DORA LEI -vaatimukset ICT-palveluntarjoajille Suomessa

DORA LEI -pyyntö pankilta tai vakuutusyhtiöltä ei tarkoita, että DORA velvoittaisi ICT-yrityksesi suoraan hankkimaan LEI-tunnuksen. Finanssialan toimijan on merkittävä tietorekisteriinsä oikeushenkilönä toimivan ICT-palveluntarjoajan voimassa oleva ja aktiivinen LEI-tunnus tai eurooppalainen yksilöllinen tunniste (EUID); unionin ulkopuolella sijaitseva oikeushenkilö tunnistetaan vain LEI-tunnuksella.

Mitä tämä tarkoittaa Suomessa?

Finanssivalvonnan tiedotteen mukaan DORA toi sen valvottaville kolme uutta vuosittaista raportointivelvoitetta. Yksi niistä koskee tietorekisteriä, johon kirjataan ICT-kolmansien osapuolten tarjoamia ICT-palveluja koskevat sopimusjärjestelyt. Vuoden 2026 raportointikierroksella valvottavien oli toimitettava rekisteri viimeistään 2. maaliskuuta 2026. Päivä oli suomalaisia valvottavia koskeva määräaika, ei palveluntarjoajien yleinen määräaika.

Tamperelainen ohjelmistotalo, joka toimittaa järjestelmän vakuutusyhtiölle, voi siksi saada asiakkaaltaan pyynnön ilmoittaa sopimuskumppanina olevan oikeushenkilön tunniste. Pyyntö palvelee vakuutusyhtiön tietorekisteriä: se ei yksin osoita, että ohjelmistotalon olisi hankittava LEI, jos soveltuva EUID on käytettävissä. Jos molemmat tunnisteet ovat saatavilla, asiakas tarvitsee molemmat rekisteriä varten. Toimittajan kannattaa selvittää, mitä oikeushenkilöä sopimus koskee, ja tarkistaa pyydetyt tiedot ennen niiden lähettämistä.

Toinen tilanne on yhdysvaltalainen pilvipalveluntarjoaja, joka palvelee suomalaista rahastoyhtiötä. Unionin ulkopuolella sijaitsevan oikeushenkilön tunnisteeksi käy tietorekisterissä vain LEI, ei EUID. Näissä tilanteissa suomalaisen asiakkaan kannattaa ilmoittaa toimittajalle, milloin se tarvitsee tunnistetiedot omaa raportointiaan varten. Vuoden 2026 määräaikaa ei pidä olettaa seuraavan kierroksen määräajaksi: toimittaja varmistaa ajankohdan asiakkaaltaan, ja valvottava seuraa Finanssivalvonnan ohjeita.

DORA LEI -vaatimukset lyhyesti

• DORAa on sovellettu 17. tammikuuta 2025 alkaen. Finanssialan toimijat ylläpitävät tietorekisteriä ICT-palvelujen sopimusjärjestelyistä.
• Oikeushenkilönä toimiva ICT-palveluntarjoaja tunnistetaan voimassa olevalla ja aktiivisella LEI-tunnuksella tai EUID-tunnisteella sekä molemmilla, jos ne ovat saatavilla. Unionin ulkopuolella sijaitseva oikeushenkilö tunnistetaan vain LEI-tunnuksella.
• Vaatimus koskee myös rekisteriin merkittyjä alihankkijoita, jotka tosiasiallisesti tukevat kriittistä tai tärkeää toimintoa tukevaa ICT-palvelua.
• Finanssialan toimijan oma raportointimääräaika on aikaisempi kuin toimivaltaisen viranomaisen määräaika toimittaa rekisterit Euroopan valvontaviranomaisille.

Mikä DORAn tietorekisteri on?

Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 (DORA) 28 artiklan 3 kohta edellyttää, että finanssialan toimijat ylläpitävät ja päivittävät tietorekisteriä kaikista sopimusjärjestelyistä, jotka koskevat ICT-kolmansien osapuolten tarjoamia ICT-palveluja. Rekisteri kuuluu toimijoiden ICT-riskinhallintaan, ja sitä ylläpidetään toimijakohtaisesti sekä alakonsolidoinnin ja konsolidoinnin tasolla.

Toimijoiden on annettava koko rekisteri tai pyydetyt osat toimivaltaiselle viranomaiselle pyynnöstä ja raportoitava uusista järjestelyistä vähintään vuosittain. Euroopan valvontaviranomaiset käyttävät rekistereitä myös kriittisten ICT-kolmansien osapuolten nimeämiseen. AFM:n elokuun 2026 DORA-päivityksen mukaan rekisterien perusteella oli nimetty yhdeksäntoista palveluntarjoajaa.

Toimittajalle rekisteri näkyy käytännössä asiakkaan tietopyyntönä. Tunnistetietoja voidaan tarvita niin suoralta sopimuskumppanilta kuin merkityksellisessä alihankintaketjussa toimivalta yritykseltä.

Milloin LEI tarvitaan ja milloin EUID käy?

Komission täytäntöönpanoasetus (EU) 2024/2956, annettu 29. marraskuuta 2024, vahvistaa tietorekisterin vakiomallit; se julkaistiin Euroopan unionin virallisessa lehdessä 2. joulukuuta 2024. Sen 3 artiklan 5 kohdan mukaan finanssialan toimija käyttää oikeushenkilönä toimivan ICT-palveluntarjoajan tunnistamiseen voimassa olevaa ja aktiivista LEI-tunnusta tai direktiivin (EU) 2017/1132 16 artiklassa tarkoitettua EUID-tunnistetta sekä molempia, jos ne ovat saatavilla. Poikkeus koskee liiketoimintaa harjoittavia luonnollisia henkilöitä.

Asetuksen liitteen ohjeissa oikeushenkilön tunnisteiksi hyväksytään vain LEI ja EUID. Vaihtoehtoiset koodit on varattu liiketoimintaa harjoittaville luonnollisille henkilöille, ja unionin ulkopuolella sijaitsevan oikeushenkilön tunnistamiseen hyväksytään vain LEI. Siksi EUID voi olla vaihtoehto unionissa sijaitsevalle toimittajalle mutta ei korvaa unionin ulkopuolella sijaitsevan toimittajan LEI-tunnusta.

Asetuksen 3 artiklan 6 kohta ulottaa tunnistamisen myös tiettyihin alihankkijoihin. Jos suoran palveluntarjoajan ICT-palvelu tukee kriittistä tai tärkeää toimintoa, finanssialan toimijan on suoran palveluntarjoajan kautta varmistettava, että rekisteriin merkityt ja palvelua tosiasiallisesti tukevat alihankkijat käyttävät voimassa olevaa ja aktiivista LEI-tunnusta tai ilmoittavat EUID-tunnisteensa sekä molemmat, jos ne ovat saatavilla. Liiketoimintaa harjoittavia luonnollisia henkilöitä koskee sama poikkeus.

Finanssialan toimijan oma tunniste käsitellään malleissa eri tavalla. Euroopan valvontaviranomaisten tietorekisterin raportointia koskeva usein kysyttyjen kysymysten asiakirja, päivitetty 28. maaliskuuta 2025, vahvistaa, että malleissa B_01.01 ja B_01.02 finanssialan toimija voidaan tunnistaa vain LEI-tunnuksella. LEI on ISO 17442 -standardiin perustuva 20-merkkinen aakkosnumeerinen tunnus.

Miksi LEI-tunnuksen aktiivinen tila on tarkistettava?

Täytäntöönpanoasetuksen 3 artiklan 5 kohdassa edellytetään nimenomaisesti voimassa olevaa ja aktiivista LEI-tunnusta. Jo olemassa oleva tunnus kannattaa tarkistaa ennen sen toimittamista asiakkaalle. Valvontaviranomaisten kysymys-vastausasiakirjan mukaan LEI-tunnuksia verrataan GLEIF-tietokantaan ja EUID-tunnisteita BRIS-viitetietoihin; rekisterissä on myös yksilöitävä kunkin ICT-palveluntarjoajan ylin emoyritys.

Asiakirjan kysymyksen 44 mukaan LEI-tunnuksen tilaa, kuten aktiivisuutta tai vanhentumista, ei tarkistettu tiukasti raportoinnin alkuvaiheessa, erityisesti vuonna 2025. Asiakirja ei kerro, kuinka kauan tämä menettely jatkuu. Siitä ei pidä päätellä, että myöhemmällä kierroksella voisi sivuuttaa aktiivisen LEI-tunnuksen vaatimuksen.

Kysymys 40 käsittelee erikseen unionin ulkopuolisen palveluntarjoajan puuttuvaa LEI-tunnusta. Finanssialan toimija voi tällöin raportoida muun tunnisteen: tiedostoa ei hylätä, mutta merkintä merkitään tietojen laatuongelmaksi. Tämä käsittelyohje ei muuta liitteen LEI-vaatimusta. Jos yritykselläsi ei vielä ole LEI-tunnusta, voit hakea LEI-tunnusta; jos tunnus ei ole enää aktiivinen, voit uusia LEI-tunnuksen.

Tietorekisterin vuosittainen aikataulu

Valvontaviranomaisten kysymys-vastausasiakirjan kysymysten 11-13 mukaan viitepäivä on vuodesta 2026 alkaen edeltävän vuoden 31. joulukuuta. Toimivaltaisten viranomaisten määräaika toimittaa rekisterit Euroopan valvontaviranomaisille on kunkin kalenterivuoden 31. maaliskuuta. Ne asettavat finanssialan toimijoille tätä aikaisemmat määräajat, joten palveluntarjoajan on kysyttävä oma tietojen toimituspäivänsä asiakkaalta.

Raportointikierros	Viitepäivä	Viranomaisen määräaika Euroopan valvontaviranomaisille	Finanssialan toimijan määräaika
Vuoden 2026 kierros	31. joulukuuta 2025	31. maaliskuuta 2026	Suomessa 2. maaliskuuta 2026 Finanssivalvonnan mukaan
Seuraava kierros	31. joulukuuta 2026	31. maaliskuuta 2027	Toimivaltainen viranomainen asettaa aikaisemman määräajan

Euroopan pankkiviranomaisen DORA-tietorekisterin raportointiin valmistautumista käsittelevä sivu kokoaa täytäntöönpanoasetuksen, tietomallin, validointisäännöt ja kysymys-vastausasiakirjan. Finanssialan toimijan on tarkistettava oma määräaikansa toimivaltaisen viranomaisen ohjeista.

ICT-palveluntarjoajan tarkistuslista

1. Varmista, mikä oikeushenkilö on finanssialan toimijan sopimuskumppani ja sijaitseeko se unionissa. Näin selviää, onko EUID mahdollinen tunniste vai tarvitaanko LEI.
2. Toimita asiakkaan pyytämä tunniste. Jos sekä LEI että EUID ovat saatavilla, varaudu ilmoittamaan molemmat ja tarkista LEI-tunnuksen aktiivinen tila.
3. Selvitä, mitkä rekisteriin merkityt alihankkijat tosiasiallisesti tukevat kriittistä tai tärkeää toimintoa tukevaa palvelua. Pyydä heiltä soveltuvat tunnisteet asiakkaalle välitettäväksi.
4. Varmista ylimmän emoyrityksen tunnistamiseen tarvittavat tiedot ja kysy asiakkaalta, milloin se tarvitsee toimittajatiedot.

Muissa sääntelytilanteissa LEI-tunnusta koskevat säännöt voivat olla erilaiset. AMLR:n mukaista asiakkaan tunnistamista käsittelevä LEI-artikkeli koskee eri käyttötapausta, ja muita aiheita löytyy LEIFastin sääntelyartikkeleista. Tämän tietorekisterin osalta seuraava toimi on varmistaa sopimuskumppanina oleva oikeushenkilö, sille soveltuva tunniste ja asiakkaan tietojen keruun määräaika. Jos velvoitteiden soveltuminen riippuu järjestelyn yksityiskohdista, tarkista asia viranomaiselta tai neuvonantajalta.