DORA LEI Norge: krav til IKT-leverandører

21. oktober 2026 · Robert

En forespørsel om DORA LEI fra en bank eller et forsikringsselskap betyr ikke at DORA pålegger IKT-leverandøren selv å skaffe et LEI-nummer. Finansforetaket må identifisere IKT-leverandører som er juridiske personer i sitt register over IKT-tjenesteavtaler, med et gyldig og aktivt LEI-nummer eller EUID; for leverandører etablert utenfor EØS kan bare LEI brukes.

Hva dette betyr i Norge

EFTAs EEA-Lex-faktaark om forordning (EU) 2022/2554 viser at DORA ble innlemmet i EØS-avtalen ved EØS-komiteens beslutning nr. 40/2025 av 20. februar 2025. DORA har gjeldt i EØS siden 1. juli 2025, mens den gjaldt i EU fra 17. januar 2025. Etter Lov om digital operasjonell motstandsdyktighet i finanssektoren (DORA-loven) gjelder forordningen som norsk lov fra 1. juli 2025, med tilpasningene i EØS-avtalen. Lovens § 3 utpeker Finanstilsynet som nasjonal tilsynsmyndighet.

Finanstilsynet opplyser på sin side om rapportering av registeret at norske finansforetak sender informasjonsregisteret til Finanstilsynet gjennom e-Reg, med tilgang via Altinn. Formatet er XBRL-CSV. Finanstilsynet sender deretter registrene videre til de europeiske tilsynsmyndighetene. I 2026 åpnet produksjonssystemet 2. februar, og foretakenes frist var 13. mars. For neste rapporteringsrunde vil systemet åpne 1. februar 2027, med frist for foretakene 15. mars 2027.

Finanstilsynet opplyser at leverandører identifiseres med LEI eller EUID, og at begge føres opp dersom leverandøren har begge. EUID kan slås opp i BRIS. En IT-leverandør i Bergen som leverer et kjernebanksystem til en sparebank, kan derfor oppgi EUID eller LEI, og begge dersom begge finnes. For en amerikansk skyleverandør som betjener et norsk forsikringsselskap, er LEI identifikatoren som kan brukes. Når en tjeneste støtter kritiske eller viktige funksjoner, gjelder identifikasjonskravet også relevante underleverandører som understøtter tjenesten.

DORA LEI Norge: hovedpunktene

DORA har gjeldt i EØS siden 1. juli 2025. Finansforetak skal føre et register over avtaler om IKT-tjenester.
En IKT-leverandør som er en juridisk person, identifiseres med gyldig og aktivt LEI eller EUID, og med begge når begge finnes. Utenfor EØS kan bare LEI brukes.
Registrerte underleverandører som faktisk understøtter en IKT-tjeneste for en kritisk eller viktig funksjon, omfattes også av identifikasjonskravet.
Leverandører må avklare kundens innhentingsfrist. Finanstilsynets frist for norske finansforetak kommer før fristen for oversending til de europeiske tilsynsmyndighetene.

Hva skal informasjonsregisteret inneholde?

Forordning (EU) 2022/2554 (DORA) artikkel 28 nr. 3 krever at finansforetak fører og oppdaterer et register over alle avtaler om bruk av IKT-tjenester fra IKT-tredjepartsleverandører. Registeret inngår i rammeverket for styring av IKT-risiko og føres på foretaksnivå samt på delkonsolidert og konsolidert nivå.

Finansforetaket skal gjøre hele registeret, eller de delene tilsynsmyndigheten ber om, tilgjengelig på forespørsel. Det skal også rapportere om nye avtaler minst årlig. Registrene brukes dessuten til å utpeke kritiske IKT-tredjepartsleverandører. Den nederlandske tilsynsmyndigheten AFM opplyste i DORA update 7 (august 2026) at nitten leverandører var utpekt på grunnlag av registrene.

For IKT-leverandøren innebærer dette i praksis at en finansforetakskunde kan be om presise identifikasjonsopplysninger. Behovet kan gjelde både den direkte avtaleparten og en underleverandør i en relevant leverandørkjede.

LEI eller EUID: hvilke regler gjelder?

Kommisjonens gjennomføringsforordning (EU) 2024/2956 av 29. november 2024 fastsetter standardmalene for registeret. Den ble publisert i Den europeiske unions tidende 2. desember 2024. Etter artikkel 3 nr. 5 skal finansforetak bruke et gyldig og aktivt LEI-nummer eller EUID som nevnt i artikkel 16 i direktiv (EU) 2017/1132, og begge hvis begge er tilgjengelige, for IKT-leverandører som er juridiske personer. Fysiske personer som driver næringsvirksomhet, er unntatt fra dette kravet.

Vedlegget til gjennomføringsforordningen tillater bare LEI eller EUID for leverandører som er juridiske personer; alternative identifikatorer er forbeholdt fysiske personer som driver næringsvirksomhet. Med EØS-tilpasningene kan en leverandør etablert utenfor EØS bare identifiseres med LEI. EUID er dermed et alternativ for en leverandør etablert i EØS, ikke en erstatning for LEI hos en leverandør utenfor EØS.

Artikkel 3 nr. 6 gjelder underleverandører. Hvis tjenesten fra en direkte leverandør støtter en kritisk eller viktig funksjon, skal finansforetaket gjennom denne leverandøren sørge for at underleverandører i registeret som faktisk understøtter tjenesten, bruker et gyldig og aktivt LEI eller oppgir EUID, og begge når begge finnes. Unntaket for fysiske personer som driver næringsvirksomhet gjelder også her. Den direkte leverandøren kan derfor måtte hente inn identifikatorer fra underleverandører.

Finansforetaket selv identifiseres etter andre regler i malene. De europeiske tilsynsmyndighetenes RoI-FAQ av 28. mars 2025 bekrefter at bare LEI kan brukes for finansforetak i malene B_01.01 og B_01.02. LEI er en alfanumerisk kode på 20 tegn basert på ISO 17442. Muligheten til å bruke EUID for en leverandør gjelder altså ikke finansforetakets egen identifikasjon.

Kontroller at LEI-nummeret er aktivt

Artikkel 3 nr. 5 krever uttrykkelig et gyldig og aktivt LEI-nummer. En leverandør som allerede har et LEI, bør derfor kontrollere statusen før nummeret sendes til kunden. Ifølge tilsynsmyndighetenes FAQ kontrolleres LEI mot GLEIF-databasen og EUID mot referansedata fra BRIS. Registeret skal også identifisere hver IKT-leverandørs øverste morselskap.

FAQ-ens spørsmål 44 sier at strenge kontroller av LEI-status, blant annet om nummeret er aktivt eller utløpt, ikke ville bli håndhevet i den innledende rapporteringen, særlig i 2025. Den sier ikke hvor lenge denne praksisen varer. Det er derfor ikke grunnlag for å legge til grunn at samme kontrollnivå vil gjelde i neste rapporteringsrunde.

Spørsmål 40 omtaler et særskilt tilfelle: Hvis LEI mangler for en leverandør utenfor EØS, kan finansforetaket rapportere en annen identifikator. Filen blir da ikke avvist, men oppføringen merkes som et problem med datakvaliteten. Dette er veiledning om behandlingen av rapporteringen, ikke en endring av regelen om LEI for leverandører etablert utenfor EØS. En leverandør uten nummer kan søke om LEI-nummer; et utløpt nummer kan fornyes.

Frister og neste rapporteringsrunde

Fra og med 2026 er referansedatoen 31. desember året før, ifølge FAQ-ens spørsmål 11-13. Nasjonale tilsynsmyndigheter rapporterer registrene til de europeiske tilsynsmyndighetene innen 31. mars hvert år og fastsetter tidligere frister for finansforetakene. En IKT-leverandør bør derfor spørre finansforetakskunden når den trenger opplysningene, fremfor å bruke 31. mars som egen frist.

Rapporteringsrunde	Referansedato	Finanstilsynets frist for finansforetak	Frist for rapportering til europeiske tilsynsmyndigheter
2026	31. desember 2025	13. mars 2026	31. mars 2026
Neste runde	31. desember 2026	15. mars 2027	31. mars 2027

EBAs side om rapportering av informasjonsregistre samler gjennomføringsreglene, datamodellen, valideringsreglene og FAQ-en. Norske finansforetak bør bruke Finanstilsynets instruksjoner for fristen som gjelder deres innrapportering.

Sjekkliste for IKT-leverandører

Avklar hvilken juridisk person som har avtalen med finansforetaket, og om den er etablert i EØS. Det avgjør om EUID er et alternativ, eller om LEI er nødvendig.
Oppgi identifikatoren kunden ber om. Hvis både LEI og EUID finnes, vær klar til å oppgi begge; kontroller at LEI-nummeret er aktivt.
Avklar om underleverandører i registeret faktisk understøtter en tjeneste for kritiske eller viktige funksjoner. Innhent identifikatorene deres når det er relevant.
Ha opplysninger om øverste morselskap klare, og spør finansforetakskunden når leverandøropplysningene må være levert.

Andre krav til LEI kan bygge på andre regler enn DORAs leverandørkrav; flere emner er samlet i LEIFasts artikler om regelverk. For dette registeret er neste steg å avklare avtalepart, aktuell identifikator og kundens innhentingsfrist. Hvis vurderingen avhenger av avtalens detaljer, bør dere rådføre dere med tilsynsmyndigheten eller en rådgiver.

Spørsmål

Må IKT-selskapet mitt ha LEI etter DORA?

DORA pålegger finansforetaket, ikke IKT-leverandøren direkte, å identifisere leverandører som er juridiske personer. En leverandør etablert i EØS kan identifiseres med et gyldig og aktivt LEI-nummer eller EUID, og med begge hvis begge finnes. En leverandør etablert utenfor EØS må identifiseres med LEI.

Kan et EUID brukes i stedet for LEI?

Ja, for en IKT-leverandør etablert i EØS kan finansforetaket bruke EUID eller et gyldig og aktivt LEI-nummer, og begge hvis begge finnes. For en leverandør etablert utenfor EØS kan bare LEI brukes.

Når er neste rapporteringsrunde for informasjonsregisteret?

Neste referansedato vil være 31. desember 2026. Tilsynsmyndighetene skal rapportere registrene til de europeiske tilsynsmyndighetene innen 31. mars 2027 og fastsetter tidligere frister for finansforetakene.

Når må norske finansforetak rapportere neste register til Finanstilsynet?

Finanstilsynet opplyser at produksjonssystemet i e-Reg åpner 1. februar 2027, og at fristen for foretakene er 15. mars 2027. I 2026 var fristen 13. mars. Leverandører bør avklare med kundene når de trenger LEI- og EUID-opplysninger.

Kan en norsk IKT-leverandør bruke EUID i stedet for LEI?

Ja. Finanstilsynet opplyser at leverandører identifiseres med LEI eller EUID, og med begge dersom de har begge. EUID kan slås opp i BRIS. En leverandør etablert utenfor EØS kan bare identifiseres med LEI.

Kilder

Skaff LEI Forny