Software para el Registro de Información DORA de proveedores TIC

El Registro de Información de DORA se mantiene con herramientas que gestionan proveedores TIC y contratos, rellenan las plantillas del Reglamento de Ejecución (UE) 2024/2956 y exportan el paquete en el formato que fije tu autoridad, por ejemplo xBRL-CSV en un .zip. Ningún software lo presenta por ti ni garantiza que sea correcto: la responsabilidad es de la entidad financiera.

Qué software mantiene el Registro de Información de DORA

El artículo 28(3) del Reglamento (UE) 2022/2554 (DORA) obliga a las entidades financieras a mantener y actualizar un registro de información sobre todos los acuerdos contractuales de uso de servicios TIC prestados por terceros proveedores de servicios TIC, a nivel de entidad y, en su caso, subconsolidado y consolidado [1]. El Reglamento de Ejecución (UE) 2024/2956 fija las plantillas normalizadas de ese registro [2].

Cada autoridad nacional decide ventana y canal. Como ejemplo, el Banco Central de Irlanda pidió los registros con fecha de referencia 31 de diciembre de 2025 entre el 2 y el 31 de marzo de 2026, en un archivo XBRL OIM-CSV según la taxonomía EBA DPM 4.0 empaquetado en un .zip, con controles de calidad de la EBA posteriores que pueden obligar a reenviar [3]. La CSSF de Luxemburgo abrió su portal del 11 de febrero al 31 de marzo de 2026 con la misma fecha de referencia, y pidió enviar antes el identificador LEI [4]. Consulta siempre el aviso vigente de tu autoridad.

Las opciones habituales son cuatro:

Con independencia de la opción, comprueba que la herramienta:

1. Guarda cada contrato como un registro con sus relaciones (entidad, proveedor, servicio, subcontratistas, funciones que soporta).
2. Genera el paquete en el formato que exige tu autoridad y valida antes de enviar.
3. Detecta datos incoherentes, por ejemplo un servicio marcado como no crítico cuando tu análisis de impacto lo asocia a una función crítica o importante.
4. Registra cambios (renovaciones, nuevos subcontratistas) para mantenerlo vivo, no solo antes del envío anual.
5. Permite revisión y aprobación por la persona responsable.

Si quieres entender las plantillas, tenemos la guía Registro de Información de DORA: cómo cumplir la plantilla y los errores más comunes del registro TIC. Y si eres un proveedor TIC, aunque estés fuera de la UE, tus clientes financieros te pedirán los datos para su registro: prepara también tu lado.

Qué software ayuda con el cumplimiento de DORA y el registro

El registro es solo una parte. DORA se organiza en cinco áreas: gestión del riesgo TIC, gestión y notificación de incidentes, pruebas de resiliencia, riesgo de terceros TIC e intercambio de información. Ninguna herramienta cubre todas igual, y conviene saber qué parte resuelve cada categoría:

• Riesgo TIC: GRC y gestión de riesgos, inventario de activos y funciones.
• Incidentes: registro de incidentes con clasificación y plazos; la notificación la presentas tú.
• Pruebas de resiliencia: equipos y herramientas de pruebas, incluidas las avanzadas dirigidas por amenazas; no es un módulo de cumplimiento.
• Terceros TIC: TPRM y el propio registro.
• Intercambio de información: acuerdos y comunidades; no es software de cumplimiento.

Desconfía de quien prometa «DORA en una caja». Lo razonable es cubrir las áreas con herramientas distintas y reunir las evidencias en un sitio.

Software con análisis de brechas, ROI y cumplimiento DORA

Análisis de brechas. Un buen análisis compara tu situación con cada área y artículo aplicable y devuelve una lista priorizada, con un responsable y una evidencia pendiente por brecha. Pide que se pueda exportar y repetir cada trimestre, para ver la evolución.

RoI. En este contexto, RoI significa Register of Information, el registro del que hablamos. Si con «ROI» te refieres al retorno de la inversión, no publicamos cifras: para justificar una herramienta, compara tu esfuerzo manual actual de mantener el registro y cumplir los reenvíos con lo que automatiza la herramienta, y mide con tus propios datos.

Cumplimiento. La herramienta debe poder demostrar qué cubre y qué no. Si no declara sus límites, es una señal de alerta.

Dónde encaja HodeiShield

HodeiShield documenta en su caso de uso DORA lo siguiente, y nada más:

• Registro de Información: genera el registro como paquete xBRL-CSV con la estructura de la EBA (incluye el archivo reportPackage.json y las plantillas b_01.01 a b_99.01). Existe un paquete de muestra con entidades ficticias que se solicita mediante un formulario. No lo presenta: eso lo haces tú por el canal oficial.
• Proveedores TIC: registro con criticidad, planes de salida y derecho de auditoría; marca por proveedor si existen plan de salida y derecho de auditoría y calcula la cobertura. Negociar las cláusulas es cosa tuya.
• Concentración: índice HHI y radio de impacto a tres saltos sobre las dependencias que declaras.
• Incidentes: un clasificador con criterios de DORA y un registro único que también alimenta NIS2 y RGPD; preparas y envías la notificación tú.
• Análisis de brechas por pilar: riesgo de terceros TIC, cobertura directa; gestión del riesgo TIC y gestión de incidentes, parcial; pruebas de resiliencia e intercambio de información, no cubiertos.

Sus límites declarados: no presenta el registro, no hace pruebas de resiliencia ni pruebas avanzadas dirigidas por amenazas (TLPT), no funciona en tiempo real y su estimación FAIR no es una probabilidad de brecha. Para ver el módulo de terceros, mira gestión de riesgo de terceros.

Nuestro punto de vista

Elige primero a quién va a mantener el registro y qué fuente de datos lo alimenta; la herramienta viene después. Si necesitas apoyo regulatorio, nuestra solución de cumplimiento DORA y la consultoría GRC cubren el análisis de brechas y el plan, y el manual de cumplimiento DORA resume el marco. La EBA mantiene una página de referencia sobre DORA [5].

Preguntas frecuentes

¿Qué es el Registro de Información de DORA?

Es el registro, previsto en el artículo 28(3) de DORA, de todos los acuerdos contractuales de la entidad financiera sobre servicios TIC prestados por terceros, con plantillas normalizadas [1] [2].

¿Qué formato se envía a la autoridad?

Lo fija cada autoridad nacional. Por ejemplo, el Banco Central de Irlanda pidió un archivo XBRL OIM-CSV bajo EBA DPM 4.0 en un .zip [3]. Consulta el aviso de tu autoridad.

¿Puede el software presentar el registro por mí?

Normalmente no: genera el paquete y la entidad lo presenta por el canal de su autoridad. Comprueba qué hace exactamente cada herramienta.

¿Un proveedor TIC fuera de la UE también está afectado?

DORA obliga directamente a las entidades financieras; los proveedores designados como críticos tienen además su propio marco de supervisión de las autoridades europeas [5]. En cualquier caso, la entidad debe registrar sus contratos contigo, así que te pedirá datos y cláusulas.

¿Hace falta una herramienta o basta con una hoja de cálculo?

Para pocos contratos puede bastar; con muchos proveedores, entidades o cambios frecuentes, una herramienta reduce errores y facilita mantenerlo actualizado.

Siguiente paso

¿Quieres un análisis de brechas DORA y revisar cómo mantienes el registro? Hablemos de tu caso o conoce HodeiShield.

Fuentes

1. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). EUR-Lex (Official Journal of the EU), 2022-12-14. https://eur-lex.europa.eu/eli/reg/2022/2554/oj
2. Commission Implementing Regulation (EU) 2024/2956 laying down implementing technical standards for the register of information. EUR-Lex (Official Journal of the EU), 2024-11-29. https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj
3. Reporting Registers of Information (DORA). Central Bank of Ireland. https://centralbank.ie/regulation/digital-operational-resilience-act-dora/reporting-registers-of-information
4. DORA: submission timeframe for the register of information, eDesk portal open as of 11 February 2026. CSSF (Luxembourg), 2026-02-11. https://www.cssf.lu/en/2026/02/dora-submission-timeframe-for-register-of-information-edesk-portal-open-as-of-11-february-2026/
5. Digital Operational Resilience Act (DORA). European Banking Authority. https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act