Decisiones de cumplimiento
Registro DORA: ejemplo práctico de proveedor de IA
El registro de DORA cubre acuerdos contractuales para servicios TIC, distinguiendo aquellos que apoyan funciones críticas o importantes de otros acuerdos. Un inventario de herramientas de IA es un buen punto de partida, pero el registro necesita información vinculada de entidad, proveedor, contrato, servicio y función. Valide esas relaciones e identificadores antes de usar el formato oficial de reporte.
Para Equipos de riesgo TIC, adquisiciones y resiliencia operativa de entidades financieras
Un ejemplo didáctico poblado muestra las relaciones sin pretender ser una presentación lista para regulador.
Todas las entidades, contratos, referencias y hallazgos de dependencia son sintéticos. Los identificadores internos EX no son identificadores legales; esto no es una presentación oficial ni una evaluación DORA completa.01
Comience desde el acuerdo contractual
El artículo 28 de DORA requiere que las entidades financieras cubiertas mantengan y actualicen un registro de información para acuerdos contractuales sobre servicios TIC, con la distinción requerida para funciones críticas o importantes. Identifique el acuerdo real y la entidad que usa el servicio en lugar de añadir solo un nombre de producto a una lista de herramientas.
Un revendedor, empresa de adquisiciones del grupo y proveedor subyacente pueden ocupar posiciones diferentes. Registre quién firma, quién suministra y quién usa el servicio. Un evento de descubrimiento de un empleado puede ayudar a encontrar una herramienta no registrada, pero no establece la parte contratante legal ni los términos.
Contexto de la fuente: DORA: Reglamento (UE) 2022/2554
02
Use la estructura vinculada del registro
El Reglamento de Ejecución 2024/2956 establece las plantillas e instrucciones. Distingue información general y específica del contrato, entidades firmantes, usuarios del servicio, información del proveedor, relaciones en la cadena de suministro, funciones y evaluaciones relevantes del servicio. Los identificadores compartidos son lo que conecta esos registros.
El ejemplo práctico usa referencias internas estables para una institución ficticia, proveedor, contrato, servicio y función. No son LEI o EUID válidos. Las instrucciones oficiales requieren identificadores válidos del proveedor en las circunstancias aplicables; una etiqueta interna no es sustituto.
Contexto de la fuente: Reglamento de Ejecución de la Comisión (UE) 2024/2956
03
Evalúe la función soportada
Describa qué soporta el servicio de IA y cómo la interrupción o fallo afecta esa función. Distinga una herramienta de conveniencia para redacción general de un servicio integrado en una operación crítica, pero no decida la criticidad solo por la categoría de marketing del proveedor o la presencia de un respaldo manual.
El caso ficticio asume redacción interna general con un proceso alternativo. Su clasificación no crítica es un supuesto del ejercicio, no una determinación para una entidad financiera real. El responsable de la función debe fundamentar la evaluación real y revisar cambios en el uso o dependencia.
Contexto de la fuente: DORA: Reglamento (UE) 2022/2554 · Reglamento de Ejecución de la Comisión (UE) 2024/2956
04
Complete la evidencia antes de exportar
La descarga contiene CSV didácticos vinculados para la entidad, proveedor, acuerdo y función soportada. Cada referencia está poblada consistentemente para que el lector pueda rastrear el proveedor a través del contrato hasta el usuario y función. La tabla de mapeo identifica las familias de plantillas oficiales relevantes.
Antes de una presentación real, reemplace las referencias didácticas con identificadores legales validados y todos los elementos de datos, clasificaciones y relaciones requeridas. Aplique las instrucciones y reglas de validación actuales de la autoridad competente. Estos CSV simplificados son un ejercicio de mapeo de evidencia, no una presentación completa ITS ni un paquete de reporte validado.
Contexto de la fuente: Reglamento de Ejecución de la Comisión (UE) 2024/2956
05
Mantenga el registro actualizado conforme cambie el uso de IA
Asigne responsables para el contrato, inventario de servicios, información del proveedor y evaluación de funciones. Una nueva característica, acuerdo grupal, dependencia material o subproveedor puede requerir actualizaciones en varios registros vinculados. Evite cambiar un nombre de proveedor dejando referencias desconectadas de contrato y función.
Conciliar la información de descubrimiento y adquisiciones con el proceso responsable del registro. Conserve la evidencia detrás de las entradas y cualquier problema de calidad de datos no resuelto. Un catálogo de productos de IA, un informe de seguridad o la propia declaración DORA de un proveedor no completan el registro de la entidad financiera.
Contexto de la fuente: DORA: Reglamento (UE) 2022/2554 · Reglamento de Ejecución de la Comisión (UE) 2024/2956
Ponlo en práctica
Ejemplo de registro vinculado de proveedor de IA
Rastree un proveedor ficticio a través de su acuerdo contractual hasta la entidad financiera, usuario del servicio y función soportada. El paquete incluye CSV vinculados y poblados.
Todas las entidades, contratos, referencias y hallazgos de dependencia son sintéticos. Los identificadores internos EX no son identificadores legales; esto no es una presentación oficial ni una evaluación DORA completa.
ENTITY-EX-01
Usa el servicio de redacción
CONTRACT-EX-01
Vincula la entidad a PROVIDER-EX-01
SERVICE-EX-01
Soporta FUNCTION-EX-01
FUNCTION-EX-01
Correspondencia interna
Todas las referencias y la clasificación son sintéticas.
| Registro de relación | Entrada didáctica poblada | Transferencia de estructura oficial |
|---|---|---|
| Entidad y usuario | ENTITY-EX-01: ficticia Example EU Finance SA. | Enlace el alcance de la entidad y usuarios mediante B_01 y B_04.01 según corresponda. |
| Proveedor directo | PROVIDER-EX-01: ficticia Example Text Services Ltd. | Información del proveedor y parte firmante vinculada a B_05.01 y B_03.02. |
| Contrato | CONTRACT-EX-01: suscripción directa para el servicio ficticio de redacción. | La información general/específica del acuerdo pertenece a la familia B_02. |
| Service | SERVICE-EX-01: redacción de correspondencia de empleados, sin automatización de acciones para clientes en el ejemplo. | Mapee el servicio TIC real y los usuarios al contrato. |
| Función | FUNCTION-EX-01: correspondencia administrativa interna. | Identifique la función soportada en B_06.01. |
| Suposición de criticidad | No crítica solo para el escenario didáctico, con un proceso alternativo. | La evaluación real de la función necesita evidencia; B_07.01 se refiere a evaluaciones relevantes de servicios críticos/importantes. |
| Validación de identificadores | Todas las referencias EX son identificadores internos didácticos, no LEI ni EUID. | Obtenga identificadores legales válidos y complete los requisitos oficiales de datos antes de presentar. |
Trabaja en tu reseña
Usa las verificaciones para organizar las pruebas que necesitas. Guarda tus selecciones en Word, luego añade tus notas y pruebas. Tus selecciones permanecen en esta pestaña hasta que las descargues.
0 de 3 Revisado
Ejemplos y material de revisión
Lee los detalles aquí, o mantén juntos el documento PDFeditable Word y las hojas de cálculo.
Ejemplo de registro vinculado de proveedor de IALee
Todas las entidades, contratos, referencias y hallazgos de dependencia son sintéticos. Los identificadores internos EX no son identificadores legales; esto no es una presentación oficial ni una evaluación DORA completa.
Rastree un proveedor ficticio a través de su acuerdo contractual hasta la entidad financiera, usuario del servicio y función soportada. El paquete incluye CSV vinculados y poblados.
Review steps
- Validate the legal identities: Confirm the contracting, supplying y using entities and the applicable valid LEI/EUID requirements.
- Reconcile linked references: Check that contract, provider, user y function records refer to the same actual arrangement.
- Evidence the function assessment: Have the accountable owner assess criticality, dependency y change triggers before mapping the complete official templates.
Populated linked records
ENTITY-EX-01 uses SERVICE-EX-01 from PROVIDER-EX-01 under CONTRACT-EX-01. The service supports FUNCTION-EX-01. All names y identifiers are fictional.
Register mapping
Use the actual 2024/2956 template instructions for B_01 entity scope, B_02 arrangements, B_03 signing entities, B_04 users, B_05 providers/supply chain, B_06 functions and the relevant B_07 assessments. This exercise does not contain every required field or controlled vocabulary.
Data-quality finding
The EX references are suitable only for tracing this example. They must not be submitted as LEIs/EUIDs. No regulatory validation or filing has been performed.
Source y scope
Guide: https://aona.ai/resources/guides/dora-ai-vendor-register-example/
Source check: 21 September 2026. General information, not professional approval or a completed control test.
- DORA: Regulation (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng
- Commission Implementing Regulation (EU) 2024/2956: https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj/eng
DORA example entitiesLee
| Entity ref | Entity name | Role | Identifier status |
|---|---|---|---|
| ENTITY-EX-01 | Example EU Finance SA | fictional financial entity y service user | internal teaching reference; not an LEI |
DORA example providersLee
| Provider ref | Provider name | Role | Identifier status |
|---|---|---|---|
| PROVIDER-EX-01 | Example Text Services Ltd | fictional direct ICT provider | internal teaching reference; not an LEI/EUID |
DORA example arrangementsLee
| Contract ref | Signing entity ref | Provider ref | Service ref | Service description | Estado |
|---|---|---|---|---|---|
| CONTRACT-EX-01 | ENTITY-EX-01 | PROVIDER-EX-01 | SERVICE-EX-01 | Employee internal correspondence drafting | synthetic direct subscription |
DORA example functionsLee
| Function ref | Using entity ref | Service ref | Contract ref | Function description | Criticality | Evidence status |
|---|---|---|---|---|---|---|
| FUNCTION-EX-01 | ENTITY-EX-01 | SERVICE-EX-01 | CONTRACT-EX-01 | Internal administrative correspondence | non-critical teaching assumption | fictional alternative process; no real assessment |
Antes de que continúes
Mantén claras estas distinciones
- Una lista de herramientas no es el registro
- Las entidades legales, acuerdos, usuarios y funciones necesitan información vinculada coherente.
- Un identificador de enseñanza no es un LEI válido
- Valide los identificadores legales requeridos y complete los campos oficiales antes de la presentación.
Aplícalo al uso de IA por parte de empleados
Lleva tu ruta real de datos.
La evidencia de descubrimiento y actividad soportada por Aona puede ayudar a identificar servicios de IA para empleados que requieren revisión de adquisición o riesgos.
Su catálogo de IA no es el registro DORA y no establece identificadores legales, alcance contractual ni clasificación de función crítica.
Use la evidencia de descubrimiento como un insumo, luego reconcilie el servicio nombrado con el contrato y los propietarios del registro de la institución.
Revisa tu caso de usoPreguntas frecuentes
Preguntas sobre esta decisión
¿Incluye el registro solo servicios TIC críticos?
¿Podemos enviar estos CSV a un regulador?
¿Es suficiente un nombre de producto de IA para identificar al proveedor?
¿Prueba un respaldo manual que la función no es crítica?
Evidencia detrás de la guía
Fuentes y alcance
Preparado por Aona. Fuentes comprobadas 2026-09-21. El material citado respalda los puntos específicos a continuación; no certifica un producto ni su caso de uso.
- DORA: Reglamento (UE) 2022/2554
Obligaciones de registro de información del artículo 28 y distinción entre acuerdos TIC que soportan funciones críticas o importantes y otros.
law · comprobado 2026-09-21 - Reglamento de Ejecución de la Comisión (UE) 2024/2956
Plantillas e instrucciones de registro, datos vinculados de contrato/entidad/proveedor/función, identificadores válidos de proveedores y requisitos de calidad de datos.
law · comprobado 2026-09-21