DORA LEI-követelmények IKT-szolgáltatóknak Magyarországon

Ha egy bank vagy biztosító DORA LEI-adatot kér az IKT-szolgáltatójától, az nem jelenti azt, hogy a DORA közvetlenül LEI beszerzésére kötelezi a szolgáltatót. A pénzügyi szervezetnek kell az információ-nyilvántartásában azonosítania a jogi személy IKT-szolgáltatót érvényes és aktív jogalany-azonosítóval (LEI) vagy európai egyedi azonosítóval (EUID); az Unión kívül letelepedett szolgáltató jogi személyhez csak LEI használható.

Mit jelent ez Magyarországon?

A Magyar Nemzeti Bank (MNB) DORA szakértői fórumán ismertetett tájékoztatás szerint az információ-nyilvántartást (RoI) éves adatszolgáltatásként minden év január 31-ig kell benyújtani. A nyilvántartás tartalmát és szerkezetét a Bizottság (EU) 2024/2956 végrehajtási rendelete határozza meg. Az MNB-nek szóló benyújtási határidőt nem szabad összetéveszteni azzal a március 31-i határidővel, amely az illetékes hatóságok európai felügyeleti hatóságok felé történő adatszolgáltatására vonatkozik.

Egy budapesti szoftverfejlesztő, amely egy biztosító rendszerét üzemelteti, kaphat azonosítóadatokra vonatkozó kérést a biztosítótól. A válasz előtt azt kell tisztáznia, melyik jogi személy áll szerződésben a pénzügyi szervezettel, és rendelkezik-e LEI-vel vagy EUID-val. Ha mindkettő rendelkezésre áll, a nyilvántartásban mindkettőt használni kell. Ha a fejlesztő LEI-t ad meg, ellenőrizze, hogy az érvényes és aktív-e.

Más a helyzet egy magyar befektetési vállalkozás számára szolgáltató amerikai felhőszolgáltatónál: az Unión kívül letelepedett szolgáltató jogi személyt a nyilvántartásban csak LEI-vel lehet azonosítani. A magyar ügyfél adatbekérési határidejét ezért célszerű közvetlenül az ügyféltől megtudni. Az MNB éves benyújtási időpontja a pénzügyi szervezet adatszolgáltatását érinti, nem a szolgáltató számára közvetlenül előírt LEI-igénylési határidő.

DORA LEI-követelmények: fő tudnivalók

• A DORA 2025. január 17. óta alkalmazandó. A pénzügyi szervezetek nyilvántartják az IKT-szolgáltatásokra vonatkozó szerződéses megállapodásaikat.
• A jogi személy IKT-szolgáltató azonosítására érvényes és aktív LEI vagy EUID szolgál, és mindkettő, ha rendelkezésre áll. Az Unión kívül letelepedett szolgáltató jogi személyhez csak LEI használható.
• Az azonosítás a nyilvántartásban szereplő, meghatározott alvállalkozókra is kiterjed, ha a szolgáltatás kritikus vagy fontos funkciót támogat.
• A magyarországi éves benyújtás MNB által ismertetett határideje január 31.; a szolgáltatónak az ügyfele saját adatbekérési határidejét kell egyeztetnie.

Mi a DORA szerinti információ-nyilvántartás?

Az (EU) 2022/2554 rendelet (DORA) 28. cikkének (3) bekezdése szerint a pénzügyi szervezetek IKT-kockázatkezelési keretrendszerük részeként nyilvántartást vezetnek és frissítenek az IKT harmadik fél szolgáltatók által nyújtott szolgáltatásokra vonatkozó valamennyi szerződéses megállapodásról. Ezt szervezeti, szubkonszolidált és konszolidált szinten teszik.

Kérésre a teljes nyilvántartást vagy annak kért részeit az illetékes hatóság rendelkezésére bocsátják, az új megállapodásokról pedig legalább évente beszámolnak. Az európai felügyeleti hatóságok a nyilvántartásokat a kritikus IKT harmadik fél szolgáltatók kijelöléséhez is használják. Az AFM 2026. augusztusi DORA-tájékoztatója szerint a nyilvántartások alapján tizenkilenc szolgáltatót jelöltek ki.

A szolgáltató szempontjából mindez pontos azonosítóadatok iránti ügyfélkérést jelenthet. A pénzügyi szervezetnek közvetlen szolgáltatója adataira és az érintett alvállalkozói lánc adataira is szüksége lehet.

Melyik azonosítót írja elő a 2024/2956 végrehajtási rendelet?

A Bizottság 2024. november 29-i (EU) 2024/2956 végrehajtási rendelete határozza meg az információ-nyilvántartás egységes sablonjait; a rendeletet 2024. december 2-án tették közzé a Hivatalos Lapban. A 3. cikk (5) bekezdése alapján a pénzügyi szervezetek a jogi személy IKT harmadik fél szolgáltatókat érvényes és aktív LEI-vel vagy az (EU) 2017/1132 irányelv 16. cikkében említett EUID-val azonosítják, és mindkettővel, ha rendelkezésre áll. A rendelkezés kivételt tesz az üzleti minőségben eljáró természetes személyekkel.

A melléklet szerint jogi személy szolgáltatónál kizárólag LEI vagy EUID használható; az alternatív kódok az üzleti minőségben eljáró természetes személyekhez kapcsolódnak. Az Unión kívül letelepedett jogi személy szolgáltatóhoz kizárólag LEI használható. Az EUID így az arra jogosult, Unióban letelepedett szolgáltató számára lehetőség, nem az Unión kívüli szolgáltató LEI-jének helyettesítője.

A 3. cikk (6) bekezdése az alvállalkozókról rendelkezik. Ha a közvetlen szolgáltató IKT-szolgáltatása kritikus vagy fontos funkciót támogat, a pénzügyi szervezetnek a közvetlen szolgáltatón keresztül biztosítania kell, hogy a nyilvántartásban szereplő és a szolgáltatást ténylegesen alátámasztó alvállalkozók érvényes és aktív LEI-t vagy EUID-t adjanak meg, és mindkettőt, ha rendelkezésre áll. Az üzleti minőségben eljáró természetes személyek itt is kivételt képeznek.

A pénzügyi szervezet saját azonosítására más szabály vonatkozik. Az európai felügyeleti hatóságok 2025. március 28-án frissített nyilvántartási GYIK-je szerint a B_01.01 és B_01.02 sablonban a pénzügyi szervezethez csak LEI használható. A LEI az ISO 17442 szabványon alapuló, 20 karakterből álló alfanumerikus kód.

Miért számít a LEI érvényessége és aktív státusza?

A végrehajtási rendelet 3. cikkének (5) bekezdése kifejezetten érvényes és aktív LEI-t ír elő. A már LEI-vel rendelkező szolgáltatónak ezért a kód továbbítása előtt érdemes ellenőriznie annak státuszát. A felügyeleti hatóságok GLEIF-adatbázis alapján ellenőrzik a LEI-ket, az EUID-kat pedig BRIS-referenciaadatok alapján; a GYIK szerint minden IKT-szolgáltató végső anyavállalatát is azonosítani kell.

A GYIK 44. kérdésére adott válasz szerint a kezdeti adatszolgáltatási szakaszban, különösen 2025-ben, nem alkalmaztak szigorú LEI-státuszellenőrzést, például az aktív vagy lejárt státusz vizsgálatát. A válasz nem rögzíti, meddig tart ez a gyakorlat. Nem célszerű arra építeni, hogy egy későbbi ciklusban is így kezelik a lejárt LEI-t.

A harmadik országbeli szolgáltatókhoz külön adatfeldolgozási útmutatás tartozik. A GYIK 40. kérdése szerint, ha a LEI nem áll rendelkezésre, a pénzügyi szervezet más azonosítót is jelenthet: a fájlt nem utasítják el, de az adatot adatminőségi problémaként jelölik. Ez nem módosítja a melléklet azon szabályát, hogy az Unión kívül letelepedett szolgáltató jogi személyt csak LEI-vel lehet azonosítani. Ha még nincs LEI-je, LEI-t igényelhet; ha a meglévő LEI lejárt, megújíthatja a LEI-t.

Az éves nyilvántartási ciklus határidői

A felügyeleti hatóságok GYIK-jének 11-13. kérdése szerint 2026-tól a referencia-időpont az előző év december 31. napja. Az illetékes hatóságok minden év március 31-ig jelentik a nyilvántartásokat az európai felügyeleti hatóságoknak, a pénzügyi szervezetek számára pedig ennél korábbi határidőt állapítanak meg.

Nyilvántartási ciklus	Referencia-időpont	Az illetékes hatóságok jelentési határideje	Magyarországi éves benyújtás az MNB tájékoztatása szerint
2026-os ciklus	2025. december 31.	2026. március 31.	Minden év január 31-ig
Következő ciklus	2026. december 31. lesz	2027. március 31. lesz	Minden év január 31-ig

Az Európai Bankhatóság DORA-nyilvántartásokhoz kapcsolódó tájékoztató oldala összegyűjti a végrehajtási rendeletet, az adatmodellt, az ellenőrzési szabályokat és a GYIK-et. A szolgáltató az ügyfelével egyeztesse, mikorra kéri az adatokat; az európai felügyeleti hatóságok felé történő jelentés határideje nem a szolgáltatói adatátadás határideje.

Teendők IKT-szolgáltatóknak

1. Azonosítsa a pénzügyi szervezettel szerződő jogi személyt, és tisztázza, hogy az Unióban letelepedett-e. Ettől függ, használható-e EUID, vagy csak LEI.
2. Adja meg az ügyfél által kért azonosítót; ha LEI és EUID is rendelkezésre áll, készüljön fel mindkettő megadására. LEI esetén ellenőrizze az aktív státuszt.
3. Ha a szolgáltatás kritikus vagy fontos funkciót támogat, azonosítsa a nyilvántartásban szereplő, azt ténylegesen alátámasztó alvállalkozókat, és kérje el tőlük az alkalmazandó azonosítókat.
4. Tisztázza a végső anyavállalat azonosításához szükséges adatokat, és kérdezze meg az ügyfelet, mikorra várja a kitöltött szolgáltatói adatokat.

Más megfelelési helyzetben eltérő LEI-szabályok érvényesülhetnek: az AMLR szerinti ügyfél-azonosításról szóló magyar útmutató más felhasználási esetet tárgyal. További szabályozási témák a LEIFast magyar cikkei között találhatók. A DORA-nyilvántartás ügyében először a szerződő jogi személyt, az elfogadható azonosítót és az ügyfél adatbekérési határidejét tisztázza; ha a szerződéses körülmények alapján bizonytalan a helyzet, egyeztessen a felügyeleti hatósággal vagy tanácsadójával.