DORA LEI voor ICT-dienstverleners in Nederland

Een verzoek om een DORA LEI van een bank of verzekeraar betekent niet dat uw ICT-bedrijf op grond van DORA zelf verplicht is een LEI aan te vragen. De verplichting ligt bij financiële entiteiten: zij identificeren derde aanbieders van ICT-diensten die rechtspersonen zijn in hun informatieregister met een geldige en actieve identificatiecode voor juridische entiteiten (LEI) of een Europese unieke identificatiecode (EUID), en met beide indien beschikbaar. Voor aanbieders die niet in de Unie zijn gevestigd, is alleen een LEI toegestaan.

Wat dit voor Nederland betekent

De Autoriteit Financiële Markten (AFM), DORA-update 7 van augustus 2026, beschrijft haar ervaring met het opvragen van informatieregisters. De AFM had de registers van alle entiteiten die onder DORA vallen tweemaal opgevraagd. Bij de eerste uitvraag accepteerde de EBA 40% van de registers; in 2026 steeg dat percentage naar 94%. Die cijfers gaan over de verwerking van ingediende registers, niet over een afzonderlijke verplichting voor ICT-leveranciers.

Voor de indiening in 2026 moesten ondernemingen hun registers rechtstreeks in xBRL-CSV-formaat aanleveren. De AFM richtte het proces zo in dat registers automatisch naar de EBA gingen en de terugkoppeling automatisch werd opgehaald. Daardoor konden ondernemingen zo vaak als nodig opnieuw indienen. De AFM noemt geen Nederlandse termijn die een ICT-leverancier uit deze ervaring kan afleiden.

Volgens dezelfde AFM-update wezen de Europese toezichthoudende autoriteiten op basis van de registers negentien kritieke derde aanbieders van ICT-diensten aan. De AFM draagt bij aan de gezamenlijke onderzoeksteams die toezicht op hen houden. Een IT-dienstverlener uit Utrecht die software levert aan een Nederlandse vermogensbeheerder, of een Amerikaanse SaaS-leverancier van een Nederlandse beleggingsonderneming, kan een verzoek om identificatiegegevens van zijn klant krijgen. Welke code in het register past, volgt uit de Europese identificatieregels hieronder; voor de Amerikaanse leverancier die niet in de Unie is gevestigd, is alleen een LEI toegestaan.

DORA LEI: de belangrijkste punten

• DORA geldt sinds 17 januari 2025. Financiële entiteiten houden een informatieregister bij van contractuele afspraken over ICT-diensten.
• Voor een aanbieder die een rechtspersoon is, gebruiken zij een geldige en actieve LEI of een EUID, en beide indien beschikbaar. Bij een rechtspersoon die niet in de Unie is gevestigd, gebruiken zij uitsluitend een LEI.
• De identificatieregels kunnen ook gelden voor onderaannemers die in het register staan en daadwerkelijk bijdragen aan een ICT-dienst die een kritieke of belangrijke functie ondersteunt.
• De termijn waarop een financiële entiteit gegevens moet aanleveren, valt vóór de rapportagetermijn van haar bevoegde autoriteit aan de Europese toezichthoudende autoriteiten.

Waarom vraagt een financiële klant om deze gegevens?

Verordening (EU) 2022/2554 (DORA), artikel 28, lid 3, verplicht financiële entiteiten om binnen hun ICT-risicobeheer een informatieregister bij te houden en bij te werken. Dat register omvat alle contractuele afspraken over het gebruik van ICT-diensten van derde aanbieders van ICT-diensten, op het niveau van de entiteit en op gesubconsolideerd en geconsolideerd niveau.

Op verzoek stellen financiële entiteiten het volledige register of de gevraagde onderdelen beschikbaar aan hun bevoegde autoriteit. Ook rapporteren zij ten minste jaarlijks over nieuwe afspraken. Een leverancier ontvangt daarom vaak een gegevensverzoek van zijn financiële klant, ook wanneer zijn dienstverlening deel uitmaakt van een relevante onderaannemingsketen.

LEI of EUID: wat schrijft de uitvoeringsverordening voor?

Uitvoeringsverordening (EU) 2024/2956 van de Commissie van 29 november 2024, gepubliceerd op 2 december 2024, bevat de standaardmodellen voor het informatieregister. Artikel 3, lid 5, schrijft voor dat financiële entiteiten derde aanbieders van ICT-diensten die rechtspersonen zijn identificeren met een geldige en actieve LEI of de EUID uit artikel 16 van Richtlijn (EU) 2017/1132, en met beide indien beschikbaar. Natuurlijke personen die bedrijfsmatig handelen, zijn van deze bepaling uitgezonderd.

Volgens de bijlage mogen voor aanbieders die rechtspersonen zijn alleen een LEI of EUID worden gebruikt. Alternatieve codes zijn voorbehouden aan natuurlijke personen die bedrijfsmatig handelen. Voor een rechtspersoon die niet in de Unie is gevestigd, staat de bijlage uitsluitend een LEI toe. Een EUID is dus geen alternatief voor de LEI van zo’n aanbieder.

Artikel 3, lid 6, ziet op onderaannemers. Ondersteunt de ICT-dienst van een rechtstreekse aanbieder een kritieke of belangrijke functie, dan moet de financiële entiteit via die aanbieder zorgen dat onderaannemers in het register die daadwerkelijk aan de dienst bijdragen een geldige en actieve LEI gebruiken of hun EUID verstrekken, en beide indien beschikbaar. Ook hier geldt de uitzondering voor natuurlijke personen die bedrijfsmatig handelen.

De financiële entiteit zelf heeft in de modellen een andere positie. De FAQ van de Europese toezichthoudende autoriteiten over registerrapportage, bijgewerkt op 28 maart 2025, bevestigt dat in de modellen B_01.01 en B_01.02 alleen een LEI de financiële entiteit kan identificeren. Een LEI is een alfanumerieke code van 20 tekens op basis van ISO 17442. De mogelijkheid voor bepaalde leveranciers om een EUID te gebruiken, geldt dus niet voor de identificatie van de financiële entiteit in die modellen.

Controleer de status en de herkomst van de code

De uitvoeringsverordening verlangt uitdrukkelijk een geldige en actieve LEI. Controleer daarom de status voordat u een bestaande code aan uw klant doorgeeft. Volgens de FAQ toetsen de Europese toezichthoudende autoriteiten LEI’s aan de GLEIF-database en EUID’s aan BRIS-referentiegegevens; ook de uiteindelijke moederonderneming van iedere ICT-aanbieder moet in het register worden geïdentificeerd.

Vraag 44 van de FAQ vermeldde dat strikte controles op de LEI-status in de beginfase van de rapportage, met name in 2025, niet zouden worden afgedwongen. De FAQ zegt niet hoelang die aanpak zou duren. Hieruit volgt dus geen vrijstelling van de eis dat de LEI actief moet zijn.

Heeft uw LEI al de status LAPSED, verleng dan de bestaande registratie in plaats van een nieuwe code aan te vragen. Onze uitleg over een verlopen LEI en hoe u die verlengt beschrijft hoe u de status controleert en de LEI verlengt.

Vraag 40 behandelt een ander punt: als voor een aanbieder uit een derde land geen LEI beschikbaar is, mag de financiële entiteit een andere identificatiecode rapporteren. Het bestand wordt dan niet afgewezen, maar de vermelding krijgt een signaal over de gegevenskwaliteit. Deze verwerkingsinstructie verandert niets aan de regel in de bijlage dat voor een rechtspersoon die niet in de Unie is gevestigd alleen een LEI mag worden gebruikt. Heeft uw onderneming nog geen code, dan kunt u een LEI aanvragen; is de bestaande LEI verlopen, dan kunt u de LEI verlengen.

Peildata en rapportagetermijnen

Volgens vragen 11 tot en met 13 van de FAQ is vanaf 2026 de peildatum steeds 31 december van het voorgaande jaar. Bevoegde autoriteiten rapporteren de registers uiterlijk 31 maart aan de Europese toezichthoudende autoriteiten en stellen een eerdere termijn voor financiële entiteiten vast. Vraag uw klant daarom wanneer die uw gegevens nodig heeft; de termijn voor de autoriteit is geen aanleverdatum voor leveranciers.

Cyclus	Peildatum	Rapportage door bevoegde autoriteiten	Indiening door financiële entiteiten
Cyclus 2026	31 december 2025	Uiterlijk 31 maart 2026	Eerder, volgens de bevoegde autoriteit
Volgende cyclus	Zal 31 december 2026 zijn	Zal uiterlijk 31 maart 2027 plaatsvinden	Termijn zal eerder door de bevoegde autoriteit worden vastgesteld

De EBA-pagina over de voorbereiding van DORA-registerrapportage bundelt de uitvoeringsverordening, het gegevensmodel, de validatieregels en de FAQ. Financiële entiteiten moeten de instructies van hun bevoegde autoriteit raadplegen voor hun eigen indieningstermijn.

Welke stappen zet een ICT-leverancier?

1. Stel vast welke rechtspersoon het contract met de financiële entiteit heeft gesloten en of die in de Unie is gevestigd. Dat bepaalt of een EUID als identificatieoptie beschikbaar is.
2. Geef de gevraagde code door. Zijn een LEI en EUID beide beschikbaar, houd dan beide gereed en controleer of de LEI actief is.
3. Ga na welke onderaannemers in het register staan en daadwerkelijk bijdragen aan een dienst voor een kritieke of belangrijke functie. Vraag hun toepasselijke identificatiegegevens op.
4. Controleer welke gegevens de klant nodig heeft over uw uiteindelijke moederonderneming en bevestig zijn termijn voor het aanleveren van de leveranciersgegevens.

Een LEI-verzoek in een andere regelgevingscontext kan op andere regels berusten; lees bijvoorbeeld over de LEI bij cliëntenonderzoek onder de AMLR. Andere onderwerpen staan bij de LEIFast-artikelen over regelgeving. Bevestig voor dit register eerst de contracterende rechtspersoon, de beschikbare identificatiecode en de termijn van uw financiële klant. Bespreek een situatie die van contractuele details afhangt met uw toezichthouder of adviseur.