Rozporządzenie UE w sprawie operacyjnej odporności cyfrowej (DORA) zaczęło obowiązywać 17 stycznia 2025 roku. Dla wielu europejskich przedsiębiorstw – szczególnie tych świadczących usługi technologiczne na rzecz instytucji finansowych – rozporządzenie to wprowadza nowy, konkretny wymóg dla podmiotów finansowych: muszą one rejestrować ustandaryzowany identyfikator dla każdego zewnętrznego dostawcy usług ICT w swoim rejestrze informacji.
Czym jest DORA?
DORA to rozporządzenie UE mające na celu wzmocnienie cyfrowej odporności operacyjnej sektora finansowego. Obowiązuje banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze oraz szeroki zakres innych regulowanych podmiotów finansowych we wszystkich państwach członkowskich UE.
Jego głównym celem jest zapewnienie, że podmioty finansowe będą w stanie wytrzymać zakłócenia związane z ICT, reagować na nie i odbudowywać się po nich – niezależnie od tego, czy są spowodowane cyberatakami, awariami systemów, czy też technologicznymi przerwami w działalności zewnętrznych dostawców.
Kogo dotyczy DORA?
DORA ma bezpośrednie zastosowanie do regulowanych podmiotów finansowych działających w UE. Przedsiębiorstwa świadczące usługi ICT na ich rzecz – takie jak tworzenie oprogramowania, hosting w chmurze, analiza danych, cyberbezpieczeństwo lub inne usługi technologiczne – nie są bezpośrednio regulowane przez DORA, ale są bezpośrednio objęte jej skutkami, ponieważ wymogi DORA spoczywają na kliencie z UE, który musi w swoim rejestrze odnotować ustandaryzowany identyfikator każdego dostawcy ICT.
Zgodnie z DORA podmioty finansowe muszą prowadzić rejestr informacji obejmujący wszelkie ustalenia umowne dotyczące usług ICT świadczonych przez zewnętrznych dostawców usług ICT.
W odniesieniu do każdego dostawcy w tym rejestrze podmiot finansowy jest zobowiązany do odnotowania ustandaryzowanego identyfikatora:
- W przypadku dostawców będących osobami prawnymi z siedzibą w UE: LEI lub EUID
- W przypadku dostawców będących osobami prawnymi spoza UE: LEI
Szczegółowe omówienie praktycznego działania tych przepisów zawiera GBRIS blog, który opisuje automatyzację rejestru zewnętrznych dostawców ICT w ramach DORA z wykorzystaniem zweryfikowanych danych EUID.
Oznacza to, że jeśli Twoja firma świadczy usługi ICT na rzecz regulowanej instytucji finansowej w UE, Twój klient potrzebuje ustandaryzowanego identyfikatora, aby uwzględnić Cię w swoim rejestrze DORA – LEI. W zależności od tego, czy jesteś zarejestrowanym podmiotem z siedzibą w UE, czy poza nią, wymagany identyfikator to LEI lub EUID. Wiele firm wybiera jednak LEI, ponieważ jest on uznawany na arenie międzynarodowej i może być stosowany poza kontekstem rejestru DORA.
Czym jest LEI?
Identyfikator podmiotu prawnego to unikalny 20-znakowy kod, który identyfikuje podmiot prawny w systemach finansowych i regulacyjnych na całym świecie. Jest on wydawany przez akredytowanych przez GLEIF wystawców LEI (znanych również jako lokalne jednostki operacyjne lub LOU), często dostępnych za pośrednictwem agentów rejestracyjnych, i jest szeroko stosowany w globalnych ramach regulacyjnych sektora finansowego, m.in. EMIR, MiFID II, SFTR i innych.
Możesz sprawdzić, czy Twój podmiot posiada już LEI, korzystając z publicznego narzędzia wyszukiwania GLEIF.
Wymóg odnowienia
LEI nie jest jednorazową rejestracją. Musi być odnawiany corocznie, aby pozostać aktywnym. Wygasły LEI pozostaje ważnym identyfikatorem w systemie GLEIF, ale sygnalizuje, że odnowienie jest zaległe – a niektóre kontrahenty i procesy wdrożeniowe mogą preferować, żeby był aktualny.
Zgodnie z danymi GLEIF globalny wskaźnik odnowień LEI wynosi około 62%. Oznacza to, że znaczna część zarejestrowanych na świecie LEI nie jest aktualnie odnawiana w terminie.
Zanim założysz, że LEI Twojej firmy jest ważny, warto zweryfikować jego aktualny status w rejestrze publicznym GLEIF.
Co zrobić teraz
Sprawdź, czy Twoja firma posiada aktywny LEI. Skorzystaj z rejestru publicznego GLEIF, aby zweryfikować status. Jeśli Twój LEI wygasł, możesz odnowić go szybko na naszej stronie internetowej.
Zarejestruj LEI jeśli jeszcze go nie posiadasz. DORA już obowiązuje, a instytucje finansowe aktywnie budują i audytują swoje rejestry ICT. W zależności od tego, czy Twoja firma jest zarejestrowana w UE czy poza nią, wymaganym identyfikatorem jest LEI lub EUID. Wiele firm wybiera LEI, ponieważ jest uznawany na arenie międzynarodowej i może być stosowany poza kontekstem rejestru DORA.
Dbaj o aktualność danych LEI. Nieaktualne informacje o podmiocie to częsty problem, który może powodować trudności podczas wdrażania klientów i kontroli regulacyjnych.
Możesz zarejestrować nowy LEI lub odnowić istniejący za pośrednictwem LEI Polska – Oficjalnego Agenta Rejestracji LEI działającego pod marką EQS Group GmbH, akredytowanej przez GLEIF lokalnej jednostki operacyjnej.