DORA και LEI στην Κύπρο: κανόνες για παρόχους ΤΠΕ

Ένα αίτημα για LEI βάσει του DORA δεν σημαίνει ότι ο πάροχος υπηρεσιών τεχνολογιών πληροφοριών και επικοινωνιών (ΤΠΕ) υποχρεούται απευθείας να αποκτήσει LEI. Οι χρηματοοικονομικές οντότητες οφείλουν να ταυτοποιούν στο μητρώο πληροφοριών τους παρόχους ΤΠΕ που είναι νομικά πρόσωπα με έγκυρο και ενεργό αναγνωριστικό κωδικό νομικής οντότητας (LEI) ή με ευρωπαϊκό μοναδικό ταυτοποιητή (EUID). Αν ο πάροχος δεν είναι εγκατεστημένος στην Ένωση, χρησιμοποιείται μόνο LEI.

Τι σημαίνει αυτό για την Κύπρο

Για τις οντότητες που εποπτεύονται από την Επιτροπή Κεφαλαιαγοράς Κύπρου (CySEC), η εγκύκλιος C751 της CySEC, της 19ης Ιανουαρίου 2026, ορίζει τον τρόπο και τον χρόνο υποβολής του μητρώου πληροφοριών. Η ετήσια υποβολή γίνεται μέσω της πύλης CySEC XBRL Portal, αποκλειστικά σε μορφή XBRL-CSV. Δεν προβλέπεται άλλη αποδεκτή μορφή στο πλαίσιο αυτής της εγκυκλίου.

Η προθεσμία για τις οντότητες που καλύπτει η εγκύκλιος είναι η 28η Φεβρουαρίου κάθε έτους. Τα στοιχεία έχουν ημερομηνία αναφοράς την 31η Δεκεμβρίου του προηγούμενου έτους. Επομένως, ο πάροχος ΤΠΕ που λαμβάνει αίτημα για στοιχεία ταυτοποίησης πρέπει να ρωτήσει την οντότητα-πελάτη πότε χρειάζεται τις πληροφορίες, ώστε εκείνη να προετοιμάσει την υποβολή της. Η 28η Φεβρουαρίου αφορά την υποβολή της εποπτευόμενης οντότητας στη CySEC, όχι μια αυτοτελή προθεσμία υποβολής για τον προμηθευτή.

Ένα παράδειγμα είναι εταιρεία πληροφορικής στη Λεμεσό που υποστηρίζει κυπριακή επιχείρηση παροχής επενδυτικών υπηρεσιών (CIF). Η εγκύκλιος C751 δίνει στην εποπτευόμενη οντότητα συγκεκριμένη μορφή, πύλη και ετήσια προθεσμία για το μητρώο. Δεν καθορίζει γενική προθεσμία για κάθε εταιρεία πληροφορικής στην Κύπρο. Οι λεπτομέρειες της σχέσης με τον πελάτη καθορίζουν ποια στοιχεία θα ζητηθούν από τον πάροχο για τη συμπλήρωση του μητρώου.

DORA και LEI: βασικά σημεία

• Ο DORA εφαρμόζεται από τις 17 Ιανουαρίου 2025. Οι χρηματοοικονομικές οντότητες τηρούν μητρώο των συμβατικών ρυθμίσεων για υπηρεσίες ΤΠΕ.
• Για πάροχο ΤΠΕ που είναι νομικό πρόσωπο, χρησιμοποιείται έγκυρο και ενεργό LEI ή EUID και, όταν είναι διαθέσιμα, και τα δύο. Για πάροχο μη εγκατεστημένο στην Ένωση χρησιμοποιείται μόνο LEI.
• Ο κανόνας ταυτοποίησης καλύπτει επίσης τους σχετικούς υπεργολάβους που καταγράφονται στο μητρώο και υποστηρίζουν ουσιαστικά υπηρεσία για κρίσιμη ή σημαντική λειτουργία.
• Η προθεσμία συλλογής στοιχείων από έναν πελάτη μπορεί να προηγείται της προθεσμίας υποβολής του μητρώου του.

Τι καταγράφεται στο μητρώο πληροφοριών;

Ο κανονισμός (ΕΕ) 2022/2554 (DORA), άρθρο 28 παράγραφος 3, απαιτεί από τις χρηματοοικονομικές οντότητες να τηρούν και να επικαιροποιούν μητρώο πληροφοριών για όλες τις συμβατικές ρυθμίσεις χρήσης υπηρεσιών ΤΠΕ από τρίτους παρόχους. Το μητρώο αποτελεί μέρος του πλαισίου διαχείρισης κινδύνων ΤΠΕ και τηρείται σε επίπεδο οντότητας, καθώς και σε υποενοποιημένο και ενοποιημένο επίπεδο.

Οι οντότητες διαθέτουν στην αρμόδια αρχή, κατόπιν αιτήματος, ολόκληρο το μητρώο ή τα ζητούμενα μέρη του και αναφέρουν τουλάχιστον ετησίως τις νέες ρυθμίσεις. Οι ευρωπαϊκές εποπτικές αρχές χρησιμοποιούν επίσης τα μητρώα για τον προσδιορισμό κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ. Η ενημέρωση DORA update 7 της AFM, του Αυγούστου 2026, ανέφερε ότι είχαν προσδιοριστεί δεκαεννέα τέτοιοι πάροχοι βάσει των μητρώων.

Για τον προμηθευτή, η πρακτική συνέπεια είναι ότι ένας χρηματοοικονομικός πελάτης μπορεί να ζητήσει ακριβή στοιχεία ταυτοποίησης. Το αίτημα μπορεί να αφορά τόσο τον άμεσο συμβαλλόμενο πάροχο όσο και σχετικό μέλος της αλυσίδας υπεργολαβίας.

LEI ή EUID για τον πάροχο ΤΠΕ;

Ο εκτελεστικός κανονισμός (ΕΕ) 2024/2956 της Επιτροπής, της 29ης Νοεμβρίου 2024, δημοσιεύθηκε στην Επίσημη Εφημερίδα στις 2 Δεκεμβρίου 2024 και καθορίζει τα τυποποιημένα υποδείγματα του μητρώου. Κατά το άρθρο 3 παράγραφος 5, οι χρηματοοικονομικές οντότητες χρησιμοποιούν έγκυρο και ενεργό LEI ή τον EUID του άρθρου 16 της οδηγίας (ΕΕ) 2017/1132 για παρόχους ΤΠΕ που είναι νομικά πρόσωπα. Όταν είναι διαθέσιμα και τα δύο, χρησιμοποιούν και τα δύο. Εξαιρούνται τα φυσικά πρόσωπα που ενεργούν στο πλαίσιο επιχειρηματικής δραστηριότητας.

Το παράρτημα του ίδιου κανονισμού επιτρέπει για πάροχο που είναι νομικό πρόσωπο μόνο LEI ή EUID. Εναλλακτικοί κωδικοί προορίζονται για φυσικά πρόσωπα που ενεργούν επιχειρηματικά. Αν το νομικό πρόσωπο δεν είναι εγκατεστημένο στην Ένωση, επιτρέπεται μόνο LEI. Έτσι, ένας πάροχος υπηρεσιών υπολογιστικού νέφους εκτός Ένωσης που εξυπηρετεί διαχειριστή κεφαλαίων στη Λευκωσία δεν μπορεί να αντικαταστήσει το LEI με EUID για αυτή την καταχώριση.

Το άρθρο 3 παράγραφος 6 αφορά την υπεργολαβία. Αν η υπηρεσία ΤΠΕ του άμεσου παρόχου υποστηρίζει κρίσιμη ή σημαντική λειτουργία, η χρηματοοικονομική οντότητα διασφαλίζει μέσω αυτού ότι οι υπεργολάβοι του μητρώου που υποστηρίζουν ουσιαστικά την υπηρεσία χρησιμοποιούν έγκυρο και ενεργό LEI ή παρέχουν EUID, και τα δύο όταν είναι διαθέσιμα. Ισχύει η ίδια εξαίρεση για φυσικά πρόσωπα που ενεργούν επιχειρηματικά.

Η χρηματοοικονομική οντότητα έχει διαφορετικό κανόνα για τη δική της ταυτοποίηση. Οι ερωτήσεις και απαντήσεις των ευρωπαϊκών εποπτικών αρχών για την υποβολή του μητρώου, της 28ης Μαρτίου 2025, διευκρινίζουν ότι στα υποδείγματα B_01.01 και B_01.02 μπορεί να χρησιμοποιηθεί μόνο LEI για τη χρηματοοικονομική οντότητα. Το LEI είναι αλφαριθμητικός κωδικός 20 χαρακτήρων που βασίζεται στο ISO 17442.

Γιατί πρέπει να ελέγχεται η κατάσταση του LEI;

Το άρθρο 3 παράγραφος 5 ζητά ρητά έγκυρο και ενεργό LEI. Αν ο πάροχος έχει ήδη κωδικό, πρέπει να ελέγξει την κατάστασή του πριν τον διαβιβάσει. Σύμφωνα με τις ερωτήσεις και απαντήσεις των εποπτικών αρχών, τα LEI ελέγχονται έναντι της βάσης GLEIF και τα EUID έναντι δεδομένων αναφοράς BRIS. Στο μητρώο πρέπει επίσης να ταυτοποιείται η τελική μητρική οντότητα κάθε παρόχου ΤΠΕ.

Η απάντηση στην ερώτηση 44 ανέφερε ότι στα αρχικά στάδια υποβολής, ιδίως το 2025, δεν θα επιβάλλονταν αυστηροί έλεγχοι κατάστασης LEI, όπως ενεργού ή ληγμένου κωδικού. Δεν διευκρίνισε πόσο θα διαρκούσε αυτή η προσέγγιση. Δεν αποτελεί, συνεπώς, βάση για να θεωρηθεί ότι ένας ληγμένος κωδικός θα γίνει δεκτός σε μελλοντικό κύκλο.

Η ερώτηση 40 καλύπτει χωριστά την περίπτωση παρόχου τρίτης χώρας χωρίς διαθέσιμο LEI: η χρηματοοικονομική οντότητα μπορεί να αναφέρει άλλο αναγνωριστικό και το αρχείο δεν απορρίπτεται, αλλά η εγγραφή επισημαίνεται ως ζήτημα ποιότητας δεδομένων. Αυτή η οδηγία επεξεργασίας δεν αλλάζει τον κανόνα του παραρτήματος για χρήση μόνο LEI από νομικό πρόσωπο μη εγκατεστημένο στην Ένωση. Αν χρειάζεστε κωδικό, μπορείτε να υποβάλετε αίτηση για LEI. Αν ο υφιστάμενος κωδικός έχει λήξει, μπορείτε να ανανεώσετε το LEI.

Ετήσιο χρονοδιάγραμμα υποβολής

Οι ερωτήσεις 11-13 των εποπτικών αρχών ορίζουν ότι, από το 2026, η ημερομηνία αναφοράς είναι η 31η Δεκεμβρίου του προηγούμενου έτους. Οι αρμόδιες αρχές υποβάλλουν τα μητρώα στις ευρωπαϊκές εποπτικές αρχές έως τις 31 Μαρτίου κάθε έτους και ορίζουν προγενέστερες προθεσμίες για τις χρηματοοικονομικές οντότητες. Για τις οντότητες που εποπτεύονται από τη CySEC, η εγκύκλιος C751 ορίζει ετήσια υποβολή έως τις 28 Φεβρουαρίου.

Κύκλος	Ημερομηνία αναφοράς	Υποβολή αρμόδιων αρχών στις ευρωπαϊκές εποπτικές αρχές	Υποβολή οντοτήτων που καλύπτει η C751 στη CySEC
Κύκλος 2026	31 Δεκεμβρίου 2025	Έως 31 Μαρτίου 2026	Έως 28 Φεβρουαρίου 2026
Επόμενος κύκλος	31 Δεκεμβρίου 2026	Έως 31 Μαρτίου 2027	Έως 28 Φεβρουαρίου 2027, βάσει της ετήσιας προθεσμίας της C751

Η σελίδα της ΕΒΑ για την προετοιμασία υποβολής των μητρώων DORA συγκεντρώνει τον εκτελεστικό κανονισμό, το μοντέλο δεδομένων, τους κανόνες επικύρωσης και τις ερωτήσεις και απαντήσεις. Η προθεσμία που δίνει ένας πελάτης στον πάροχό του για τη συλλογή στοιχείων πρέπει να επιβεβαιώνεται απευθείας με τον πελάτη.

Τι να ελέγξει ο πάροχος ΤΠΕ

1. Επιβεβαιώστε ποιο νομικό πρόσωπο έχει συνάψει τη σύμβαση και αν είναι εγκατεστημένο στην Ένωση. Από αυτό εξαρτάται αν μπορεί να χρησιμοποιηθεί EUID ή απαιτείται LEI.
2. Δώστε στον πελάτη το κατάλληλο αναγνωριστικό. Αν διαθέτετε LEI και EUID, προετοιμαστείτε να παράσχετε και τα δύο και ελέγξτε ότι το LEI είναι ενεργό.
3. Εντοπίστε τους υπεργολάβους που καταγράφονται στο μητρώο και υποστηρίζουν ουσιαστικά υπηρεσία για κρίσιμη ή σημαντική λειτουργία. Ζητήστε τους τα αναγνωριστικά που πρέπει να διαβιβαστούν μέσω του άμεσου παρόχου.
4. Επιβεβαιώστε τα στοιχεία ταυτοποίησης της τελικής μητρικής οντότητας και την προθεσμία συλλογής στοιχείων που έχει θέσει ο πελάτης.

Οι κανόνες για προμηθευτές στο μητρώο DORA δεν ταυτίζονται με άλλες χρήσεις του LEI. Το άρθρο για το LEI στους ελέγχους ταυτοποίησης πελατών βάσει AMLR στην Κύπρο εξετάζει διαφορετική περίπτωση· περισσότερα κανονιστικά θέματα βρίσκονται στις ενημερώσεις της LEIFast. Για το συγκεκριμένο μητρώο, επιβεβαιώστε τώρα το συμβαλλόμενο νομικό πρόσωπο, το αναγνωριστικό του και την προθεσμία που ζητά ο πελάτης. Αν η εφαρμογή του κανόνα εξαρτάται από τις λεπτομέρειες της σύμβασης, συμβουλευτείτε την αρμόδια αρχή ή τον σύμβουλό σας.