DORA LEI для ИКТ-поставщиков в Эстонии

Запрос DORA LEI от банка или страховщика не означает, что DORA напрямую обязывает вашу ИКТ-компанию получить LEI. Финансовая организация должна указать в своём реестре поставщика – юридическое лицо по действующему и активному LEI или европейскому уникальному идентификатору (EUID); если юридическое лицо не учреждено в Союзе, применяется только LEI.

Что это означает для Эстонии

Финансовая инспекция (Finantsinspektsioon) разъясняет порядок ежегодного сбора реестров: для консолидированного предприятия реестр подают совместно на самом высоком уровне. Сведения отражают положение на конец предыдущего календарного года. Поэтому в начале 2027 года будут собирать реестры по состоянию на 31 декабря 2026 года. Для подачи указан портал отчётности Банка Эстонии и Финансовой инспекции – aruandlus.eestipank.ee.

Для поставщика это прежде всего вопрос о том, какие сведения передать клиенту для его реестра. Например, таллинская ИТ-компания, обслуживающая систему платёжного учреждения, должна уточнить у клиента, какое юридическое лицо указано в договоре и какой идентификатор клиенту требуется. Если у этого лица доступны и LEI, и EUID, правила предусматривают указание обоих. Сам поставщик не подаёт клиентский реестр вместо финансовой организации.

Другой случай – поставщик облачных услуг из США, обслуживающий эстонскую страховую компанию. Для юридического лица, не учреждённого в Союзе, в реестре допустим только LEI, а не EUID. Эстонский порядок подачи не меняет это правило идентификации. Поставщику стоит заранее выяснить у страховой компании срок передачи сведений: дата подачи финансовой организацией определяется компетентным органом и предшествует сроку передачи реестров европейским надзорным органам.

DORA LEI: основные положения

• DORA применяется с 17 января 2025 года. Реестр договорных отношений по ИКТ-услугам ведут финансовые организации.
• Для ИКТ-поставщика – юридического лица используют действующий и активный LEI или EUID, а при наличии обоих – оба идентификатора.
• Если юридическое лицо не учреждено в Союзе, для него предусмотрен только LEI.
• Правила идентификации также охватывают субподрядчиков, внесённых в реестр и фактически обеспечивающих услугу для критически важной или важной функции.

Зачем финансовой организации реестр ИКТ-договоров?

Регламент (ЕС) 2022/2554 (DORA), статья 28(3), требует вести и обновлять реестр всех договорных отношений об использовании ИКТ-услуг сторонних поставщиков. Финансовые организации делают это в рамках управления ИКТ-рисками на уровне отдельной организации, а также на субконсолидированном и консолидированном уровнях. По запросу компетентного органа ему предоставляют реестр целиком либо запрошенные разделы; о новых договорах сообщают не реже одного раза в год.

Европейские надзорные органы также используют реестры при определении критически значимых сторонних поставщиков ИКТ-услуг. В обновлении AFM по DORA за август 2026 года сообщалось, что на основе реестров такой статус получили девятнадцать поставщиков. Запрос идентификатора от клиента помогает ему заполнить собственный реестр; он может касаться как прямого поставщика, так и участника соответствующей цепочки субподряда.

Когда нужен LEI, а когда допустим EUID?

Исполнительный регламент Комиссии (ЕС) 2024/2956 от 29 ноября 2024 года, опубликованный 2 декабря 2024 года, устанавливает стандартные шаблоны реестра. Согласно статье 3(5), финансовые организации идентифицируют своих сторонних ИКТ-поставщиков – юридических лиц действующим и активным LEI либо EUID, предусмотренным статьёй 16 Директивы (ЕС) 2017/1132. Если доступны оба, используют оба. Исключение относится к физическим лицам, действующим в предпринимательском качестве.

Приложение к исполнительному регламенту уточняет границы выбора: для поставщика – юридического лица допустимы только LEI и EUID. Альтернативные коды предназначены для физических лиц, действующих в предпринимательском качестве. Если юридическое лицо не учреждено в Союзе, можно использовать только LEI. Следовательно, EUID не заменяет LEI такого поставщика.

Статья 3(6) касается субподряда. Если услуга прямого поставщика поддерживает критически важную или важную функцию, финансовая организация через этого поставщика обеспечивает получение действующего и активного LEI либо EUID субподрядчиков, внесённых в реестр и фактически обеспечивающих услугу; при наличии указывают оба. Для физических лиц, действующих в предпринимательском качестве, сделано исключение. Поэтому запрос клиента может потребовать собрать идентификаторы соответствующих субподрядчиков.

Собственный идентификатор финансовой организации подчиняется другому правилу. Ответы европейских надзорных органов по отчётности о реестре от 28 марта 2025 года подтверждают: в шаблонах B_01.01 и B_01.02 для финансовой организации допустим только LEI. Это буквенно-цифровой код из 20 символов на основе ISO 17442. Возможность указать EUID поставщика нельзя переносить на идентификацию самой финансовой организации.

Почему нужно проверять статус LEI?

Статья 3(5) прямо требует действующий и активный LEI. Если код у поставщика уже есть, перед отправкой клиенту следует проверить его статус. Согласно ответам европейских надзорных органов, LEI сверяют с базой GLEIF, а EUID – со справочной информацией BRIS; в реестре также нужно идентифицировать конечную материнскую организацию каждого ИКТ-поставщика.

Ответ на вопрос 44 в тех же разъяснениях сообщает, что на начальных этапах отчётности, особенно в 2025 году, строгие проверки статуса LEI, включая различие между активным и утратившим актуальность кодом, не применялись. Как долго сохранится такой подход, не указано. Это разъяснение не отменяет требования регламента о действующем и активном LEI.

Вопрос 40 касается обработки сведений о поставщике из третьей страны без LEI: финансовая организация может сообщить другой идентификатор. Файл при этом не отклоняют, но запись отмечают как проблему качества сведений. Это не меняет правило приложения к регламенту, согласно которому для юридического лица, не учреждённого в Союзе, допустим только LEI. Если кода ещё нет, можно подать заявку на LEI; если срок его действия истёк – продлить LEI.

Годовой график передачи реестра

Ответы европейских надзорных органов на вопросы 11-13 устанавливают для циклов начиная с 2026 года отчётную дату на 31 декабря предыдущего года. Компетентные органы передают реестры европейским надзорным органам до 31 марта каждого календарного года и устанавливают более ранние сроки для финансовых организаций. Поставщику необходимо спросить клиента о его сроке сбора сведений, а не ориентироваться на дату передачи реестра надзорным органам.

Цикл	Отчётная дата	Срок для компетентных органов	Срок для финансовых организаций
Цикл 2026 года	31 декабря 2025 года	31 марта 2026 года	Был установлен компетентным органом ранее
Следующий цикл	31 декабря 2026 года	31 марта 2027 года	Будет установлен компетентным органом ранее

На странице Европейского банковского управления о подготовке отчётности по реестрам DORA собраны регламент о шаблонах, модель отчётных сведений, правила проверки и ответы на вопросы. Финансовой организации следует уточнять применимый к ней срок по указаниям своего компетентного органа.

Что проверить ИКТ-поставщику

1. Определите юридическое лицо, заключившее договор с финансовой организацией, и выясните, учреждено ли оно в Союзе. От этого зависит возможность использовать EUID.
2. Уточните у клиента необходимый идентификатор. Если доступны LEI и EUID, подготовьте оба; прежде чем передать LEI, проверьте его статус.
3. Выясните, есть ли внесённые в реестр субподрядчики, фактически обеспечивающие услугу для критически важной или важной функции. Запросите у них применимые идентификаторы.
4. Подготовьте сведения для идентификации конечной материнской организации и согласуйте с клиентом срок передачи сведений.

Не переносите правила идентификации поставщиков по DORA на другие процедуры без проверки: использование LEI при проверке клиентов по AMLR в Эстонии относится к другой ситуации. Другие темы собраны в материалах LEIFast о регулировании. Для этого реестра следующий шаг – подтвердить договорное юридическое лицо, подходящий идентификатор и срок клиента; если вывод зависит от деталей отношений, проконсультируйтесь со своим регулятором или консультантом.