DORA LEI en France : identifiants des prestataires TIC

Une demande de LEI au titre de DORA ne signifie pas que votre entreprise de services TIC a elle-même l’obligation d’en obtenir un. L’entité financière doit identifier ses prestataires personnes morales dans son registre d’informations DORA par un LEI valide et actif ou un identifiant unique européen (EUID) ; pour un prestataire non établi dans l’Union, seul le LEI peut être utilisé.

Ce que cela signifie en France

En France, l’Autorité de contrôle prudentiel et de résolution (ACPR) – instruction n° 2025-I-12 encadre la remise à l’ACPR des registres d’informations relatifs aux accords contractuels portant sur l’utilisation de services TIC. C’est l’entité financière concernée qui remet son registre. Pour le prestataire sollicité, l’enjeu est de communiquer à son client les informations d’identification dont celui-ci a besoin.

La Banque de France – avis eSurfi sur la remise DORA RoI du 13 mars 2026 indiquait une remise au plus tard le 31 mars 2026, pour une date d’arrêté au 31 décembre 2025. Cette échéance concernait le cycle 2026 déjà achevé : un prestataire ne doit pas la prendre pour la date à laquelle il doit répondre à une demande reçue aujourd’hui. Il doit demander à son client quand les données lui sont nécessaires.

Un éditeur de logiciels lyonnais qui fournit un outil à une banque régionale peut ainsi recevoir une demande d’identifiant pour le registre de cette banque. Le choix entre LEI et EUID dépend des règles applicables aux prestataires personnes morales, et non du seul fait que le fournisseur soit français. Pour un fournisseur cloud américain d’un assureur parisien, le registre utilise uniquement le LEI, car ce prestataire n’est pas établi dans l’Union. Ces exemples ne changent pas la répartition des obligations : la tenue et la remise du registre incombent à l’entité financière.

DORA LEI : les points à retenir

• DORA s’applique depuis le 17 janvier 2025. Les entités financières tiennent un registre de leurs accords contractuels portant sur les services TIC.
• Pour un prestataire personne morale établi dans l’Union, le registre utilise un LEI valide et actif ou un EUID, et les deux lorsqu’ils sont disponibles. Pour une personne morale non établie dans l’Union, il utilise uniquement un LEI.
• Certains sous-traitants inscrits au registre doivent également être identifiés lorsqu’ils contribuent effectivement à un service soutenant une fonction critique ou importante.
• L’autorité compétente fixe aux entités financières une échéance antérieure à sa propre date limite de transmission aux autorités européennes de surveillance.

À quoi sert le registre d’informations DORA ?

Le règlement (UE) 2022/2554 (DORA), article 28, paragraphe 3, impose aux entités financières de tenir à jour un registre de tous leurs accords contractuels relatifs aux services TIC de prestataires tiers. Ce registre fait partie de leur cadre de gestion des risques TIC, aux niveaux de l’entité, sous-consolidé et consolidé.

Sur demande, l’entité financière communique le registre entier ou les parties demandées à son autorité compétente ; elle déclare ses nouveaux accords au moins chaque année. Les autorités européennes de surveillance s’appuient aussi sur ces registres pour désigner des prestataires tiers de services TIC critiques. L’AFM – DORA update 7 d’août 2026 faisait état de dix-neuf prestataires désignés.

Un fournisseur direct ou membre d’une chaîne de sous-traitance concernée doit donc transmettre à son client des données d’identification exactes.

LEI ou EUID : quel identifiant fournir ?

Le règlement d’exécution (UE) 2024/2956 de la Commission du 29 novembre 2024, publié au Journal officiel le 2 décembre 2024, établit les modèles du registre. Selon son article 3, paragraphe 5, les entités financières identifient les prestataires tiers de services TIC personnes morales par un LEI valide et actif ou par l’EUID visé à l’article 16 de la directive (UE) 2017/1132, et par les deux lorsqu’ils sont disponibles. Les personnes physiques exerçant une activité commerciale sont exceptées.

L’annexe n’admet que le LEI ou l’EUID pour les prestataires personnes morales ; les autres codes sont réservés aux personnes physiques exerçant une activité commerciale. Une personne morale non établie dans l’Union doit être identifiée par un LEI : l’EUID ne peut s’y substituer.

Selon l’article 3, paragraphe 6, si le service TIC du prestataire direct soutient une fonction critique ou importante, l’entité financière s’assure, par son intermédiaire, que les sous-traitants inscrits au registre qui contribuent effectivement au service utilisent un LEI valide et actif ou fournissent leur EUID, et les deux lorsqu’ils sont disponibles. L’exception pour les personnes physiques exerçant une activité commerciale demeure.

Pour l’entité financière elle-même, la FAQ des autorités européennes de surveillance sur le registre, mise à jour le 28 mars 2025 n’admet que le LEI dans les modèles B_01.01 et B_01.02. Fondé sur la norme ISO 17442, ce code alphanumérique compte 20 caractères.

Pourquoi vérifier le statut du LEI ?

Le LEI doit être valide et actif : vérifiez son statut avant de le communiquer. Selon la FAQ des autorités européennes de surveillance, les LEI sont comparés à la base GLEIF et les EUID aux données BRIS. Le registre identifie aussi la société mère ultime de chaque prestataire TIC.

Selon la question 44 de la FAQ, les contrôles stricts du statut des LEI, notamment actif ou expiré, ne seraient pas appliqués au début des déclarations, particulièrement en 2025. Aucune durée n’était précisée pour cette approche ; il ne faut pas la présumer applicable au prochain cycle.

Si votre LEI affiche déjà le statut LAPSED, renouvelez l’enregistrement existant plutôt que de demander un nouveau code. Notre guide pour comprendre un LEI expiré et le renouveler explique comment vérifier son statut et procéder au renouvellement.

La question 40 précise que, si le LEI d’un prestataire d’un pays tiers est indisponible, l’entité financière peut déclarer un autre identifiant : le fichier n’est pas rejeté, mais l’entrée est signalée comme un problème de qualité des données. Cette indication sur le traitement des fichiers ne remplace pas l’exigence de LEI de l’annexe pour les personnes morales non établies dans l’Union. Votre entreprise peut demander un LEI si elle n’en possède pas, ou renouveler son LEI s’il a expiré.

Calendrier des remises du registre

Selon les questions 11 à 13 de la FAQ, à partir de 2026, la date de référence est le 31 décembre de l’année précédente. Les autorités compétentes transmettent les registres aux autorités européennes de surveillance au plus tard le 31 mars de chaque année. Elles fixent aux entités financières des échéances antérieures : demandez à votre client sa date limite de collecte.

Cycle	Date de référence	Transmission par les autorités compétentes	Échéance de l’entité financière
Cycle 2026	31 décembre 2025	31 mars 2026	Fixée plus tôt par l’autorité compétente
Prochain cycle	31 décembre 2026	Au plus tard le 31 mars 2027	Sera fixée plus tôt par l’autorité compétente

L’Autorité bancaire européenne – préparation de la déclaration des registres DORA rassemble les modèles, le modèle de données, les règles de validation et la FAQ. Chaque entité financière doit vérifier les consignes de son autorité compétente.

Informations à préparer en tant que prestataire TIC

1. Identifiez la personne morale contractante et vérifiez si elle est établie dans l’Union pour déterminer si l’EUID peut être utilisé ou si le LEI est requis.
2. Fournissez l’identifiant demandé par votre client ; préparez LEI et EUID si les deux sont disponibles et vérifiez le statut actif du LEI.
3. Demandez leur identifiant aux sous-traitants inscrits au registre qui contribuent effectivement à un service soutenant une fonction critique ou importante.
4. Préparez les données d’identification de votre société mère ultime et demandez au client sa date limite de collecte.

Un autre usage du LEI peut suivre des règles différentes : voir l’identification des clients au titre du règlement LBC en France et les articles LEIFast. Pour le registre DORA, confirmez la personne morale concernée, son identifiant admissible et la date demandée par votre client ; si les modalités du contrat déterminent votre situation, consultez votre autorité compétente ou votre conseil.