Última revisión: julio de 2026
La gobernanza de contratos bancarios en la era DORA
Desde el 17 de enero de 2025, el reglamento europeo de resiliencia operativa digital — DORA, Reglamento (UE) 2022/2554 — convierte cada contrato con proveedores de TIC de una entidad financiera en un objeto regulado: inventariado en un registro, subsanado con cláusulas obligatorias, vigilado en sus renovaciones, salidas y subcontrataciones. La mayoría de los bancos gestiona esa obligación con carpetas compartidas y una hoja de cálculo.
La mayoría de los bancos no tiene un problema de contratos. Tiene un problema de visibilidad — y DORA acaba de convertir la visibilidad en un requisito regulatorio.
En 30 segundos
- DORA obliga a las entidades financieras a mantener — y presentar anualmente — un registro de información que cubra cada acuerdo contractual con proveedores terceros de servicios de TIC.
- El artículo 30 prescribe cláusulas contractuales obligatorias, con un nivel más estricto para los contratos que sustentan funciones esenciales o importantes, incluidas las estrategias de salida y los derechos de auditoría.
- Los supervisores identifican sistemáticamente las disposiciones sobre terceros (artículos 28–30) como el área con las mayores brechas de cumplimiento: registros incompletos, clasificaciones de criticidad ausentes, cláusulas no conformes.
- bizSupply da a los bancos el fundamento contractual del que todo esto depende: encontrar cada contrato con proveedores, extraer sus condiciones y controlar las renovaciones.
¿Qué exige DORA a sus contratos con proveedores?
El capítulo de DORA sobre el riesgo relacionado con terceros de TIC (artículos 28–30) convierte la gobernanza contractual en asunto de supervisión. En la práctica, un banco debe:
- Mantener un registro de información (artículo 28, apartado 3): un inventario estructurado de todos los acuerdos contractuales con proveedores terceros de servicios de TIC, a nivel de entidad y, cuando proceda, consolidado — distinguiendo los acuerdos que sustentan funciones esenciales o importantes (funciones cuya perturbación menoscabaría de forma sustancial los resultados financieros del banco, o la solidez y la continuidad de sus servicios).
- Presentarlo anualmente a la autoridad competente, en las plantillas estándar de las AES y en formato legible por máquina.
- Evaluar antes de firmar (artículo 29): diligencia debida y evaluación del riesgo de concentración de TIC antes de celebrar acuerdos.
- Subsanar los propios contratos (artículo 30): un conjunto básico de disposiciones obligatorias en cada contrato de servicios de TIC — descripciones de servicios, ubicaciones del tratamiento de datos, protección de datos, acceso/recuperación/devolución de datos a la resolución, plazos de preaviso, asistencia ante incidentes, derechos de resolución — más un nivel reforzado para las funciones esenciales o importantes: objetivos de rendimiento cuantitativos y cualitativos precisos, derechos ilimitados de auditoría e inspección, participación en pruebas de penetración basadas en amenazas (TLPT) y estrategias de salida con un período de transición adecuado, para que el banco pueda migrar de proveedor o internalizar los servicios sin interrupciones (artículo 28, apartado 8).
- Controlar la subcontratación: saber cuándo sus proveedores subcontratan funciones y mantener la visibilidad contractual a lo largo de esa cadena.
Texto completo: Reglamento (UE) 2022/2554 en EUR-Lex. Orientación sectorial: el portal DORA de la ABE y los materiales de las AES sobre el registro de información.
El registro de información ya es una rutina anual — no un proyecto puntual
El primer ciclo de presentación se desarrolló en 2025. A partir de ahora se repite cada año: los registros reflejan el estado de sus acuerdos contractuales a 31 de diciembre, las autoridades nacionales los recogen en el primer trimestre y los remiten a las AES — en 2026, los plazos nacionales cayeron entre mediados de febrero y finales de marzo, antes de la consolidación de las AES a fin de marzo, en el formato xBRL-CSV obligatorio.
Por eso la verdadera pregunta no es «¿podemos construir el registro una vez?», sino «¿podemos mantener un inventario de contratos completo y actualizado como rutina operativa?» Un registro vale lo que valga la visibilidad contractual que lo alimenta. Si los contratos antiguos no pueden rastrearse hasta su origen, si las renovaciones viven en la hoja de cálculo de una sola persona, si cada departamento guarda sus acuerdos en su propia carpeta compartida — cada ciclo anual se convierte en un proyecto de arqueología.
¿Por qué es más difícil para los bancos pequeños y medianos?
DORA se aplica con proporcionalidad (artículo 4): la profundidad de su marco de riesgo de TIC puede reflejar su tamaño y perfil de riesgo, y determinados tipos de entidades más pequeñas acceden al marco simplificado del artículo 16. Lo que la proporcionalidad no hace es eliminar las obligaciones contractuales sobre terceros: el registro, las cláusulas del artículo 30 y las estrategias de salida siguen aplicándose.
Eso deja a las entidades más pequeñas atrapadas en una tenaza:
- Demasiado reguladas para hojas de cálculo. Un inventario en Excel y carpetas de red por departamento no pueden demostrar ante un supervisor una cobertura contractual completa y actualizada.
- Demasiado pequeñas para un GRC corporativo. Las plataformas construidas para esto — las suites GRC corporativas — tienen precios y dimensiones pensados para entidades con equipos dedicados al riesgo de terceros. Un banco de unos cientos de empleados recibe la misma obligación con una fracción del presupuesto de herramientas.
- El conocimiento está concentrado. En las entidades más pequeñas, la historia contractual suele vivir en un puñado de personas veteranas. El registro de DORA la exige en forma estructurada y declarable.
Las cifras
El 8,6 % del valor contractual anual se pierde por una mala gobernanza de contratos — renovaciones perdidas, cláusulas no aplicadas, descuentos no ejercidos (WorldCC / Deloitte, 2023). Para un banco, DORA convierte ese coste silencioso en una constatación explícita de supervisión.
DORA se aplica a unas 20 categorías de entidades financieras — bancos, entidades de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras y más — desde el 17 de enero de 2025 (Reglamento (UE) 2022/2554).
Los registros de información se presentan anualmente, con referencia a los datos a 31 de diciembre, en el formato xBRL-CSV de las AES.
Los supervisores europeos identifican sistemáticamente los artículos 28–30 — el registro y las disposiciones contractuales — como el área con las mayores brechas de cumplimiento entre las entidades financieras.
¿Dónde encaja bizSupply — y dónde no?
bizSupply no es una plataforma GRC y no afirma hacerle cumplir DORA. Resuelve la capa subyacente, aquella de la que depende cada obligación contractual de DORA: saber qué contratos tiene, qué contienen y cuándo cambian.
| Lo que DORA le exige | Lo que bizSupply hace hoy |
|---|---|
| Un inventario completo de los contratos con proveedores | Descubre los contratos en buzones, unidades de almacenamiento, reenvío y carga manual — incluidos los que nadie recordaba — en un inventario centralizado |
| Las condiciones que alimentan su registro y su gobernanza | Extrae los metadatos: partes, precios, fechas de renovación, plazos de preaviso, cláusulas de penalización, condiciones de pago |
| Contratos renovados o subsanados a tiempo, no descubiertos ya vencidos | Control de renovaciones: alertas y disparadores sobre fechas de renovación y ventanas de preaviso, en sustitución de la hoja de cálculo |
| Palanca de negociación cuando los contratos entran en subsanación | Benchmarking: compara sus costes contratados para que la renegociación y la revisión contractual impulsada por DORA partan de datos |
Lo que bizSupply no es:
- No es una herramienta GRC ni de reporte regulatorio — no genera ni presenta su registro xBRL-CSV. Mantiene el inventario de contratos y los metadatos de los que se nutre su equipo de registro.
- No es una certificación de cumplimiento, ni asesoramiento jurídico. Sus obligaciones DORA siguen siendo suyas; bizSupply aporta la base de evidencia del lado contractual.
- No es bizAPIs. bizAPIs es el producto de API de infraestructura de cumplimiento de Infosistema (KYC, datos registrales). bizSupply es visibilidad de contratos con proveedores. Mismo grupo — productos distintos, funciones distintas.
- No es un despliegue de CLM. Sin implantaciones de seis meses: el descubrimiento de contratos trabaja sobre lo que sus buzones y unidades ya contienen. Si necesita seis meses de implantación para entender sus contratos, ya ha perdido.
Empiece por el fundamento contractual
Si su entidad está en algún punto entre «el auditor nos ha pedido el registro de contratos» y «no podemos justificar una suite GRC corporativa», el punto de partida es el fundamento del que depende cada obligación contractual de DORA: un inventario completo, condiciones extraídas y control de renovaciones. Eso es lo que bizSupply hace hoy.
En evaluación para la hoja de ruta
Nada de esto está construido hoy. Las conversaciones con entidades financieras plantean una y otra vez las mismas necesidades específicas de DORA, y las estamos evaluando para la hoja de ruta — el interés de las entidades determina directamente su prioridad:
- Etiquetado de proveedores de TIC y vistas de criticidad alineadas con las categorías del registro de información
- Seguimiento de adendas DORA y de la subsanación — qué contratos tienen la adenda, cuáles hay que revisar
- Conciliación de contratos y facturas
- Apoyo a la evaluación del riesgo de terceros de TIC
Si alguno de estos puntos cambiaría la forma en que su entidad gestiona la gobernanza de contratos DORA, díganoslo — precisamente esa señal es la que mueve un punto de la evaluación al desarrollo.
Los elementos en evaluación no son compromisos. Estado: julio de 2026.
Preguntas frecuentes
¿Qué exige DORA a los bancos respecto a los contratos con proveedores de TIC?
Tres cosas: mantener un registro de información que cubra cada acuerdo contractual con proveedores terceros de servicios de TIC (artículo 28, apartado 3), presentarlo anualmente a la autoridad competente y garantizar que los propios contratos contengan las disposiciones obligatorias de DORA (artículo 30), con requisitos más estrictos —incluidas las estrategias de salida y los derechos de auditoría— cuando el servicio sustenta una función esencial o importante.
¿Qué es el registro de información de DORA?
Un inventario estructurado y legible por máquina de todos los acuerdos contractuales de una entidad financiera con proveedores terceros de servicios de TIC, mantenido a nivel de entidad (y, cuando proceda, consolidado), distinguiendo los acuerdos que sustentan funciones esenciales o importantes. Sigue las plantillas de las AES y se presenta anualmente en formato xBRL-CSV, con referencia a los datos a 31 de diciembre.
¿Cuándo hay que presentar el registro de información?
Anualmente. Las autoridades nacionales competentes (para los bancos en España: el Banco de España) fijan ventanas de recogida en el primer trimestre (en 2026, normalmente de mediados de febrero a finales de marzo, según el país) y remiten los registros a las AES antes de fin de marzo. Compruebe el plazo exacto de su autoridad nacional.
¿Qué cláusulas contractuales exige el artículo 30 de DORA?
Una base para todos los contratos de servicios de TIC: descripciones completas de los servicios, ubicaciones del tratamiento de datos, disposiciones de protección de datos, acceso/recuperación/devolución de los datos en caso de resolución o insolvencia, niveles de servicio, asistencia ante incidentes, cooperación con las autoridades y derechos de resolución con preaviso mínimo. Para las funciones esenciales o importantes, además: objetivos de rendimiento cuantitativos y cualitativos precisos, notificación ampliada de incidentes, derechos ilimitados de auditoría, acceso e inspección, participación en pruebas de penetración basadas en amenazas (TLPT) y estrategias de salida con un período de transición adecuado.
¿Se aplica DORA a los bancos pequeños?
Sí. La proporcionalidad (artículo 4) gradúa la profundidad del marco de gestión del riesgo relacionado con las TIC, y el artículo 16 concede a determinados tipos de entidades más pequeñas un marco simplificado, pero las disposiciones sobre terceros —incluidos el registro de información y las cláusulas contractuales del artículo 30— se aplican con independencia del tamaño.
¿Aplica esto más allá de los bancos?
Sí. DORA cubre unas veinte categorías de entidades financieras —entidades de pago y de dinero electrónico, empresas de servicios de inversión, gestoras de fondos, aseguradoras y más— y las obligaciones aquí descritas sobre el registro de información y el artículo 30 se les aplican de la misma manera. Todo lo que hay en esta página es trasladable.
¿Es bizSupply una herramienta de cumplimiento DORA o un GRC?
No. bizSupply es un producto de visibilidad contractual: descubre los contratos con proveedores en sus buzones y unidades de almacenamiento, extrae sus condiciones comerciales y controla las renovaciones. Ese es el fundamento contractual del que depende la gobernanza DORA, pero la generación del registro, su presentación y la responsabilidad de cumplimiento corresponden a su función de cumplimiento y a sus herramientas de reporte.
¿Genera bizSupply la presentación del registro en xBRL-CSV?
No. bizSupply mantiene el inventario de contratos y los metadatos a partir de los cuales se construye su registro; no produce ni presenta declaraciones regulatorias.
¿Tiene bizSupply funcionalidades específicas de DORA, como el seguimiento de adendas o la clasificación de proveedores de TIC?
Hoy no. Están en evaluación para la hoja de ruta, y el interés de las entidades financieras determina su prioridad. Lo que bizSupply ofrece hoy son el inventario de contratos, la extracción de metadatos y el control de renovaciones sobre los que esas capacidades se construirían.
¿En qué se diferencia bizSupply de bizAPIs?
Ambos son productos de Infosistema. bizAPIs ofrece API de infraestructura de cumplimiento (KYC, datos de registros oficiales) para construir flujos de verificación. bizSupply es un producto de visibilidad de contratos con proveedores para equipos de finanzas y de gestión de terceros. Resuelven problemas distintos y no comparten datos.
Esta página es información general sobre el Reglamento (UE) 2022/2554 (DORA) y sobre las capacidades de bizSupply, revisada por última vez en la fecha indicada arriba. No constituye asesoramiento jurídico ni regulatorio. Las obligaciones derivadas de DORA recaen en cada entidad financiera; consulte a su función de cumplimiento y a sus asesores jurídicos. bizSupply es un producto de Infosistema (grupo Joyn).