DORA: registro de información y gestión de terceros TIC
El registro de información DORA es el inventario de todos tus acuerdos con proveedores de servicios TIC. Además, los supervisores lo recogen cada año para vigilar la dependencia tecnológica del sector financiero. Aquí tienes qué debe contener, cómo se envía en España, qué cláusulas exige el artículo 30 y cómo plantear la salida.
En 30 segundos: el artículo 28.3 de DORA obliga a cada entidad financiera a llevar un registro de información con sus contratos TIC. Su formato lo fijan las 15 plantillas del Reglamento de Ejecución (UE) 2024/2956. Tras la primera remisión, en abril de 2025, el envío es anual. Con esos datos, las Autoridades Europeas de Supervisión (AES) designaron en noviembre de 2025 a 19 proveedores TIC críticos. Por último, los servicios que soportan funciones esenciales o importantes exigen cláusulas reforzadas y una estrategia de salida probada.
¿Qué es el registro de información DORA?
El Reglamento (UE) 2022/2554 (DORA) se aplica desde el 17 de enero de 2025. Si necesitas antes una visión de conjunto, lee DORA explicado para quien no es del mundo financiero.
Dentro de ese marco, el artículo 28.3 exige un registro con todos los acuerdos sobre servicios TIC. Además, debe existir a nivel de entidad y, si formas parte de un grupo, también a nivel subconsolidado y consolidado. También distingue los acuerdos que soportan funciones esenciales o importantes. El mismo artículo te obliga también a:
- Informar al menos una vez al año de los acuerdos nuevos, los proveedores y los servicios prestados.
- Entregar el registro completo cuando lo pida tu autoridad competente.
- Avisar con tiempo de cualquier contrato previsto para funciones esenciales o importantes.
En la práctica, el registro de información DORA es la fotografía de tu dependencia tecnológica. Así, muestra quién te presta cada servicio, para qué función y con qué subcontratistas.
Qué piden las plantillas del Reglamento 2024/2956
El contenido lo fija el Reglamento de Ejecución (UE) 2024/2956 de la Comisión, en vigor desde el 22 de diciembre de 2024. Son 15 plantillas relacionadas entre sí mediante claves, como una base de datos. Por eso, un error en una tabla puede invalidar otra.
| Plantillas | Qué recogen |
|---|---|
| B_01.01 a B_01.03 | Entidad que mantiene el registro, entidades del alcance y sucursales |
| B_02.01 a B_02.03 | Datos de cada acuerdo y acuerdos intragrupo |
| B_03.01 a B_03.03 | Quién firma cada acuerdo |
| B_04.01 | Entidades que usan cada servicio TIC |
| B_05.01 y B_05.02 | Proveedores TIC y cadena de subcontratación |
| B_06.01 | Funciones de la entidad y su criticidad |
| B_07.01 | Evaluación de cada servicio: sustituibilidad y opciones de salida |
| B_99.01 | Terminología propia de la entidad |
Las plantillas definen la estructura del registro de información DORA hasta el último campo. Además, cada proveedor lleva un código único, normalmente su identificador de entidad jurídica (LEI). Asimismo, tienes que ordenar la cadena de subcontratación por rangos.
Calendario del registro de información DORA: 2025 y ciclo anual
La primera remisión tuvo una fecha de referencia excepcional. Desde 2026, cada entidad remite su registro de información DORA una vez al año. Sin embargo, las ventanas nacionales varían, así que confirma siempre las fechas con tu supervisor.
| Fecha | Hito |
|---|---|
| 17/01/2025 | DORA empieza a aplicarse y el registro debe existir |
| 1-22/04/2025 | Ventana de la CNMV para la primera remisión, con datos a 31/03/2025 |
| 30/04/2025 | Fecha máxima de las AES para recibir los primeros registros |
| 31/12/2025 | Fecha de referencia de la remisión de 2026 |
| 1-29/03/2026 | Ventana de la CNMV para 2026, con subsanaciones hasta el 22/04/2026 |
| Marzo de cada año | Los supervisores nacionales envían los registros a las AES |
Hacia las AES, el formato de intercambio es xBRL-CSV, el estándar de reporte de la EBA. Aun así, cada supervisor fija su propio canal de entrada. Además, las validaciones se endurecen cada año, de modo que un registro aceptado en 2025 puede fallar en 2026.
Quién recibe el registro en España
Cada entidad lo envía a su autoridad competente, que después lo traslada a las AES. En España son tres:
- Banco de España: entidades de crédito, de pago y de dinero electrónico, con su propia taxonomía XBRL de DORA.
- CNMV: empresas de servicios de inversión y gestoras. Para 2026 publicó una guía operativa con plantilla Excel propia.
- DGSFP: aseguradoras, reaseguradoras y fondos de pensiones.
Tenemos además guías por sector para banca y fintech y para aseguradoras.
De tu registro a los proveedores TIC críticos (CTPP)
Las AES usan los registros para medir cuánto depende el sector de cada proveedor. Con esos datos, el 18 de noviembre de 2025 publicaron la primera lista de proveedores TIC críticos. Son 19, entre ellos AWS, Google Cloud, Microsoft, Oracle, SAP e IBM.
Desde entonces, las AES vigilan directamente a esos proveedores. Aun así, la designación no traslada tu responsabilidad. Tu entidad sigue respondiendo del riesgo de terceros, de sus contratos y de su propio registro de información DORA. Además, el registro te ayuda a medir el riesgo de concentración del artículo 29 antes de firmar.
Cláusulas contractuales mínimas del artículo 30
El registro solo resulta fiable si los contratos contienen la información que pide. Por eso, el artículo 30.2 fija un contenido mínimo para todos los acuerdos TIC:
- Descripción de los servicios y de si cabe subcontratarlos.
- Ubicaciones de prestación y de tratamiento de datos, con preaviso si cambian.
- Protección de la disponibilidad, integridad y confidencialidad de los datos.
- Acceso, recuperación y devolución de los datos si el contrato termina.
- Niveles de servicio, asistencia ante incidentes y cooperación con las autoridades.
- Derechos de resolución y plazos mínimos de preaviso.
Cuando el servicio soporta funciones esenciales o importantes, el artículo 30.3 añade además:
- Objetivos de servicio cuantitativos y cualitativos precisos.
- Planes de contingencia probados y medidas de seguridad TIC adecuadas.
- Cooperación en las pruebas de penetración basadas en amenazas (TLPT).
- Derechos ilimitados de acceso, inspección y auditoría.
- Estrategias de salida con un periodo de transición obligatorio.
Por su parte, el Reglamento Delegado (UE) 2024/1773 detalla la política para estos contratos. Asimismo, el Reglamento Delegado (UE) 2025/532 regula su subcontratación.
Estrategia de salida: el artículo 28.8
Para cada servicio que soporte funciones esenciales o importantes necesitas una estrategia de salida documentada. En concreto, debe cubrir la quiebra del proveedor, un deterioro grave del servicio y la terminación del contrato. Además, tiene que permitirte salir sin interrumpir tu actividad ni perjudicar a tus clientes. También debes probar los planes y revisarlos de forma periódica. Por eso conviene vincular cada plan a su fila del registro: así sabrás qué contratos tienen ya una salida viable.
Cómo preparar el registro de información DORA paso a paso
- Inventaria todos los servicios TIC, incluidos los que presta tu propio grupo.
- Mapea tus funciones y marca las esenciales o importantes.
- Obtén el LEI de cada proveedor y comprueba que funciona.
- Documenta la cadena de subcontratación, empezando por los servicios críticos.
- Revisa los contratos frente al artículo 30 y anota lo que falta.
- Valida el fichero en el entorno de pruebas de tu supervisor y, después, asigna un responsable de mantenerlo.
Los errores más comunes son claves duplicadas, identificadores no válidos y campos obligatorios vacíos. El supervisor rechaza un registro de información DORA con estos fallos, y entonces tienes que reenviarlo con prisas.
Este trabajo encaja con otros marcos. Por ejemplo, si ya usas ISO 27001 como atajo para NIS2, RGPD y DORA, puedes reutilizar tu inventario de proveedores.
Preguntas frecuentes
¿Quién está obligado a llevar el registro de información DORA?
Todas las entidades financieras del artículo 2 de DORA, con independencia de su tamaño. La proporcionalidad influye en cómo lo aplicas, pero no te exime de mantener el registro.
¿Cada cuánto hay que enviar el registro de información DORA?
Al menos una vez al año, con datos a 31 de diciembre del año anterior. Además, tu supervisor puede pedirte el registro completo en cualquier momento.
¿Qué formato tiene el registro de información DORA?
Las AES reciben los datos en xBRL-CSV, según las 15 plantillas del Reglamento 2024/2956. En cambio, en España el Banco de España usa su taxonomía XBRL y la CNMV admite una plantilla Excel. Por tanto, sigue siempre las instrucciones de tu supervisor.
¿Hay que incluir a los proveedores TIC del propio grupo?
Sí. DORA considera proveedores terceros también a las empresas de tu grupo que te prestan servicios TIC. Por eso, esos acuerdos figuran igualmente en el registro.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC mantiene tu registro de información DORA junto al resto de normas: un control, varias normas. Así, registras cada proveedor TIC, la función que soporta y su cadena de subcontratación, servicio por servicio. Además, enlazas contratos y planes de salida como evidencias reutilizables para NIS2 e ISO 27001. El reloj regulatorio te avisa antes de cada ventana de remisión y de cada renovación. Consulta la ficha de DORA o solicita una demo.
