Recursos › Guía
B_05.02: la cadena de suministro TIC, columna por columna
La tabla B_05.02 describe la cadena de suministro de sus servicios TIC: quién presta qué, y quién está detrás. Cabe en siete columnas, cuatro de ellas obligatorias. Es una de las más cortas del registro y una de las peor cumplimentadas — porque tres de sus reglas no se deducen de la lectura de los rótulos.
Este artículo las recorre una por una, a partir del layout anotado publicado por la EBA el 17 de diciembre de 2024 y de las preguntas frecuentes de las Autoridades Europeas de Supervisión del 28 de marzo de 2025.
Las siete columnas, tal como las define la ITS
| Código | Rótulo oficial | Obligatoria | Qué hay que poner |
|---|---|---|---|
| 0010 | Contractual arrangement reference number | Sí | La referencia del contrato entre la entidad financiera — o la filial del grupo — y el proveedor TIC directo. Es la clave que enlaza esta cadena con la tabla B_02.01. |
| 0020 | Type of ICT services | Sí | Un valor de lista cerrada. Junto con la columna 0010, es este par el que define una cadena: dos tipos de servicio sobre un mismo contrato son dos cadenas distintas. |
| 0030 | Identification code of the ICT third-party service provider | Sí | El proveedor descrito por esta fila. Debe existir en B_05.01: un código citado aquí y ausente allí es una referencia rota, y la presentación se rechaza. |
| 0040 | Type of code to identify the ICT TPP | Condicional | Lista cerrada — LEI, EUID u otro tipo de código. Debe ser coherente con el código facilitado en 0030. |
| 0050 | Rank | Sí | 1 para el proveedor directo, después 2, 3, n para cada nivel de subcontratación. Un entero, sin límite teórico. |
| 0060 | Identification code of the recipient of sub-contracted ICT services | Según el rango | El proveedor de rango n−1: aquel que subcontrató al proveedor de esta fila. Vacío en el rango 1. Es la columna que da problemas. |
| 0070 | Type of code to identify the recipient | Según el rango | La misma lista cerrada que la columna 0040, aplicada al receptor. |
El rango: 1 es efectivamente su proveedor directo
Circula una confusión sobre este punto, y merece zanjarse. El rango 1 designa al proveedor TIC directo, aquel con el que la entidad financiera firmó el contrato referenciado en la columna 0010. Las preguntas frecuentes de las autoridades son explícitas al definir qué es una cadena de suministro:
«The ICT service supply chain is defined by […] the contractual arrangement reference number between the financial entity and the direct ICT TPP (rank 1 in the ICT service supply chain).»
FAQ «DORA RoI reporting», 28 de marzo de 2025, pregunta 85.
Las mismas preguntas frecuentes precisan dos cosas útiles. El rango designa la posición en la cadena de servicios TIC con independencia de la estructura de grupo de las entidades financieras: no es un organigrama. Y no existe ningún límite teórico al número de rangos — una cadena de cuatro o cinco niveles no tiene nada de anormal.
La columna 0060: el «receptor» no es usted
El rótulo de la columna 0060 — «identificador del receptor de los servicios subcontratados» — se lee espontáneamente como si designara a quien recibe el servicio. Es decir, usted. Es la lectura natural, y es la equivocada.
«The recipient is the ICT third-party service provider at rank n−1 and the subcontractor providing service is then at rank n.»
FAQ «DORA RoI reporting», 28 de marzo de 2025, pregunta 81.
El receptor es, por tanto, el eslabón anterior de la cadena: el proveedor que subcontrató al proveedor descrito por la fila. Para un subcontratista de rango 3, la columna 0060 contiene el código del proveedor de rango 2 de la misma cadena — nunca su propio identificador, nunca el proveedor directo por defecto.
Poner el identificador propio en cada fila convierte la cadena en una estrella centrada en la entidad financiera: todas las filas apuntan hacia usted, y el orden real de las subcontrataciones desaparece. El fichero sigue siendo técnicamente válido. La información que el regulador busca obtener, en cambio, ya no está ahí.
El corolario es mecánico. En el rango 1 no hay eslabón anterior: la columna 0060 queda vacía. En el rango 2 o superior está cumplimentada, y el código que contiene debe corresponder al proveedor declarado en el rango inmediatamente superior de la misma cadena.
Qué es exactamente una cadena
Una cadena no es «la lista de mis subcontratistas». Las preguntas frecuentes la definen por tres elementos, y el tercero es un criterio de ámbito:
- la referencia del contrato entre la entidad financiera y el proveedor TIC directo — el rango 1;
- el servicio TIC prestado por ese proveedor directo, si ese servicio sustenta una función crítica o importante, o una parte sustancial de ella;
- todos los subcontratistas que sustentan efectivamente la prestación del servicio, es decir, aquellos cuya interrupción menoscabaría la seguridad o la continuidad de la prestación.
El tercer punto no es una invitación a la exhaustividad. La pregunta que hay que hacerse no es «¿tiene este proveedor subcontratistas?» sino «¿degradaría el servicio el fallo de este subcontratista?». Es un juicio que la entidad debe emitir y saber defender; ningún automatismo lo emitirá en su lugar.
Tres casos que se repiten
Un servicio que corresponde a varios tipos. Un SaaS que presta además servicios de seguridad TIC, por ejemplo. Las preguntas frecuentes piden añadir filas: un mismo proveedor, un mismo contrato, pero un tipo de servicio por fila — es decir, una cadena por tipo.
Un subcontratista intragrupo. Se declara como los demás. Los subcontratistas pueden ser intra o extragrupo, y el rango describe la cadena de servicios, no la pertenencia societaria.
Una cadena profunda. Como no existe un rango máximo, la profundidad nunca es en sí misma un problema. En cambio, una cadena sistemáticamente detenida en el rango 2 para un servicio que sustenta una función crítica describe sobre todo el estado de su visibilidad sobre sus proveedores — y es precisamente eso lo que el registro debe hacer legible.
El atajo: pedir la hoja a su proveedor
Su proveedor directo es la única parte que conoce realmente a sus propios subcontratistas. Usted lo adivina — y así es como una cadena se declara con un solo rango y se detiene.
Por eso publicamos libremente una plantilla con las columnas de esta tabla, que un proveedor rellena una vez y envía a todos sus clientes: plantilla de cadena de suministro TIC (.xlsx). Contiene las siete columnas, una explicación por columna, un ejemplo de cadena de tres rangos y la advertencia sobre la columna 0060.
La referencia del contrato se deja vacía: es la única columna que el proveedor no puede conocer, ya que designa su contrato con él. Usted la añade en la importación.
Los errores que hacen rechazar una presentación en esta tabla
- Un código en 0030 o en 0060 que no existe en B_05.01: una referencia rota entre dos tablas, invisible en una hoja de cálculo.
- Un valor de 0020 fuera de la lista cerrada — un rótulo escrito a mano en lugar del código de la lista.
- Un rango 1 acompañado de un receptor, o un rango superior a 1 sin receptor: ambos son contradictorios por construcción.
- Dos filas idénticas en el cuarteto contrato / tipo de servicio / proveedor / rango. El duplicado es un rechazo, no un aviso.
Lo que conviene retener
De siete columnas, dos concentran lo esencial de la dificultad, y ninguna de las dos es difícil de entender una vez enunciada: el rango 1 es su proveedor directo, y el receptor es el eslabón anterior. El resto es rigor — códigos que deben existir en otra parte, valores que deben venir de una lista, filas que no deben repetirse.
Es exactamente el tipo de comprobación que una hoja de cálculo no hace y que un programa hace íntegramente. Obligia controla las referencias entre B_05.02 y B_05.01 en cada guardado, rechaza los valores fuera de lista en el momento de la introducción y verifica la coherencia de los rangos en toda la cadena.
Para profundizar: el registro de información, plantilla por plantilla y por qué se rechaza una presentación.
Crear mi registro Reservar una demostración ›
Esta guía es información general y no asesoramiento regulatorio; la responsabilidad de la presentación corresponde a la entidad.