DORA Foundation

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. Dominio 1: Conceptos fundamentales del riesgo TIC

   Una entidad financiera queda identificada como entidad esencial con arreglo a las normas nacionales de transposición de la Directiva (UE) 2022/2555. ¿Cómo se sitúa DORA frente a esa Directiva?

   1. DORA suspende íntegramente la Directiva respecto del sector financiero, de manera que ninguna obligación derivada de ella alcanzaría a la entidad financiera.
   2. DORA se considera un acto jurídico sectorial de la Unión a los efectos del artículo 4 de esa Directiva, por lo que sus normas se aplican en su lugar.
   3. DORA se aplica cuando la entidad carece de obligaciones con arreglo a la Directiva, algo que la autoridad competente valora caso por caso.
   4. DORA se acumula íntegramente a la Directiva, de modo que la entidad financiera debe sostener dos marcos independientes con dos canales de notificación.

2. Dominio 2: Requisitos de DORA para el marco de riesgo TIC

   Las entidades financieras deben mantener un registro de información. ¿Qué recoge ese registro y a qué niveles se lleva?

   1. Un registro de todos los acuerdos contractuales relativos al uso de servicios de TIC, mantenido a nivel de la entidad, subconsolidado y consolidado.
   2. Un registro de los activos de TIC que se han clasificado como esenciales, llevado por cada unidad, revisado una vez al año y dado al auditor.
   3. Un registro de los incidentes notificados, llevado a nivel de la entidad, archivado con las cuentas anuales y la memoria.
   4. Un registro de las vulnerabilidades detectadas en las pruebas, llevado por el probador, compartido con la autoridad competente y con el auditor.

3. Dominio 1: Conceptos fundamentales del riesgo TIC

   El capítulo II de DORA no se aplica en los mismos términos por todas las entidades financieras. ¿Qué factores determinan cuán exigente resulta esa aplicación para una entidad concreta?

   1. El volumen de negocios anual, el balance general consolidado y el número de empleados, contrastados con los umbrales correspondientes a las microempresas.
   2. El tamaño de la entidad, su perfil de riesgo general, así como la naturaleza junto a la escala y a la complejidad de sus servicios.
   3. El número de proveedores terceros contratados, su localización y su tamaño, datos que determinan la exposición de la entidad.
   4. La categoría supervisora asignada anualmente por la autoridad competente, que clasifica cada entidad financiera como baja, media o alta.

4. Dominio 2: Requisitos de DORA para el marco de riesgo TIC

   ¿Para qué servicios de TIC debe una entidad financiera establecer estrategias de salida, y qué han de permitir esas estrategias?

   1. Para los servicios que sustentan funciones esenciales o importantes, de modo que la entidad pueda abandonarlos sin perturbar su actividad ni perjudicar a sus clientes.
   2. Para cada servicio contratado con un proveedor establecido fuera de la Unión, de modo que los datos y las copias se repatríen dentro de un plazo de treinta días.
   3. Para los servicios cuyo coste anual supera el umbral fijado en la política de compras y contratación, de modo que el precio pueda renegociarse.
   4. Para los servicios prestados por un proveedor intragrupo, de modo que el grupo reasigne la función a otra de sus filiales o sucursales.

5. Dominio 1: Conceptos fundamentales del riesgo TIC

   Durante una interrupción de gran alcance en uno de sus centros de datos, un banco mantiene operativo su servicio de pagos y luego recupera el funcionamiento normal. ¿Qué concepto del Reglamento ilustra esa conducta?

   1. La seguridad de las redes, entendida como la protección de los sistemas de información frente a cualquier acceso no autorizado.
   2. El riesgo de concentración de TIC, entendido como la dependencia creada al recurrir a un proveedor para un servicio esencial.
   3. El análisis de impacto en el negocio, entendido como la valoración anticipada de las perturbaciones graves de la actividad.
   4. La resiliencia operativa digital, entendida como la capacidad de seguir prestando servicios durante las perturbaciones.

6. Dominio 2: Requisitos de DORA para el marco de riesgo TIC

   ¿Por qué exige el artículo 24, apartado 1, que determinadas entidades financieras establezcan, mantengan y revisen un programa de pruebas dentro de su marco?

   1. Para valorar la preparación frente a incidentes, descubrir insuficiencias de resiliencia operativa digital y corregirlas sin demora.
   2. Para lograr de la autoridad competente una certificación, que la entidad muestra luego a sus clientes y a sus auditores.
   3. Para demostrar al proveedor que sus servicios alcanzan los niveles fijados, conforme al acuerdo contractual firmado y vigente.
   4. Para sustituir la auditoría interna del marco, que resulta innecesaria o superflua en cuanto el programa entra en funcionamiento.

7. Dominio 1: Conceptos fundamentales del riesgo TIC

   Un equipo de seguridad recibe información de que un grupo criminal prepara una campaña contra instituciones de su tipo, aunque nada ha ocurrido todavía. ¿Cómo califica el Reglamento esa situación?

   1. Como incidente relacionado con las TIC, puesto que la información llegó a la entidad para registrarse.
   2. Como incidente grave relacionado con las TIC, puesto que una campaña sectorial tendría repercusiones negativas.
   3. Como ciberamenaza, puesto que describe una circunstancia potencial capaz de causar daño que todavía no se ha materializado.
   4. Como ciberataque, puesto que el agente de riesgo ya ha elegido como objetivo a las entidades financieras de ese subsector del mercado.

8. Dominio 2: Requisitos de DORA para el marco de riesgo TIC

   El marco de gestión del riesgo relacionado con las TIC debe incluir una estrategia de resiliencia operativa digital. ¿Qué ha de establecer esa estrategia?

   1. El inventario de los activos de TIC calificados de esenciales, el proveedor que opera cada uno y la clase asignada.
   2. La política retributiva del personal de TIC, alineada con el rendimiento de los sistemas y las aplicaciones que administra.
   3. Las plantillas para avisar de los incidentes graves, los plazos que se les aplican y el canal de envío.
   4. Cómo se aplicará el marco, incluido el nivel de tolerancia al riesgo y unos objetivos claros de seguridad.

9. Dominio 1: Conceptos fundamentales del riesgo TIC

   Una entidad anota que una pasarela de acceso remoto sin parchear podría servir a un grupo criminal para llegar a su base de datos de clientes. En términos de riesgo, ¿qué es esa pasarela sin parchear?

   1. La vulnerabilidad, porque es la debilidad que habría de explotarse.
   2. La amenaza, porque es lo que podría dañar las operaciones de la entidad financiera.
   3. El activo, porque es el bien valioso que la entidad pretende proteger.
   4. La repercusión, porque es la consecuencia que se asumiría.

10. Dominio 2: Requisitos de DORA para el marco de riesgo TIC

    Cuando una entidad financiera restablece datos de seguridad mediante sus propios sistemas, ¿qué exige DORA de los sistemas empleados en ese restablecimiento?

    1. Que los opere un proveedor establecido en la Unión, mediante un contrato escrito y con derechos plenos de auditoría y de acceso.
    2. Que estén situados en otro Estado miembro, para que una perturbación nacional o regional no afecte al centro primario y al secundario.
    3. Que estén separados física y lógicamente del sistema de origen, protegidos contra el acceso no autorizado o la corrupción.
    4. Que los certifique un organismo de acreditación, probados de antemano y sujetos a las reglas de acceso a los datos en producción o históricos.

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.