DORA LEI за ИКТ доставчици в България

Искане за DORA LEI от банка или застраховател не означава, че DORA задължава пряко вашата ИКТ компания да получи LEI. Задължението е на финансовия субект: в информационния си регистър той идентифицира ИКТ доставчиците, които са юридически лица, с валиден и активен LEI или с европейски уникален идентификатор (EUID), а доставчиците, които не са установени в Съюза – само с LEI.

Какво означава това за България

За отчетния цикъл през 2026 г. Комисията за финансов надзор (КФН) – Срок за предоставяне на информационния регистър съгласно DORA съобщи на 5 март 2026 г., че поднадзорните лица трябва да представят регистъра на договорните отношения с доставчици на ИКТ услуги до 23 март 2026 г. Платформата на европейските надзорни органи беше отворена от 25 февруари 2026 г. Регистри, подадени след 31 март 2026 г., не се приемаха, а срокът КФН да изпрати коригираните регистри на европейските надзорни органи беше 30 април 2026 г.

Това бяха срокове за отчитане на регистъра, а не срокове, наложени пряко на ИКТ доставчиците за получаване на LEI. Софтуерна компания от София, която поддържа системата на застраховател, може да получи искане за идентификационни данни, необходими на застрахователя за неговия регистър. Тя следва да уточни с клиента кое юридическо лице предоставя услугата и кой допустим идентификатор трябва да подаде.

Друг пример е облачен доставчик извън ЕС, който обслужва българска инвестиционна посредническа фирма: за него правилото за идентификация в регистъра допуска само LEI. Доставчикът не бива да приема, че срокът на КФН за поднадзорните лица е и негов срок за изпращане на данни. За следващия цикъл трябва да поиска от финансовия си клиент конкретната дата, до която клиентът събира информацията; посочените срокове на КФН се отнасяха до цикъла през 2026 г.

DORA LEI: основни положения

• DORA се прилага от 17 януари 2025 г. Финансовите субекти поддържат регистър на договорните отношения за ИКТ услуги.
• За ИКТ доставчик, който е юридическо лице, се използва валиден и активен LEI или EUID, а когато са налични – и двата. За доставчик, който не е установен в Съюза, се използва само LEI.
• Правилото обхваща и включени в регистъра подизпълнители, които действително подпомагат ИКТ услуга, поддържаща критична или важна функция.
• Компетентните органи определят сроковете за финансовите субекти преди собствения си срок за отчитане пред европейските надзорни органи.

Какво съдържа информационният регистър по DORA?

Регламент (ЕС) 2022/2554 (DORA), член 28, параграф 3 изисква финансовите субекти да поддържат и актуализират регистър за всички договорни отношения за използване на ИКТ услуги от трети страни доставчици. Регистърът е част от рамката им за управление на ИКТ риска и се води на ниво субект, както и на подконсолидирано и консолидирано ниво.

Финансовите субекти предоставят целия регистър или поискани части от него на компетентния орган при поискване и отчитат поне веднъж годишно новите договорни отношения. Европейските надзорни органи използват регистрите и за определяне на критични трети страни доставчици на ИКТ услуги. Според AFM DORA update 7 от август 2026 г. въз основа на регистрите са определени деветнадесет такива доставчици.

За ИКТ доставчика практическото последствие е искане от финансовия му клиент за точни идентификационни данни. Това може да се отнася както за пряк доставчик, така и за доставчик в съответната верига от подизпълнители.

Кой идентификатор изисква Регламент за изпълнение (ЕС) 2024/2956?

Регламент за изпълнение (ЕС) 2024/2956 на Комисията от 29 ноември 2024 г., публикуван в Официален вестник на 2 декември 2024 г., определя стандартните образци за регистъра. Съгласно член 3, параграф 5 финансовите субекти използват валиден и активен LEI или EUID по член 16 от Директива (ЕС) 2017/1132, а когато са налични – и двата, за ИКТ доставчиците, които са юридически лица. Изключение са физическите лица, които действат в рамките на стопанска дейност.

Указанията в приложението допускат само LEI или EUID за доставчици, които са юридически лица. Други кодове са предвидени за физически лица, действащи в рамките на стопанска дейност. За юридическо лице, което не е установено в Съюза, се използва само LEI: EUID не го замества.

Член 3, параграф 6 се отнася до подизпълнителите. Ако ИКТ услугата на пряк доставчик поддържа критична или важна функция, финансовият субект трябва чрез този доставчик да осигури идентифицирането на подизпълнителите в регистъра, които действително подпомагат услугата, с валиден и активен LEI или EUID, а когато са налични – и с двата. Изключението за физически лица, действащи в рамките на стопанска дейност, важи и тук.

За самия финансов субект образците поставят различно изискване. Въпросите и отговорите на европейските надзорни органи за отчитането на регистрите от 28 март 2025 г. потвърждават, че в образци B_01.01 и B_01.02 той може да бъде идентифициран само с LEI. LEI е буквено-цифров код от 20 знака, основан на ISO 17442. Възможността доставчик да използва EUID не се пренася върху финансовия субект.

Защо статусът на LEI има значение?

Член 3, параграф 5 изисква LEI да е валиден и активен. Доставчик с вече издаден код трябва да провери статуса му, преди да го изпрати. Според въпросите и отговорите европейските надзорни органи проверяват LEI в базата данни на GLEIF, а EUID – спрямо референтните данни на BRIS. В регистъра трябва да бъде идентифицирано и крайното предприятие майка на всеки ИКТ доставчик.

Отговорът на въпрос 44 посочва, че в началните етапи на отчитане, особено през 2025 г., няма да се прилагат строги проверки дали статусът на LEI е активен или изтекъл. Не е посочено колко дълго ще продължи този подход. Той не отменя изискването за валиден и активен LEI.

При доставчик от трета държава без наличен LEI отговорът на въпрос 40 допуска финансовият субект да отчете друг идентификатор: файлът не се отхвърля, но записът се отбелязва като проблем с качеството на данните. Това указание за обработката не променя правилото в приложението, че за юридическо лице извън Съюза се използва само LEI. Ако нямате код, можете да заявите LEI; ако срокът му на валидност е изтекъл, можете да подновите LEI.

Годишни срокове за регистъра

Според въпроси 11-13 от разясненията на европейските надзорни органи от 2026 г. нататък референтната дата е 31 декември на предходната година. Компетентните органи отчитат регистрите пред европейските надзорни органи до 31 март всяка година и определят по-ранни срокове за финансовите субекти. Доставчикът трябва да поиска срока за предоставяне на данни от своя клиент, вместо да приема 31 март за собствен краен срок.

Отчетен цикъл	Референтна дата	Срок за компетентните органи	Срок за финансовите субекти
Цикъл 2026 г.	31 декември 2025 г.	31 март 2026 г.	Определен по-рано от компетентния орган
Следващ цикъл	31 декември 2026 г.	31 март 2027 г.	Ще бъде определен по-рано от компетентния орган

Страницата на Европейския банков орган за подготовката на отчитането на регистрите по DORA събира регламента за образците, модела на данните, правилата за валидиране и въпросите и отговорите. Финансовите субекти следва да проверят указанията на своя компетентен орган за приложимия срок.

Какво да провери ИКТ доставчикът?

1. Уточнете кое юридическо лице има договор с финансовия субект и дали е установено в Съюза. От това зависи дали EUID е допустим вариант, или е необходим LEI.
2. Предоставете поискания от клиента идентификатор. Ако са налични и LEI, и EUID, подгответе и двата; проверете статуса на LEI.
3. Установете дали в регистъра има ваши подизпълнители, които действително подпомагат услуга за критична или важна функция, и поискайте приложимите им идентификатори.
4. Уточнете данните за крайното предприятие майка и попитайте финансовия клиент кога очаква информацията.

Не пренасяйте тези правила автоматично към други случаи на използване на LEI: материалът за LEI при проверки на клиенти по AMLR в България разглежда различна употреба. Други теми са събрани в публикациите на LEIFast. За регистъра по DORA проверете първо договарящото юридическо лице, допустимия му идентификатор и срока, даден от финансовия клиент; ако приложимото правило зависи от особеностите на договора, потърсете становище от регулатора или свой консултант.