DORA LEI België: regels voor ICT-aanbieders

Een vraag naar een DORA LEI van een Belgische bank of verzekeraar betekent niet dat DORA uw ICT-bedrijf rechtstreeks verplicht een LEI aan te vragen. De financiële entiteit moet in haar informatieregister derde aanbieders van ICT-diensten die rechtspersonen zijn identificeren met een geldige en actieve identificatiecode voor juridische entiteiten (LEI) of een Europese unieke identificatiecode (EUID); voor aanbieders die niet in de Unie zijn gevestigd, mag zij alleen een LEI gebruiken.

Wat dit voor België betekent

Voor Belgische financiële entiteiten hangt de indieningsroute af van de toezichthouder. De FSMA kondigde op 17 februari 2026 aan dat haar oefening voor het informatieregister in 2026 met een beperktere reikwijdte werd herhaald. Alleen marktoperatoren, vennootschappen voor vermogensbeheer en beleggingsadvies, beheervennootschappen van instellingen voor collectieve belegging en alternatieve beleggingsinstellingen, en zelfbeheerde instellingen voor collectieve belegging moesten in die ronde een register aan de FSMA bezorgen.

Deze entiteiten dienden hun register uiterlijk op 20 maart 2026 in via een FiMiS Survey. Als er sinds het voorgaande jaar niets was veranderd, konden zij dat eenvoudig bevestigen. Een ICT-dienstverlener uit Gent die aan een Belgische bank levert, kan dus beter bij zijn klant navragen welke informatie die nodig heeft, in plaats van uit de indieningsdatum van de FSMA een eigen termijn af te leiden.

Voor financiële entiteiten onder toezicht van de Nationale Bank van België (NBB) beschrijft NBB-circulaire NBB_2026_05 de indiening via OneGate. De NBB beperkt haar verzoeken in de regel tot het hoogste niveau van (sub)consolidatie waarop zij toezicht houdt. Een groep met een significante kredietinstelling dient de bankregisters bij de ECB in en stuurt de NBB alleen de registers van entiteiten waarop de NBB toezicht houdt. Voor een leverancier blijft het aanspreekpunt de financiële klant die de identificatiegegevens verzamelt.

DORA LEI België: de kernpunten

• DORA geldt sinds 17 januari 2025. Financiële entiteiten registreren hun contractuele afspraken over ICT-diensten.
• Voor aanbieders die rechtspersonen zijn, gebruiken zij een geldige en actieve LEI of een EUID, en beide indien beschikbaar. Voor aanbieders buiten de Unie geldt alleen de LEI.
• De identificatieregels betreffen ook geregistreerde onderaannemers die daadwerkelijk bijdragen aan ICT-diensten voor kritieke of belangrijke functies.
• Bevoegde autoriteiten stellen voor financiële entiteiten termijnen vast die vóór hun eigen rapportagetermijn vallen.

Waarom vraagt een klant deze gegevens op?

Verordening (EU) 2022/2554 (DORA), artikel 28, lid 3, verplicht financiële entiteiten binnen hun ICT-risicobeheerkader een informatieregister bij te houden van alle contractuele afspraken over ICT-diensten door derde aanbieders. Dit geldt op entiteitsniveau en op gesubconsolideerd en geconsolideerd niveau.

Op verzoek stellen zij het register of delen ervan beschikbaar aan hun bevoegde autoriteit en zij rapporteren minstens jaarlijks over nieuwe afspraken. De Europese toezichthoudende autoriteiten gebruiken de registers ook om kritieke derde aanbieders van ICT-diensten aan te wijzen. Volgens AFM DORA update 7 van augustus 2026 waren zo negentien aanbieders aangewezen.

Een klant kan daarom identificatiegegevens opvragen van een rechtstreekse leverancier of relevante onderaannemer voor zijn register.

LEI of EUID: welke code is toegestaan?

Uitvoeringsverordening (EU) 2024/2956 van de Commissie van 29 november 2024, gepubliceerd in het Publicatieblad op 2 december 2024, stelt de standaardmodellen voor het informatieregister vast. Volgens artikel 3, lid 5, identificeren financiële entiteiten derde aanbieders die rechtspersonen zijn met een geldige en actieve LEI of de EUID bedoeld in artikel 16 van Richtlijn (EU) 2017/1132, en met beide indien beschikbaar. Personen die in het kader van een bedrijf optreden, zijn uitgezonderd.

Volgens de bijlage mogen voor aanbieders die rechtspersonen zijn alleen een LEI of EUID worden gebruikt; alternatieve codes zijn voorbehouden aan personen die in het kader van een bedrijf optreden. Voor een rechtspersoon buiten de Unie is uitsluitend een LEI toegestaan. Een Amerikaanse cloudleverancier van een Brusselse verzekeraar kan dus geen EUID ter vervanging gebruiken.

Artikel 3, lid 6, betreft onderaannemers. Ondersteunt de dienst van een rechtstreekse aanbieder een kritieke of belangrijke functie, dan moet de financiële entiteit via die aanbieder zorgen dat geregistreerde onderaannemers die daadwerkelijk aan de dienst bijdragen, een geldige en actieve LEI gebruiken of hun EUID verstrekken, en beide indien beschikbaar. Personen die in het kader van een bedrijf optreden, zijn ook hier uitgezonderd.

Voor financiële entiteiten zelf bevestigt de FAQ van de Europese toezichthoudende autoriteiten over de rapportage van informatieregisters dat in de modellen B_01.01 en B_01.02 alleen een LEI is toegestaan. Een LEI is een alfanumerieke code van 20 tekens op basis van ISO 17442. De EUID-optie voor leveranciers geldt dus niet voor de financiële entiteit zelf.

Controleer of de LEI actief is

Artikel 3, lid 5, verlangt een geldige en actieve LEI; controleer daarom de status voordat u de code doorgeeft. Volgens de FAQ toetsen de Europese toezichthoudende autoriteiten LEI-codes aan de GLEIF-databank en EUID-codes aan BRIS-referentiegegevens. Ook de uiteindelijke moedermaatschappij van iedere ICT-aanbieder moet worden geïdentificeerd.

Volgens vraag 44 van de FAQ zouden strikte controles van de LEI-status in de eerste rapportagefasen, met name in 2025, niet worden afgedwongen. Hoelang die aanpak zou gelden, staat er niet. Ga voor een volgende cyclus niet uit van een uitzondering op de eis van een actieve LEI.

Volgens vraag 40 mag een financiële entiteit voor een aanbieder uit een derde land zonder beschikbare LEI een andere identificatiecode rapporteren. Het bestand wordt dan niet afgewezen, maar de vermelding krijgt een signaal voor gegevenskwaliteit. Dit wijzigt niet de eis in de bijlage dat voor een rechtspersoon buiten de Unie alleen een LEI mag worden gebruikt. Heeft uw onderneming nog geen code, dan kunt u een LEI aanvragen. Een verlopen code kunt u verlengen.

De jaarlijkse rapportagekalender

Volgens de FAQ is vanaf 2026 telkens 31 december van het voorafgaande jaar de referentiedatum. Bevoegde autoriteiten rapporteren uiterlijk op 31 maart aan de Europese toezichthoudende autoriteiten en stellen voor financiële entiteiten eerdere termijnen vast. Vraag als leverancier uw klant naar diens aanlevertermijn.

Cyclus	Referentiedatum	Uiterste rapportage door bevoegde autoriteiten	Termijn voor financiële entiteiten
Cyclus 2026	31 december 2025	31 maart 2026	Eerder vastgesteld door de bevoegde autoriteit
Volgende cyclus	31 december 2026	31 maart 2027	Zal eerder worden vastgesteld door de bevoegde autoriteit

De EBA-pagina over de voorbereiding van de rapportage van DORA-informatieregisters bundelt de uitvoeringsverordening, het gegevensmodel, de validatieregels en de FAQ. Financiële entiteiten moeten hun toepasselijke termijn bij hun bevoegde autoriteit controleren.

Welke stappen zet een ICT-leverancier?

1. Bepaal welke rechtspersoon het contract sluit en of die in de Unie is gevestigd. Zo weet u of een EUID een optie is.
2. Geef de gevraagde code door. Zijn een LEI en EUID beschikbaar, houd beide gereed en controleer de LEI-status.
3. Vraag toepasselijke codes op van geregistreerde onderaannemers die daadwerkelijk bijdragen aan diensten voor kritieke of belangrijke functies.
4. Verzamel gegevens over de uiteindelijke moedermaatschappij en vraag wanneer uw klant de leveranciersgegevens nodig heeft.

Andere LEI-regels komen aan bod in het artikel over LEI-gebruik bij klantidentificatie onder de AMLR; zie voor andere onderwerpen de LEIFast-artikelen over regelgeving. Bevestig voor dit register uw contracterende rechtspersoon, de toegestane code en de aanlevertermijn van uw klant. Hangt uw positie af van de afspraak, raadpleeg dan uw toezichthouder of adviseur.