Registro de información DORA: cómo montarlo (art. 28.3)

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué es el registro de información de DORA y cómo se monta?

El registro de información de DORA es el inventario obligatorio de todos tus contratos de servicios TIC con terceros que impone el art. 28.3 del Reglamento (UE) 2022/2554. Se mantiene actualizado a nivel individual, subconsolidado y consolidado, sigue las 15 plantillas del Reglamento de Ejecución 2024/2956 y se remite cada año a tu supervisor.

Montarlo es un proyecto de tres frentes: decidir qué contratos entran, volcarlos en la estructura fija de las plantillas y pedir a tus proveedores los datos que tú no tienes. El último frente es el que suspende: en el ensayo previo a la primera remisión, la inmensa mayoría de los fallos fueron campos obligatorios que dependían del proveedor y estaban vacíos.

Qué contratos entran en el registro de información de DORA

Todos. El art. 28.3 obliga a registrar todos los acuerdos contractuales sobre servicios TIC prestados por terceros, sin filtrar por importancia ni por tamaño del proveedor. Entran también los acuerdos intragrupo y los de proveedores pequeños.

Lo que sí tienes que distinguir dentro del registro es qué acuerdos sustentan funciones esenciales o importantes —las que, si se interrumpen, afectarían materialmente a tu solidez o continuidad (art. 3.22)—, porque ese subconjunto arrastra obligaciones contractuales reforzadas y un deber de comunicación previa que veremos más abajo.

Un aviso que ahorra sustos: el art. 28.3 no tiene exención por tamaño. Las rebajas para microempresas en DORA afectan a otras obligaciones, como las pruebas de penetración avanzadas (TLPT, art. 26), no al registro. Si tienes dudas de si eres entidad financiera del ámbito, comprueba antes si te toca llevarlo; si la respuesta es sí, el registro es obligatorio aunque seas una gestora de diez personas.

Plantillas del registro DORA: la estructura obligatoria del ITS

Aquí está el primer error de bulto que conviene desactivar: no diseñas tú las columnas. Las plantillas normalizadas las elaboraron las autoridades europeas por mandato del art. 28.9 de DORA y están en el Anexo I del Reglamento de Ejecución (UE) 2024/2956. Son 15 plantillas obligatorias, con columnas predefinidas y filas ilimitadas (art. 4 del ITS). Se agrupan así:

• Perímetro (B_01.01–B_01.03): la entidad que mantiene el registro, las entidades del grupo cubiertas y las sucursales.
• Acuerdos (B_02.01–B_02.03): información general y específica de cada contrato, más los acuerdos intragrupo.
• Firmantes y usuarios (B_03.01–B_03.03 y B_04.01): quién firma cada contrato y qué entidad usa el servicio.
• Proveedores y cadena (B_05.01–B_05.02): datos de cada proveedor TIC y su cadena de subcontratación.
• Funciones y evaluación (B_06.01 y B_07.01): las funciones de tu entidad y la valoración de cada servicio (sustituibilidad, alternativas, reintegración).
• Definiciones (B_99.01).

Dos reglas técnicas que causan la mayoría de los rechazos. La primera, los identificadores (art. 3 del ITS): un proveedor persona jurídica de la UE se identifica con LEI (identificador internacional de entidad jurídica, un código de 20 caracteres) o EUID (identificador único del registro mercantil europeo); uno de fuera de la UE, solo con LEI. La segunda, la cadena de subcontratación (art. 2): cada proveedor recibe una posición —1 para el directo, números sucesivos para sus subcontratistas—, de modo que en la B_05.02 se ve quién hay detrás de tu proveedor. Fechas en formato ISO 8601, monedas en ISO 4217, LEI de 20 caracteres. No hay margen creativo: o encaja en el modelo de datos o el sistema lo devuelve.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Un censo vivo con tres relojes, no un Excel anual

El malentendido más caro es tratar el registro como un fichero que se rellena una vez al año. El propio art. 28.3 le pone tres relojes distintos:

1. Continuo: mantenerlo actualizado. Cada alta, baja o cambio de proveedor o de subcontratista lo modifica.
2. Anual: informar al menos una vez al año a tu autoridad competente del número de nuevos acuerdos, las categorías de proveedores y los tipos de contrato. La autoridad puede exigirte el registro completo o secciones.
3. Puntual y previo: comunicar oportunamente todo proyecto de contrato que vaya a sustentar una función esencial o importante —antes de firmarlo— y cuando una función pase a ser esencial.

Ese tercer reloj ya tiene cauce operativo: la CNMV publicó en noviembre de 2025 un procedimiento específico para comunicar los nuevos acuerdos con proveedores TIC. Traducido: el registro no es un trámite de cierre de ejercicio, es un proceso que corre a la vez que tus decisiones de contratación.

Cómo se remite y a quién: Banco de España, CNMV y DGSFP

Cada supervisor español fijó su canal. Todos implementan las mismas plantillas del ITS, pero el envío cambia:

• Banco de España (crédito, pago, dinero electrónico): taxonomía XBRL «DORA 4.0», disponible para reporte desde marzo de 2025 (detalle técnico del BdE).
• CNMV (mercados de valores): un Excel de ayuda que la entidad convierte a csv y json, con una guía operativa de reporte actualizada en febrero de 2026 (portal de ciberseguridad de la CNMV). La ventana anual de envío la fija esa guía.
• DGSFP (seguros y fondos de pensiones): remisión anual por el procedimiento telemático 247 de su sede electrónica (información DORA de la DGSFP).

El formato final que las autoridades nacionales elevan a las AES es un .zip con un .csv por plantilla más un .json de metadatos. Detalle práctico: desde la remisión oficial, las AES ya no facilitan la herramienta de conversión Excel→csv que dieron en el simulacro; convertir es cosa tuya. Y desde 2025 no se admiten registros parciales: un campo obligatorio vacío genera feedback de calidad de datos con obligación de corregir y reenviar en plazo corto. Y un registro sin el LEI de la entidad financiera se rechaza de entrada. La primera recogida de las autoridades nacionales cerró antes del 30 de abril de 2025 y es anual en adelante (preparación del reporting, EBA).

Los errores que hundieron el ensayo previo a la primera remisión

Aquí está el dato que no encontrarás en el resumen de la norma. En el simulacro de 2024 que sirvió de base a la remisión real participaron 1.039 entidades de los 27 Estados miembros. Se analizaron 947 registros con 116 controles de calidad, y solo el 6,5 % pasó todos los controles. El 93,5 % tuvo al menos un fallo, según el informe de las AES sobre el dry run.

Y el patrón de esos fallos es la lección de montaje más útil que hay:

• 86,4 % de los errores fueron campos obligatorios vacíos (frente a un 6,5 % de LEI inválidos y residuos menores de formato).
• El error individual más repetido: faltaban los códigos de identificación del proveedor y de su matriz —justo lo que las AES necesitan para agrupar proveedores y designar a los críticos (art. 31.1.a); ese mismo tipo de dato es el que permitió designar a los primeros 19 proveedores TIC críticos el 18 de noviembre de 2025—.
• La información ausente se concentró en tres plantillas: B_02.02 (tipo y código del proveedor, tipo de servicio TIC), B_07.01 (sustituibilidad y alternativas) y B_05.01 (país de la sede y matriz última del proveedor).
• Curiosidad reveladora: se detectaron más LEI inválidos de las propias entidades financieras (~9.000) que de sus proveedores (~6.000). Muchas metieron un código nacional donde el ITS solo admite LEI.

¿Qué tienen en común esos huecos? Que casi todos dependen del proveedor: su LEI o EUID, su matriz última, sus subcontratistas, la sustituibilidad del servicio. Montar el registro es, sobre todo, un ejercicio de pedir datos a tus proveedores TIC con tiempo. Y funciona en los dos sentidos: si eres proveedor, entender qué significa aparecer en el registro de tu cliente —y aportar tu LEI y tu cadena de subcontratación— evita ser tú quien genere el error que le rebotan.

Por dónde empezar esta semana

• Consigue el LEI de tu entidad y de todo tu grupo antes que nada: sin él, el registro se rechaza. Es el fallo más tonto y más frecuente.
• Pide a cada proveedor TIC su identificador (LEI o EUID), los datos de su matriz última y su cadena de subcontratación. Es lo que tardará más y lo que más suspende.
• Clasifica tus contratos por función esencial o importante: ese subconjunto activa el deber de comunicación previa de nuevos acuerdos.
• Elige el canal de tu supervisor (XBRL del BdE, Excel→csv de la CNMV o telemático de la DGSFP) y mira sus plazos antes de la ventana anual.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Si esto es tu primer contacto con el pilar de terceros, sitúalo en el mapa con la guía de DORA al completo y ordena el resto de obligaciones alrededor del registro.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.