DORA · Registro e Incidentes
El Registro de Información (RoI) listo para presentar, la cascada de notificación segura de plazos: 4 h / 72 h / 30 días – desde una única base de datos, con informe firmado digitalmente.
El registro y la cascada de notificación están conectados — ante el regulador y en el día a día.
Los responsables de riesgo de TI en los bancos describen así su desafío: «Es DORA, no NIS2 — la mayoría de herramientas de cumplimiento los confunden inmediatamente.» DORA exige en el art. 28/29 un registro completo de todos los contratos de proveedores de servicios de TI — incluyendo clasificación de criticidad, identificación LEI y evaluación de riesgo de concentración — que se puede presentar a los reguladores en el formato EBA-ITS-2024/2956. Y el art. 19 exige clasificar un incidente grave relacionado con TI dentro de las 4 horas siguientes a su descubrimiento, seguido de un informe intermedio y un informe final a la autoridad competente.
En la práctica, ambos procesos se apoyan en la misma base de datos de proveedores: un incidente en un proveedor de TI crítico afecta automáticamente su evaluación de riesgo de concentración en el RoI, y un registro sin una clasificación de criticidad limpia también dificulta justificar la clasificación de incidentes. Dos herramientas separadas — un registro en Excel por un lado, documentos Word improvisados bajo presión de tiempo por otro — rompen precisamente esa conexión.
Lo que importa es una solución que atienda ambos procesos desde la misma base de datos: el registro siempre listo para presentar, la cascada de notificación con una cuenta atrás visible en cada nivel, Threat-Led Penetration Testing (art. 26/27) con planificación documentada — y cada estado sellado criptográficamente, verificable de forma independiente.
Seis pilares para un RoI listo para presentar y notificaciones seguras de plazos.
Registro de proveedores con criticidad y LEI
Cada proveedor de TI se captura con clasificación de criticidad, LEI y datos contractuales en formato estructurado — no disperso en hojas de cálculo y archivos.
Indicador de riesgo de concentración
Agrupamiento por tipo de servicio y país, puntos únicos de fallo: el análisis de concentración según art. 29 se calcula determinísticamente desde el registro y se sella — una respuesta de resiliencia, no un anexo de Excel.
RoI versionado y listo para exportar (CSV T01/T02/T04 + XBRL)
Cada versión del registro se sella y no se puede modificar sin detectarse después; la presentación se realiza directamente en el formato que esperan los reguladores — sin necesidad de reconstruir manualmente la estructura tabular ESMA-ITS justo antes del plazo.
Registro de incidentes con reloj de notificación de 4 h / 72 h / 30 días
Cada incidente pasa por informe inicial, informe intermedio e informe final como un proceso guiado; desde el momento en que se registra el descubrimiento, la cuenta atrás de cada nivel se ejecuta visiblemente — sin necesidad de reconstruirla de memoria.
Informe de incidente como PDF firmado digitalmente
El informe de incidente a la autoridad se genera como un PDF firmado digitalmente con validación previa al envío — para que nada incompleto o mal formado se envíe.
Planificación & seguimiento de TLPT
Los ciclos de Threat-Led Penetration Testing según art. 26/27 se planifican y rastrean con estado — como una prueba independiente, siempre lista, en lugar de un archivo de proyecto separado.
Más sobre DORA y la infraestructura detrás de ella.
Plazos, gestión de riesgo de TI, obligaciones de notificación y fuentes primarias en detalle.
Detalles de regulación →Cómo funcionan juntos registro de proveedores, evaluaciones de seguridad y evaluación de riesgos.
Detalles de funcionalidad →Cómo el protocolo de notificación de tres niveles y la cuenta atrás de clasificación funcionan juntos en workspace.reportact.com.
Detalles de función →