LEI-kóði og DORA: Það sem ICT-veitendur þurfa að vita

Hvað er DORA?

Reglugerðin um stafrænt rekstrarþolgæði fjármálageirans — þekkt sem DORA — er reglugerð (ESB) 2022/2554, sem Evrópuþingið og ráðið samþykktu 14. desember 2022. ESB birti hana í Stjórnartíðindum ESB 27. desember 2022. Hún tók gildi 16. janúar 2023 og varð að fullu gildandi 17. janúar 2025. DORA fyllir upp í ákveðið gat í fjármálareglugerð ESB. Fyrir tilkomu DORA stýrðu fjármálastofnanir rekstraráhættu fyrst og fremst með því að leggja til hliðar eigið fé. Sú nálgun náði þó ekki nægilega yfir truflanir tengdar upplýsingatækni, sem geta haft áhrif á margar stofnanir samtímis þegar sameiginlegur tækniveitandi bregst. Þess vegna innleiðir DORA samræmdan ramma um alla ESB fyrir áhættustýringu í upplýsingatækni, tilkynningu atvika, prófun á rekstrarþolgæði og eftirlit með þjónustuaðilum þriðju aðila í tækni.

Hverjir þurfa að fara eftir DORA?

DORA gildir um tvo meginhópa fyrirtækja sem koma að upplýsinga- og fjarskiptatækniþjónustu (ICT) innan fjármálageirans. Fyrsti hópurinn eru fjármálafyrirtæki. Þar á meðal eru lánastofnanir, greiðslustofnanir, rafeyrisfyrirtæki, verðbréfafyrirtæki, vátryggingafélög og endurtryggingafélög, þjónustuaðilar í rafeignum, verðbréfamiðstöðvar, miðlægir mótaðilar og skipulegir markaðir, ásamt öðrum aðilum sem taldir eru upp í 2. grein reglugerðarinnar. Annar hópurinn eru þjónustuaðilar þriðju aðila í upplýsingatækni — fyrirtæki sem veita fjármálafyrirtækjum tækniþjónustu. Í þessum hópi eru ský-þjónustuveitendur, hugbúnaðarþróunaraðilar, gagnagreiningarfyrirtæki, netöryggisfyrirtæki, gagnaversveitendur og aðrir þjónustuaðilar sem þjónusta styður starfsemi eftirlitsskyldrar fjármálastofnunar. Mikilvægt er að DORA nær einnig til ICT-þjónustuaðila utan ESB. Ef tæknifyrirtæki í Bandaríkjunum, Bretlandi eða Asíu veitir þjónustu til fjármálastofnana sem lúta eftirliti ESB, gildir DORA um það samband.

LEI-krafan samkvæmt DORA

DORA krefst þess að fjármálafyrirtæki haldi ítarlega upplýsingaskrá yfir alla ICT-þjónustuaðila sína þriðju aðila. Framkvæmdarreglugerð framkvæmdastjórnarinnar (ESB) 2024/2956, sem birt var 2. desember 2024, setur fram staðlaðar sniðmátir fyrir þessa skrá. 3. mgr. 5. gr. þeirrar framkvæmdarreglugerðar segir beinlínis:

„Fjármálafyrirtæki skulu nota gilt og virkt auðkenni lögaðila (LEI) eða evrópska einkvæma auðkennið sem um getur í 16. gr. tilskipunar (ESB) 2017/1132 („EUID“), og þar sem bæði auðkennin eru tiltæk, bæði þeirra, til að auðkenna alla ICT-þjónustuaðila sína þriðju aðila sem eru lögaðilar, að undanskildum einstaklingum sem starfa í viðskiptalegum tilgangi.“

Með öðrum orðum verður að vera hægt að auðkenna hvern ICT-þjónustuaðila þriðju aðila sem er lögaðili með annaðhvort gildu og virku LEI eða EUID. Bæði verða að vera í gildi. Útrunnið LEI uppfyllir ekki þessa kröfu.

LEI eða EUID — hvort á við um þig?

Bæði auðkennin uppfylla kröfur DORA, en þau eiga við mismunandi aðstæður. Skilningur á muninum hjálpar þér að velja rétt. LEI (auðkenni lögaðila) er alþjóðlega viðurkenndur 20 stafa bókstafa- og tölukóði byggður á ISO staðli 17442. Global Legal Entity Identifier Foundation (GLEIF) hefur umsjón með alþjóðlega LEI kerfinu og gerir öll LEI gögn opinberlega aðgengileg í alþjóðlegu LEI skránni. LEI nær yfir lögaðila í yfir 200 lögsögum og inniheldur einnig gögn um eignarhald og yfirráð. EUID (evrópska einkvæma auðkennið) tengist samtengingarkerfi fyrirtækjaskráa ESB (BRIS). Þar sem það tengist eingöngu innlendum fyrirtækjaskrám ESB nær það aðeins til aðila sem eru skráðir í aðildarríkjum ESB. Hér gerir framkvæmdarreglugerðin mikilvægan greinarmun: ICT-þjónustuaðila sem eru stofnsettir utan ESB verður að auðkenna eingöngu með LEI. EUID er einfaldlega ekki í boði fyrir aðila utan ESB. Þar af leiðandi er LEI eina gilda auðkennið fyrir alla þjónustuaðila sem starfa utan ESB. Fyrir þjónustuaðila með staðfestu innan ESB duga bæði auðkennin. Fyrir alþjóðlega starfsemi eða þjónustuaðila með tengsl utan ESB er LEI þó sterkari kostur vegna alþjóðlegrar viðurkenningar og víðtækari gagnaþekju.

Hvað þýðir „gilt og virkt“ í reynd?

Framkvæmdarreglugerðin krefst sérstaklega gilds og virks LEI. Þetta vísar til stöðunnar sem birtist í alþjóðlegum gagnagrunni GLEIF. LEI með stöðuna „Issued“ er gilt og virkt og uppfyllir þar með kröfur DORA. LEI með stöðuna „Lapsed“ er útrunnið og uppfyllir því ekki kröfuna. Fjármálafyrirtæki geta ekki skráð útrunnið LEI sem samræmt auðkenni í upplýsingaskrá sinni. LEI gildir í eitt ár frá útgáfudegi eða síðustu endurnýjun. Eftir það verður eigandinn að endurnýja það til að viðhalda virkri stöðu. Við endurnýjun sannreynir útgáfustofnunin viðmiðunargögn lögaðilans á ný — þar á meðal lögheiti, skráð heimilisfang og eignarhaldsskipulag — við opinberar skráningarheimildir. Þetta ferli tryggir að gögnin í alþjóðlega LEI gagnagrunninum haldist rétt og uppfærð. Þú getur athugað stöðu hvaða LEI sem er með leitarvél GLEIF fyrir LEI eða í gegnum leit LEI System.

Af hverju LEI er hagnýtur staðall fyrir samræmi við DORA

Eftirlitsaðilar DORA völdu LEI vegna þess að það leysir vandamál sem ekkert innlent auðkenni getur leyst: samræmda, landamæralausa auðkenningu lögaðila í einu alþjóðlega viðurkenndu sniði. Innlend skráningarnúmer fyrirtækja eru mjög ólík milli landa, ekki alltaf vélalæsileg og ná alls ekki yfir aðila utan ESB. LEI veitir hins vegar einn samræmdan kóða fyrir hvaða lögaðila sem er, óháð því hvar hann er skráður. Þar að auki, þar sem LEI gögn eru opinberlega aðgengileg og staðfestanleg, geta fjármálastofnanir athugað upplýsingar um þjónustuaðila samstundis án þess að biðja um gögn. Fyrir fjármálastofnanir sem stýra mörgum ICT-birgjum í ólíkum löndum dregur þessi samræming verulega úr flækjustigi stjórnsýslu við að fara eftir DORA. Ein LEI-uppfletting veitir staðfestar upplýsingar um lögheiti þjónustuaðilans, skráningarupplýsingar og eignarhaldsskipulag — sem allt tengist beint áhættustýringarskyldum DORA gagnvart þriðju aðilum. Fyrir ICT-þjónustuaðila gerir gilt LEI viðskiptavinum þeirra meðal fjármálastofnana auðvelt að skrá þá rétt í DORA-skrá sína. Þjónustuaðilar án gilds LEI skapa hins vegar eyður í regluvörslu fyrir viðskiptavini sína og eiga því á hættu að skaða viðskiptasambandið. GLEIF veitir frekari upplýsingar um hvernig LEI styður þetta í yfirliti sínu um eftirlitslega notkun LEI.

Hvað ICT-þjónustuaðilar ættu að gera núna

Athugaðu hvort þú sért með gilt LEI. Ef þú veitir ICT-þjónustu til fjármálastofnunar sem lýtur eftirliti ESB, verður viðskiptavinur þinn að auðkenna þig í upplýsingaskrá sinni samkvæmt DORA. Hafðu samband við hann til að staðfesta hvort LEI þitt hafi verið skráð og hvort það sé virkt. Sæktu um LEI ef þú ert ekki með það. Ferlið er alfarið stafrænt og lýkur innan 24 klukkustunda í flestum lögsögum. Þú þarft að gefa upp lögheiti fyrirtækisins, skráð heimilisfang og skráningarnúmer. Í flestum tilvikum staðfestir kerfið þessi gögn sjálfkrafa við opinberar fyrirtækjaskrár. LEI System er viðurkenndur skráningarfulltrúi GLEIF. Þú getur hafið LEI-skráningu þína í dag. Endurnýjaðu LEI þitt ef það er útrunnið. Endurnýja verður útrunnið LEI áður en viðskiptavinir þínir geta notað það í DORA-skrá. Endurnýjun færir stöðuna aftur í „Issued“ og staðfestir viðmiðunargögn fyrirtækisins á ný. Þú getur endurnýjað LEI þitt fljótt hjá LEI System. Haltu LEI gögnum þínum uppfærðum. Ef nafn fyrirtækisins, skráð heimilisfang eða eignarhaldsskipulag hefur breyst skaltu uppfæra viðmiðunargögn LEI þíns í samræmi við það. Úrelt LEI gögn valda vandamálum við regluvörslu fyrir viðskiptavini þína meðal fjármálastofnana þegar þeir skila skrá sinni til innlendra yfirvalda.

DORA í samhengi við víðtækari löggjöf ESB

DORA starfar ekki í einangrun. Hún er hluti af öðrum reglugerðum ESB sem einnig nota LEI sem staðlað auðkenni lögaðila, þar á meðal viðskiptaskýrslugjöf samkvæmt MiFID II, afleiðuskýrslugjöf samkvæmt EMIR og reglugerð ESB um hraðgreiðslur. Fyrir fjármálafyrirtæki sem þegar nota LEI við viðskiptaskýrslugjöf bætir DORA því við nýrri vídd fremur en að fela í sér algjörlega nýtt kerfi. Auk þess tengist DORA beint NIS2-tilskipuninni (tilskipun (ESB) 2022/2555) um netöryggi. DORA virkar sem geirasértæk löggjöf undir NIS2 fyrir fjármálafyrirtæki. Þú getur lesið meira um NIS2 og LEI í greininni um NIS2 og LEI á þessari síðu. Fyrir víðtækara yfirlit yfir hvernig LEI virkar í fjármálalöggjöf ESB, sjá Hvernig LEI virkar í reynd í ESB.

DORA og LEI — helstu staðreyndir í hnotskurn

Hvað er DORA? Reglugerð (ESB) 2022/2554 um stafrænt rekstrarþolgæði fjármálageirans. Hvenær varð DORA gildandi? 17. janúar 2025. Hverjir þurfa að fara eftir henni? Fjármálafyrirtæki í ESB og ICT-þjónustuaðilar þeirra þriðju aðila, þar á meðal þjónustuaðilar utan ESB sem þjóna fjármálastofnunum í ESB. Hvað krefst DORA varðandi auðkenningu ICT-þjónustuaðila? Gilt og virkt LEI eða EUID, eins og tilgreint er í framkvæmdarreglugerð framkvæmdastjórnarinnar (ESB) 2024/2956. Hvaða auðkenni á við um ICT-þjónustuaðila utan ESB? Aðeins LEI. EUID nær eingöngu yfir aðila skráða í ESB. Hvaða LEI staða uppfyllir DORA? Aðeins „Issued“. LEI með stöðuna „Lapsed“ uppfyllir ekki kröfuna. Hvar get ég skráð eða endurnýjað LEI? Hjá viðurkenndum skráningarfulltrúa GLEIF eins og LEI System.