DORA LEI pro dodavatele ICT v Česku

Požadavek banky nebo pojišťovny na DORA LEI neznamená, že předpis přímo ukládá dodavateli ICT povinnost získat LEI. Povinnost vést registr informací DORA mají finanční subjekty: dodavatele, kteří jsou právnickými osobami, v něm identifikují platným a aktivním LEI nebo evropským jedinečným identifikátorem (EUID); dodavatele neusazeného v Unii identifikují pouze LEI.

Co to znamená v České republice

Českým finančním subjektům poskytuje informace k vykazování registru Česká národní banka (ČNB). Podle jejích metodických informací se výkazy pro vykazující subjekty generují automaticky v systému SDAT. Konkrétní povinnosti a lhůty jim ČNB sděluje prostřednictvím výzvy. Dodavatel ICT by proto měl termín pro předání svých údajů zjistit u finančního subjektu, který je od něj potřebuje; samotný termín pro předání registrů evropským orgánům dohledu není termínem pro dodavatele.

Pro sběr dat v roce 2026 stanovila ČNB termín 2. března 2026. Tento termín již uplynul. Z informace o tomto sběru nelze vyvozovat termín, který ČNB stanoví finančním subjektům pro další cyklus; rozhodující budou konkrétní pokyny a výzva ČNB. Při přípravě podkladů pro další registr je tedy vhodné ověřit u klienta, kdy údaje potřebuje, místo použití data z předchozího sběru.

Praktickým příkladem dodavatele je softwarová firma z Brna dodávající systém pro pojišťovnu. Jinou situací je americký poskytovatel cloudu pro českou investiční společnost: jako poskytovatel neusazený v Unii se v registru identifikuje pouze LEI. V obou případech je podstatné určit právnickou osobu poskytující službu a předat klientovi její správné identifikační údaje.

DORA LEI: hlavní pravidla

• DORA se použije od 17. ledna 2025. Registr smluvních ujednání o službách ICT vedou finanční subjekty.
• Právnická osoba poskytující služby ICT se identifikuje platným a aktivním LEI nebo EUID, případně oběma, jsou-li dostupné. U poskytovatele neusazeného v Unii se používá pouze LEI.
• Identifikace se týká také poddodavatelů zaznamenaných v registru, kteří fakticky podporují službu ICT zajišťující zásadní nebo důležitou funkci.
• Finanční subjekt dostává vlastní termín od příslušného orgánu. Termín, do kterého příslušný orgán předává registr evropským orgánům dohledu, nastává později.

Co je registr informací DORA?

Nařízení Evropského parlamentu a Rady (EU) 2022/2554 (DORA), čl. 28 odst. 3, ukládá finančním subjektům vést a aktualizovat registr informací o všech smluvních ujednáních týkajících se využívání služeb ICT od externích poskytovatelů. Registr je součástí jejich rámce řízení rizika v oblasti ICT a vede se na úrovni subjektu i na subkonsolidované a konsolidované úrovni.

Finanční subjekt musí na žádost zpřístupnit příslušnému orgánu celý registr nebo požadované části a nejméně jednou ročně podávat zprávu o nových ujednáních. Registry slouží evropským orgánům dohledu také k určení kriticky významných externích poskytovatelů služeb ICT. Podle aktualizace AFM k DORA ze srpna 2026 bylo na základě registrů určeno devatenáct takových poskytovatelů.

Dodavatele se registr dotýká prostřednictvím žádosti jeho klienta o identifikační údaje. Ta může přijít jak přímému poskytovateli služby, tak v relevantním dodavatelském řetězci prostřednictvím přímého poskytovatele.

Kdy potřebuje poskytovatel ICT LEI a kdy EUID?

Prováděcí nařízení Komise (EU) 2024/2956 ze dne 29. listopadu 2024, zveřejněné v Úředním věstníku 2. prosince 2024, stanoví standardní šablony registru. Podle čl. 3 odst. 5 finanční subjekty identifikují externí poskytovatele služeb ICT, kteří jsou právnickými osobami, platným a aktivním LEI nebo EUID uvedeným v čl. 16 směrnice (EU) 2017/1132. Jsou-li dostupné oba identifikátory, použijí oba; ustanovení stanoví výjimku pro fyzické osoby jednající v rámci podnikatelské činnosti.

Pokyny v příloze nařízení připouštějí pro poskytovatele, kteří jsou právnickými osobami, pouze LEI nebo EUID. Alternativní kódy jsou vyhrazeny fyzickým osobám jednajícím v rámci podnikatelské činnosti. Právnickou osobu neusazenou v Unii lze identifikovat pouze LEI, nikoli EUID.

Článek 3 odst. 6 řeší poddodavatele. Pokud služba přímého poskytovatele podporuje zásadní nebo důležitou funkci, finanční subjekt prostřednictvím přímého poskytovatele zajistí, aby poddodavatelé uvedení v registru, kteří službu fakticky podporují, používali platný a aktivní LEI nebo poskytli EUID, a oba identifikátory, jsou-li dostupné. Výjimka se opět vztahuje na fyzické osoby jednající v rámci podnikatelské činnosti.

Pro samotný finanční subjekt platí v šablonách odlišné pravidlo. Odpovědi evropských orgánů dohledu k vykazování registrů z 28. března 2025 potvrzují, že v šablonách B_01.01 a B_01.02 jej lze identifikovat pouze LEI. LEI je dvacetimístný alfanumerický kód podle normy ISO 17442; možnost použít EUID pro dodavatele se na identifikaci finančního subjektu nevztahuje.

Proč kontrolovat, zda je LEI aktivní?

Článek 3 odst. 5 výslovně požaduje platný a aktivní LEI. Dodavatel, který již LEI má, by si měl před odesláním klientovi ověřit jeho stav. Podle odpovědí evropských orgánů dohledu se LEI kontrolují proti databázi GLEIF a EUID proti referenčním údajům BRIS; v registru musí být identifikována také konečná mateřská společnost každého poskytovatele ICT.

Odpověď na otázku 44 uváděla, že v počáteční fázi vykazování, zejména v roce 2025, nebudou evropské orgány dohledu striktně kontrolovat stav LEI, například zda je aktivní nebo zda jeho platnost uplynula. Neuváděla, jak dlouho tento přístup potrvá. Nelze z ní proto dovozovat, že kontrola stavu nebude přísná v dalším cyklu.

U poskytovatele ze třetí země odpověď na otázku 40 připouští, že pokud LEI není k dispozici, finanční subjekt může vykázat jiný identifikátor. Soubor se kvůli tomu neodmítne, položka však bude označena jako problém kvality dat. Tento postup při zpracování výkazu nemění pravidlo přílohy, podle něhož se právnická osoba neusazená v Unii identifikuje pouze LEI. Pokud vaše firma LEI dosud nemá, můžete požádat o LEI; pokud jeho platnost uplynula, můžete LEI obnovit.

Termíny ročního vykazování

Podle odpovědí evropských orgánů dohledu na otázky 11 až 13 je od roku 2026 referenčním datem 31. prosinec předchozího roku. Příslušné orgány předávají registry evropským orgánům dohledu do 31. března každého roku a finančním subjektům stanovují dřívější termíny.

Cyklus	Referenční datum	Termín pro příslušné orgány	Termín pro finanční subjekty
Cyklus 2026	31. prosince 2025	31. března 2026	Dřívější termín stanovený příslušným orgánem
Další cyklus	31. prosince 2026	31. března 2027	Příslušný orgán stanoví dřívější termín

Stránka Evropského orgánu pro bankovnictví k přípravě vykazování registrů DORA sdružuje prováděcí nařízení, datový model, validační pravidla a odpovědi na otázky. Finanční subjekty musí svůj termín ověřit podle pokynů příslušného orgánu; dodavatel si má potvrdit termín pro předání údajů přímo u klienta.

Postup pro dodavatele ICT

1. Určete právnickou osobu, která uzavírá smlouvu s finančním subjektem, a ověřte, zda je usazena v Unii. Od toho závisí možnost použít EUID.
2. Předejte klientovi požadovaný identifikátor. Jsou-li k dispozici LEI i EUID, připravte oba a před odesláním ověřte aktivní stav LEI.
3. Zjistěte, zda jsou v registru poddodavatelé fakticky podporující službu pro zásadní nebo důležitou funkci, a vyžádejte si jejich příslušné identifikátory.
4. Připravte údaje k identifikaci konečné mateřské společnosti a potvrďte si s klientem termín předání podkladů.

Pravidla pro dodavatele podle DORA nezaměňujte s jinými účely použití LEI; odlišnou situaci popisuje článek o LEI při kontrole klienta podle AMLR. Další související témata najdete v článcích LEIFast. Pro tento registr nyní ověřte smluvní právnickou osobu, její použitelný identifikátor a termín stanovený vaším finančním klientem; závisí-li posouzení na podrobnostech vztahu, obraťte se na příslušný orgán nebo svého poradce.