DORA LEI Luxembourg : fournisseurs TIC et registre CSSF

Une demande de DORA LEI Luxembourg adressée par une banque ou un assureur à son fournisseur TIC ne signifie pas que DORA oblige directement ce fournisseur à obtenir un LEI. L’entité financière doit identifier ses fournisseurs personnes morales dans son registre d’informations par un LEI valide et actif ou un identifiant unique européen (EUID) ; pour un fournisseur non établi dans l’Union, seul le LEI peut être utilisé.

Ce que cela signifie au Luxembourg

La Commission de Surveillance du Secteur Financier (CSSF) a indiqué que, pour le cycle 2026, les entités financières devaient déposer leur registre d’informations via eDesk entre le 11 février 2026 et le 31 mars 2026. La date de référence de ce registre était le 31 décembre 2025. Il s’agit du calendrier communiqué pour ce cycle, et non d’une date à reprendre comme échéance de collecte auprès de chaque fournisseur.

La CSSF précisait aussi une condition pratique pour le dépôt : le LEI de l’entité financière qui soumet le registre devait lui avoir été communiqué au préalable. Sans cette communication, le dépôt via eDesk n’était pas possible. Ce LEI est celui de l’entité déposante ; il ne faut pas le confondre avec l’identifiant demandé à un prestataire TIC pour renseigner le registre.

Prenons une fintech d’Esch-sur-Alzette qui fournit un service à un établissement de paiement luxembourgeois. L’établissement doit obtenir les données d’identification applicables à son fournisseur pour compléter son propre registre. Selon les règles européennes, une personne morale établie dans l’Union peut être identifiée par un LEI valide et actif ou par un EUID, et par les deux si elle en dispose. En revanche, pour un fournisseur américain de services cloud travaillant avec un gestionnaire de fonds du Kirchberg, seul le LEI peut servir à identifier la personne morale non établie dans l’Union.

Pour préparer les données demandées, le fournisseur doit donc distinguer son propre identifiant de celui de l’entité financière qui effectue le dépôt. Il doit également demander à son client à quelle date celui-ci souhaite recevoir les informations : le calendrier de dépôt annoncé par la CSSF ne fixe pas, à lui seul, une échéance de réponse pour chaque prestataire.

DORA LEI Luxembourg : les points à retenir

• DORA s’applique depuis le 17 janvier 2025. Les entités financières tiennent le registre des contrats de services TIC.
• Un fournisseur TIC personne morale est identifié par un LEI valide et actif ou un EUID, et par les deux s’ils sont disponibles. Hors de l’Union, seul le LEI est admis.
• Les sous-traitants inscrits au registre qui sous-tendent effectivement un service TIC soutenant une fonction critique ou importante fournissent aussi l’identifiant applicable.
• Demandez au client sa date de collecte, distincte de l’échéance de transmission aux autorités européennes.

À quoi sert le registre d’informations DORA ?

Le règlement (UE) 2022/2554 (DORA), article 28, paragraphe 3, impose aux entités financières de tenir et d’actualiser, dans leur cadre de gestion des risques TIC, un registre de tous les arrangements contractuels portant sur les services TIC de prestataires tiers. Il est tenu aux niveaux de l’entité, sous-consolidé et consolidé.

L’entité fournit le registre ou les sections demandées à son autorité compétente sur demande et déclare au moins annuellement les nouveaux arrangements. Les autorités européennes de surveillance utilisent les registres pour désigner les prestataires tiers critiques : l’AFM, dans sa mise à jour DORA 7 d’août 2026, faisait état de dix-neuf désignations fondées sur ces registres.

Quel identifiant faut-il inscrire pour un fournisseur TIC ?

Le règlement d’exécution (UE) 2024/2956 de la Commission du 29 novembre 2024, publié au Journal officiel le 2 décembre 2024, fixe les modèles du registre. Son article 3, paragraphe 5, prévoit pour les fournisseurs TIC personnes morales un LEI valide et actif ou l’EUID visé à l’article 16 de la directive (UE) 2017/1132, et les deux lorsqu’ils sont disponibles. Les personnes physiques agissant à titre professionnel font exception.

Selon l’annexe, seuls le LEI et l’EUID identifient les fournisseurs personnes morales ; les autres codes sont réservés aux personnes physiques agissant à titre professionnel. Pour une personne morale non établie dans l’Union, seul le LEI est utilisable.

L’article 3, paragraphe 6, vise aussi les sous-traitants inscrits au registre qui sous-tendent effectivement le service d’un fournisseur direct soutenant une fonction critique ou importante. L’entité financière s’assure, par ce fournisseur, qu’ils utilisent un LEI valide et actif ou fournissent leur EUID, et les deux lorsqu’ils sont disponibles. Les personnes physiques agissant à titre professionnel restent exceptées.

Pour l’entité financière elle-même, la FAQ des autorités européennes de surveillance sur la déclaration des registres, mise à jour le 28 mars 2025, confirme que seul le LEI convient dans les modèles B_01.01 et B_01.02. Ce code alphanumérique compte 20 caractères et repose sur la norme ISO 17442.

Pourquoi vérifier le statut du LEI ?

Le LEI du fournisseur doit être valide et actif : vérifiez son statut avant de le transmettre. Selon la FAQ, les autorités contrôlent les LEI dans la base GLEIF et les EUID dans les données BRIS ; la société mère ultime de chaque fournisseur TIC doit aussi être identifiée.

La question 44 de la FAQ indiquait que les contrôles stricts du statut, notamment actif ou expiré, ne seraient pas appliqués durant les premières étapes de déclaration, particulièrement en 2025, sans préciser la durée de cette approche. Selon la question 40, un autre identifiant déclaré faute de LEI pour un fournisseur d’un pays tiers ne fait pas rejeter le fichier, mais signale un problème de qualité des données. Cette consigne ne modifie pas l’obligation d’utiliser le LEI pour une personne morale non établie dans l’Union.

Sans LEI, vous pouvez demander un LEI ; si le code a expiré, vous pouvez renouveler le LEI.

Calendrier des registres : dates à distinguer

Selon la FAQ, questions 11 à 13, à partir de 2026, la référence est le 31 décembre de l’année précédente. Les autorités compétentes transmettent les registres aux autorités européennes de surveillance au plus tard le 31 mars de chaque année et fixent des délais antérieurs aux entités financières. Demandez à votre client sa propre date de collecte.

Cycle	Date de référence	Transmission aux autorités européennes	Dépôt auprès de la CSSF
2026	31 décembre 2025	31 mars 2026	Du 11 février au 31 mars 2026 via eDesk
Cycle suivant	31 décembre 2026	Au plus tard le 31 mars 2027	Vérifier les instructions de la CSSF ; aucune date nationale pour ce cycle n’est indiquée ici

La page de l’Autorité bancaire européenne consacrée à la préparation des déclarations DORA rassemble le règlement d’exécution, le modèle de données, les règles de validation et la FAQ. Les entités financières doivent vérifier le délai applicable auprès de leur autorité compétente.

Informations à préparer avant de répondre au client

1. Identifiez la personne morale contractante et son lieu d’établissement dans ou hors de l’Union pour déterminer si l’EUID peut être utilisé.
2. Vérifiez le statut de votre LEI et transmettez l’identifiant demandé, ou les deux si LEI et EUID sont disponibles.
3. Recueillez les identifiants applicables des sous-traitants inscrits au registre qui sous-tendent effectivement un service soutenant une fonction critique ou importante.
4. Préparez l’identification de votre société mère ultime et demandez au client sa date de collecte.

Notre article sur le LEI et l’identification des clients au titre de l’AMLR au Luxembourg traite d’un autre usage ; d’autres sujets figurent parmi les articles réglementaires LEIFast. Pour cette demande, confirmez l’entité contractante, l’identifiant applicable et la date attendue par votre client ; si votre situation dépend du contrat, consultez votre régulateur ou votre conseil.