DORA LEI per fornitori TIC in Italia: regole e scadenze

Una richiesta DORA LEI da parte di una banca o di un’altra entità finanziaria non significa che il fornitore TIC sia direttamente obbligato dal DORA a ottenere un LEI. È l’entità finanziaria a dover identificare nel registro delle informazioni i fornitori che sono persone giuridiche: con un LEI valido e attivo o un identificativo unico europeo (EUID), entrambi se disponibili. Per un fornitore non stabilito nell’Unione si usa solo il LEI.

Cosa significa in Italia

La comunicazione della Banca d’Italia sulle tempistiche di trasmissione dei registri DORA indica che le entità finanziarie rendono disponibile il registro delle informazioni trasmettendolo alla Banca d’Italia tramite la piattaforma INFOSTAT. La prima raccolta si è svolta nell’aprile 2025. Dal 2026 le raccolte sono annuali: la scadenza è il 15 marzo di ogni anno e la data di riferimento è il 31 dicembre dell’anno precedente.

Per il ciclo 2026, quindi, la data di riferimento era il 31 dicembre 2025 e la scadenza della Banca d’Italia era il 15 marzo 2026. Per il ciclo successivo, la data di riferimento sarà il 31 dicembre 2026 e la scadenza annuale della Banca d’Italia sarà il 15 marzo 2027. Queste date riguardano la trasmissione del registro da parte delle entità finanziarie alla Banca d’Italia, non fissano una scadenza diretta per il fornitore TIC che deve comunicare i propri dati al cliente.

Si pensi a una software house milanese che fornisce il gestionale a un istituto di pagamento, oppure a un fornitore cloud statunitense di una SGR romana. Sono esempi di rapporti in cui il cliente può chiedere al fornitore i dati necessari per il proprio registro; nel secondo caso, essendo il fornitore non stabilito nell’Unione, l’identificativo previsto è solo il LEI. Il fornitore dovrebbe concordare con il cliente quando inviare i dati, senza trattare il 15 marzo come una propria scadenza di trasmissione tramite INFOSTAT.

DORA LEI: i punti essenziali

• Il DORA si applica dal 17 gennaio 2025. Le entità finanziarie mantengono il registro degli accordi per i servizi TIC.
• Per i fornitori persone giuridiche si usa un LEI valido e attivo o un EUID, entrambi se disponibili. Per quelli non stabiliti nell’Unione, solo il LEI.
• L’identificazione riguarda anche i subfornitori registrati che sostengono effettivamente servizi TIC a supporto di funzioni essenziali o importanti.
• Le autorità competenti fissano alle entità finanziarie scadenze precedenti al termine del 31 marzo per trasmettere i registri alle autorità europee di vigilanza.

Che cos’è il registro delle informazioni DORA?

Il Regolamento (UE) 2022/2554 (DORA), articolo 28, paragrafo 3, richiede alle entità finanziarie di mantenere e aggiornare, nella gestione dei rischi TIC, il registro degli accordi per servizi di fornitori terzi TIC, a livello di entità, sub-consolidato e consolidato. L’entità finanziaria mette il registro, o le sezioni richieste, a disposizione dell’autorità competente su richiesta e comunica almeno annualmente i nuovi accordi.

Le autorità europee di vigilanza usano i registri per designare i fornitori terzi critici di servizi TIC. L’aggiornamento DORA 7 dell’AFM dell’agosto 2026 riferisce che ne erano stati designati diciannove sulla base dei registri. Il cliente chiede quindi dati identificativi accurati anche ai fornitori di una catena di subfornitura rilevante.

Quale identificativo richiede il regolamento di esecuzione?

Il Regolamento di esecuzione (UE) 2024/2956 della Commissione, del 29 novembre 2024, pubblicato nella Gazzetta ufficiale il 2 dicembre 2024, stabilisce i modelli standard del registro. L’articolo 3, paragrafo 5, prescrive un LEI valido e attivo o l’EUID di cui all’articolo 16 della Direttiva (UE) 2017/1132, entrambi se disponibili, per i fornitori terzi TIC persone giuridiche; esclude le persone fisiche che agiscono nell’esercizio di un’attività economica.

L’allegato ammette solo LEI o EUID per le persone giuridiche e riserva i codici alternativi alle persone fisiche che agiscono nell’esercizio di un’attività economica. Per una persona giuridica non stabilita nell’Unione ammette solo il LEI: l’EUID non lo sostituisce.

L’articolo 3, paragrafo 6, riguarda i subfornitori: se il servizio del fornitore diretto supporta una funzione essenziale o importante, l’entità finanziaria deve assicurare, tramite quel fornitore, che i subfornitori nel registro che sostengono effettivamente il servizio usino un LEI valido e attivo o forniscano l’EUID, entrambi se disponibili. Restano escluse le persone fisiche che agiscono nell’esercizio di un’attività economica.

Per l’entità finanziaria, le FAQ delle autorità europee di vigilanza sulla trasmissione dei registri, aggiornate il 28 marzo 2025, confermano che nei modelli B_01.01 e B_01.02 si usa solo il LEI, codice alfanumerico di 20 caratteri basato sulla norma ISO 17442. La facoltà del fornitore di usare l’EUID non si applica all’entità finanziaria.

Perché verificare che il LEI sia attivo?

L’articolo 3, paragrafo 5, richiede un LEI valido e attivo. Secondo le FAQ, le autorità europee di vigilanza verificano i LEI nella banca dati GLEIF e gli EUID rispetto ai dati BRIS; nel registro va identificata anche la capogruppo ultima di ciascun fornitore TIC.

La risposta alla domanda 44 delle FAQ precisava che, nelle fasi iniziali e in particolare nel 2025, non sarebbero stati applicati controlli rigorosi sullo stato del LEI. Non specificava per quanto tempo: il requisito del LEI attivo resta. Secondo la risposta alla domanda 40, se manca il LEI di un fornitore di un paese terzo, l’entità finanziaria può trasmettere un altro identificativo: il file non viene respinto, ma il dato è segnalato come problema di qualità. Questa indicazione sul file non modifica la regola dell’allegato che ammette solo il LEI.

Se il vostro LEI risulta già nello stato LAPSED, rinnovate la registrazione esistente anziché richiedere un nuovo codice. La nostra guida sul LEI scaduto e sul suo rinnovo spiega come verificarne lo stato e rinnovarlo.

Se la vostra società non dispone ancora del codice, potete richiedere un LEI. Se il codice è scaduto, potete rinnovare il LEI prima di comunicarlo al cliente.

Calendario annuale e dati da preparare

Secondo le domande 11-13 delle FAQ, dal 2026 la data di riferimento è il 31 dicembre dell’anno precedente. Le autorità competenti trasmettono i registri alle autorità europee di vigilanza entro il 31 marzo e fissano scadenze precedenti per le entità finanziarie. Il fornitore deve chiedere al cliente quando inviare i dati.

Ciclo	Data di riferimento	Termine delle autorità competenti verso le autorità europee di vigilanza	Scadenza indicata dalla Banca d’Italia
2026	31 dicembre 2025	31 marzo 2026	15 marzo 2026
Prossimo ciclo	31 dicembre 2026	31 marzo 2027	15 marzo 2027, secondo la scadenza annuale comunicata

La pagina dell’EBA dedicata alla preparazione della trasmissione dei registri DORA raccoglie il regolamento di esecuzione, il modello dei dati, le regole di convalida e le FAQ. Le entità finanziarie devono verificare le istruzioni della propria autorità competente.

1. Individuate la persona giuridica contraente e verificate se è stabilita nell’Unione per valutare se può usare l’EUID.
2. Comunicate l’identificativo richiesto; se avete LEI ed EUID, preparate entrambi. Verificate che il LEI sia attivo.
3. Individuate i subfornitori nel registro che sostengono effettivamente servizi a supporto di funzioni essenziali o importanti e raccogliete gli identificativi applicabili.
4. Preparate i dati sulla capogruppo ultima e concordate quando inviarli al cliente.

La guida sul LEI nelle verifiche dei clienti ai fini AMLR tratta un impiego diverso; altri temi sono negli articoli LEIFast. Per questo registro, confermate l’entità contraente, l’identificativo ammesso e la scadenza del cliente; se l’inquadramento dipende dal rapporto, consultate l’autorità competente o un consulente.