DORA LEI для поставщиков ИКТ-услуг в Латвии

Запрос DORA LEI от латвийского банка или страховщика не означает, что DORA напрямую обязывает поставщика ИКТ-услуг получить LEI. Финансовая организация должна указать в реестре сведений действующий активный идентификатор юридического лица (LEI) или европейский уникальный идентификатор (EUID) своего поставщика – юридического лица; поставщика, не учрежденного в ЕС, идентифицируют только по LEI.

Что это означает для Латвии

Банк Латвии (Latvijas Banka) устанавливает для финансовых учреждений ежегодный срок представления реестра: до 1 марта, со сведениями по состоянию на 31 декабря предыдущего года. Впервые учреждения представили реестр до 15 апреля 2025 года, используя сведения по состоянию на 31 марта 2025 года. Это сроки для финансовых учреждений, а не установленный DORA срок ответа каждого поставщика на запрос клиента.

Компаниям, входящим в группу, Банк Латвии предписывает готовить один консолидированный реестр для всех организаций группы, на которые распространяется DORA. Поэтому поставщику полезно уточнить у заказчика, какая организация заключила договор и к какому сроку ей нужны сведения для реестра. Если поставщик работает с несколькими организациями одной группы, порядок передачи сведений стоит согласовать с клиентом, не предполагая, что срок подачи реестра совпадает с его внутренним сроком сбора сведений.

Пример для латвийского рынка – рижская ИТ-компания, обслуживающая систему платежного учреждения. Если она учреждена в ЕС и действует как юридическое лицо, для ее идентификации применяются правила об LEI и EUID. Другой пример – американский поставщик облачных услуг латвийскому страховщику: для юридического лица, не учрежденного в ЕС, правила реестра предусматривают только LEI. Сам по себе запрос страховщика не переносит на поставщика обязанность вести реестр.

При подготовке сведений следует разделять два срока: дату, на которую составляют реестр, и дату, когда клиенту нужны сведения о поставщике. Для следующего ежегодного представления в Латвии реестр будет отражать положение на 31 декабря 2026 года; установленный Банком Латвии ежегодный срок подачи – до 1 марта. Точный срок передачи своего идентификатора поставщик узнает у финансовой организации.

DORA LEI: основные правила

• DORA применяется с 17 января 2025 года. Реестр договорных отношений по ИКТ-услугам ведут финансовые организации.
• Для поставщика – юридического лица используют действующий активный LEI или EUID, а при наличии обоих – оба идентификатора. Для юридического лица, не учрежденного в ЕС, допускается только LEI.
• Требование об идентификации также затрагивает включенных в реестр субподрядчиков, от которых фактически зависит ИКТ-услуга, поддерживающая критическую или важную функцию.
• Финансовые организации передают сведения в срок, установленный их компетентным органом; срок передачи реестров европейским надзорным органам наступает позднее.

Кто ведет реестр сведений по DORA

Регламент (ЕС) 2022/2554 (DORA), статья 28(3), требует от финансовых организаций вести и обновлять реестр всех договорных отношений, связанных с использованием услуг сторонних поставщиков ИКТ. Реестр входит в систему управления ИКТ-рисками; его ведут на уровне отдельной организации, а также на субконсолидированном и консолидированном уровнях.

По запросу компетентного органа финансовая организация предоставляет весь реестр или запрошенные разделы. Она также не реже одного раза в год сообщает о новых договорных отношениях. Европейские надзорные органы используют реестры при определении критически важных сторонних поставщиков ИКТ-услуг: согласно обновлению AFM по DORA за август 2026 года, на основе реестров такой статус получили девятнадцать поставщиков.

Поставщик передает клиенту сведения, необходимые для заполнения реестра, но не подает реестр вместо финансовой организации. Запрос может касаться как стороны прямого договора, так и субподрядчика в соответствующей цепочке оказания услуг.

Когда нужен LEI, а когда допустим EUID

Исполнительный регламент Комиссии (ЕС) 2024/2956 от 29 ноября 2024 года, опубликованный 2 декабря 2024 года, устанавливает стандартные шаблоны реестра. По статье 3(5) финансовая организация идентифицирует стороннего поставщика ИКТ-услуг – юридическое лицо по действующему активному LEI или EUID, предусмотренному статьей 16 Директивы (ЕС) 2017/1132. При наличии обоих указывают оба; для физических лиц, ведущих предпринимательскую деятельность, предусмотрено исключение.

Приложение к регламенту разрешает для поставщиков – юридических лиц только LEI и EUID. Альтернативные коды предназначены для физических лиц, действующих в предпринимательском качестве. Если юридическое лицо не учреждено в ЕС, допустим только LEI: возможность использовать EUID для подходящего поставщика из ЕС на него не распространяется.

Статья 3(6) касается субподрядчиков. Если услуга прямого поставщика поддерживает критическую или важную функцию, финансовая организация через него обеспечивает идентификацию включенных в реестр субподрядчиков, от которых фактически зависит оказание услуги. Для них требуется действующий активный LEI или EUID, а при наличии обоих – оба; исключение для физических лиц, ведущих предпринимательскую деятельность, сохраняется.

Правило для самой финансовой организации строже: разъяснения европейских надзорных органов о представлении реестра от 28 марта 2025 года подтверждают, что в шаблонах B_01.01 и B_01.02 ее можно идентифицировать только по LEI. LEI – буквенно-цифровой код из 20 знаков на основе ISO 17442. Возможность указать EUID поставщика не меняет требование к идентификатору финансовой организации.

Проверка статуса LEI и качества сведений

В статье 3(5) прямо указан действующий активный LEI. Если код уже получен, перед передачей клиенту следует проверить его статус. Согласно разъяснениям надзорных органов, LEI сверяют с базой GLEIF, а EUID – со сведениями BRIS; в реестре также идентифицируют конечную материнскую компанию каждого поставщика ИКТ-услуг.

В ответе на вопрос 44 надзорные органы сообщили, что на начальных этапах отчетности, особенно в 2025 году, строгие проверки статуса LEI, в том числе различий между активным и утратившим актуальность кодом, не применялись. Как долго сохраняется такой подход, разъяснения не устанавливают. Поэтому послабление при проверке не стоит считать изменением требования регламента.

Отдельное разъяснение, ответ на вопрос 40, касается поставщика из третьей страны без LEI: финансовая организация может указать иной идентификатор. Файл не отклонят, но запись отметят как проблему качества сведений. Это правило обработки файла не отменяет положение приложения, по которому для юридического лица, не учрежденного в ЕС, предусмотрен только LEI. Если кода пока нет, можно подать заявку на LEI; если срок его действия истек – продлить LEI.

Сроки ежегодной отчетности

Согласно ответам на вопросы 11-13 в разъяснениях надзорных органов, начиная с 2026 года отчетная дата – 31 декабря предыдущего года. Компетентные органы передают реестры европейским надзорным органам до 31 марта каждого года и устанавливают для финансовых организаций более ранние сроки. В Латвии ежегодный срок представления, указанный Банком Латвии, – до 1 марта.

Цикл	Отчетная дата	Срок для финансовых учреждений в Латвии	Срок передачи надзорным органам ЕС
Цикл 2026 года	31 декабря 2025 года	До 1 марта 2026 года	До 31 марта 2026 года
Следующий цикл	31 декабря 2026 года	До 1 марта 2027 года	До 31 марта 2027 года

На странице Европейского банковского управления о подготовке к представлению реестров DORA собраны шаблоны, модель сведений, правила проверки и ответы на вопросы. Поставщику следует запрашивать срок передачи сведений у своего клиента, а не ориентироваться на дату отправки реестра надзорным органам ЕС.

Что подготовить поставщику ИКТ-услуг

1. Установить, какое юридическое лицо заключило договор и учреждено ли оно в ЕС. От этого зависит, можно ли использовать EUID или для идентификации нужен LEI.
2. Проверить идентификатор, запрошенный клиентом. Если доступны и LEI, и EUID, подготовить оба; перед отправкой LEI проверить его активный статус.
3. Выяснить, есть ли в реестре субподрядчики, от которых фактически зависит услуга, поддерживающая критическую или важную функцию. Запросить у них применимые идентификаторы для передачи финансовой организации.
4. Подготовить сведения для идентификации конечной материнской компании и согласовать с клиентом срок передачи полного набора сведений.

Правила для поставщиков ИКТ не следует переносить на другие задачи идентификации: материал об LEI при проверке клиентов по AMLR в Латвии рассматривает другой случай. Другие темы собраны в публикациях LEIFast. Для реестра DORA сначала подтвердите юридическое лицо по договору, подходящий идентификатор и срок сбора сведений у клиента; если применение правил зависит от условий договора, уточните позицию у регулятора или консультанта.