DORA LEI en España: requisitos para proveedores TIC

Una solicitud de DORA LEI de un banco o una aseguradora no significa que DORA obligue directamente a su empresa TIC a obtener un LEI. La obligación recae en la entidad financiera: debe identificar en su registro de información a los proveedores TIC que sean personas jurídicas mediante un LEI válido y activo o un identificador único europeo (EUID). Si el proveedor no está establecido en la Unión, solo puede identificarse mediante un LEI.

Qué significa esto en España

Para el ciclo de 2026, la Comisión Nacional del Mercado de Valores (CNMV), en su Guía operativa de reporte del registro de información DORA 2026, indicó que las entidades financieras, a requerimiento de la CNMV, debían remitirle el registro entre el 1 y el 29 de marzo de 2026. La fecha de referencia era el 31 de diciembre de 2025 y podían efectuarse subsanaciones hasta el 22 de abril de 2026.

Esas fechas describen el calendario comunicado por la CNMV para ese ciclo, no un plazo universal para que todos los proveedores TIC entreguen sus datos. Un proveedor que recibe una petición de identificación necesita confirmar con su cliente cuándo debe facilitarle la información. Tampoco debe interpretar el plazo de subsanación como una prórroga general del periodo de envío indicado en la guía.

Los ejemplos muestran por qué conviene comprobar tanto la persona jurídica como su identificador. Una empresa de software de Valencia que da soporte a una gestora de fondos puede recibir una solicitud relativa a su identificación en el registro. Si se trata de un proveedor cloud estadounidense de una agencia de valores madrileña, la regla sobre proveedores no establecidos en la Unión permite únicamente el LEI. En ambos casos, la petición debe examinarse según la posición concreta del proveedor y la información que necesita la entidad financiera.

El calendario de la CNMV de 2026 no establece por sí solo las fechas que se aplicarán a su próximo ciclo. Para preparar una respuesta, identifique la entidad contratante, compruebe qué identificador puede utilizarse y pida al cliente su plazo de recogida de datos.

DORA LEI: puntos clave

• DORA se aplica desde el 17 de enero de 2025. Las entidades financieras mantienen un registro de acuerdos sobre servicios TIC.
• Para proveedores TIC que sean personas jurídicas se utiliza un LEI válido y activo o un EUID, y ambos si están disponibles. Fuera de la Unión, solo LEI.
• La identificación alcanza a subcontratistas registrados que sustenten efectivamente servicios para funciones esenciales o importantes.
• Las autoridades competentes fijan plazos para las entidades financieras anteriores a su propio límite del 31 de marzo para comunicar los registros a las Autoridades Europeas de Supervisión.

Qué contiene el registro de información DORA

El Reglamento (UE) 2022/2554 (DORA), artículo 28, apartado 3, exige registrar y actualizar todos los acuerdos de servicios TIC prestados por terceros. El registro forma parte de la gestión del riesgo TIC y se mantiene a escala individual, subconsolidada y consolidada.

Las entidades facilitan el registro completo o las secciones solicitadas a su autoridad competente cuando esta lo requiera e informan al menos anualmente sobre nuevos acuerdos. Las Autoridades Europeas de Supervisión lo usan para designar proveedores terceros esenciales; la actualización DORA 7 de la AFM, de agosto de 2026, comunicó diecinueve designaciones basadas en los registros.

Por ello, el cliente puede pedir datos de identificación al proveedor directo o a otro integrante de una cadena de subcontratación incluida en el registro.

Qué identificador exige el reglamento de ejecución

El Reglamento de Ejecución (UE) 2024/2956 de la Comisión, de 29 de noviembre de 2024, publicado el 2 de diciembre de 2024, establece las plantillas del registro. Su artículo 3, apartado 5, exige identificar a los proveedores TIC que sean personas jurídicas mediante un LEI válido y activo o el EUID del artículo 16 de la Directiva (UE) 2017/1132, y ambos si están disponibles. Exceptúa a las personas físicas que actúan en el ejercicio de una actividad empresarial.

Según el anexo, solo se admiten LEI o EUID para proveedores que sean personas jurídicas; los códigos alternativos se reservan para esas personas físicas. Para una persona jurídica no establecida en la Unión solo se admite un LEI.

Conforme al artículo 3, apartado 6, si un servicio TIC sustenta una función esencial o importante, la entidad financiera debe garantizar, a través del proveedor directo, que los subcontratistas registrados que sustenten efectivamente el servicio utilicen un LEI válido y activo o faciliten su EUID, y ambos si están disponibles. Las personas físicas que actúan en el ejercicio de una actividad empresarial quedan exceptuadas.

Para identificar a la propia entidad financiera, las preguntas frecuentes de las Autoridades Europeas de Supervisión sobre el reporte del registro, actualizadas el 28 de marzo de 2025, admiten solo su LEI en las plantillas B_01.01 y B_01.02. Es un código alfanumérico de 20 caracteres basado en ISO 17442.

Por qué debe comprobarse el estado del LEI

El artículo 3, apartado 5, exige un LEI válido y activo: compruebe su estado antes de comunicarlo. Según las preguntas frecuentes, se contrastan los LEI con GLEIF y los EUID con BRIS; también se identifica la matriz última de cada proveedor TIC.

La pregunta 44 indicó que durante las fases iniciales, especialmente en 2025, no se aplicarían controles estrictos del estado activo o caducado del LEI. No precisó hasta cuándo duraría ese criterio.

Si su LEI ya figura con el estado LAPSED, renueve el registro existente en lugar de solicitar un código nuevo. Nuestra guía sobre el estado de un LEI caducado y su renovación explica cómo comprobar el estado y renovar el LEI.

Según la pregunta 40, si falta el LEI de un proveedor de un tercer país, la entidad financiera puede comunicar otro identificador: el archivo no se rechaza, pero el dato queda señalado como problema de calidad. Esta orientación de procesamiento no sustituye la exigencia del anexo de identificar mediante LEI a los proveedores no establecidos en la Unión. Si aún no tiene código, puede solicitar un LEI; si ha caducado, puede renovar el LEI.

Calendario anual del registro

Según las preguntas 11 a 13, desde 2026 la fecha de referencia es el 31 de diciembre anterior. Las autoridades competentes comunican los registros a las Autoridades Europeas de Supervisión antes del 31 de marzo de cada año y fijan plazos anteriores para las entidades financieras. El proveedor debe consultar a su cliente cuándo necesita los datos.

Ciclo	Fecha de referencia	Plazo para las autoridades competentes	Plazo de la entidad financiera
2026	31 de diciembre de 2025	31 de marzo de 2026	Fijado antes por la autoridad competente
Próximo ciclo	31 de diciembre de 2026	31 de marzo de 2027	La autoridad competente lo fijará antes

La página de la Autoridad Bancaria Europea sobre la preparación del reporte de registros DORA reúne el reglamento de ejecución, el modelo de datos, las reglas de validación y las preguntas frecuentes. Cada entidad debe consultar las instrucciones de su autoridad competente.

Pasos para un proveedor TIC

1. Confirme qué persona jurídica contrata y si está establecida en la Unión: de ello depende si puede utilizarse un EUID o solo un LEI.
2. Facilite el identificador solicitado; si dispone de LEI y EUID, prepare ambos y compruebe que el LEI esté activo.
3. Solicite el identificador aplicable a los subcontratistas registrados que sustenten efectivamente servicios para funciones esenciales o importantes.
4. Prepare los datos de su matriz última y confirme con el cliente cuándo necesita la información.

La guía sobre LEI e identificación de clientes conforme al AMLR en España trata un supuesto distinto. Hay otros temas en las publicaciones de LEIFast sobre regulación. Para este registro, confirme su entidad contratante, el identificador admisible y el plazo de su cliente; si su situación depende del acuerdo concreto, consulte a su regulador o asesor.