DORA LEI za IKT pružatelje u Hrvatskoj

Zahtjev hrvatske banke ili drugog financijskog klijenta za DORA LEI ne znači da DORA izravno obvezuje vašu IKT tvrtku da pribavi LEI. Obveza vođenja registra informacija odnosi se na financijski subjekt: IKT pružatelja koji je pravna osoba mora identificirati valjanim i aktivnim LEI-jem ili europskim jedinstvenim identifikatorom (EUID), a pružatelja koji nema poslovni nastan u Uniji samo LEI-jem.

Što to znači u Hrvatskoj

Prema Hanfinoj objavi o tijelima nadležnima za provedbu DORA-e u Hrvatskoj, Zakon o provedbi Uredbe (EU) 2022/2554 određuje Hrvatsku agenciju za nadzor financijskih usluga (Hanfa) i Hrvatsku narodnu banku (HNB) kao nadležna tijela. Hanfa nadzire usklađenost svojih nadziranih subjekata s DORA-om i provedbenim zakonom. Koje je tijelo nadležno za pojedini registar ovisi o nadzoru nad financijskim subjektom, a ne o sjedištu njegova IKT dobavljača.

Primjerice, IT tvrtka iz Zagreba koja održava sustav za leasing društvo može od klijenta dobiti zahtjev za identifikator potreban u registru. Za pravnu osobu s poslovnim nastanom u Uniji pravila dopuštaju valjan i aktivan LEI ili EUID, odnosno oba ako su dostupna. Ako hrvatsko društvo za upravljanje fondovima koristi američkog pružatelja usluga u oblaku, za identifikaciju tog pružatelja koji nema poslovni nastan u Uniji koristi se samo LEI. U oba primjera podatke za registar prikuplja financijski subjekt; zahtjev dobavljaču proizlazi iz njegove obveze vođenja registra.

Za hrvatske financijske subjekte ne treba pretpostaviti da je rok za dostavu podataka dobavljača jednak roku europskih nadzornih tijela. Prema odgovorima europskih nadzornih tijela o izvješćivanju o registru informacija, referentni datum za sljedeći ciklus bit će 31. prosinca 2026., a nadležna tijela dostavit će registre europskim nadzornim tijelima do 31. ožujka 2027. Nadležno tijelo određuje raniji rok financijskom subjektu. Zato IKT pružatelj treba pitati svojeg klijenta kada mu trebaju potpuni podaci.

DORA LEI: ključne točke za IKT pružatelje

• DORA se primjenjuje od 17. siječnja 2025. Financijski subjekti vode registar ugovornih aranžmana za IKT usluge.
• Pravna osoba s poslovnim nastanom u Uniji može se u registru identificirati valjanim i aktivnim LEI-jem ili EUID-om, a obama identifikatorima ako su dostupna.
• Za pravnu osobu koja nema poslovni nastan u Uniji koristi se samo LEI.
• Zahtjev za identifikator može obuhvatiti i određene podugovaratelje evidentirane u registru.

Što obuhvaća registar informacija DORA?

Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (DORA), članak 28. stavak 3., obvezuje financijske subjekte da u okviru upravljanja IKT rizicima vode i ažuriraju registar svih ugovornih aranžmana za korištenje IKT usluga vanjskih pružatelja. Registar se vodi na razini subjekta te na potkonsolidiranoj i konsolidiranoj razini. Financijski subjekt na zahtjev stavlja cijeli registar ili zatražene dijelove na raspolaganje nadležnom tijelu te najmanje jednom godišnje izvješćuje o novim aranžmanima.

Europska nadzorna tijela koriste registre i pri određivanju kritičnih vanjskih pružatelja IKT usluga. AFM-ovo izvješće DORA update 7 iz kolovoza 2026. navodi da je na temelju registara određeno devetnaest takvih pružatelja. Za dobavljača je neposredna posljedica zahtjev financijskog klijenta za točnim identifikacijskim podacima, bilo da uslugu pruža izravno bilo da sudjeluje u relevantnom lancu podugovaranja.

Koji identifikator propisuju predlošci registra?

Provedbena uredba Komisije (EU) 2024/2956 od 29. studenoga 2024., objavljena u Službenom listu 2. prosinca 2024., utvrđuje standardne predloške registra. Prema članku 3. stavku 5., financijski subjekti za identifikaciju vanjskih IKT pružatelja koji su pravne osobe koriste valjan i aktivan LEI ili EUID iz članka 16. Direktive (EU) 2017/1132, a oba ako su dostupna. Iznimka su fizičke osobe koje djeluju u poslovnom svojstvu.

Upute u prilogu dopuštaju samo LEI ili EUID za pružatelje koji su pravne osobe; drugi identifikacijski kodovi predviđeni su za fizičke osobe koje djeluju u poslovnom svojstvu. Za pravnu osobu bez poslovnog nastana u Uniji dopušten je samo LEI. EUID stoga nije zamjena za LEI takvog pružatelja.

Članak 3. stavak 6. obuhvaća i podugovaratelje. Kada usluga izravnog pružatelja podržava kritičnu ili važnu funkciju, financijski subjekt putem tog pružatelja osigurava da podugovaratelji upisani u registar koji stvarno omogućuju pružanje te usluge koriste valjan i aktivan LEI ili dostave EUID, a oba ako su dostupna. I ovdje su izuzete fizičke osobe koje djeluju u poslovnom svojstvu. Izravni pružatelj zato će možda trebati prikupiti identifikatore relevantnih podugovaratelja.

Pravilo za sam financijski subjekt drukčije je od pravila za dobavljača. Odgovori europskih nadzornih tijela potvrđuju da se u predlošcima B_01.01 i B_01.02 financijski subjekt identificira samo LEI-jem. LEI je alfanumerički kod od 20 znakova temeljen na normi ISO 17442; mogućnost korištenja EUID-a za određenog dobavljača ne prenosi se na identifikaciju financijskog subjekta.

Zašto provjeriti status LEI-ja?

Članak 3. stavak 5. izričito traži valjan i aktivan LEI. Ako dobavljač već ima kod, treba provjeriti njegov status prije slanja klijentu. Europska nadzorna tijela navode da LEI-jeve provjeravaju prema bazi GLEIF-a, a EUID-ove prema referentnim podacima sustava BRIS; u registru se mora identificirati i krajnje matično društvo svakog IKT pružatelja.

U odgovoru na pitanje 44 europska nadzorna tijela navela su da u početnim fazama izvješćivanja, osobito 2025., neće strogo provjeravati status LEI-ja, primjerice je li aktivan ili je istekao. Nisu navela koliko će takav pristup trajati. Tu uputu ne treba tumačiti kao promjenu zahtjeva iz provedbene uredbe.

Odgovor na pitanje 40 zasebno opisuje obradu prijave za pružatelja iz treće zemlje kojem LEI nije dostupan: financijski subjekt može prijaviti drugi identifikator, datoteka neće biti odbijena, ali će zapis biti označen kao problem kvalitete podataka. Ta uputa ne mijenja pravilo iz priloga da se pravna osoba bez poslovnog nastana u Uniji identificira samo LEI-jem. Ako ga vaša tvrtka nema, možete podnijeti zahtjev za LEI; ako je postojeći LEI istekao, možete obnoviti LEI.

Godišnji raspored izvješćivanja

Prema odgovorima europskih nadzornih tijela na pitanja 11. do 13., od 2026. referentni datum jest 31. prosinca prethodne godine. Nadležna tijela dostavljaju registre europskim nadzornim tijelima do 31. ožujka svake kalendarske godine, a financijskim subjektima određuju ranije rokove.

Ciklus registra	Referentni datum	Rok nadležnih tijela za dostavu europskim nadzornim tijelima	Rok financijskog subjekta
Ciklus 2026.	31. prosinca 2025.	31. ožujka 2026.	Raniji rok određuje nadležno tijelo.
Sljedeći ciklus	31. prosinca 2026.	31. ožujka 2027.	Nadležno tijelo odredit će raniji rok.

EBA-ina stranica o pripremi izvješćivanja o registrima DORA okuplja provedbenu uredbu, podatkovni model, pravila validacije i odgovore na pitanja. Financijski subjekt treba provjeriti upute svojeg nadležnog tijela za rok koji se na njega odnosi.

Što IKT pružatelj treba pripremiti?

1. Potvrdite koja je pravna osoba ugovorna strana financijskog subjekta i ima li poslovni nastan u Uniji.
2. Provjerite koji identifikator klijent traži. Ako su dostupni i LEI i EUID, pripremite oba; prije dostave LEI-ja provjerite njegov status.
3. Utvrditi treba li u registar uključiti podugovaratelje koji stvarno omogućuju IKT uslugu koja podržava kritičnu ili važnu funkciju te od njih zatražiti odgovarajuće identifikatore.
4. Pripremite podatke za identifikaciju krajnjeg matičnog društva i zatražite od klijenta njegov rok za prikupljanje podataka.

Pravila za dobavljače u registru DORA ne treba poistovjećivati s drugim obvezama identifikacije. Vodič o LEI-ju pri provjeri identiteta prema AMLR-u u Hrvatskoj obrađuje drugu primjenu, a LEIFastovi članci o propisima donose povezane teme. Za ovaj registar potvrdite ugovornu pravnu osobu, njezin dopušteni identifikator i rok koji vam je dao financijski klijent; ako primjena pravila ovisi o pojedinostima aranžmana, provjerite ih sa svojim regulatorom ili savjetnikom.