Puntos clave: Requisitos del registro de información de DORA
El registro de información de DORA (RoI) es la obligación operativamente más compleja del Reglamento (UE) 2022/2554. Las entidades financieras deben documentar cada acuerdo con terceros de TIC en 15 plantillas interconectadas de las AES, mantenidas a nivel de entidad, subconsolidado y consolidado. En el simulacro de las AES de 2024, solo el 6,5 % de los registros superó las 116 comprobaciones de validación. El incumplimiento puede acarrear multas de hasta el 2 % del volumen de negocios anual global. La presentación anual a las ANC vence el 31 de marzo de cada año.
Definiciones
¿Qué es el registro de información de DORA?
El registro de información de DORA (RoI) es un registro estructurado obligatorio exigido por el artículo 28(3) del Reglamento de Resiliencia Operativa Digital (Reglamento (UE) 2022/2554). Exige a todas las entidades financieras incluidas en el ámbito mantener un registro completo y actualizado de todos los acuerdos contractuales con proveedores terceros de servicios de TIC, estructurado en 15 plantillas interconectadas definidas por las Normas Técnicas de Ejecución de las Autoridades Europeas de Supervisión.
¿Qué es DORA (Reglamento de Resiliencia Operativa Digital)?
DORA es el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, que establece un marco integral para la resiliencia operativa digital en el sector financiero de la UE. Entró en vigor el 16 de enero de 2023 y es aplicable desde el 17 de enero de 2025, abarcando 20 categorías de entidades financieras, incluidos bancos, aseguradoras, empresas de inversión y proveedores de servicios de criptoactivos.
¿Qué son las Normas Técnicas de Ejecución (ITS) de las AES?
Las Normas Técnicas de Ejecución de las AES son normas técnicas vinculantes desarrolladas conjuntamente por la Autoridad Bancaria Europea (EBA), la Autoridad Europea de Valores y Mercados (ESMA) y la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA) en virtud del artículo 28(9) de DORA. Definen las plantillas, los campos de datos, las taxonomías y las reglas de validación exactas para el registro de información.
¿Qué es un identificador de entidad jurídica (LEI)?
El LEI es un código alfanumérico de 20 caracteres que identifica de forma única a las entidades jurídicas que participan en transacciones financieras, según define la norma ISO 17442. Los códigos LEI son identificadores obligatorios en las plantillas del RoI de DORA para vincular entidades, proveedores y acuerdos contractuales en todo el registro.
Preguntas frecuentes
¿Qué es el registro de información de DORA (RoI)?
El registro de información de DORA es un registro estructurado obligatorio exigido por el artículo 28(3) del Reglamento (UE) 2022/2554. Exige a las entidades financieras documentar todos los acuerdos de servicios con terceros de TIC en 15 plantillas interconectadas definidas por las Normas Técnicas de Ejecución de las AES. El registro debe mantenerse a nivel de entidad, subconsolidado y consolidado, abarcando la información de la entidad, los acuerdos contractuales, los servicios de TIC y las cadenas de suministro de proveedores.
¿Cuántas plantillas contiene el registro de información de DORA?
Las Normas Técnicas de Ejecución de las AES, en virtud del artículo 28(9) de DORA, definen 15 plantillas interconectadas (de la B_01 a la B_06, más subplantillas). Cada plantilla contiene decenas de campos obligatorios con taxonomías estrictas y 116 reglas de validación de la calidad de los datos. Las plantillas abarcan la identificación de la entidad, los acuerdos contractuales, los detalles de los servicios de TIC, las evaluaciones de riesgo y las cadenas de subcontratación.
¿Cuál fue la tasa de aprobación en el simulacro de DORA de las AES?
Según el informe resumen del simulacro de DORA de la EBA publicado en diciembre de 2024, solo el 6,5 % de los registros presentados superó las 116 comprobaciones de validación de la calidad de los datos. Participaron casi 1.000 entidades financieras de toda la UE. El informe constató que el 86 % de los errores se debió a información obligatoria que faltaba, como identificadores únicos y datos de la cadena de suministro, lo que pone de relieve la complejidad operativa del requisito del RoI.
¿Cuáles son las sanciones por incumplimiento del registro de información de DORA?
En virtud del artículo 50 de DORA del Reglamento (UE) 2022/2554, el incumplimiento puede acarrear multas de hasta el 2 % del volumen de negocios anual global para las entidades financieras. Además, las autoridades competentes pueden imponer sanciones diarias de hasta el 1 % del volumen de negocios diario medio mundial para forzar la subsanación. Los proveedores terceros críticos de TIC se enfrentan a regímenes sancionadores específicos en virtud del artículo 35 de DORA.
¿Cuándo es el plazo de presentación del registro de información de DORA?
Las entidades financieras deben presentar su registro de información a su autoridad nacional competente (ANC) anualmente, antes del 31 de marzo. El registro también debe mantenerse de forma continua y estar disponible para revisión supervisora cuando se solicite, en cualquier momento. Las ANC consolidan las presentaciones y las remiten a las Autoridades Europeas de Supervisión para el análisis de designación de proveedores críticos.
¿Qué entidades financieras están incluidas en el ámbito del registro de información de DORA?
DORA se aplica a 20 categorías de entidades financieras según define el artículo 2 del Reglamento (UE) 2022/2554. Estas incluyen entidades de crédito, empresas de inversión, entidades de seguros y reaseguros, entidades de pago, entidades de dinero electrónico, depositarios centrales de valores, entidades de contrapartida central, centros de negociación, registros de operaciones, gestores de fondos de inversión alternativos, sociedades de gestión, proveedores de servicios de suministro de datos, proveedores de servicios de criptoactivos y proveedores de servicios de financiación participativa.
¿Qué campos de datos son obligatorios en las plantillas del RoI de DORA?
Los campos obligatorios abarcan la identificación de la entidad (códigos LEI según la norma ISO 17442), los detalles de los acuerdos contractuales (fechas de inicio, cláusulas de rescisión, ley aplicable), las descripciones de los servicios de TIC (tipos de servicio utilizando las taxonomías de las AES), las evaluaciones de riesgo (clasificaciones de criticidad o importancia), las cadenas de subcontratación (identificación de todos los subcontratistas) y las ubicaciones de procesamiento de datos. El marco de validación de las AES aplica 116 comprobaciones automatizadas de calidad a estos campos.
¿En qué se diferencia el RoI de DORA de los registros de externalización existentes?
A diferencia de las Directrices de la EBA sobre acuerdos de externalización (EBA/GL/2019/02), el RoI de DORA abarca todos los acuerdos con terceros de TIC (no solo la externalización) y exige datos estructurados y legibles por máquina en 15 plantillas, en lugar de documentación de texto libre. Impone granularidad a nivel de entidad en grupos empresariales completos, incluye el mapeo de la cadena de subcontratación y aplica 116 reglas de validación automatizadas. El alcance también es más amplio, ya que abarca 20 categorías de entidades financieras más allá de las entidades de crédito.
Estadísticas y fuentes
Según el informe resumen del simulacro de DORA de la EBA (diciembre de 2024), solo el 6,5 % de los registros presentados superó las 116 comprobaciones de validación de la calidad de los datos, con casi 1.000 entidades financieras participantes. El informe constató que el 86 % de los errores se debió a información obligatoria que faltaba. Una encuesta de Deloitte (Encuesta sobre el Reglamento de Resiliencia Operativa Digital, tercera oleada) constató que el 46 % de las instituciones financieras señala el registro de información como el requisito más difícil de DORA, y que solo el 50 % de las instituciones esperaba alcanzar el pleno cumplimiento a finales de 2025. Según una encuesta de Censuswide a organizaciones de servicios financieros de EMEA (2025), el 34 % señala la supervisión de terceros como el requisito más difícil de DORA. El artículo 50 de DORA del Reglamento (UE) 2022/2554 establece multas de hasta el 2 % del volumen de negocios anual global para las entidades financieras incumplidoras.
Resumen de las plantillas del RoI de DORA
| Plantilla | Alcance | Campos obligatorios clave |
|---|
| B_01.01 | Entidad que mantiene el registro | LEI, nombre de la entidad, tipo de entidad, autoridad competente |
| B_01.02 | Entidades dentro del ámbito de la consolidación | LEI, nombre de la entidad, país, tipo de relación |
| B_01.03 | Sucursales de las entidades | Identificador de la sucursal, país, LEI de la oficina central |
| B_02.01 | Acuerdos contractuales: general | ID de referencia del contrato, fecha de inicio, ley aplicable, derechos de rescisión |
| B_02.02 | Acuerdos contractuales: específico | Evaluación de criticidad, país de procesamiento de datos, sustituibilidad |
| B_03.01 | Proveedores terceros de servicios de TIC | LEI del proveedor, nombre del proveedor, país de constitución, tipo de proveedor |
| B_03.02 | Proveedores terceros de servicios de TIC: adicional | LEI de la matriz última, estructura del grupo |
| B_04.01 | Servicios de TIC: identificación de la función | Nombre de la función, criticidad o importancia, línea de negocio |
| B_05.01 | Subcontratación: subcontratistas de TIC | LEI del subcontratista, nombre del subcontratista, descripción del servicio |
| B_05.02 | Subcontratación: detalles de la cadena | Rango en la cadena, ubicación de procesamiento de datos, acuerdos de supervisión |
| B_06.01 | Evaluación de los servicios de TIC | Estrategia de salida, proveedores alternativos, evaluación de impacto |
