DORA LEI dla dostawców ICT w Polsce

Prośba o DORA LEI od banku lub ubezpieczyciela nie oznacza, że przepisy bezpośrednio nakładają na dostawcę ICT obowiązek uzyskania LEI. Obowiązek prowadzenia rejestru spoczywa na podmiocie finansowym: dostawcę będącego osobą prawną identyfikuje on za pomocą ważnego i aktywnego LEI lub europejskiego niepowtarzalnego identyfikatora (EUID), a dostawcę nieposiadającego siedziby w Unii – wyłącznie za pomocą LEI.

Co to oznacza w Polsce

Polski podmiot finansowy, który zbiera dane o umowach z dostawcami ICT, może poprosić dostawcę o identyfikator potrzebny do rejestru informacji DORA. Samo otrzymanie takiej prośby nie oznacza, że dostawca składa rejestr do Komisji Nadzoru Finansowego (KNF). Dane dostawcy służą podmiotowi finansowemu do wypełnienia jego obowiązku sprawozdawczego.

Według strony KNF – Systemy DORA sprawozdania związane z DORA, z wyjątkiem zgłoszeń incydentów ICT i cyberzagrożeń, przekazuje się przez System Sprawozdawczości DORA (SSD). System jest dostępny za pośrednictwem Podsystemu Komunikacji CRP pod adresem crp.knf.gov.pl. To kanał sprawozdawczy dla podmiotów zobowiązanych do przekazywania danych, a nie osobny obowiązek rejestracyjny dostawcy ICT.

W aktualnościach KNF dotyczących DORA opisano wezwania do złożenia rejestrów informacji o umowach z zewnętrznymi dostawcami usług ICT na formularzu SPR-PF-18, w tym drugi etap przekazywania danych. Dostawca, który otrzyma prośbę o dane, powinien ustalić z klientem, jakiego identyfikatora i w jakim terminie klient potrzebuje. Nie należy utożsamiać terminu wyznaczonego klientowi przez KNF z terminem przekazania danych przez dostawcę.

Przykładowo software house z Krakowa obsługujący system biura usług płatniczych może zostać poproszony o dane identyfikacyjne do rejestru klienta. W przypadku amerykańskiego dostawcy chmury dla polskiego TFI znaczenie ma inna reguła identyfikacji: dla osoby prawnej nieposiadającej siedziby w Unii rejestr dopuszcza tylko LEI.

DORA LEI: najważniejsze zasady

• DORA stosuje się od 17 stycznia 2025 r. Podmioty finansowe prowadzą rejestr umów dotyczących korzystania z usług ICT.
• Osoba prawna świadcząca usługi ICT jest identyfikowana za pomocą ważnego i aktywnego LEI lub EUID, a jeśli oba identyfikatory są dostępne – za pomocą obu. Dla dostawcy nieposiadającego siedziby w Unii dopuszczalny jest tylko LEI.
• Wymóg identyfikacji obejmuje również określonych podwykonawców ujętych w rejestrze, jeżeli faktycznie wspierają usługę ICT służącą krytycznej lub istotnej funkcji.
• Termin dla podmiotu finansowego wyznacza właściwy organ. Termin przekazania rejestrów przez te organy Europejskim Urzędom Nadzoru nie jest terminem dla dostawcy.

Czym jest rejestr informacji DORA?

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA), art. 28 ust. 3, wymaga od podmiotów finansowych prowadzenia i aktualizowania rejestru informacji o wszystkich umowach dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców. Rejestr stanowi część ram zarządzania ryzykiem ICT i jest prowadzony na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym.

Podmiot finansowy udostępnia właściwemu organowi pełny rejestr lub żądane części na jego wniosek i co najmniej raz w roku informuje o nowych umowach. Europejskie Urzędy Nadzoru korzystają z rejestrów także przy wyznaczaniu krytycznych zewnętrznych dostawców usług ICT. AFM DORA update 7 z sierpnia 2026 r. informuje, że na podstawie rejestrów wyznaczono dziewiętnastu takich dostawców.

Kiedy potrzebny jest LEI, a kiedy można podać EUID?

Rozporządzenie wykonawcze Komisji (UE) 2024/2956 z dnia 29 listopada 2024 r., opublikowane w Dzienniku Urzędowym 2 grudnia 2024 r., określa standardowe wzory rejestru. Zgodnie z art. 3 ust. 5 podmiot finansowy identyfikuje dostawcę ICT będącego osobą prawną za pomocą ważnego i aktywnego LEI lub EUID, o którym mowa w art. 16 dyrektywy (UE) 2017/1132. Jeżeli oba identyfikatory są dostępne, stosuje oba; przepis przewiduje wyjątek dla osób fizycznych prowadzących działalność gospodarczą.

Instrukcje w załączniku dopuszczają dla dostawców będących osobami prawnymi tylko LEI lub EUID. Inne kody są zastrzeżone dla osób fizycznych prowadzących działalność gospodarczą. Dla osoby prawnej nieposiadającej siedziby w Unii można użyć wyłącznie LEI – EUID nie zastępuje go w takim przypadku.

Art. 3 ust. 6 dotyczy podwykonawców. Jeżeli usługa bezpośredniego dostawcy ICT wspiera funkcję krytyczną lub istotną, podmiot finansowy zapewnia za jego pośrednictwem, by podwykonawcy ujęci w rejestrze i faktycznie wspierający tę usługę posługiwali się ważnym i aktywnym LEI lub przekazali EUID, a jeśli oba są dostępne – oboma. Wyjątek ponownie dotyczy osób fizycznych prowadzących działalność gospodarczą.

Inna zasada dotyczy samego podmiotu finansowego. FAQ Europejskich Urzędów Nadzoru dotyczące raportowania rejestrów, zaktualizowane 28 marca 2025 r., potwierdza, że we wzorach B_01.01 i B_01.02 można go identyfikować wyłącznie za pomocą LEI. LEI jest 20-znakowym kodem alfanumerycznym opartym na normie ISO 17442.

Dlaczego status LEI ma znaczenie?

Art. 3 ust. 5 wymaga LEI ważnego i aktywnego. Dostawca posiadający już kod powinien sprawdzić jego status przed przekazaniem go klientowi. Europejskie Urzędy Nadzoru wskazują, że weryfikują LEI względem bazy GLEIF, a EUID względem danych BRIS; w rejestrze trzeba też zidentyfikować ostateczny podmiot dominujący każdego dostawcy ICT.

Odpowiedź na pytanie 44 w FAQ wyjaśnia, że na początkowych etapach raportowania, szczególnie w 2025 r., nie egzekwowano rygorystycznych kontroli statusu LEI, na przykład rozróżnienia między kodem aktywnym a takim, którego ważność wygasła. FAQ nie określa, jak długo takie podejście będzie stosowane. Nie zmienia to wymogu posługiwania się ważnym i aktywnym LEI.

Jeśli Państwa LEI ma już status LAPSED, należy odnowić dotychczasową rejestrację zamiast ubiegać się o nowy kod. Nasz artykuł o tym, co oznacza wygasły LEI i jak go odnowić wyjaśnia, jak sprawdzić status i odnowić rejestrację.

FAQ rozróżnia też wymóg identyfikacji od sposobu przetwarzania zgłoszenia. Według odpowiedzi na pytanie 40, gdy LEI dostawcy z państwa trzeciego nie jest dostępny, podmiot finansowy może zgłosić inny identyfikator: plik nie zostanie odrzucony, ale wpis otrzyma oznaczenie problemu z jakością danych. Nie zastępuje to zasady z załącznika, zgodnie z którą dla dostawcy nieposiadającego siedziby w Unii można użyć tylko LEI. Jeśli firma nie ma kodu, może złożyć wniosek o LEI; jeśli ważność posiadanego LEI wygasła, może odnowić LEI.

Terminy rocznego raportowania rejestru

Zgodnie z odpowiedziami na pytania 11-13 w FAQ, począwszy od cyklu 2026, dniem odniesienia jest 31 grudnia poprzedniego roku. Właściwe organy przekazują rejestry Europejskim Urzędom Nadzoru do 31 marca każdego roku i wyznaczają wcześniejsze terminy podmiotom finansowym. Dostawca powinien zapytać klienta o jego termin zbierania danych, zamiast przyjmować termin dla właściwego organu jako własny.

Cykl rejestru	Dzień odniesienia	Termin dla właściwych organów	Termin dla podmiotu finansowego
Cykl 2026	31 grudnia 2025 r.	31 marca 2026 r.	Wyznaczony wcześniej przez właściwy organ
Kolejny cykl	31 grudnia 2026 r.	31 marca 2027 r.	Zostanie wyznaczony wcześniej przez właściwy organ

Strona EBA – Preparations for reporting of DORA registers of information gromadzi rozporządzenie wykonawcze, model danych, reguły walidacji i FAQ. Podmioty finansowe powinny sprawdzić instrukcje właściwego organu dotyczące swojego terminu.

Co powinien sprawdzić dostawca ICT?

1. Ustal, która osoba prawna zawiera umowę z podmiotem finansowym i czy posiada siedzibę w Unii. Od tego zależy, czy możliwe jest użycie EUID, czy potrzebny jest LEI.
2. Przekaż identyfikator wymagany przez klienta. Jeśli dostępne są zarówno LEI, jak i EUID, przygotuj oba; przed wysłaniem LEI sprawdź jego aktywny status.
3. Sprawdź, czy w rejestrze występują podwykonawcy faktycznie wspierający usługę służącą funkcji krytycznej lub istotnej. Zbierz od nich odpowiednie identyfikatory.
4. Ustal dane potrzebne do identyfikacji ostatecznego podmiotu dominującego i potwierdź z klientem termin przekazania informacji.

Nie należy przenosić zasad identyfikacji dostawców z DORA na inne obowiązki: artykuł o LEI przy identyfikacji klientów według AMLR dotyczy innego zastosowania. Pozostałe tematy regulacyjne są dostępne na blogu LEIFast. W sprawie tego rejestru zacznij od potwierdzenia strony umowy, właściwego identyfikatora i terminu podanego przez klienta; jeśli ocena zależy od szczegółów umowy, skonsultuj ją z regulatorem lub doradcą.