DORA LEI za ponudnike IKT v Sloveniji

Zahteva banke ali zavarovalnice za DORA LEI ne pomeni, da mora vaše podjetje za storitve IKT po uredbi DORA samo pridobiti LEI. Finančni subjekti morajo v register informacij DORA vpisati ustrezen identifikator ponudnika: za pravno osebo veljaven in aktiven identifikator pravnega subjekta (LEI) ali evropski enotni identifikator (EUID), za ponudnika brez sedeža v Uniji pa samo LEI.

Kaj to pomeni v Sloveniji

Banka Slovenije – Poročanje o registru pogodb s tretjimi ponudniki storitev IKT navaja rok za poročanje do 20. marca, po stanju na dan 31. decembra preteklega leta. To je rok, objavljen za poročanje Banki Slovenije. Ponudnik IKT naj od svojega finančnega naročnika pridobi njegov rok za zbiranje podatkov, namesto da predpostavi, da lahko identifikator pošlje šele ob roku za oddajo registra.

Primer je ljubljansko podjetje za programsko opremo, ki vzdržuje sistem plačilne institucije. Če ga mora finančni naročnik kot pravno osebo navesti v registru, bo za identifikacijo potreboval njegov veljaven in aktiven LEI ali EUID, kadar sta na voljo oba, pa oba. Zahteva za podatek prihaja od naročnika zaradi njegovega registra; sama po sebi ne spremeni ponudnika v subjekt, ki poroča po DORA.

Drugačen je primer ameriškega ponudnika oblaka za slovensko zavarovalnico. Če je ta ponudnik pravna oseba brez sedeža v Uniji, se zanj v registru uporabi samo LEI. Pri preverjanju zahteve je zato smiselno najprej ugotoviti, katera pravna oseba storitev zagotavlja in kje ima sedež. Objavljeni rok Banke Slovenije ne pove, kdaj mora posamezen ponudnik poslati podatke svojemu naročniku; to naj ponudnik preveri neposredno pri njem.

DORA LEI: ključne točke

• Uredba DORA se uporablja od 17. januarja 2025. Register pogodbenih dogovorov za storitve IKT vodijo finančni subjekti.
• Za ponudnika IKT, ki je pravna oseba s sedežem v Uniji, se uporabi veljaven in aktiven LEI ali EUID, kadar sta na voljo oba, pa oba. Za pravno osebo brez sedeža v Uniji se uporabi samo LEI.
• Pravila identifikacije zajemajo tudi ustrezne podizvajalce, navedene v registru, če dejansko podpirajo storitev IKT za kritično ali pomembno funkcijo.
• Rok finančnega subjekta za posredovanje podatkov določi pristojni organ pred svojim rokom za poročanje evropskim nadzornim organom.

Kaj vsebuje register informacij DORA?

Uredba (EU) 2022/2554 (DORA), člen 28(3), od finančnih subjektov zahteva, da v okviru upravljanja tveganj IKT vodijo in posodabljajo register informacij o vseh pogodbenih dogovorih za uporabo storitev IKT tretjih ponudnikov. Register vodijo na ravni subjekta ter na subkonsolidirani in konsolidirani ravni. Pristojnemu organu morajo na zahtevo omogočiti dostop do celotnega registra ali zahtevanih delov in najmanj enkrat letno poročati o novih dogovorih.

Evropski nadzorni organi registre uporabljajo tudi za določitev kritičnih tretjih ponudnikov storitev IKT. AFM DORA update 7 (avgust 2026) navaja, da je bilo na podlagi registrov določenih devetnajst takih ponudnikov. Za običajnega dobavitelja je neposredna posledica predvsem zahteva finančnega naročnika po točnih identifikacijskih podatkih.

Kateri identifikator zahtevajo predloge registra?

Izvedbena uredba Komisije (EU) 2024/2956 z dne 29. novembra 2024, objavljena v Uradnem listu 2. decembra 2024, določa standardne predloge registra. Njen člen 3(5) določa, da finančni subjekti ponudnike IKT, ki so pravne osebe, identificirajo z veljavnim in aktivnim LEI ali z EUID iz člena 16 Direktive (EU) 2017/1132, kadar sta na voljo oba, pa z obema. Izvzete so fizične osebe, ki opravljajo dejavnost.

Priloga k izvedbeni uredbi za ponudnike, ki so pravne osebe, dopušča samo LEI ali EUID; druge oznake so namenjene fizičnim osebam, ki opravljajo dejavnost. Za pravno osebo brez sedeža v Uniji dopušča samo LEI. Možnost uporabe EUID za upravičenega ponudnika s sedežem v Uniji torej ne velja za ponudnika brez sedeža v Uniji.

Člen 3(6) ureja podizvajalce. Kadar storitev neposrednega ponudnika podpira kritično ali pomembno funkcijo, mora finančni subjekt prek tega ponudnika zagotoviti, da imajo podizvajalci, ki so vključeni v register in dejansko podpirajo storitev, veljaven in aktiven LEI ali predložijo EUID, kadar sta na voljo oba, pa oba. Izjema za fizične osebe, ki opravljajo dejavnost, velja tudi tu.

Za identifikacijo samega finančnega subjekta velja drugačno pravilo. Pogosta vprašanja evropskih nadzornih organov o poročanju registra, posodobljena 28. marca 2025, potrjujejo, da se v predlogah B_01.01 in B_01.02 finančni subjekt identificira samo z LEI. LEI je 20-mestna alfanumerična oznaka na podlagi standarda ISO 17442. Možnosti EUID za ponudnika zato ni mogoče prenesti na identifikacijo finančnega subjekta.

Zakaj preveriti, ali je LEI aktiven?

Člen 3(5) izrecno zahteva veljaven in aktiven LEI. Če ga ponudnik že ima, naj pred pošiljanjem oznake preveri njegov status. Evropski nadzorni organi po svojih pojasnilih preverjajo LEI v podatkovni zbirki GLEIF in EUID v referenčnih podatkih BRIS; v registru mora biti identificiran tudi končni nadrejeni subjekt vsakega ponudnika IKT.

Odgovor na vprašanje 44 v pojasnilih pravi, da v začetnih fazah poročanja, zlasti leta 2025, niso strogo preverjali statusa LEI, na primer ali je aktiven ali potekel. Ne določa pa, kako dolgo bo tak pristop veljal. Iz tega ni mogoče sklepati, da bo veljal tudi za naslednji cikel.

Odgovor na vprašanje 40 ločeno obravnava ponudnika iz tretje države brez razpoložljivega LEI: finančni subjekt lahko sporoči drug identifikator, datoteka ni zavrnjena, vnos pa je označen kot vprašanje kakovosti podatkov. To pojasnilo o obdelavi datoteke ne nadomesti pravila iz priloge, da se pravna oseba brez sedeža v Uniji identificira samo z LEI. Če podjetje LEI še nima, lahko odda vlogo za LEI; če mu je veljavnost potekla, lahko obnovi LEI.

Letni roki za register

Po odgovorih na vprašanja 11-13 v pojasnilih evropskih nadzornih organov je od leta 2026 presečni datum 31. december predhodnega leta. Pristojni organi morajo registre evropskim nadzornim organom posredovati do 31. marca vsakega koledarskega leta, finančnim subjektom pa določijo zgodnejše roke. Dobaviteljev rok za predložitev podatkov je treba uskladiti z naročnikom.

Cikel	Presečni datum	Rok pristojnih organov za poročanje evropskim nadzornim organom
Cikel 2026	31. december 2025	31. marec 2026
Naslednji cikel	31. december 2026	31. marec 2027

Stran EBA – Preparations for reporting of DORA registers of information združuje izvedbeno uredbo, podatkovni model, pravila preverjanja in pogosta vprašanja. Finančni subjekti naj rok, ki velja zanje, preverijo v navodilih pristojnega organa.

Kontrolni seznam za ponudnika IKT

1. Ugotovite, katera pravna oseba je pogodbena stranka finančnega subjekta in ali ima sedež v Uniji.
2. Naročniku posredujte zahtevani identifikator. Če sta na voljo LEI in EUID, bodite pripravljeni posredovati oba; pri LEI preverite, ali je aktiven.
3. Če storitev podpira kritično ali pomembno funkcijo, preverite, kateri podizvajalci v registru jo dejansko podpirajo, in od njih pridobite ustrezne identifikatorje.
4. Pripravite podatke za identifikacijo končnega nadrejenega subjekta in pri naročniku potrdite rok za oddajo podatkov.

Pravil za ta register ne gre enačiti z drugimi primeri uporabe LEI, denimo z identifikacijo strank po AMLR v Sloveniji. Druga regulativna pojasnila so zbrana na blogu LEIFast. Za ta register najprej potrdite pogodbeno pravno osebo, njen ustrezni identifikator in naročnikov rok; če je uporaba pravila odvisna od podrobnosti pogodbenega razmerja, se posvetujte s pristojnim organom ali svetovalcem.