ed tanta importancia como la protecci\u00f3n preventiva. Su organizaci\u00f3n debe ser capaz de identificar y clasificar oportunamente los incidentes graves relacionados con las TIC y notificarlos de conformidad con los requisitos aplicables. Al mismo tiempo, debe poder demostrar c\u00f3mo las se\u00f1ales t\u00e9cnicas se traducen en decisiones relativas a las obligaciones jur\u00eddicas de notificaci\u00f3n, el impacto sobre los clientes, las consecuencias financieras, la p\u00e9rdida de datos, la exposici\u00f3n reputacional y los posibles efectos sist\u00e9micos. Esto exige un proceso integrado de escalado en el que ciberseguridad, operaciones TIC, gesti\u00f3n de riesgos, cumplimiento, funci\u00f3n jur\u00eddica, privacidad, comunicaci\u00f3n y alta direcci\u00f3n conozcan de antemano el papel que deben desempe\u00f1ar. La misma integraci\u00f3n resulta necesaria para las pruebas de resiliencia operativa digital. Estas no pueden limitarse a escaneos t\u00e9cnicos de vulnerabilidades o pruebas peri\u00f3dicas de penetraci\u00f3n. Su organizaci\u00f3n debe evaluar si los procesos cr\u00edticos pueden continuar funcionando en escenarios realistas de perturbaci\u00f3n, si los procedimientos de recuperaci\u00f3n son realmente ejecutables, si las decisiones de crisis pueden adoptarse con suficiente rapidez y si las soluciones alternativas est\u00e1n efectivamente disponibles. Las conclusiones derivadas de las pruebas deben traducirse posteriormente en medidas concretas de remediaci\u00f3n, prioridades, responsables y plazos. Un programa de pruebas que no vaya acompa\u00f1ado de una remediaci\u00f3n efectivamente gobernada ofrece \u00fanicamente una garant\u00eda limitada.<\/p>

DORA produce asimismo consecuencias significativas para la forma en que su organizaci\u00f3n selecciona, contrata, registra, eval\u00faa y sustituye a proveedores externos de servicios TIC. Proveedores cloud, prestadores de servicios gestionados, proveedores de software, plataformas de datos, proveedores de seguridad y otros terceros pueden estar profundamente integrados en la prestaci\u00f3n de servicios financieros cr\u00edticos. Un incidente operativo en un proveedor puede, por consiguiente, tener consecuencias directas para sus obligaciones regulatorias aunque la causa t\u00e9cnica se encuentre fuera de su propio entorno. DORA deja claro que externalizar tecnolog\u00eda no equivale a externalizar responsabilidad. Su organizaci\u00f3n debe evaluar previamente qu\u00e9 funciones son soportadas por un tercero, qu\u00e9 riesgos de concentraci\u00f3n surgen, qu\u00e9 datos son tratados, qu\u00e9 subcontratistas participan, qu\u00e9 localizaciones resultan relevantes, qu\u00e9 riesgos existen en caso de terminaci\u00f3n y si las estrategias de salida son realmente ejecutables. Las disposiciones contractuales deben garantizar derechos suficientes de informaci\u00f3n, auditor\u00eda, cooperaci\u00f3n, notificaci\u00f3n de incidentes, continuidad y terminaci\u00f3n. El registro de acuerdos contractuales no debe tratarse como un inventario administrativo, sino como un instrumento estrat\u00e9gico para identificar concentraciones, dependencias comunes y exposiciones materiales. Ante una revisi\u00f3n supervisora, su organizaci\u00f3n debe poder demostrar r\u00e1pidamente qu\u00e9 proveedor soporta cada funci\u00f3n cr\u00edtica, qu\u00e9 salvaguardas contractuales resultan aplicables, qu\u00e9 an\u00e1lisis de riesgos se ha realizado y qu\u00e9 medidas est\u00e1n disponibles en caso de incumplimiento o deficiencia estructural del proveedor.<\/p>

Servicios empresariales cr\u00edticos, an\u00e1lisis de impacto sobre el negocio y cartograf\u00eda de dependencias operativas<\/h4>

La resiliencia operativa digital \u00fanicamente puede organizarse eficazmente cuando su organizaci\u00f3n define primero qu\u00e9 servicios empresariales son realmente cr\u00edticos para clientes, mercados, socios de la cadena de valor, intereses p\u00fablicos o para la propia continuidad de la empresa. Un enfoque tradicional de TI suele comenzar por los sistemas, aplicaciones o infraestructuras. Un enfoque basado en resiliencia operativa comienza, en cambio, por el servicio que debe seguir funcionando y procede posteriormente en sentido inverso para identificar a todas las personas, procesos, tecnolog\u00edas, datos, ubicaciones y proveedores externos necesarios para sustentarlo. Esta diferencia resulta esencial. Una aplicaci\u00f3n puede ser t\u00e9cnicamente importante sin ser directamente cr\u00edtica para un servicio esencial. A la inversa, una aplicaci\u00f3n relativamente sencilla puede constituir un punto de fallo inesperadamente relevante porque varios procesos importantes dependan de ella. Su organizaci\u00f3n debe identificar, por consiguiente, los servicios empresariales cr\u00edticos atendiendo a las consecuencias de su interrupci\u00f3n, a la rapidez con la que puede producirse un perjuicio, a la dependencia de clientes o socios, a las obligaciones jur\u00eddicas y a la disponibilidad de alternativas. Resulta igualmente importante evitar que todos los procesos empresariales sean clasificados como cr\u00edticos. Cuando pr\u00e1cticamente todo se considera cr\u00edtico, desaparece la capacidad real de priorizaci\u00f3n y se dificulta la adopci\u00f3n de decisiones eficaces de recuperaci\u00f3n durante una crisis. La criticidad exige, por tanto, una diferenciaci\u00f3n rigurosa.<\/p>

El an\u00e1lisis de impacto sobre el negocio constituye el v\u00ednculo entre los servicios cr\u00edticos y los requisitos concretos de recuperaci\u00f3n. Su organizaci\u00f3n debe ser capaz de determinar qu\u00e9 consecuencias operativas, financieras, jur\u00eddicas, sociales y reputacionales se producen cuando un servicio permanece indisponible durante un periodo determinado. El tiempo es un factor decisivo. Una interrupci\u00f3n de quince minutos puede tener un impacto limitado, mientras que la misma perturbaci\u00f3n, despu\u00e9s de cuatro horas, doce horas o dos d\u00edas, puede convertirse en extremadamente grave. Los objetivos de recuperaci\u00f3n no deben, por tanto, establecerse exclusivamente a partir de criterios t\u00e9cnicos, sino derivarse de la tolerancia real del servicio empresarial correspondiente. Para cada servicio cr\u00edtico debe quedar claro qu\u00e9 nivel m\u00ednimo de funcionalidad debe mantenerse, dentro de qu\u00e9 plazo debe producirse la recuperaci\u00f3n, qu\u00e9 volumen de p\u00e9rdida de datos resulta aceptable, qu\u00e9 alternativas manuales est\u00e1n disponibles y qu\u00e9 dependencias pueden retrasar la recuperaci\u00f3n. El an\u00e1lisis debe tener asimismo en cuenta los efectos en cadena. El fallo de un \u00fanico servicio de autenticaci\u00f3n puede bloquear m\u00faltiples aplicaciones. La indisponibilidad de un proveedor de datos puede afectar a la toma de decisiones aunque la aplicaci\u00f3n principal siga funcionando. Una interrupci\u00f3n de telecomunicaciones puede afectar simult\u00e1neamente a las comunicaciones internas, al contacto con los clientes y al acceso a entornos cloud. Hacer visibles estas interdependencias permite obtener una comprensi\u00f3n considerablemente m\u00e1s realista de la vulnerabilidad efectiva.<\/p>

La cartograf\u00eda de dependencias operativas profundiza en este an\u00e1lisis mediante la identificaci\u00f3n de toda la cadena que soporta un servicio cr\u00edtico. Su organizaci\u00f3n no debe limitarse a registrar los sistemas principales, sino que debe incluir tambi\u00e9n tecnolog\u00edas de soporte, servicios de identidad, fuentes de datos, API, conexiones de red, componentes cloud, ubicaciones f\u00edsicas, personal clave, proveedores externos, subcontratistas y recursos de recuperaci\u00f3n. Las dependencias indirectas requieren especial atenci\u00f3n. Un proveedor que no haya sido formalmente clasificado como cr\u00edtico puede suministrar un componente de software esencial utilizado por varios sistemas cr\u00edticos. Un proveedor externo puede depender a su vez de un subcontratista que utilice el mismo proveedor cloud que su organizaci\u00f3n, de modo que una aparente diversificaci\u00f3n de proveedores pueda ocultar en realidad un \u00fanico punto concentrado de fallo. La concentraci\u00f3n geogr\u00e1fica tambi\u00e9n puede ser relevante cuando varios centros de datos, equipos o proveedores operan en una misma zona de riesgo. El objetivo de la cartograf\u00eda de dependencias no consiste, por tanto, en producir un diagrama est\u00e1tico, sino en generar informaci\u00f3n de gobierno que permita determinar d\u00f3nde existen riesgos de concentraci\u00f3n, qu\u00e9 dependencias est\u00e1n insuficientemente controladas y qu\u00e9 secuencia de recuperaci\u00f3n debe seguirse ante una perturbaci\u00f3n grave. Esta informaci\u00f3n constituye adem\u00e1s una base esencial para la gesti\u00f3n de proveedores, los programas de pruebas, el an\u00e1lisis de escenarios, la gesti\u00f3n de crisis y la interacci\u00f3n con las autoridades supervisoras.<\/p>

Clasificaci\u00f3n de ciberincidentes, obligaciones de notificaci\u00f3n y reporting regulatorio<\/h4>

Un ciberincidente adquiere relevancia jur\u00eddica y estrat\u00e9gica desde el momento en que resulta evidente que puede producir consecuencias materiales para la disponibilidad, integridad, confidencialidad, autenticidad o continuidad de los servicios. La dificultad operativa reside en que esta valoraci\u00f3n debe realizarse a menudo cuando los hechos t\u00e9cnicos todav\u00eda son incompletos. Durante las primeras horas de un incidente pueden existir incertidumbres respecto de su causa, alcance, duraci\u00f3n, sistemas afectados, datos comprometidos y posibles consecuencias. Al mismo tiempo, los plazos regulatorios de notificaci\u00f3n pueden haber comenzado ya a transcurrir y cualquier retraso puede generar exposici\u00f3n frente al supervisor. Su organizaci\u00f3n necesita, por tanto, un proceso de clasificaci\u00f3n que conecte directamente la detecci\u00f3n t\u00e9cnica del incidente con los criterios jur\u00eddicos de evaluaci\u00f3n. Deben definirse previamente los indicadores que activan el escalado, la informaci\u00f3n m\u00ednima que debe encontrarse disponible, qui\u00e9n est\u00e1 facultado para clasificar el acontecimiento y qui\u00e9n es responsable de la notificaci\u00f3n externa. Los criterios deben ser suficientemente concretos para seguir resultando operativos bajo presi\u00f3n. Una instrucci\u00f3n gen\u00e9rica seg\u00fan la cual debe notificarse un \u00abincidente grave\u00bb no proporciona orientaci\u00f3n suficiente durante una situaci\u00f3n cr\u00edtica. Entre los factores relevantes pueden encontrarse la duraci\u00f3n, la extensi\u00f3n geogr\u00e1fica, el n\u00famero de usuarios afectados, el impacto econ\u00f3mico, la p\u00e9rdida de datos, las consecuencias para las funciones cr\u00edticas, los posibles efectos transfronterizos y la posibilidad de recuperar el servicio dentro de los plazos previstos.<\/p>

El proceso de notificaci\u00f3n debe considerar asimismo que un \u00fanico incidente puede activar simult\u00e1neamente varios reg\u00edmenes jur\u00eddicos. Un ciberataque puede ser relevante, por ejemplo, en virtud de NIS2, DORA, el Reglamento General de Protecci\u00f3n de Datos, requisitos sectoriales de supervisi\u00f3n, obligaciones contractuales de notificaci\u00f3n y condiciones de seguros. Estos reg\u00edmenes no utilizan necesariamente las mismas definiciones, los mismos plazos ni los mismos criterios de evaluaci\u00f3n. Existe as\u00ed el riesgo de que equipos distintos lleguen paralelamente a conclusiones diferentes o de que las notificaciones obligatorias sean preparadas de forma incoherente. Su organizaci\u00f3n se beneficia, por consiguiente, de un proceso central de gobierno de incidentes en el que cada acontecimiento sea analizado frente a todos los marcos jur\u00eddicos potencialmente aplicables, los respectivos plazos, la informaci\u00f3n ya disponible y los an\u00e1lisis adicionales que a\u00fan resulten necesarios. Este proceso debe evitar que la urgencia perjudique la precisi\u00f3n, pero tambi\u00e9n que una b\u00fasqueda excesiva de perfecci\u00f3n provoque retrasos. Una primera notificaci\u00f3n no necesita necesariamente establecer de forma definitiva todos los detalles t\u00e9cnicos. Debe, no obstante, indicar de forma fiable qu\u00e9 se conoce, qu\u00e9 incertidumbres subsisten, qu\u00e9 medidas se han adoptado y c\u00f3mo se organiza la investigaci\u00f3n posterior. Un control riguroso de las distintas versiones de la informaci\u00f3n relativa al incidente resulta, por tanto, esencial.<\/p>

La calidad del reporting regulatorio depende en gran medida de la calidad del expediente subyacente del incidente. Su organizaci\u00f3n debe poder reconstruir cu\u00e1ndo se detect\u00f3 el incidente, qu\u00e9 se\u00f1ales estaban disponibles, qu\u00e9 decisiones se adoptaron, qu\u00e9 personas participaron, cu\u00e1ndo se produjo el escalado, qu\u00e9 hip\u00f3tesis se utilizaron y en qu\u00e9 momento exist\u00eda informaci\u00f3n suficiente para adoptar una decisi\u00f3n sobre la notificaci\u00f3n. Esta cronolog\u00eda puede convertirse en un elemento decisivo si una autoridad supervisora examina posteriormente si la notificaci\u00f3n fue realizada de forma oportuna y suficientemente completa. La toma de decisiones, la clasificaci\u00f3n y las comunicaciones deben documentarse, por tanto, desde el principio. Tambi\u00e9n resulta necesaria una especial disciplina en las comunicaciones internas. Hip\u00f3tesis t\u00e9cnicas no confirmadas, calificaciones informales o explicaciones contradictorias pueden crear posteriormente dificultades interpretativas. Un proceso s\u00f3lido distingue, por ello, entre constataciones f\u00e1cticas, hip\u00f3tesis provisionales, evaluaciones de riesgos y decisiones formales. Las comunicaciones con clientes, socios de la cadena de valor y medios de comunicaci\u00f3n deben encontrarse igualmente alineadas con una misma base f\u00e1ctica controlada. Las declaraciones externas contradictorias pueden intensificar el da\u00f1o reputacional y generar nuevas cuestiones supervisoras. La posici\u00f3n m\u00e1s s\u00f3lida se alcanza cuando la respuesta t\u00e9cnica al incidente, el an\u00e1lisis jur\u00eddico y la comunicaci\u00f3n ejecutiva operan a partir de un \u00fanico registro f\u00e1ctico controlado, sin ignorar las diferencias leg\u00edtimas que puedan existir entre las notificaciones regulatorias y la comunicaci\u00f3n p\u00fablica.<\/p>

Continuidad de negocio, recuperaci\u00f3n ante desastres y gesti\u00f3n de crisis<\/h4>

La continuidad de negocio constituye el n\u00facleo operativo de la resiliencia digital, puesto que ninguna medida preventiva de seguridad puede garantizar una protecci\u00f3n absoluta frente a las perturbaciones. Su organizaci\u00f3n debe estar preparada, por tanto, para escenarios en los que los sistemas queden efectivamente fuera de servicio, los datos no est\u00e9n temporalmente disponibles, un proveedor deje de prestar sus servicios, las comunicaciones digitales se encuentren gravemente limitadas o la recuperaci\u00f3n requiera mucho m\u00e1s tiempo de lo inicialmente previsto. La gesti\u00f3n de continuidad debe comenzar por determinar qu\u00e9 servicios deben seguir prest\u00e1ndose, al menos a un nivel m\u00ednimo, durante una perturbaci\u00f3n, y no por decidir qu\u00e9 componente t\u00e9cnico puede recuperarse primero. La prioridad debe establecerse atendiendo a la funci\u00f3n social, contractual y econ\u00f3mica del servicio correspondiente. Para cada servicio empresarial cr\u00edtico debe definirse qu\u00e9 capacidad operativa m\u00ednima resulta necesaria, qu\u00e9 personas y recursos deben seguir disponibles, qu\u00e9 decisiones deben poder adoptarse en condiciones de crisis y qu\u00e9 alternativas temporales pueden utilizarse realmente. Un proceso manual puede, por ejemplo, resultar suficiente para mantener temporalmente un servicio esencial, pero \u00fanicamente si los datos necesarios permanecen accesibles, si el personal puede utilizar efectivamente el procedimiento y si la capacidad disponible ha sido probada de forma realista. Los planes de continuidad deben, en consecuencia, basarse en escenarios operativamente ejecutables y no en procedimientos meramente te\u00f3ricos.<\/p>

La recuperaci\u00f3n ante desastres se concentra espec\u00edficamente en el restablecimiento t\u00e9cnico de sistemas, infraestructuras, datos y conectividad, pero debe encontrarse estrechamente alineada con la continuidad de negocio. Los objetivos t\u00e9cnicos de recuperaci\u00f3n deben derivarse del impacto empresarial y no exclusivamente de est\u00e1ndares hist\u00f3ricos de TI. Si un servicio cr\u00edtico debe restablecerse en dos horas pero el procedimiento completo de recuperaci\u00f3n de la infraestructura que lo soporta requiere ocho horas, existe una divergencia fundamental. Su organizaci\u00f3n debe identificar y resolver anticipadamente este tipo de inconsistencias mediante redundancia t\u00e9cnica, instalaciones alternativas, entornos de recuperaci\u00f3n separados, capacidad adicional de backup o adaptaci\u00f3n de los procesos empresariales. Las copias de seguridad requieren especial atenci\u00f3n. Su mera existencia no demuestra que los datos puedan recuperarse de forma oportuna, completa y fiable. Los backups deben estar protegidos frente a los mismos vectores de ataque que puedan afectar a los sistemas primarios, probarse peri\u00f3dicamente y organizarse con un grado suficiente de independencia respecto del entorno de producci\u00f3n. Configuraciones, certificados, datos de autenticaci\u00f3n, informaci\u00f3n relativa a la gesti\u00f3n de claves, versiones de software y documentaci\u00f3n t\u00e9cnica tambi\u00e9n pueden ser esenciales para la recuperaci\u00f3n. Una organizaci\u00f3n que preserve sus archivos de datos pero no disponga de las configuraciones y componentes de acceso necesarios puede continuar sufriendo una indisponibilidad operativa prolongada.<\/p>

La gesti\u00f3n de crisis conecta finalmente la respuesta t\u00e9cnica y operativa con la toma de decisiones ejecutiva. Las perturbaciones digitales graves suelen evolucionar r\u00e1pidamente y generar simult\u00e1neamente presiones jur\u00eddicas, comerciales, financieras y reputacionales. La alta direcci\u00f3n puede tener que adoptar decisiones bajo una considerable incertidumbre respecto de prioridades de recuperaci\u00f3n, comunicaciones, contrataci\u00f3n de apoyo externo, medidas dirigidas a clientes, escalado frente a proveedores, interacci\u00f3n con autoridades, posicionamiento jur\u00eddico y posibles limitaciones temporales en la prestaci\u00f3n de servicios. Debe quedar definido de antemano qui\u00e9n participa en la organizaci\u00f3n de crisis, qu\u00e9 facultades corresponden a cada funci\u00f3n, c\u00f3mo se organizan las sustituciones, qu\u00e9 informaci\u00f3n debe estar disponible en cada fase y qu\u00e9 decisiones requieren aprobaci\u00f3n formal. La gesti\u00f3n de crisis no debe depender de relaciones informales ni de la disponibilidad de personas concretas. Tambi\u00e9n debe estar claramente definida la relaci\u00f3n entre los equipos operativos y la direcci\u00f3n. Los especialistas t\u00e9cnicos deben disponer de autonom\u00eda suficiente para actuar con rapidez, mientras que las decisiones con consecuencias jur\u00eddicas, financieras o sociales relevantes deben escalarse sin demora al nivel correspondiente.<\/p>

Dentro de este marco m\u00e1s amplio, la Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong> debe permanecer estrechamente vinculada a la resiliencia operativa digital siempre que una perturbaci\u00f3n tecnol\u00f3gica pueda debilitar los controles destinados a prevenir, detectar o gestionar la delincuencia financiera. La indisponibilidad temporal de los sistemas de monitorizaci\u00f3n de transacciones, filtrado de sanciones, diligencia debida de clientes, detecci\u00f3n del fraude, controles de pagos o verificaci\u00f3n de identidades puede generar riesgos adicionales de delincuencia financiera precisamente cuando la atenci\u00f3n operativa se encuentra concentrada en otras prioridades. La planificaci\u00f3n de continuidad debe identificar, por ello, qu\u00e9 controles relacionados con la delincuencia financiera deben permanecer operativos como m\u00ednimo, qu\u00e9 controles compensatorios pueden activarse cuando los sistemas ordinarios no est\u00e9n disponibles y c\u00f3mo deben supervisarse durante la perturbaci\u00f3n las transacciones, contrapartes o flujos de pago con un perfil de riesgo elevado. La Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong> permite as\u00ed conectar continuidad digital, integridad financiera, control de transacciones, cumplimiento de sanciones, prevenci\u00f3n del fraude y gobierno de incidentes dentro de un \u00fanico sistema coherente de control. La resiliencia digital deja de ser entonces una disciplina meramente t\u00e9cnica de continuidad para convertirse en una capacidad institucional m\u00e1s amplia destinada a proteger simult\u00e1neamente la continuidad operativa, el cumplimiento normativo, la integridad financiera y la capacidad de su organizaci\u00f3n para adoptar decisiones jur\u00eddicamente defendibles bajo presi\u00f3n.<\/p>

Pruebas de resiliencia operativa digital, ejercicios basados en escenarios y pruebas dirigidas por amenazas<\/h4>

La resiliencia operativa digital no puede demostrarse \u00fanicamente comprobando si existen formalmente pol\u00edticas, procedimientos, planes de recuperaci\u00f3n y medidas t\u00e9cnicas de seguridad. Para su organizaci\u00f3n, una garant\u00eda real solo surge cuando puede demostrarse, en condiciones realistas, que los servicios empresariales cr\u00edticos son capaces de resistir perturbaciones digitales graves y que los mecanismos de recuperaci\u00f3n funcionan efectivamente cuando las medidas preventivas resultan insuficientes. Las pruebas de resiliencia operativa digital deben, por tanto, ir mucho m\u00e1s all\u00e1 de las pruebas de penetraci\u00f3n convencionales, los an\u00e1lisis de vulnerabilidades y las verificaciones peri\u00f3dicas de sistemas aislados. La cuesti\u00f3n central consiste en determinar si su organizaci\u00f3n puede seguir funcionando como un conjunto coherente bajo presi\u00f3n cuando varias dependencias t\u00e9cnicas, organizativas y externas se ven afectadas simult\u00e1neamente. Un programa de pruebas eficaz conecta, por ello, las vulnerabilidades t\u00e9cnicas con un impacto empresarial concreto. Pueden desarrollarse escenarios en los que, por ejemplo, una plataforma cloud quede repentinamente indisponible, fallen los servicios de autenticaci\u00f3n, un ataque de ransomware afecte a varias unidades de negocio, determinados datos esenciales dejen temporalmente de ser fiables, un proveedor externo de servicios TIC disponga de una capacidad de recuperaci\u00f3n insuficiente o se descubra que varios proveedores dependen de la misma infraestructura subyacente. No debe ser la complejidad t\u00e9cnica del escenario la que determine el alcance del ejercicio, sino su impacto potencial sobre la continuidad de los servicios cr\u00edticos. Su organizaci\u00f3n debe establecer previamente qu\u00e9 servicios empresariales, procesos, sistemas, datos, ubicaciones, empleados y proveedores se encuentran dentro del alcance de las pruebas, qu\u00e9 tolerancias a la perturbaci\u00f3n se aplican y qu\u00e9 indicadores de desempe\u00f1o deben medirse durante y despu\u00e9s del ejercicio. De este modo, el programa de pruebas permite evaluar no solo si los controles t\u00e9cnicos son capaces de resistir una perturbaci\u00f3n, sino tambi\u00e9n si la toma de decisiones, el escalado, las comunicaciones, los procedimientos de continuidad y las capacidades de recuperaci\u00f3n corresponden realmente con las necesidades operativas.<\/p>

Los ejercicios basados en escenarios resultan igualmente esenciales para poner a prueba la dimensi\u00f3n de gobierno de la resiliencia digital. Durante una crisis real, los \u00f3rganos de direcci\u00f3n, la funci\u00f3n jur\u00eddica, los profesionales de cumplimiento, los equipos de seguridad y los responsables operativos rara vez disponen desde el primer momento de informaci\u00f3n completa. Las primeras se\u00f1ales pueden ser ambiguas o contradictorias, mientras deben adoptarse decisiones sobre la continuidad de los servicios, las prioridades de recuperaci\u00f3n, las obligaciones regulatorias de notificaci\u00f3n, las comunicaciones con clientes, la participaci\u00f3n de expertos externos y el escalado hacia las autoridades de supervisi\u00f3n. Un ejercicio correctamente dise\u00f1ado debe reproducir deliberadamente esa incertidumbre. Su organizaci\u00f3n puede, por ejemplo, enfrentarse inicialmente a lo que parece una interrupci\u00f3n limitada del servicio, para descubrir posteriormente que el evento est\u00e1 relacionado con un acceso no autorizado, una posible manipulaci\u00f3n de datos y la compromisi\u00f3n de un proveedor. En una fase posterior puede resultar que el mismo proveedor soporte asimismo otro servicio empresarial cr\u00edtico, ampliando significativamente el impacto operativo. La introducci\u00f3n gradual de este tipo de acontecimientos permite comprobar si la informaci\u00f3n se comparte oportunamente, si las responsabilidades son comprendidas, si las decisiones se adoptan al nivel adecuado y si las obligaciones jur\u00eddicas son correctamente identificadas. Tambi\u00e9n permite determinar si los equipos conocen efectivamente los canales alternativos de comunicaci\u00f3n, las soluciones de recuperaci\u00f3n y las v\u00edas de escalado disponibles. El valor de estos ejercicios no reside, por tanto, en confirmar que las personas conocen los procedimientos existentes, sino en revelar las diferencias entre los planes formales y el comportamiento efectivo. Su organizaci\u00f3n obtiene as\u00ed informaci\u00f3n concreta sobre la velocidad de toma de decisiones, la calidad de la informaci\u00f3n, la coordinaci\u00f3n, la capacidad de recuperaci\u00f3n y las dependencias organizativas que una revisi\u00f3n documental convencional podr\u00eda no identificar.<\/p>

Para las entidades financieras, DORA puede exigir adem\u00e1s, dependiendo de la naturaleza, dimensi\u00f3n y perfil de riesgo de la organizaci\u00f3n, la realizaci\u00f3n de pruebas de penetraci\u00f3n avanzadas basadas en amenazas. Estas pruebas analizan la organizaci\u00f3n desde la perspectiva de adversarios realistas y examinan si las funciones cr\u00edticas pueden ser comprometidas mediante t\u00e9cnicas, t\u00e1cticas y procedimientos coherentes con la inteligencia disponible sobre amenazas. Este enfoque exige una delimitaci\u00f3n rigurosa de los objetivos de la prueba, de los sistemas comprendidos en su alcance, de los proveedores externos implicados, de los l\u00edmites de seguridad, de las consideraciones de protecci\u00f3n de datos y de la gesti\u00f3n de las vulnerabilidades identificadas. Una prueba de penetraci\u00f3n basada en amenazas no constituye una competici\u00f3n entre equipos ofensivos y defensivos, sino un m\u00e9todo controlado para evaluar el funcionamiento de las medidas existentes cuando se simula una cadena coordinada de ataque. Las conclusiones no deben, por consiguiente, clasificarse exclusivamente desde una perspectiva t\u00e9cnica. Su organizaci\u00f3n debe determinar qu\u00e9 vulnerabilidades pueden afectar a la prestaci\u00f3n de servicios cr\u00edticos, qu\u00e9 causas estructurales explican las deficiencias detectadas y qu\u00e9 medidas de remediaci\u00f3n deben recibir prioridad. Este enfoque se conecta directamente con la Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong>, ya que las mismas v\u00edas digitales de acceso que amenazan la continuidad operativa pueden utilizarse para cometer fraude en los pagos, usurpaci\u00f3n o abuso de identidad, manipulaci\u00f3n de datos, elusi\u00f3n de sanciones u otras formas de delincuencia financiera. La conexi\u00f3n de los resultados t\u00e9cnicos de las pruebas con riesgos operativos, jur\u00eddicos y de integridad permite obtener una visi\u00f3n mucho m\u00e1s completa de la exposici\u00f3n real de su organizaci\u00f3n. El resultado de todo programa de pruebas debe traducirse, por tanto, en acciones de remediaci\u00f3n demostrables, responsables claramente identificados, plazos concretos, nuevas pruebas peri\u00f3dicas y reporting dirigido a la direcci\u00f3n, de modo que las pruebas contribuyan directamente al fortalecimiento estructural de la resiliencia digital.<\/p>

Riesgo TIC de terceros, registros de externalizaci\u00f3n y dependencias de proveedores cr\u00edticos<\/h4>

La continuidad digital de su organizaci\u00f3n depende cada vez m\u00e1s de partes que operan fuera de sus propios l\u00edmites jur\u00eddicos y operativos. Proveedores cloud, desarrolladores de software, proveedores de servicios gestionados, centros de datos, procesadores de pagos, operadores de telecomunicaciones, proveedores de servicios de ciberseguridad, proveedores de identidad y proveedores especializados de datos pueden constituir individualmente componentes esenciales de los servicios empresariales cr\u00edticos. Esta situaci\u00f3n plantea una cuesti\u00f3n fundamental de gobierno: su organizaci\u00f3n puede externalizar la ejecuci\u00f3n t\u00e9cnica, pero contin\u00faa siendo responsable de gestionar los riesgos derivados de dicha dependencia. Una gesti\u00f3n eficaz del riesgo TIC de terceros debe, por consiguiente, comenzar mucho antes de la firma del contrato. Debe poder determinar qu\u00e9 servicio se externaliza, qu\u00e9 funci\u00f3n empresarial pasar\u00e1 a depender de \u00e9l, qu\u00e9 datos ser\u00e1n tratados, qu\u00e9 ubicaciones y subcontratistas estar\u00e1n implicados, qu\u00e9 riesgos de continuidad existen y cu\u00e1les ser\u00edan las consecuencias si el proveedor dejara de estar disponible repentinamente. Asimismo, deben considerarse la solidez financiera, operativa y jur\u00eddica del proveedor. Un proveedor tecnol\u00f3gicamente sofisticado puede seguir generando un riesgo de continuidad significativo cuando el servicio se encuentre altamente concentrado, los conocimientos cr\u00edticos residan en un n\u00famero reducido de personas o componentes esenciales dependan, a su vez, de otras partes externas. La diligencia debida sobre proveedores debe abarcar, por tanto, las dependencias directas e indirectas y guardar proporci\u00f3n con la criticidad del servicio empresarial soportado.<\/p>

El control contractual adquiere en este \u00e1mbito una importancia especial. Un contrato de prestaci\u00f3n de servicios exhaustivo proporciona una protecci\u00f3n limitada si, durante un incidente, su organizaci\u00f3n no puede obtener oportunamente la informaci\u00f3n necesaria, carece de derechos efectivos de auditor\u00eda o no dispone de facultades contractuales suficientes para imponer acciones de remediaci\u00f3n. Las disposiciones contractuales deben, por ello, corresponder directamente con los riesgos operativos y regulatorios implicados. Entre los elementos relevantes se encuentran las obligaciones de informaci\u00f3n, los requisitos de ciberseguridad, la notificaci\u00f3n de incidentes, los derechos de auditor\u00eda y acceso, la localizaci\u00f3n de datos, el uso de subcontratistas, las medidas de continuidad, los objetivos de recuperaci\u00f3n, las obligaciones de prueba, la protecci\u00f3n de datos, los derechos de terminaci\u00f3n y el apoyo a la salida. Para las funciones cr\u00edticas o importantes, estas disposiciones deben ser suficientemente espec\u00edficas para resultar realmente utilizables durante una crisis. Su organizaci\u00f3n debe poder determinar, por ejemplo, dentro de qu\u00e9 plazo un proveedor est\u00e1 obligado a comunicar un incidente grave, qu\u00e9 informaci\u00f3n m\u00ednima debe facilitar, de qu\u00e9 forma puede llevarse a cabo una investigaci\u00f3n y qu\u00e9 asistencia debe prestarse para la recuperaci\u00f3n. Tambi\u00e9n deben controlarse los cambios producidos durante la relaci\u00f3n contractual. Un proveedor puede incorporar nuevos subcontratistas, migrar infraestructuras o sustituir componentes t\u00e9cnicos a lo largo de la vigencia del contrato. Si estos cambios no son identificados oportunamente, el perfil de riesgo del servicio puede modificarse sustancialmente sin que su organizaci\u00f3n haya revisado su evaluaci\u00f3n. La gesti\u00f3n contractual debe, por tanto, estar directamente conectada con la gesti\u00f3n de riesgos y no tratarse \u00fanicamente como una funci\u00f3n comercial de gesti\u00f3n de proveedores.<\/p>

Los registros de acuerdos contractuales TIC adquieren especial relevancia bajo DORA porque deben proporcionar visibilidad sobre la extensi\u00f3n y naturaleza de las dependencias respecto de proveedores externos de servicios TIC. Sin embargo, un registro de esta naturaleza solo posee verdadero valor de gobierno cuando la informaci\u00f3n es correcta, completa, actualizada y puede vincularse con funciones cr\u00edticas, entidades jur\u00eddicas, ubicaciones, categor\u00edas de datos y subcontratistas. Su organizaci\u00f3n debe poder utilizar este panorama para determinar si varios servicios empresariales cr\u00edticos dependen del mismo proveedor, del mismo entorno cloud, del mismo componente de software o de la misma infraestructura geogr\u00e1fica. Estos riesgos de concentraci\u00f3n pueden multiplicar el impacto de un incidente. Una diversificaci\u00f3n aparente puede resultar igualmente enga\u00f1osa cuando diferentes contrapartes contractuales dependen, en \u00faltima instancia, del mismo hyperscaler, operador de centro de datos o proveedor tecnol\u00f3gico. El riesgo de concentraci\u00f3n debe, por consiguiente, analizarse m\u00e1s all\u00e1 de los l\u00edmites contractuales individuales. La misma metodolog\u00eda puede utilizarse dentro de la Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong> para evaluar si terceros tienen acceso a datos financieros sensibles, flujos de transacciones, identidades de clientes o mecanismos de control relevantes para prevenir y detectar la delincuencia financiera. El riesgo de proveedores se convierte as\u00ed en un componente integrado de la resiliencia digital, la continuidad operativa y la gesti\u00f3n de riesgos de integridad. Un marco s\u00f3lido de gesti\u00f3n del riesgo de terceros permite a su organizaci\u00f3n conocer antes de un incidente qu\u00e9 proveedores son materiales, ejercer de forma dirigida sus derechos contractuales durante el incidente y demostrar posteriormente qu\u00e9 medidas de control hab\u00edan sido implantadas.<\/p>

Responsabilidad de los \u00f3rganos de direcci\u00f3n, apetito de riesgo TIC y supervisi\u00f3n de la alta direcci\u00f3n<\/h4>

La resiliencia operativa digital exige una responsabilidad de los \u00f3rganos de direcci\u00f3n que vaya mucho m\u00e1s all\u00e1 de la aprobaci\u00f3n formal de pol\u00edticas. El consejo de administraci\u00f3n y la alta direcci\u00f3n deben ser capaces de comprender qu\u00e9 dependencias digitales resultan materiales para la continuidad de la organizaci\u00f3n, qu\u00e9 riesgos son conscientemente aceptados, qu\u00e9 deficiencias requieren una intervenci\u00f3n inmediata y qu\u00e9 inversiones son necesarias para proteger de forma sostenible los servicios empresariales cr\u00edticos. Esto exige un apetito de riesgo TIC claramente definido y traducido en umbrales concretos y criterios de decisi\u00f3n. Las declaraciones generales seg\u00fan las cuales su organizaci\u00f3n posee una baja tolerancia al riesgo cibern\u00e9tico ofrecen una orientaci\u00f3n limitada. Resulta mucho m\u00e1s relevante determinar cu\u00e1nto tiempo de indisponibilidad no planificada de un servicio cr\u00edtico puede aceptarse, qu\u00e9 plazos m\u00e1ximos de recuperaci\u00f3n son tolerables, cu\u00e1ntas vulnerabilidades cr\u00edticas no resueltas pueden admitirse, qu\u00e9 niveles de concentraci\u00f3n de proveedores exceden los l\u00edmites de tolerancia y bajo qu\u00e9 circunstancias las inversiones destinadas a reducir el riesgo deben escalarse obligatoriamente al nivel de direcci\u00f3n. Un marco eficaz permite distinguir qu\u00e9 riesgos pueden gestionarse dentro de la operativa ordinaria y qu\u00e9 situaciones requieren una decisi\u00f3n expresa de los \u00f3rganos de gobierno. Esto evita que excepciones t\u00e9cnicas inicialmente temporales se conviertan progresivamente en riesgos estructurales de gobierno sin el debido cuestionamiento y supervisi\u00f3n.<\/p>

La calidad de la supervisi\u00f3n directiva depende en gran medida de la calidad de la informaci\u00f3n sobre la que se adoptan las decisiones. Muchas organizaciones disponen de cuadros de mando extensos con numerosos indicadores t\u00e9cnicos, pero no todos los indicadores presentan la misma relevancia desde una perspectiva de gobierno. La direcci\u00f3n necesita sobre todo informaci\u00f3n que permita identificar qu\u00e9 vulnerabilidades pueden comprometer la prestaci\u00f3n de servicios cr\u00edticos, cu\u00e1nto tiempo puede requerir su recuperaci\u00f3n, qu\u00e9 dependencias contin\u00faan insuficientemente controladas y qu\u00e9 acciones de remediaci\u00f3n presentan retrasos. Los indicadores pueden referirse, por ejemplo, al porcentaje de servicios cr\u00edticos cuyas capacidades de recuperaci\u00f3n han sido efectivamente probadas, a la antig\u00fcedad de las principales observaciones de auditor\u00eda, a la disponibilidad de proveedores alternativos, al nivel de concentraci\u00f3n de funciones cr\u00edticas en un \u00fanico proveedor, al tiempo medio transcurrido entre la detecci\u00f3n de un incidente y su escalado, a la fiabilidad de la restauraci\u00f3n de backups y al n\u00famero de excepciones materiales a las pol\u00edticas de seguridad. La informaci\u00f3n sobre tendencias es igualmente importante. Una desviaci\u00f3n aislada puede ser tolerable, mientras que un deterioro persistente del mismo indicador puede revelar una debilidad estructural en el sistema de control. La informaci\u00f3n de gesti\u00f3n debe, por tanto, proporcionar contexto y no limitarse a presentar cifras. El \u00f3rgano de direcci\u00f3n debe poder comprender qu\u00e9 riesgos est\u00e1n aumentando, qu\u00e9 causas impulsan dicha evoluci\u00f3n, qu\u00e9 medidas se han adoptado y qu\u00e9 incertidumbres residuales subsisten.<\/p>

La responsabilidad de los \u00f3rganos de direcci\u00f3n tambi\u00e9n se manifiesta en la forma en que se equilibran intereses contrapuestos. Las inversiones en resiliencia digital compiten con frecuencia con prioridades comerciales, iniciativas de reducci\u00f3n de costes, programas de innovaci\u00f3n y otros objetivos estrat\u00e9gicos. La decisi\u00f3n de seguir utilizando un sistema heredado, aplazar una migraci\u00f3n o mantener una determinada relaci\u00f3n con un proveedor puede resultar econ\u00f3micamente comprensible y, al mismo tiempo, incrementar la exposici\u00f3n operativa y jur\u00eddica. Su organizaci\u00f3n debe hacer expl\u00edcitos y verificables estos compromisos. Los riesgos relevantes, las alternativas existentes, las consecuencias financieras y los controles compensatorios deben quedar documentados antes de que la decisi\u00f3n sea adoptada. La alta direcci\u00f3n debe recibir adem\u00e1s un cuestionamiento suficientemente independiente por parte de las funciones de gesti\u00f3n de riesgos, cumplimiento, jur\u00eddica, seguridad de la informaci\u00f3n y auditor\u00eda interna. La conexi\u00f3n con la Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong> adquiere aqu\u00ed especial importancia. Una debilidad en los controles digitales puede comprometer no solo la continuidad operativa, sino tambi\u00e9n la monitorizaci\u00f3n de transacciones, el filtrado de sanciones, la diligencia debida sobre clientes o la detecci\u00f3n del fraude. Los riesgos operativos y los riesgos de delincuencia financiera pueden, por tanto, reforzarse mutuamente. El reporting a la direcci\u00f3n debe hacer visible esta interacci\u00f3n, de modo que las decisiones sobre riesgos no se adopten de manera aislada por funciones separadas. Una gobernanza eficaz significa, en este contexto, que su organizaci\u00f3n pueda demostrar qu\u00e9 riesgos digitales asume, por qu\u00e9 determinados riesgos son aceptados y c\u00f3mo verifica que dicha aceptaci\u00f3n se mantiene dentro de l\u00edmites jur\u00eddicos, regulatorios y sociales sostenibles.<\/p>

Investigaciones de supervisi\u00f3n, exposici\u00f3n a medidas de enforcement y defensa procedimental<\/h4>

La supervisi\u00f3n de la resiliencia operativa digital est\u00e1 evolucionando desde una evaluaci\u00f3n predominantemente basada en pol\u00edticas hacia una revisi\u00f3n cada vez m\u00e1s f\u00e1ctica de la eficacia demostrable de los sistemas de control. Cuando una autoridad supervisora plantea preguntas acerca del cumplimiento de NIS2, de la normativa nacional de ciberseguridad, de DORA o de obligaciones sectoriales relacionadas, el an\u00e1lisis dif\u00edcilmente se limitar\u00e1 a la documentaci\u00f3n de pol\u00edticas. Puede extenderse a configuraciones t\u00e9cnicas, registros de incidentes, decisiones de los \u00f3rganos de direcci\u00f3n, contratos con proveedores, resultados de pruebas, observaciones de auditor\u00eda, planes de recuperaci\u00f3n, aceptaciones de riesgo y medidas adoptadas para corregir deficiencias conocidas. Para su organizaci\u00f3n resulta esencial tratar una investigaci\u00f3n supervisora, desde el primer contacto, como un proceso simult\u00e1neamente jur\u00eddico y f\u00e1ctico. \u00bfQu\u00e9 informaci\u00f3n se solicita, con base en qu\u00e9 fundamento jur\u00eddico, respecto de qu\u00e9 periodo, en relaci\u00f3n con qu\u00e9 entidad jur\u00eddica y con qu\u00e9 finalidad de supervisi\u00f3n? Una entrega de informaci\u00f3n excesivamente amplia o insuficientemente controlada puede abrir involuntariamente nuevas l\u00edneas de investigaci\u00f3n o mezclar hechos que deber\u00edan analizarse por separado. Una actitud excesivamente defensiva puede, por el contrario, deteriorar la relaci\u00f3n con el supervisor y generar la impresi\u00f3n de que se retiene informaci\u00f3n relevante. El enfoque m\u00e1s s\u00f3lido combina cooperaci\u00f3n transparente, control riguroso de los hechos, delimitaci\u00f3n jur\u00eddica precisa y comunicaciones coherentes.<\/p>

La reconstrucci\u00f3n de los acontecimientos adquiere especial importancia cuando la revisi\u00f3n regulatoria se produce tras un incidente concreto. Un ciberincidente grave no implica autom\u00e1ticamente que su organizaci\u00f3n haya incumplido sus obligaciones legales de diligencia. Los sistemas digitales pueden verse afectados, pese a la existencia de medidas adecuadas, por ataques sofisticados, vulnerabilidades previamente desconocidas, errores de proveedores o combinaciones excepcionales de circunstancias. El an\u00e1lisis jur\u00eddico debe, por tanto, examinar qu\u00e9 medidas exist\u00edan antes del incidente, qu\u00e9 riesgos eran razonablemente previsibles, qu\u00e9 se\u00f1ales estaban disponibles, con qu\u00e9 rapidez reaccion\u00f3 la organizaci\u00f3n y qu\u00e9 mejoras fueron introducidas posteriormente. Al mismo tiempo, la ausencia de incidentes anteriores no demuestra que el sistema de control fuera eficaz. Su organizaci\u00f3n debe poder acreditar c\u00f3mo fueron adoptadas las decisiones y qu\u00e9 informaci\u00f3n estaba disponible en el momento relevante. Cronolog\u00edas, registros de incidentes, actas del consejo de administraci\u00f3n, evaluaciones de riesgos, resultados de pruebas y decisiones de remediaci\u00f3n pueden resultar determinantes. Debe prestarse especial atenci\u00f3n a la distinci\u00f3n entre el conocimiento disponible en el momento de la decisi\u00f3n y el conocimiento adquirido \u00fanicamente despu\u00e9s del incidente. De lo contrario, el an\u00e1lisis puede verse influido por sesgos retrospectivos que hagan parecer un riesgo mucho m\u00e1s previsible de lo que razonablemente era antes del evento. Una defensa procedimental s\u00f3lida debe, por consiguiente, demostrar qu\u00e9 hechos eran conocidos en cada punto decisorio, qu\u00e9 incertidumbres persist\u00edan y por qu\u00e9 determinadas decisiones eran defendibles en las circunstancias concretas.<\/p>

Cuando una autoridad contempla la imposici\u00f3n de medidas de enforcement, adquieren relevancia central la proporcionalidad, la imputabilidad, la prueba, la causalidad y la correcci\u00f3n procedimental. Su organizaci\u00f3n debe ser capaz de distinguir entre una infracci\u00f3n jur\u00eddica concreta, una mejora de control que podr\u00eda haber sido conveniente pero que no era jur\u00eddicamente obligatoria, un fallo operativo aislado y una deficiencia estructural situada dentro de la esfera de control de la organizaci\u00f3n. El papel de los proveedores externos tambi\u00e9n puede ser relevante. Aunque la externalizaci\u00f3n no elimina la responsabilidad, la causa efectiva del incidente puede influir en la valoraci\u00f3n del grado de reproche y en la proporcionalidad de las eventuales medidas. Las investigaciones internas deben estructurarse cuidadosamente, con preguntas de investigaci\u00f3n claramente definidas, determinaci\u00f3n controlada de hechos, protecci\u00f3n adecuada de las comunicaciones jur\u00eddicamente sensibles y una separaci\u00f3n clara entre an\u00e1lisis t\u00e9cnico, valoraci\u00f3n jur\u00eddica y responsabilidad de gesti\u00f3n. El mismo planteamiento resulta aplicable cuando el incidente presenta conexiones con fraude, manipulaci\u00f3n de datos, abuso de pagos u otras formas de delincuencia financiera. La Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong> puede contribuir, en estos casos, a conectar ciberincidentes, controles internos, riesgos transaccionales y posibles patrones de abuso dentro de un \u00fanico marco probatorio. Esto permite a su organizaci\u00f3n no solo responder a las cuestiones planteadas por el supervisor, sino tambi\u00e9n demostrar que la remediaci\u00f3n se ha integrado estructuralmente y que los riesgos subyacentes han sido efectivamente reducidos.<\/p>

Gobierno integrado de la resiliencia digital, remediaci\u00f3n y continuidad institucional<\/h4>

La resiliencia operativa digital alcanza su mayor eficacia cuando la ciberseguridad, la gesti\u00f3n de continuidad, la gesti\u00f3n del riesgo TIC, la gesti\u00f3n de proveedores, el cumplimiento jur\u00eddico, la privacidad, el control de la delincuencia financiera y la gesti\u00f3n de crisis no operan como disciplinas separadas, sino que se conectan dentro de un sistema coherente de gobierno. Esto no significa que todos los reg\u00edmenes jur\u00eddicos o todas las funciones especializadas deban fusionarse en un \u00fanico proceso uniforme. NIS2, la normativa nacional de ciberseguridad, DORA, el derecho de protecci\u00f3n de datos, los requisitos sectoriales de supervisi\u00f3n y las obligaciones contractuales mantienen cada uno su propio \u00e1mbito de aplicaci\u00f3n y sus exigencias jur\u00eddicas espec\u00edficas. El desaf\u00edo de gobierno consiste en respetar esas diferencias y, al mismo tiempo, crear una visi\u00f3n \u00fanica y fiable de los servicios cr\u00edticos, las dependencias materiales, los riesgos significativos, los incidentes, las medidas de remediaci\u00f3n y los responsables identificados. Su organizaci\u00f3n debe ser capaz, mediante un marco integrado de gobierno, de determinar qu\u00e9 riesgos poseen relevancia a escala empresarial y, posteriormente, identificar para cada r\u00e9gimen jur\u00eddico qu\u00e9 obligaciones concretas resultan aplicables. Este enfoque evita tanto la fragmentaci\u00f3n como una simplificaci\u00f3n jur\u00eddica excesiva.<\/p>

El gobierno de la remediaci\u00f3n constituye un componente fundamental de este sistema. Las observaciones de auditor\u00eda, los an\u00e1lisis posteriores a incidentes, los resultados de las pruebas, las observaciones de supervisores, las revisiones de proveedores y las evaluaciones internas de riesgos generan continuamente acciones de mejora. Cuando estas observaciones se gestionan mediante sistemas, comit\u00e9s y funciones diferentes, puede desaparecer la visi\u00f3n global y deficiencias similares pueden registrarse varias veces sin que se aborde efectivamente su causa subyacente. Su organizaci\u00f3n necesita, por consiguiente, un proceso integrado de remediaci\u00f3n en el que las observaciones se clasifiquen de acuerdo con su gravedad, el servicio empresarial cr\u00edtico afectado, su relevancia jur\u00eddica, la causa ra\u00edz y sus relaciones con otros problemas. Deben definirse posteriormente responsables, plazos, dependencias y criterios de aceptaci\u00f3n. Una acci\u00f3n de remediaci\u00f3n no deber\u00eda considerarse finalizada simplemente porque un cambio haya sido implantado administrativamente, sino \u00fanicamente cuando se haya demostrado que la medida funciona efectivamente. Para las deficiencias cr\u00edticas puede resultar necesaria una validaci\u00f3n independiente. Las medidas compensatorias temporales deben igualmente supervisarse de forma expresa para evitar que soluciones de emergencia se conviertan, sin una decisi\u00f3n consciente, en mecanismos permanentes. Un gobierno centralizado de la remediaci\u00f3n permite adem\u00e1s a la direcci\u00f3n comprender mejor los patrones estructurales, las causas recurrentes y los \u00e1mbitos en los que la reducci\u00f3n del riesgo avanza con una velocidad insuficiente.<\/p>

La continuidad institucional va, finalmente, mucho m\u00e1s all\u00e1 de la recuperaci\u00f3n de un sistema o proceso individual. Su organizaci\u00f3n debe ser capaz de resistir situaciones en las que la tecnolog\u00eda, los proveedores, el personal, las ubicaciones f\u00edsicas y la capacidad de decisi\u00f3n se encuentren simult\u00e1neamente bajo presi\u00f3n. Esto exige una redundancia suficiente en conocimientos, facultades, datos, canales de comunicaci\u00f3n y capacidad de toma de decisiones cr\u00edticas. Las funciones clave deben ser sustituibles, la informaci\u00f3n esencial debe seguir siendo accesible durante perturbaciones graves y las decisiones de crisis deben poder adoptarse incluso cuando los sistemas ordinarios o los lugares habituales de trabajo no est\u00e9n disponibles. La Gesti\u00f3n Integrada de los Riesgos de Delincuencia Financiera<\/strong> debe formar parte integral de este mismo enfoque de continuidad. La indisponibilidad de la monitorizaci\u00f3n de transacciones, de la diligencia debida de clientes, del filtrado de sanciones, de los controles de pagos o de la detecci\u00f3n del fraude puede generar riesgos adicionales de delincuencia financiera precisamente en el momento en que la atenci\u00f3n operativa se encuentra absorbida por otras prioridades. Los planes de continuidad deben establecer expresamente qu\u00e9 controles de integridad deben permanecer disponibles como m\u00ednimo y qu\u00e9 actividades reforzadas de supervisi\u00f3n deben activarse cuando los controles ordinarios se encuentren temporalmente degradados. El objetivo final es que su organizaci\u00f3n no solo sea capaz de resistir una perturbaci\u00f3n digital, sino que pueda demostrar que mantiene, incluso bajo presi\u00f3n, el control sobre los servicios cr\u00edticos, las obligaciones jur\u00eddicas, la integridad financiera y la toma de decisiones. La resiliencia operativa digital se convierte as\u00ed en una capacidad institucional permanente: no solo un instrumento para prevenir incidentes, sino un medio para proteger la continuidad, la seguridad jur\u00eddica, la confianza y la fiabilidad institucional cuando el entorno digital se ve gravemente alterado.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

La resiliencia operativa digital ya no constituye para su organizaci\u00f3n una cuesti\u00f3n meramente t\u00e9cnica relacionada con la ciberseguridad, la disponibilidad de las redes, las copias de seguridad, los controles de acceso o la recuperaci\u00f3n de los sistemas de tecnolog\u00edas de la informaci\u00f3n y la comunicaci\u00f3n. La cuesti\u00f3n central de gobierno consiste ahora en determinar si, ante una perturbaci\u00f3n digital grave, su organizaci\u00f3n sigue siendo capaz de proteger, mantener y restablecer sus funciones esenciales o importantes de manera controlada, verificable y jur\u00eddicamente defendible, y si puede rendir cuentas de las decisiones adoptadas antes, durante y despu\u00e9s del incidente. Este cambio de<\/p>\n","protected":false},"author":1,"featured_media":36168,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[243],"tags":[],"class_list":["post-36186","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ia-resiliencia-digital"],"acf":[],"_links":{"self":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/posts\/36186","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/comments?post=36186"}],"version-history":[{"count":7,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/posts\/36186\/revisions"}],"predecessor-version":[{"id":36193,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/posts\/36186\/revisions\/36193"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/media\/36168"}],"wp:attachment":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/media?parent=36186"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/categories?post=36186"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/es\/wp-json\/wp\/v2\/tags?post=36186"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}