DORA LEI em Portugal: requisitos para prestadores TIC

Um pedido de DORA LEI feito por um banco ou uma seguradora não significa que o DORA obrigue diretamente a sua empresa de serviços TIC a obter um LEI. A obrigação recai sobre a entidade financeira: no registo de informação, deve identificar os prestadores TIC que sejam pessoas coletivas por um LEI válido e ativo ou por um identificador único europeu (EUID); para prestadores não estabelecidos na União, apenas pode usar um LEI.

O que isto significa em Portugal

A Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) informa que o DORA se aplica desde 17 de janeiro de 2025. A ASF divulgou a documentação técnica relativa ao registo de informações previsto no Regulamento de Execução (UE) 2024/2956 e indica que informará oportunamente as entidades supervisionadas da data-limite para o envio dos registos. A informação da ASF aqui referida diz respeito às entidades sob a sua supervisão.

Para uma empresa de software do Porto que mantém o sistema de uma seguradora, o ponto de contacto prático é a seguradora: é com a entidade financeira que o prestador deve confirmar quais os dados de identificação pedidos e quando os deve entregar. A comunicação da ASF sobre o prazo de envio dos registos não estabelece, por si só, uma data de entrega para os prestadores TIC. Estes devem obter o prazo de recolha diretamente do cliente.

Outro exemplo é um fornecedor cloud norte-americano de uma sociedade gestora de fundos de pensões. Por não estar estabelecido na União, esse prestador só pode ser identificado por LEI no registo. Os exemplos mostram situações distintas, mas não dispensam a confirmação da pessoa coletiva que presta o serviço e dos dados solicitados pela entidade financeira. Para as entidades supervisionadas pela ASF, a referência nacional disponível é a documentação técnica divulgada pela autoridade e a indicação de que o prazo de envio lhes será comunicado oportunamente.

DORA LEI: pontos essenciais

• O DORA aplica-se desde 17 de janeiro de 2025; as entidades financeiras mantêm o registo dos contratos de serviços TIC.
• Para pessoas coletivas, usa-se um LEI válido e ativo ou um EUID, e ambos quando disponíveis. Fora da União, apenas LEI.
• A identificação abrange subcontratantes registados que sustentem efetivamente serviços TIC de apoio a funções críticas ou importantes.
• As autoridades competentes fixam os prazos das entidades financeiras antes de comunicarem os registos às Autoridades Europeias de Supervisão (AES).

O que é o registo de informação DORA?

O Regulamento (UE) 2022/2554 (DORA), artigo 28.º, n.º 3, exige um registo atualizado de todos os acordos contratuais relativos a serviços TIC prestados por terceiros. Integrado na gestão do risco TIC, é mantido ao nível da entidade e aos níveis subconsolidado e consolidado.

As entidades financeiras disponibilizam o registo, ou partes solicitadas, à autoridade competente quando pedido e comunicam pelo menos anualmente os novos acordos. As AES usam os registos para designar prestadores terceiros críticos de serviços TIC. Segundo a AFM, na atualização DORA 7 de agosto de 2026, tinham sido designados dezanove prestadores com base nos registos.

Por isso, o cliente financeiro pede dados de identificação ao prestador direto e, quando aplicável, a subcontratantes.

Que identificador exige o Regulamento de Execução (UE) 2024/2956?

O Regulamento de Execução (UE) 2024/2956 da Comissão, de 29 de novembro de 2024, publicado no Jornal Oficial em 2 de dezembro de 2024, estabelece os modelos do registo. Pelo artigo 3.º, n.º 5, as entidades financeiras identificam os prestadores TIC que sejam pessoas coletivas por um identificador de entidade jurídica (LEI) válido e ativo ou pelo EUID referido no artigo 16.º da Diretiva (UE) 2017/1132, e por ambos quando disponíveis. Excetuam-se as pessoas singulares que atuem no exercício de uma atividade empresarial.

O anexo admite apenas LEI ou EUID para pessoas coletivas; os códigos alternativos destinam-se às pessoas singulares que atuem nessa qualidade. Para pessoas coletivas não estabelecidas na União, admite apenas LEI.

Pelo artigo 3.º, n.º 6, quando o serviço de um prestador direto apoia uma função crítica ou importante, a entidade financeira assegura, através dele, que os subcontratantes registados que sustentem efetivamente o serviço usam um LEI válido e ativo ou fornecem o EUID, e ambos quando disponíveis. Excetuam-se as pessoas singulares que atuem no exercício de uma atividade empresarial.

Para a própria entidade financeira, as perguntas frequentes das AES sobre a comunicação dos registos, atualizadas em 28 de março de 2025, confirmam que só o LEI serve nos modelos B_01.01 e B_01.02. O LEI é um código alfanumérico de 20 caracteres baseado na norma ISO 17442.

Porque deve verificar se o LEI está ativo?

O artigo 3.º, n.º 5, exige um LEI válido e ativo. As AES verificam os LEI na base da GLEIF e os EUID nos dados de referência do BRIS; o registo identifica também a empresa-mãe última de cada prestador TIC.

Na pergunta 44, as AES indicaram que, nas fases iniciais, sobretudo em 2025, não aplicariam verificações rigorosas do estado do LEI, como ativo ou caducado. Não indicaram até quando. Essa orientação não altera a exigência de um LEI válido e ativo.

Para prestadores de países terceiros, a pergunta 40 permite comunicar outro identificador se faltar o LEI: o ficheiro não é rejeitado, mas a entrada é assinalada como problema de qualidade dos dados. Isto não substitui a regra do anexo que exige LEI para prestadores não estabelecidos na União. Se ainda não tiver um código, pode pedir um LEI; se estiver caducado, pode renová-lo.

Calendário anual do registo

Segundo as perguntas 11 a 13 das perguntas frequentes das AES, a partir de 2026 a data de referência é 31 de dezembro do ano anterior. As autoridades competentes comunicam os registos às AES até 31 de março de cada ano e fixam prazos anteriores para as entidades financeiras. O fornecedor deve confirmar o prazo de recolha com o cliente.

Ciclo	Data de referência	Prazo das autoridades perante as AES	Prazo da entidade financeira
Ciclo de 2026	31 de dezembro de 2025	31 de março de 2026	Fixado antes pela autoridade competente
Próximo ciclo	31 de dezembro de 2026	31 de março de 2027	Será fixado antes pela autoridade competente

A página da Autoridade Bancária Europeia sobre a preparação da comunicação dos registos DORA reúne o regulamento de execução, o modelo de dados, as regras de validação e as perguntas frequentes. As entidades financeiras devem consultar as instruções da respetiva autoridade competente.

Passos para os prestadores TIC

1. Confirme a pessoa coletiva contratante e se está estabelecida na União: isso determina se pode usar EUID ou apenas LEI.
2. Envie o identificador pedido; se LEI e EUID estiverem disponíveis, prepare ambos e verifique se o LEI está ativo.
3. Peça o identificador aos subcontratantes registados que sustentem efetivamente serviços de apoio a funções críticas ou importantes.
4. Confirme os dados da empresa-mãe última e o prazo de entrega com o cliente.

Outros regimes podem usar o LEI de forma diferente; consulte o artigo sobre LEI e identificação de clientes ao abrigo do AMLR em Portugal ou as publicações da LEIFast sobre regulação. Para este registo, confirme a entidade contratante, o identificador aplicável e o prazo do cliente; se a situação depender do contrato, consulte o seu regulador ou assessor.