El Banco Central Europeo (BCE) publicó la versión final de su Guía sobre la externalización de servicios en la nube a proveedores de servicios en la nube.
Al igual que otras Guías del BCE, esta Guía no establece requisitos, prácticas ni normas jurídicamente vinculantes. Tampoco introduce nuevas normas o requisitos además de los impuestos actualmente por el Reglamento sobre la resiliencia operativa digital (Digital Operational Resilience Act, DORA). En su lugar, aclara las expectativas del BCE en relación con el cumplimiento por las entidades de crédito de los requisitos establecidos en el Reglamento DORA. También ofrece a las entidades supervisadas por el BCE que utilizan servicios en la nube de terceros buenas prácticas para la gestión eficaz del riesgo de externalización, basadas en las prácticas observadas en el sector.
«Las entidades de crédito dependen de unos pocos proveedores terceros para la externalización de los servicios en la nube. Esto hace que estén expuestas a diferentes riesgos, como los de seguridad de TI y cibernéticos, que continúan siendo una prioridad para el BCE en tiempos de elevadas tensiones geopolíticas», señaló Anneli Tuominen, miembro del Consejo de Supervisión del BCE. «Nuestra Guía describe buenas prácticas sobre el modo en que esperamos que las entidades gestionen esos riesgos, basadas en la experiencia adquirida en nuestra supervisión continuada».
La Guía final diferencia más claramente los requisitos establecidos en el Reglamento DORA y las buenas prácticas recomendadas por el BCE. También aclara la manera en que se aplica el principio de proporcionalidad.
Con la publicación de esta Guía, el BCE hará que la supervisión sea más coherente y contribuirá a asegurar la igualdad de condiciones para las entidades que supervisa, al exponer sus expectativas de manera transparente y recomendar buenas prácticas. En la Guía se subraya la importancia de mantener un enfoque basado en el riesgo y de aplicar la proporcionalidad en la externalización de servicios en la nube, teniendo en cuenta al mismo tiempo las diferentes estructuras organizativas, áreas de actividad y perfiles de riesgo de las entidades que el BCE supervisa.
