DORA LEI för IKT-leverantörer i Finland

En begäran om DORA LEI från en bank eller ett försäkringsbolag betyder inte att DORA direkt ålägger ditt IKT-företag att skaffa en LEI-kod. Skyldigheten ligger hos det finansiella företaget, som ska identifiera leverantörer som är juridiska personer i sitt informationsregister med en giltig och aktiv LEI-kod eller en europeisk unik identifieringskod (EUID); för leverantörer som inte är etablerade i unionen får endast LEI användas.

Vad detta betyder i Finland

Finansinspektionen i Finland anger att DORA medförde tre nya årliga rapporteringsskyldigheter för företag under dess tillsyn. En av dem gäller informationsregistret över avtal om IKT-tjänster från externa IKT-tjänsteleverantörer. För rapporteringen år 2026 skulle dessa företag lämna in registret senast den 2 mars 2026.

Det datumet gällde de finländska företagens rapportering, inte en separat rapportering från deras leverantörer. En leverantör behöver därför skilja mellan tillsynsmyndighetens tidsfrist och den tidpunkt då dess kund behöver uppgifterna. Uppgifterna om avtalsmotparten och dess identifieringskod måste kunna användas i kundens register.

Tänk på ett programvaruföretag i Tammerfors som levererar ett system till ett försäkringsbolag. Det relevanta för identifieringen är vilken juridisk person som står bakom leveransen och vilken identifieringskod försäkringsbolaget behöver för sitt register. Ett annat exempel är en amerikansk molntjänstleverantör till ett finländskt fondbolag. För en sådan leverantör som inte är etablerad i unionen får endast LEI användas i registret.

Finansinspektionens uppgift om den 2 mars avser uttryckligen rapporteringen år 2026. Den anger inte här någon nationell tidsfrist för nästa rapporteringscykel. En leverantör som får en begäran inför den cykeln bör därför fråga sin finländska kund när identifieringsuppgifterna ska vara klara, i stället för att återanvända föregående års datum.

DORA LEI: huvudpunkter

• DORA har tillämpats sedan den 17 januari 2025. Finansiella företag ska föra ett register över avtal om IKT-tjänster.
• En leverantör som är en juridisk person identifieras med en giltig och aktiv LEI-kod eller ett EUID, och med båda om de finns. För en leverantör som inte är etablerad i unionen gäller endast LEI.
• Identifieringskravet omfattar också registrerade underleverantörer som faktiskt stöder en IKT-tjänst för en kritisk eller viktig funktion.
• Behöriga myndigheter fastställer företagens tidsfrister före myndigheternas egen tidsfrist den 31 mars.

Vad innehåller DORA:s informationsregister?

Europaparlamentets och rådets förordning (EU) 2022/2554 (DORA), artikel 28.3, kräver att finansiella företag för och uppdaterar ett informationsregister över alla avtal om användning av IKT-tjänster från externa IKT-tjänsteleverantörer. Registret ingår i hanteringen av IKT-risker och förs på företagsnivå samt på underkonsoliderad och konsoliderad nivå.

Företagen ska på begäran ge sin behöriga myndighet tillgång till hela registret eller de delar myndigheten begär. De ska också rapportera nya avtal minst årligen. De europeiska tillsynsmyndigheterna använder registren för att utse kritiska externa IKT-tjänsteleverantörer; enligt AFM:s DORA-uppdatering 7 från augusti 2026 hade nitton leverantörer utsetts utifrån registren.

För en IKT-leverantör märks kravet främst genom frågor från en finansiell kund. Även en leverantör längre ned i en relevant underleverantörskedja kan behöva lämna identifieringsuppgifter.

Vilken identifieringskod kräver genomförandeförordningen?

Kommissionens genomförandeförordning (EU) 2024/2956 av den 29 november 2024, som offentliggjordes i Europeiska unionens officiella tidning den 2 december 2024, fastställer standardmallarna för registret. Enligt artikel 3.5 ska finansiella företag identifiera externa IKT-tjänsteleverantörer som är juridiska personer med en giltig och aktiv LEI-kod eller den EUID som avses i artikel 16 i direktiv (EU) 2017/1132, och med båda om de finns. Undantaget gäller fysiska personer som bedriver affärsverksamhet.

Anvisningarna i bilagan tillåter endast LEI eller EUID för leverantörer som är juridiska personer. Alternativa koder är avsedda för fysiska personer som bedriver affärsverksamhet. Om den juridiska personen inte är etablerad i unionen får endast LEI användas; EUID är alltså inte ett alternativ för den amerikanska molntjänstleverantören i exemplet ovan.

Artikel 3.6 behandlar underleverantörer. När den direkta leverantörens IKT-tjänst stöder en kritisk eller viktig funktion ska det finansiella företaget, via den direkta leverantören, se till att underleverantörer i registret som faktiskt stöder tjänsten använder en giltig och aktiv LEI-kod eller lämnar sitt EUID, och båda om de finns. Undantaget för fysiska personer som bedriver affärsverksamhet gäller även här.

Det finansiella företagets egen kod följer andra mallregler. De europeiska tillsynsmyndigheternas frågor och svar om registerrapportering, uppdaterade den 28 mars 2025, anger att endast LEI får identifiera ett finansiellt företag i mallarna B_01.01 och B_01.02. LEI är en alfanumerisk kod med 20 tecken baserad på ISO 17442. Leverantörens möjlighet att använda EUID gäller inte det finansiella företagets egen identifiering.

Varför ska en LEI-kod vara aktiv?

Artikel 3.5 kräver uttryckligen en giltig och aktiv LEI-kod. En leverantör som redan har en kod bör därför kontrollera dess status innan den lämnas till kunden. Enligt tillsynsmyndigheternas frågor och svar kontrolleras LEI-koder mot GLEIF:s databas och EUID mot referensuppgifter i BRIS. Även varje IKT-leverantörs yttersta moderföretag ska identifieras i registret.

I svar på fråga 44 anges att strikta kontroller av LEI-status, exempelvis om koden var aktiv eller hade förfallit, inte skulle tillämpas under rapporteringens inledande skeden, särskilt år 2025. Svaret anger inte hur länge det förhållningssättet skulle fortsätta. Det ändrar inte förordningens krav på en aktiv kod.

Fråga 40 tar upp ett annat fall: om LEI saknas för en IKT-leverantör i ett tredjeland kan det finansiella företaget rapportera en annan identifieringskod. Filen avvisas då inte, men uppgiften markeras som ett datakvalitetsproblem. Denna rapporteringsanvisning ersätter inte bilagans regel om LEI för juridiska personer som inte är etablerade i unionen. Saknar företaget kod kan det ansöka om en LEI-kod; om koden har förfallit kan det förnya sin LEI-kod.

Tidsplan för den årliga rapporteringen

Enligt tillsynsmyndigheternas frågor och svar, frågorna 11-13, är referensdagen från och med rapporteringsåret 2026 den 31 december föregående år. Behöriga myndigheter rapporterar registren till de europeiska tillsynsmyndigheterna senast den 31 mars varje år och fastställer tidigare tidsfrister för de finansiella företagen.

Rapporteringscykel	Referensdag	Myndigheternas tidsfrist	Det finansiella företagets tidsfrist
2026	31 december 2025	31 mars 2026	I Finland: 2 mars 2026
Nästa cykel	31 december 2026	31 mars 2027	Fastställs tidigare av behörig myndighet

På sidan EBA:s förberedelser för rapportering av DORA-register finns genomförandeförordningen, datamodellen, valideringsreglerna och frågorna och svaren samlade. Företag bör kontrollera sin behöriga myndighets anvisningar för den tidsfrist som gäller dem.

Kontrollista för IKT-leverantörer

1. Fastställ vilken juridisk person som ingår avtalet med kunden och om den är etablerad i unionen. Det avgör om EUID kan användas eller om endast LEI är möjlig.
2. Kontrollera att den LEI-kod som lämnas till kunden är aktiv. Om både LEI och EUID finns, var beredd att lämna båda.
3. Gå igenom vilka underleverantörer i registret som faktiskt stöder en tjänst för en kritisk eller viktig funktion. Begär deras tillämpliga identifieringskoder.
4. Ta fram uppgifter för identifiering av det yttersta moderföretaget och fråga kunden när den behöver leverantörsuppgifterna.

En LEI-kod kan förekomma i andra regelverk med andra villkor; guiden om LEI vid kundkontroll enligt AMLR behandlar ett annat användningsområde. Fler ämnen finns bland LEIFasts artiklar om regelverk. Bekräfta nu avtalspartens identifieringskod och kundens tidsfrist för uppgifterna. Om bedömningen beror på avtalsförhållandets detaljer, stäm av med tillsynsmyndigheten eller en rådgivare.