DORA LEI nõuded IKT-teenuse osutajale Eestis

Kui pank või kindlustusselts küsib IKT-teenuse osutajalt DORA LEI-koodi, ei tähenda see, et DORA kohustaks teenuse osutajat ennast LEI-koodi hankima. Kohustus lasub finantsüksusel: juriidilisest isikust teenuse osutaja tuleb teaberegistris tuvastada kehtiva ja aktiivse juriidilise isiku tunnuse (LEI) või Euroopa kordumatu tunnuse (EUID) abil, olemasolu korral mõlemaga. Väljaspool liitu asutatud juriidilist isikut saab tuvastada ainult LEI-koodiga.

Mida see tähendab Eestis?

Finantsinspektsioon selgitab, et Euroopa järelevalveasutuste iga-aastase andmekogumise käigus esitatakse konsolideeritud ettevõtja teaberegister ühiselt kõrgeimal tasemel. Registri andmed kajastavad eelmise kalendriaasta lõpu seisu. Seega kogutakse 2027. aasta alguses registrid 31. detsembri 2026. aasta seisuga.

Registrid esitatakse Eesti Panga ja Finantsinspektsiooni andmekogumisportaali aruandlus.eestipank.ee kaudu. See on registri esitamise kanal; IKT-teenuse osutaja jaoks on praktiline küsimus, millal tema finantsüksusest klient vajab registrisse kantavaid andmeid. Teenuse osutajal tasub kliendilt küsida, millise lepingupoole andmeid ja millist tunnust klient kogub.

Näiteks Tallinna IT-ettevõte, mis haldab makseasutuse süsteemi, saab kliendiga täpsustada, milline juriidiline isik osutab teenust ja kas selle kohta esitatakse LEI-kood, EUID või olemasolu korral mõlemad. USA pilveteenuse pakkuja, kes teenindab Eesti kindlustusseltsi, on teistsugune näide: väljaspool liitu asutatud juriidilise isiku puhul on registris lubatud tunnus ainult LEI. Mõlemal juhul on lähtekoht finantsüksuse vajadus tuvastada oma IKT-teenuse osutaja õigesti.

DORA LEI nõuded: põhipunktid

• DORAt kohaldatakse alates 17. jaanuarist 2025. Finantsüksused peavad IKT-teenuste lepinguliste kokkulepete kohta teaberegistrit.
• Juriidilisest isikust IKT-teenuse osutaja puhul kasutatakse kehtivat ja aktiivset LEI-koodi või EUIDd ning olemasolu korral mõlemat.
• Väljaspool liitu asutatud juriidilisest isikust teenuse osutaja puhul võib kasutada ainult LEI-koodi.
• Tunnuse nõue võib puudutada ka registrisse kantud alltöövõtjaid, kelle teenus toetab tegelikult kriitilist või olulist funktsiooni.

Mis on DORA teaberegister?

Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 (DORA) artikli 28 lõige 3 nõuab finantsüksustelt teaberegistri pidamist ja ajakohastamist kõigi IKT-kolmandast isikust teenuseosutajate osutatavate IKT-teenuste lepinguliste kokkulepete kohta. Register on osa IKT-riski juhtimise raamistikust ning seda peetakse üksuse, allkonsolideeritud ja konsolideeritud tasandil.

Finantsüksus peab pädeva asutuse nõudmisel tegema kättesaadavaks kogu registri või nõutud osad ning andma vähemalt kord aastas teada uutest kokkulepetest. Euroopa järelevalveasutused kasutavad registreid ka kriitilise tähtsusega IKT-kolmandast isikust teenuseosutajate määramiseks. AFMi DORA ülevaate 7 järgi (august 2026) oli registrite põhjal määratud üheksateist sellist teenuseosutajat.

Tarnija vaates tähendab register eelkõige vajadust anda kliendile täpsed tuvastamisandmed. Neid võidakse küsida nii otseselt teenust osutavalt ettevõtjalt kui ka asjaomaselt alltöövõtjalt.

Millist tunnust nõuab rakendusmäärus (EL) 2024/2956?

29. novembri 2024. aasta komisjoni rakendusmäärus (EL) 2024/2956, mis avaldati Euroopa Liidu Teatajas 2. detsembril 2024, kehtestab teaberegistri standardvormid. Artikli 3 lõige 5 näeb ette, et juriidilisest isikust IKT-kolmandast isikust teenuseosutaja tuvastamiseks kasutatakse kehtivat ja aktiivset LEI-koodi või direktiivi (EL) 2017/1132 artiklis 16 osutatud EUIDd ning olemasolu korral mõlemat. Erand puudutab ettevõtlusega tegelevaid füüsilisi isikuid.

Rakendusmääruse lisa järgi võib juriidilisest isikust teenuse osutaja tuvastamiseks kasutada ainult LEI-koodi või EUIDd. Muud tunnused on ette nähtud ettevõtlusega tegelevatele füüsilistele isikutele. Kui juriidiline isik ei ole asutatud liidus, võib tema tuvastamiseks kasutada ainult LEI-koodi; EUID ei asenda seda nõuet.

Artikli 3 lõige 6 käsitleb alltöövõtjaid. Kui otsese teenuseosutaja IKT-teenus toetab kriitilist või olulist funktsiooni, peab finantsüksus otsese teenuseosutaja kaudu tagama, et registrisse kantud ja teenust tegelikult toetavatel alltöövõtjatel oleks kehtiv ja aktiivne LEI-kood või et nad esitaksid oma EUID, olemasolu korral mõlemad. Ettevõtlusega tegelevad füüsilised isikud on sellest nõudest välja arvatud.

Finantsüksuse enda tunnusele kehtib teine reegel. Euroopa järelevalveasutuste teaberegistri aruandluse KKK (28. märts 2025) kinnitab, et vormidel B_01.01 ja B_01.02 saab finantsüksust tuvastada ainult LEI-koodiga. LEI on standardil ISO 17442 põhinev 20-kohaline tähtnumbriline kood. Teenuse osutaja võimalust kasutada EUIDd ei saa laiendada finantsüksuse enda tunnusele.

Miks peab LEI-kood olema kehtiv ja aktiivne?

Artikli 3 lõige 5 nõuab sõnaselgelt kehtivat ja aktiivset LEI-koodi. Olemasoleva koodi puhul tasub enne selle kliendile saatmist kontrollida ka staatust. Euroopa järelevalveasutused kontrollivad LEI-koode GLEIFi andmebaasi ja EUIDsid BRISi võrdlusandmete alusel; registris tuleb tuvastada ka iga IKT-teenuse osutaja kõrgeim emaettevõtja.

KKK küsimus 44 ütleb, et aruandluse algjärgus, eriti 2025. aastal, ei rakendatud LEI staatuse rangeid kontrolle, näiteks aktiivse või aegunud staatuse eristamist. KKK ei ütle, kui kaua selline lähenemine kestab. Seda juhist ei saa käsitada aktiivse LEI nõude tühistamisena.

Kui teie LEI staatus on juba LAPSED, uuendage olemasolevat registreeringut, selle asemel et taotleda uut koodi. Meie juhend aegunud LEI-koodi tähenduse ja uuendamise kohta selgitab, kuidas staatust kontrollida ja LEI-koodi uuendada.

Kolmanda riigi teenuse osutaja puhul selgitab KKK küsimus 40, et LEI puudumisel võib finantsüksus aruandluses esitada muu tunnuse. Faili ei lükata tagasi, kuid kirje märgitakse andmekvaliteedi probleemina. See töötlemisjuhis ei muuda lisa reeglit, mille järgi väljaspool liitu asutatud juriidilise isiku lubatud tunnus on LEI. Kui teie ettevõttel LEI-koodi veel pole, saate LEI-koodi taotleda; aegunud koodi korral saate LEI-koodi uuendada.

Teaberegistri iga-aastane ajakava

Euroopa järelevalveasutuste KKK küsimuste 11-13 järgi on alates 2026. aastast registri võrdluskuupäev eelmise aasta 31. detsember. Pädevad asutused edastavad registrid Euroopa järelevalveasutustele iga aasta 31. märtsiks ja määravad finantsüksustele varasemad tähtajad. Tarnija peab küsima andmete esitamise tähtaja oma kliendilt, mitte lähtuma järelevalveasutuste tähtajast.

Registritsükkel	Võrdluskuupäev	Pädeva asutuse tähtaeg	Finantsüksuse tähtaeg
2026. aasta tsükkel	31. detsember 2025	31. märts 2026	Pädeva asutuse määratud varasem tähtaeg
Järgmine tsükkel	31. detsember 2026	31. märts 2027	Pädev asutus määrab varasema tähtaja

Euroopa Pangandusjärelevalve DORA teaberegistri aruandluse ettevalmistamise leht koondab rakendusmääruse, andmemudeli, valideerimisreeglid ja KKK. Finantsüksusel tuleb kontrollida talle kohalduvat tähtaega pädeva asutuse juhistest.

Kontrollnimekiri IKT-teenuse osutajale

1. Tehke kindlaks, milline juriidiline isik on finantsüksusega lepingu sõlminud ja kas ta on asutatud liidus.
2. Esitage kliendi küsitud tunnus. Kui olemas on nii LEI-kood kui ka EUID, olge valmis esitama mõlemad; kontrollige LEI aktiivset staatust.
3. Tehke kindlaks registrisse kantavad alltöövõtjad, kes tegelikult toetavad kriitilise või olulise funktsiooniga seotud teenust, ning küsige neilt asjakohased tunnused.
4. Täpsustage kõrgeima emaettevõtja tuvastamiseks vajalikud andmed ja küsige kliendilt nende esitamise tähtaega.

Teiste nõuete puhul ei pruugi tarnija tunnusele kehtida samad reeglid: LEI kasutamine AMLRi alusel kliendi tuvastamisel käsitleb teist olukorda. Muid õigusaktide käsitlusi leiab LEIFasti artiklite hulgast. Selle registri jaoks kinnitage esmalt lepingupoole andmed, sobiv tunnus ja kliendi andmekogumise tähtaeg; kui nõude kohaldumine sõltub lepingu üksikasjadest, pidage nõu oma järelevalveasutuse või nõustajaga.