DORA LEI för IKT-leverantörer i Sverige

En begäran om DORA LEI från en bank eller ett försäkringsbolag innebär inte att Dora direkt ålägger ditt IKT-företag att skaffa en LEI-kod. Skyldigheten ligger på den finansiella entiteten: i informationsregistret ska en leverantör som är en juridisk person identifieras med en giltig och aktiv LEI-kod eller en europeisk unik identifierare (EUID), och med båda om de finns. För leverantörer som inte är etablerade i unionen får endast LEI användas.

Vad det innebär i Sverige

Finansinspektionen (FI) – Viktiga upplysningar inför rapporteringen av informationsregister anger att informationsregister enligt Dora ska rapporteras till FI senast den 28 februari. Det register som lämnades in under 2026 skulle visa förhållandena den 31 december 2025. För en svensk finansiell entitet är FI:s rapporteringsdag därför den relevanta tidsfristen att förhålla sig till, inte den senare dag då behöriga myndigheter rapporterar vidare till de europeiska tillsynsmyndigheterna.

FI anger också på sidan Informationsregister (Dora) att finansiella entiteter ska identifieras med LEI-kod i registret, enligt genomförandeförordningens anvisningar. Det gäller den finansiella entitetens egen identifiering och ska inte förväxlas med alternativen för dess IKT-leverantörer. En IT-konsult från Göteborg som levererar ett system till en svensk sparbank behöver alltså skilja på sparbankens LEI-kod och den identifierare som ska lämnas för konsultens juridiska person.

Ett annat exempel är en amerikansk molnleverantör till ett svenskt försäkringsbolag. För den leverantören är endast LEI ett tillåtet identifieringsalternativ i registret. Leverantören bör därför kontrollera vilken juridisk person som tillhandahåller tjänsten och vilken identifierare försäkringsbolaget efterfrågar. Den konkreta tidpunkten för att lämna uppgifterna behöver leverantören få från sin kund; FI:s rapporteringsdag är inte i sig leverantörens insamlingsfrist.

DORA LEI: huvudpunkter för leverantörer

• Dora tillämpas sedan den 17 januari 2025. Finansiella entiteter ska föra ett informationsregister över sina avtal om IKT-tjänster.
• En IKT-leverantör som är en juridisk person identifieras med giltig och aktiv LEI eller EUID, och med båda om de finns. För en leverantör som inte är etablerad i unionen får endast LEI användas.
• Även underleverantörer som tas upp i registret kan behöva lämna identifierare när de faktiskt ligger till grund för en tjänst som stöder en kritisk eller viktig funktion.
• Fråga den finansiella kunden när den behöver uppgifterna. Kundens tidsfrist infaller före myndighetens rapportering till de europeiska tillsynsmyndigheterna.

Vilka uppgifter hör till informationsregistret?

Enligt Europaparlamentets och rådets förordning (EU) 2022/2554 (Dora), artikel 28.3, ska finansiella entiteter inom sin ram för hantering av IKT-risk föra och uppdatera ett register över samtliga avtalsarrangemang om IKT-tjänster från IKT-tredjepartsleverantörer. Registret förs på entitetsnivå samt på delkonsoliderad och konsoliderad nivå.

Den finansiella entiteten ska på begäran lämna hela registret, eller efterfrågade delar, till sin behöriga myndighet och rapportera om nya arrangemang minst årligen. De europeiska tillsynsmyndigheterna använder också registren för att utse kritiska IKT-tredjepartsleverantörer. Enligt AFM:s Dora-uppdatering 7 från augusti 2026 hade nitton leverantörer utsetts på grundval av registren.

För en leverantör märks registerkravet främst genom att en kund begär korrekta identifieringsuppgifter. Begäran kan avse både den direkta leverantören och vissa underleverantörer i avtalskedjan.

LEI eller EUID för en IKT-tredjepartsleverantör?

Kommissionens genomförandeförordning (EU) 2024/2956 av den 29 november 2024, publicerad i Europeiska unionens officiella tidning den 2 december 2024, fastställer standardmallarna för registret. Enligt artikel 3.5 ska en finansiell entitet identifiera IKT-tredjepartsleverantörer som är juridiska personer med en giltig och aktiv LEI-kod eller den EUID som avses i artikel 16 i direktiv (EU) 2017/1132. Om båda identifierarna finns ska båda användas. Undantaget gäller fysiska personer som bedriver näringsverksamhet.

Bilagan till genomförandeförordningen begränsar identifierarna för juridiska personer till LEI och EUID; alternativa koder är förbehållna fysiska personer som bedriver näringsverksamhet. En juridisk person som inte är etablerad i unionen får identifieras endast med LEI. EUID är därmed ett möjligt alternativ för en leverantör etablerad i unionen, men inte för en leverantör utanför unionen.

Artikel 3.6 gäller underleverantörer när den direkta leverantörens IKT-tjänst stöder en kritisk eller viktig funktion. Den finansiella entiteten ska då, genom den direkta leverantören, se till att underleverantörer i registret som faktiskt ligger till grund för tjänsten använder giltig och aktiv LEI eller tillhandahåller EUID, och båda om de finns. Undantaget för fysiska personer som bedriver näringsverksamhet gäller även här.

För den finansiella entitetens egen identifiering gäller en annan regel. De europeiska tillsynsmyndigheternas frågor och svar om registerrapportering, uppdaterade den 28 mars 2025, bekräftar att endast LEI får användas för finansiella entiteter i mallarna B_01.01 och B_01.02. En LEI-kod är en alfanumerisk kod med 20 tecken baserad på ISO 17442.

Kontrollera att LEI-koden är aktiv

Artikel 3.5 kräver uttryckligen en giltig och aktiv LEI-kod. Har leverantören redan en kod bör dess status kontrolleras innan den skickas till kunden. Tillsynsmyndigheterna kontrollerar LEI mot GLEIF:s databas och EUID mot referensuppgifter i BRIS; enligt deras frågor och svar ska även varje IKT-leverantörs yttersta moderföretag identifieras i registret.

I fråga 44 anges att strikta kontroller av LEI-status, till exempel om en kod var aktiv eller hade löpt ut, inte skulle tillämpas under rapporteringens inledande skeden, särskilt under 2025. Det beskedet anger inte hur länge förhållningssättet skulle gälla. Det ändrar inte genomförandeförordningens krav på en giltig och aktiv kod.

Om er LEI-kod redan har status LAPSED ska ni förnya den befintliga registreringen i stället för att ansöka om en ny kod. Vår artikel om vad statusen för en förfallen LEI-kod innebär och hur den förnyas förklarar hur ni kontrollerar statusen och förnyar registreringen.

Fråga 40 beskriver ett särskilt rapporteringsfall: saknas LEI för en IKT-leverantör i ett tredjeland får den finansiella entiteten rapportera en annan identifierare. Filen avvisas inte, men posten markeras som ett datakvalitetsproblem. Den hanteringen ersätter inte bilagans regel om LEI för juridiska personer som inte är etablerade i unionen. Saknas en kod kan leverantören ansöka om LEI; har koden löpt ut kan den förnya sin LEI.

Datum för registerrapporteringen

Enligt tillsynsmyndigheternas frågor och svar är referensdagen från och med 2026 den 31 december föregående år. Behöriga myndigheter rapporterar registren till de europeiska tillsynsmyndigheterna senast den 31 mars varje kalenderår och anger tidigare tidsfrister för finansiella entiteter.

Rapporteringscykel	Referensdag	Myndighetens tidsfrist till tillsynsmyndigheterna	Tidsfrist för finansiella entiteter
2026 års cykel	31 december 2025	31 mars 2026	FI angav 28 februari
Nästa cykel	31 december 2026	31 mars 2027	Kommer att infalla tidigare enligt behörig myndighets anvisningar

På Europeiska bankmyndighetens sida om förberedelser för rapportering av Dora-register finns genomförandeförordningen, datamodellen, valideringsreglerna och frågorna och svaren samlade. En finansiell entitet behöver kontrollera sin behöriga myndighets anvisningar för den tidsfrist som gäller den.

Checklista innan kunden får uppgifterna

1. Fastställ vilken juridisk person som har avtal med den finansiella entiteten och om den är etablerad i unionen. Det avgör om EUID kan användas eller om identifieringen kräver LEI.
2. Kontrollera den LEI-kod kunden efterfrågar och att den är aktiv. Finns både LEI och EUID ska du vara beredd att lämna båda.
3. Ta reda på om underleverantörer som faktiskt ligger till grund för en tjänst som stöder en kritisk eller viktig funktion ska finnas i registret. Begär i så fall deras tillämpliga identifierare.
4. Stäm av uppgifterna om yttersta moderföretag och be kunden ange när samtliga leverantörsuppgifter ska vara inne.

Andra regelverk kan ställa andra identifieringskrav. Artikeln om LEI och kundidentifiering enligt AMLR i Sverige behandlar ett annat användningsområde; fler ämnen finns bland LEIFasts artiklar om regelverk. Börja här med att bekräfta avtalsparten, dess tillåtna identifierare och kundens insamlingsfrist. Om bedömningen beror på avtalsförhållandets detaljer bör du kontrollera den med behörig myndighet eller rådgivare.