DORA et LEI en Belgique : règles pour les fournisseurs TIC

Une demande de LEI au titre de DORA adressée à un fournisseur TIC en Belgique ne signifie pas que DORA lui impose directement d’obtenir ce code. L’obligation incombe à l’entité financière : elle identifie dans son registre d’informations les fournisseurs qui sont des personnes morales au moyen d’un LEI valide et actif ou d’un identifiant unique européen (EUID), tandis qu’un fournisseur non établi dans l’Union doit être identifié par un LEI.

Ce que cela signifie en Belgique

En Belgique, les modalités de transmission du registre dépendent de l’autorité qui surveille l’entité financière. La FSMA, dans sa communication du 17 février 2026, a précisé que l’exercice de collecte de 2026 aurait un périmètre plus limité. Seuls les opérateurs de marché, les sociétés de gestion de portefeuille et de conseil en investissement, les sociétés de gestion d’OPC et de FIA ainsi que les OPC autogérés devaient lui transmettre un registre pour cet exercice.

Ces entités utilisaient une enquête FiMiS. Celles dont les informations n’avaient pas changé depuis l’année précédente pouvaient simplement le confirmer. Le registre devait parvenir à la FSMA au plus tard le 20 mars 2026. Pour un prestataire IT à Liège qui fournit une banque belge, ces modalités de déclaration ne constituent pas, à elles seules, une date de remise de ses propres données : il doit demander à son client quand celui-ci en a besoin.

La circulaire NBB_2026_05 de la Banque nationale de Belgique (BNB), du 31 mars 2026, indique que les entités financières qu’elle surveille peuvent transmettre le registre via OneGate. En règle générale, la BNB limite ses demandes au niveau le plus élevé de (sous-)consolidation sous sa surveillance. Lorsqu’un groupe comprend un établissement de crédit important, il transmet les registres bancaires à la BCE et n’adresse à la BNB que ceux des entités placées sous la surveillance de cette dernière.

DORA et LEI : les points à retenir

• DORA s’applique depuis le 17 janvier 2025. Les entités financières tiennent le registre de leurs accords relatifs aux services TIC.
• Elles identifient les fournisseurs TIC personnes morales par un LEI valide et actif ou un EUID, et par les deux s’ils sont disponibles.
• Pour une personne morale non établie dans l’Union, seul le LEI est admis.
• La règle couvre aussi les sous-traitants inscrits au registre qui sous-tendent effectivement un service TIC soutenant une fonction critique ou importante.

À quoi sert le registre d’informations DORA ?

Le règlement (UE) 2022/2554 (DORA), article 28, paragraphe 3, impose aux entités financières de tenir et mettre à jour un registre de tous leurs accords contractuels portant sur des services TIC fournis par des prestataires tiers. Il relève de leur cadre de gestion des risques TIC et couvre l’entité ainsi que les niveaux sous-consolidé et consolidé.

L’entité communique le registre complet, ou les sections demandées, à son autorité compétente sur demande et déclare au moins annuellement ses nouveaux accords. Les autorités européennes de surveillance utilisent aussi ces registres pour désigner les prestataires tiers critiques de services TIC. Selon l’AFM, dans sa mise à jour DORA d’août 2026, dix-neuf prestataires avaient été désignés sur cette base.

Le client financier demande donc des données d’identification au fournisseur direct ou aux intervenants pertinents de sa chaîne de sous-traitance.

LEI ou EUID : quel identifiant faut-il fournir ?

Le règlement d’exécution (UE) 2024/2956 de la Commission du 29 novembre 2024, publié au Journal officiel le 2 décembre 2024, fixe les modèles du registre. Selon son article 3, paragraphe 5, l’entité financière identifie ses prestataires TIC personnes morales par un LEI valide et actif ou par l’EUID visé à l’article 16 de la directive (UE) 2017/1132, et par les deux lorsqu’ils sont disponibles. Les personnes physiques agissant dans le cadre d’une activité professionnelle sont exceptées.

L’annexe n’autorise que le LEI ou l’EUID pour les fournisseurs personnes morales ; les autres codes sont réservés aux personnes physiques agissant dans ce cadre. Pour une personne morale non établie dans l’Union, seul le LEI est admis. Un fournisseur américain de services cloud d’un assureur bruxellois ne peut donc pas substituer un EUID au LEI.

Selon l’article 3, paragraphe 6, si le service TIC du prestataire direct soutient une fonction critique ou importante, l’entité financière veille, par son intermédiaire, à ce que les sous-traitants inscrits au registre qui sous-tendent effectivement ce service utilisent un LEI valide et actif ou fournissent leur EUID, et les deux lorsqu’ils sont disponibles. Les personnes physiques agissant dans le cadre d’une activité professionnelle restent exceptées.

Pour l’entité financière elle-même, la FAQ des autorités européennes de surveillance sur la déclaration des registres, mise à jour le 28 mars 2025, n’admet que le LEI dans les modèles B_01.01 et B_01.02. Ce code alphanumérique de 20 caractères repose sur la norme ISO 17442.

Vérifier le statut du LEI et la qualité des données

Un LEI communiqué doit être valide et actif : vérifiez son statut avant l’envoi. Selon la FAQ, les autorités européennes de surveillance contrôlent les LEI dans la base GLEIF et les EUID à l’aide des données BRIS. Le registre identifie aussi la société mère ultime de chaque fournisseur TIC.

La question 44 de la FAQ indiquait que les contrôles stricts du statut des LEI, notamment « actif » ou « expiré », ne seraient pas appliqués lors des premières déclarations, particulièrement en 2025. Elle ne fixait pas la durée de cette approche, qui ne modifie pas l’exigence d’un LEI actif.

Selon la question 40, faute de LEI disponible pour un fournisseur d’un pays tiers, l’entité financière peut déclarer un autre identifiant : le fichier n’est pas rejeté, mais l’entrée est signalée comme un problème de qualité des données. Cette règle de traitement ne remplace pas l’exigence de l’annexe : une personne morale non établie dans l’Union est identifiée par un LEI. Vous pouvez demander un LEI si votre entreprise n’en a pas ou renouveler son LEI s’il n’est plus actif.

Calendrier annuel : distinguer la date européenne de celle du client

Selon les questions 11 à 13 de la FAQ, dès le cycle 2026, la date de référence est le 31 décembre de l’année précédente. Les autorités compétentes transmettent les registres aux autorités européennes de surveillance au plus tard le 31 mars de chaque année et fixent des échéances antérieures pour les entités financières. Demandez donc à votre client sa date de collecte.

Cycle	Date de référence	Transmission par les autorités compétentes	Échéance de l’entité financière
Cycle 2026	31 décembre 2025	31 mars 2026	Fixée antérieurement par l’autorité compétente
Cycle suivant	31 décembre 2026	31 mars 2027	Sera fixée antérieurement par l’autorité compétente

La page de l’Autorité bancaire européenne consacrée à la préparation des déclarations des registres DORA réunit le règlement d’exécution, le modèle de données, les règles de validation et la FAQ. L’entité financière doit vérifier auprès de son autorité compétente l’échéance qui lui est applicable.

Informations à préparer en tant que fournisseur TIC

1. Identifiez la personne morale cocontractante et vérifiez si elle est établie dans l’Union pour déterminer si l’EUID est admis ou si le LEI est requis.
2. Fournissez l’identifiant demandé ; préparez le LEI et l’EUID si les deux sont disponibles, après vérification du statut du LEI.
3. Recueillez les identifiants des sous-traitants inscrits au registre qui sous-tendent effectivement un service soutenant une fonction critique ou importante.
4. Préparez les informations sur votre société mère ultime et confirmez la date de collecte auprès du client.

Ce registre répond à d’autres règles que l’identification des clients au titre de l’AMLR en Belgique. Les articles LEIFast sur la réglementation traitent d’autres sujets. Confirmez la personne morale concernée, son identifiant admissible et la date attendue par votre client ; si votre situation dépend des détails de l’accord, consultez votre autorité de contrôle ou votre conseiller.