DORA LEI pentru furnizorii TIC din România

O solicitare DORA LEI primită de la o bancă sau de la un asigurător nu înseamnă că DORA obligă direct furnizorul TIC să obțină un LEI. Entitatea financiară trebuie să identifice în registrul său furnizorii TIC care sunt persoane juridice printr-un LEI valabil și activ sau printr-un identificator unic european (EUID), folosind ambele identificatoare atunci când sunt disponibile. Pentru o persoană juridică nestabilită în Uniune se poate folosi doar LEI.

Ce înseamnă acest lucru în România

Autoritatea de Supraveghere Financiară (ASF) a cerut ca, pentru primul exercițiu de raportare către autoritățile europene de supraveghere, registrele de informații să îi fie transmise până la 10 aprilie 2025. ASF a indicat formatul prevăzut de Regulamentul de punere în aplicare (UE) 2024/2956 și adresa roi_dora@asfromania.ro. Acesta a fost termenul primului exercițiu, nu un termen permanent pentru furnizorii TIC și nici termenul aplicabil fiecărui ciclu ulterior.

O firmă de software din Cluj care întreține sistemul unui asigurător poate primi o solicitare privind identificatorul persoanei juridice care prestează serviciul. Pentru un furnizor care este persoană juridică stabilită în Uniune, identificarea în registru se face prin LEI sau EUID, cu ambele atunci când sunt disponibile. Furnizorul trebuie să clarifice ce identificator deține și ce informații îi cere clientul pentru registru, fără să confunde solicitarea clientului cu o obligație directă de înregistrare impusă furnizorului de DORA.

În schimb, pentru un furnizor cloud american al unei SSIF din București, dacă persoana juridică furnizoare nu este stabilită în Uniune, în registru se poate folosi doar LEI. Exemplul privește identificatorul permis, nu stabilește singur celelalte detalii ale relației contractuale. Pentru ciclurile din 2026 și ulterior, autoritatea competentă stabilește termenul entității financiare înainte de termenul de transmitere către autoritățile europene de supraveghere. Furnizorul ar trebui să ceară clientului data până la care acesta are nevoie de informații, fără să folosească termenul primului exercițiu ASF drept reper pentru o solicitare actuală.

DORA LEI: punctele esențiale pentru furnizorii TIC

• DORA se aplică din 17 ianuarie 2025. Entitățile financiare țin un registru al acordurilor contractuale pentru servicii TIC.
• Pentru furnizorii care sunt persoane juridice, registrul folosește un LEI valabil și activ sau EUID și, dacă sunt disponibile, ambele. Pentru cei nestabiliți în Uniune se folosește doar LEI.
• Regula de identificare poate privi și subcontractanții înscriși în registru care susțin efectiv un serviciu TIC pentru o funcție critică sau importantă.
• Termenul dat furnizorului de client poate fi anterior termenului la care autoritatea competentă transmite registrul.

Ce cuprinde registrul de informații DORA?

Regulamentul (UE) 2022/2554 (DORA), articolul 28 alineatul (3), cere entităților financiare să mențină și să actualizeze un registru al tuturor acordurilor contractuale privind utilizarea serviciilor TIC oferite de furnizori terți. Registrul face parte din cadrul de gestionare a riscurilor TIC și este ținut la nivelul entității, precum și la nivel subconsolidat și consolidat.

Entitățile financiare pun registrul complet sau secțiunile solicitate la dispoziția autorității competente, la cerere, și raportează cel puțin anual noile acorduri. Autoritățile europene de supraveghere folosesc registrele și pentru a desemna furnizori terți critici de servicii TIC. Potrivit AFM DORA update 7, din august 2026, pe baza registrelor fuseseră desemnați nouăsprezece astfel de furnizori.

Pentru furnizor, efectul practic este solicitarea unor date de identificare corecte din partea clientului financiar. Solicitarea poate privi furnizorul direct sau un subcontractant relevant pentru serviciul înscris în registru.

Ce identificator cer modelele de registru?

Regulamentul de punere în aplicare (UE) 2024/2956 al Comisiei din 29 noiembrie 2024, publicat în Jurnalul Oficial la 2 decembrie 2024, stabilește modelele standard ale registrului. Articolul 3 alineatul (5) cere entităților financiare să identifice furnizorii terți TIC care sunt persoane juridice printr-un LEI valabil și activ sau prin EUID menționat la articolul 16 din Directiva (UE) 2017/1132 și prin ambele, când sunt disponibile. Persoanele fizice care acționează în scop profesional fac excepție.

Anexa regulamentului permite numai LEI sau EUID pentru un furnizor care este persoană juridică; codurile alternative sunt rezervate persoanelor fizice care acționează în scop profesional. Pentru o persoană juridică nestabilită în Uniune, anexa permite numai LEI. Opțiunea EUID pentru un furnizor eligibil stabilit în Uniune nu se extinde, așadar, la un furnizor nestabilit în Uniune.

Articolul 3 alineatul (6) se referă la subcontractanți. Când serviciul TIC al furnizorului direct sprijină o funcție critică sau importantă, entitatea financiară trebuie să se asigure, prin acel furnizor, că subcontractanții înscriși în registru care susțin efectiv serviciul folosesc un LEI valabil și activ sau furnizează EUID, cu ambele acolo unde sunt disponibile. Excepția pentru persoanele fizice care acționează în scop profesional se aplică și aici.

Identificarea entității financiare urmează o regulă diferită. Întrebările și răspunsurile autorităților europene de supraveghere privind raportarea registrelor, actualizate la 28 martie 2025, confirmă că în modelele B_01.01 și B_01.02 aceasta poate fi identificată numai prin LEI. LEI este un cod alfanumeric de 20 de caractere, bazat pe ISO 17442.

De ce trebuie verificat statutul LEI?

Articolul 3 alineatul (5) cere expres un LEI valabil și activ. Dacă furnizorul are deja un cod, ar trebui să îi verifice statutul înainte de a-l comunica. Potrivit întrebărilor și răspunsurilor autorităților europene de supraveghere, LEI este verificat în baza de date GLEIF, iar EUID prin datele de referință BRIS; în registru trebuie identificată și entitatea-mamă finală a fiecărui furnizor TIC.

Răspunsul la întrebarea 44 preciza că verificările stricte ale statutului LEI nu urmau să fie aplicate în etapele inițiale ale raportării, în special în 2025. Nu preciza cât timp avea să dureze această abordare. Ea nu elimină cerința din regulament privind un LEI activ.

Există și o precizare de raportare pentru furnizorii din țări terțe. Conform răspunsului la întrebarea 40, dacă LEI nu este disponibil, entitatea financiară poate raporta un alt identificator: fișierul nu este respins, însă înregistrarea este marcată ca problemă de calitate a datelor. Această precizare de procesare nu înlocuiește regula din anexă potrivit căreia, pentru persoana juridică nestabilită în Uniune, se folosește numai LEI. Dacă societatea nu are codul, poate solicita un LEI; dacă acesta nu mai este activ, poate reînnoi LEI.

Calendarul anual al registrului

Potrivit întrebărilor 11-13 din documentul autorităților europene de supraveghere, începând cu 2026 data de referință este 31 decembrie a anului precedent. Autoritățile competente transmit registrele până la 31 martie în fiecare an și stabilesc termene anterioare pentru entitățile financiare. Furnizorul trebuie să afle termenul de colectare de la client, nu să considere data transmiterii către autoritățile europene drept propriul termen.

Ciclul registrului	Data de referință	Termenul autorităților competente	Termenul entității financiare
Ciclul 2026	31 decembrie 2025	31 martie 2026	Stabilit anterior de autoritatea competentă
Ciclul următor	Va fi 31 decembrie 2026	Va fi 31 martie 2027	Va fi stabilit anterior de autoritatea competentă

Pagina EBA privind pregătirea raportării registrelor DORA reunește regulamentul privind modelele, modelul de date, regulile de validare și întrebările și răspunsurile. Entitățile financiare trebuie să verifice instrucțiunile autorității lor competente pentru termenul care li se aplică.

Pași pentru furnizorii TIC

1. Stabiliți care persoană juridică are contractul cu entitatea financiară și dacă este stabilită în Uniune.
2. Comunicați identificatorul solicitat de client; dacă sunt disponibile atât LEI, cât și EUID, pregătiți-le pe ambele. Verificați dacă LEI este activ.
3. Identificați subcontractanții din registru care susțin efectiv un serviciu pentru o funcție critică sau importantă și solicitați-le identificatorul aplicabil.
4. Pregătiți informațiile necesare identificării entității-mamă finale și confirmați cu clientul termenul de transmitere.

Regulile pentru furnizori din acest registru nu trebuie confundate cu cele din alte contexte: ghidul despre LEI în verificarea clienților conform AMLR tratează o utilizare diferită. Alte subiecte sunt reunite în articolele LEIFast despre reglementări. Pentru solicitarea actuală, confirmați persoana juridică furnizoare, identificatorul permis și termenul clientului; dacă situația depinde de detaliile contractului, consultați autoritatea competentă sau un consilier.