El registro de información de DORA, sin empezar por la hoja de cálculo
Por HodeitekPublicado
Si eres CISO de una entidad financiera y te piden el registro de información de DORA sin un equipo de ingeniería de terceros, esta guía te da el orden de trabajo y lo que conviene decidir antes de abrir ninguna plantilla.
Qué te piden exactamente
DORA es el Reglamento (UE) 2022/2554 y se aplica desde el 17 de enero de 2025. Su artículo 28(3) obliga a la entidad financiera a mantener y actualizar un registro de información de todos los acuerdos contractuales sobre el uso de servicios TIC prestados por terceros proveedores.
El formato no se improvisa: el Reglamento de Ejecución (UE) 2024/2956 fija las plantillas normalizadas del registro. Son 15 plantillas, y por eso conviene tratar el registro como un conjunto de datos y no como un documento.
Por dónde empezar un lunes
Antes de rellenar nada, ordena lo que ya tienes. Cuatro decisiones evitan la mayor parte del retrabajo.
- Lista cada contrato en el que un tercero presta un servicio TIC, no solo los de tecnología: también el proveedor de nómina o el de custodia de documentos.
- Decide quién es el dueño de cada contrato. Sin dueño, nadie actualiza el dato.
- Anota para cada proveedor su identificador LEI y su jurisdicción. Son campos que luego se repiten en varias plantillas.
- Recoge en el mismo sitio si hay plan de salida y derecho de auditoría, dos de las cláusulas que el artículo 30 pide en los contratos.
Cómo se ve el control de cláusulas
Tres proveedores inventados, para ver qué dato se pide por contrato. No son entidades reales ni datos de ningún cliente.
| Proveedor | Servicio | Plan de salida | Derecho de auditoría |
|---|---|---|---|
| Proveedor A | Alojamiento en la nube | Sí | Sí |
| Proveedor B | Pasarela de pagos | Sí | No |
| Proveedor C | Custodia de documentos | No | No |
Qué hace HodeiShield y qué no
HodeiShield guarda proveedores, contratos y concentración en un mismo registro y puede generar el registro de información como paquete xBRL-CSV con la estructura de las 15 plantillas. Registra LEI y jurisdicción por proveedor y sigue el plan de salida y el derecho de auditoría del artículo 30.
Es una capacidad parcial: el exportador se está completando. No presenta nada ante el supervisor y no sustituye la revisión jurídica. La presentación por el canal oficial sigue siendo de la entidad.
Fuentes
Mira el registro con tus propios proveedores
En una demo recorremos el registro de proveedores TIC, las cláusulas y el paquete de ejemplo con datos de muestra. Te responde una persona de Hodeitek.