Čo je DORA?
Akt o digitálnej operačnej odolnosti – známy ako DORA – je
nariadenie (EÚ) 2022/2554, ktoré Európsky parlament a Rada prijali 14. decembra 2022. EÚ ho zverejnila v Úradnom vestníku 27. decembra 2022. Nadobudlo účinnosť 16. januára 2023 a stalo sa plne uplatniteľným od
17. januára 2025.
DORA rieši konkrétnu medzeru v regulácii finančného sektora EÚ. Pred jej zavedením riadili finančné inštitúcie operačné riziko najmä vytváraním kapitálových rezerv. Tento prístup však dostatočne nepokrýval narušenia súvisiace s IKT, ktoré môžu naraz postihnúť množstvo inštitúcií, ak zlyhá spoločný poskytovateľ technológií. DORA preto zavádza jednotný rámec v celej EÚ pre riadenie IKT rizík, nahlasovanie incidentov, testovanie operačnej odolnosti a dohľad nad poskytovateľmi technológií tretích strán.
Kto musí dodržiavať DORA?
DORA sa vzťahuje na dve hlavné skupiny organizácií zapojených do služieb informačných a komunikačných technológií (IKT) vo finančnom sektore.
Prvou skupinou sú
finančné subjekty. Zahŕňajú úverové inštitúcie, platobné inštitúcie, inštitúcie elektronických peňazí, investičné spoločnosti, poisťovne a zaisťovne, poskytovateľov služieb kryptoaktív, centrálnych depozitárov cenných papierov, centrálne protistrany a obchodné miesta, spolu s ďalšími subjektmi uvedenými v článku 2 nariadenia.
Druhou skupinou sú
externí poskytovatelia IKT služieb – spoločnosti, ktoré dodávajú technologické služby finančným subjektom. Táto skupina zahŕňa poskytovateľov cloud computingu, vývojárov softvéru, firmy zaoberajúce sa analýzou dát, spoločnosti v oblasti kybernetickej bezpečnosti, poskytovateľov dátových centier a akéhokoľvek iného poskytovateľa, ktorého služby podporujú fungovanie regulovanej finančnej inštitúcie.
Je dôležité, že DORA sa vzťahuje aj na
poskytovateľov IKT so sídlom mimo EÚ. Ak technologická spoločnosť v USA, Spojenom kráľovstve alebo Ázii poskytuje služby finančným inštitúciám regulovaným v EÚ, DORA sa vzťahuje aj na tento vzťah.
Požiadavka na LEI podľa DORA
DORA vyžaduje, aby finančné subjekty viedli podrobný
Register informácií zahŕňajúci všetkých ich externých poskytovateľov IKT služieb.
Vykonávacie nariadenie Komisie (EÚ) 2024/2956, zverejnené 2. decembra 2024, stanovuje štandardné šablóny pre tento register.
Článok 3 ods. 5 tohto vykonávacieho nariadenia priamo stanovuje:
„Finančné subjekty používajú platný a aktívny identifikátor právnickej osoby (LEI) alebo Európsky jednotný identifikátor uvedený v článku 16 smernice (EÚ) 2017/1132 (‚EUID‘), a ak sú k dispozícii obidva tieto identifikátory, na identifikáciu všetkých svojich externých poskytovateľov IKT služieb, ktorí sú právnickými osobami, s výnimkou fyzických osôb konajúcich v rámci podnikateľskej činnosti.“
Inými slovami, každého externého poskytovateľa IKT služieb, ktorý je právnickou osobou, musí byť možné identifikovať pomocou platného a aktívneho
LEI alebo EUID. Oba identifikátory musia byť aktuálne. Prepadnutý alebo neplatný LEI túto požiadavku nespĺňa.
LEI alebo EUID – ktorý identifikátor sa vzťahuje na vás?
Oba identifikátory spĺňajú požiadavky DORA, ale vzťahujú sa na odlišné situácie. Pochopenie rozdielu vám pomôže vybrať si správne.
LEI (identifikátor právnickej osoby) je celosvetovo uznávaný 20-miestny alfanumerický kód založený na
norme ISO 17442.
Nadácia Global Legal Entity Identifier Foundation (GLEIF) riadi
globálny systém LEI a všetky údaje LEI zverejňuje v
Globálnom indexe LEI. LEI zahŕňa právnické osoby vo viac ako 200 jurisdikciách a obsahuje aj údaje o vlastníctve a kontrole.
EUID (Európsky jednotný identifikátor) je napojený na systém prepojenia obchodných registrov EÚ (BRIS). Pretože sa pripája výlučne k národným registrom EÚ, pokrýva len subjekty registrované v členských štátoch EÚ.
Vykonávacie nariadenie tu robí zásadné rozlíšenie: poskytovatelia IKT so sídlom
mimo EÚ musia byť identifikovaní výlučne pomocou LEI. EUID totiž pre subjekty mimo EÚ jednoducho nie je dostupný. LEI je preto jediným platným identifikátorom pre akéhokoľvek poskytovateľa pôsobiaceho mimo EÚ.
Pre poskytovateľov so sídlom v EÚ funguje ktorýkoľvek z identifikátorov. Pre globálne pôsobiace spoločnosti alebo poskytovateľov s väzbami mimo EÚ je však LEI lepšou voľbou vďaka svojmu medzinárodnému uznaniu a širšiemu pokrytiu údajov.
Čo v praxi znamená „platný a aktívny“
Vykonávacie nariadenie konkrétne vyžaduje
platný a aktívny LEI. Ide o status, ktorý sa zobrazuje v
globálnej databáze GLEIF.
LEI so statusom
„Issued“ je platný a aktívny, a teda spĺňa požiadavky DORA. LEI so statusom
„Lapsed“ je prepadnutý, a preto požiadavku nespĺňa. Finančné subjekty nemôžu zaznamenať prepadnutý LEI ako vyhovujúci identifikátor v svojom Registri informácií.
LEI zostáva platný jeden rok od dátumu vydania alebo posledného obnovenia. Po jeho uplynutí musí vlastník kód obnoviť, aby si zachoval aktívny status. Počas obnovenia vydávajúca organizácia opätovne overuje referenčné údaje subjektu – vrátane obchodného názvu, registrovanej adresy a vlastníckej štruktúry – oproti oficiálnym registrovým zdrojom. Tento proces zabezpečuje, že údaje v globálnej databáze LEI zostávajú presné a aktuálne.
Stav akéhokoľvek LEI môžete skontrolovať pomocou
vyhľadávacieho nástroja GLEIF alebo prostredníctvom
vyhľadávania LEI System.
Prečo je LEI praktickým štandardom pre dodržiavanie DORA
Regulátori DORA si vybrali LEI, pretože rieši problém, ktorý žiadny národný identifikátor nedokáže vyriešiť: konzistentnú, cezhraničnú identifikáciu právnických osôb v jedinom globálne uznávanom formáte.
Národné registračné čísla spoločností sa medzi krajinami výrazne líšia, nie sú vždy strojovo čitateľné a subjekty mimo EÚ vôbec nepokrývajú. LEI naopak poskytuje jeden jednotný kód pre akúkoľvek právnickú osobu bez ohľadu na to, kde bola založená. Navyše, pretože údaje LEI sú verejne dostupné a overiteľné, finančné inštitúcie môžu okamžite skontrolovať údaje o poskytovateľovi bez toho, aby si vyžiadali dokumenty.
Pre finančné inštitúcie, ktoré riadia množstvo poskytovateľov IKT v rôznych krajinách, táto štandardizácia výrazne znižuje administratívnu náročnosť dodržiavania DORA. Jediné vyhľadanie LEI poskytne overené informácie o obchodnom názve poskytovateľa, registračných údajoch a vlastníckej štruktúre – teda o všetkom, čo je priamo relevantné pre povinnosti riadenia rizika tretích strán podľa DORA.
Pre poskytovateľov IKT platný LEI uľahčuje ich klientom z finančných inštitúcií správne zaradenie do registra DORA. Poskytovatelia bez platného LEI naopak vytvárajú svojim klientom medzery v dodržiavaní predpisov, a tým riskujú narušenie obchodného vzťahu. GLEIF poskytuje ďalšie súvislosti o tom, ako LEI túto oblasť podporuje, v prehľade
regulačného využitia LEI.
Čo by mali poskytovatelia IKT urobiť teraz
Skontrolujte, či máte platný LEI. Ak poskytujete IKT služby akejkoľvek finančnej inštitúcii regulovanej v EÚ, váš klient vás musí identifikovať vo svojom Registri informácií podľa DORA. Kontaktujte ho a overte, či má zaznamenaný váš LEI a či je momentálne aktívny.
Zaregistrujte si LEI, ak ho ešte nemáte. Proces je plne digitálny a vo väčšine jurisdikcií sa dokončí do 24 hodín. Musíte poskytnúť obchodný názov svojej spoločnosti, registrovanú adresu a registračné číslo. Vo väčšine prípadov systém tieto údaje automaticky overí oproti oficiálnym obchodným registrom. LEI System je akreditovaným registračným agentom GLEIF. Svoju
žiadosť o LEI môžete začať vybavovať už dnes.
Obnovte svoj LEI, ak prepadol. Prepadnutý LEI musí byť obnovený, aby ho mohli vaši klienti použiť v registri DORA. Obnovenie obnoví status „Issued“ a znovu overí referenčné údaje vašej spoločnosti. Svoj LEI môžete
rýchlo obnoviť prostredníctvom LEI System.
Udržiavajte svoje údaje LEI aktuálne. Ak sa zmenil názov vašej spoločnosti, registrovaná adresa alebo vlastnícka štruktúra, aktualizujte svoje referenčné údaje LEI. Zastarané údaje LEI spôsobujú vašim klientom z finančných inštitúcií komplikácie pri predkladaní ich registra národným orgánom.
DORA v kontexte širšej regulácie EÚ
DORA nefunguje izolovane. Existuje spolu s ďalšími nariadeniami EÚ, ktoré tiež používajú LEI ako štandardný identifikátor právnických osôb, vrátane vykazovania transakcií podľa MiFID II, vykazovania derivátov podľa EMIR a nariadenia EÚ o okamžitých platbách. Pre finančné subjekty, ktoré už používajú LEI na vykazovanie transakcií, tak DORA predstavuje skôr ďalší rozmer než úplne nový systém.
DORA je navyše priamo spojená so smernicou NIS2 (smernica (EÚ) 2022/2555) o kybernetickej bezpečnosti. Pre finančné subjekty funguje DORA ako sektorovo špecifický predpis podľa NIS2. Viac o NIS2 a LEI si môžete prečítať v článku
NIS2 a LEI na tejto stránke. Širší prehľad o tom, ako LEI funguje v rámci finančnej regulácie EÚ, nájdete v článku
Ako LEI funguje v praxi v EÚ.
DORA a LEI – kľúčové fakty v skratke
Čo je DORA? Nariadenie (EÚ) 2022/2554 o digitálnej operačnej odolnosti finančného sektora.
Kedy sa DORA stala uplatniteľnou? 17. januára 2025.
Kto musí dodržiavať DORA? Finančné subjekty EÚ a ich externí poskytovatelia IKT služieb, vrátane poskytovateľov mimo EÚ, ktorí obsluhujú finančné inštitúcie v EÚ.
Čo DORA vyžaduje na identifikáciu poskytovateľa IKT? Platný a aktívny LEI alebo EUID, ako stanovuje vykonávacie nariadenie Komisie (EÚ) 2024/2956.
Ktorý identifikátor platí pre poskytovateľov IKT mimo EÚ? Iba LEI. EUID pokrýva len subjekty registrované v EÚ.
Aký status LEI spĺňa požiadavky DORA? Iba status „Issued“. Status „Lapsed“ požiadavku nespĺňa.
Kde môžem zaregistrovať alebo obnoviť LEI? Prostredníctvom akreditovaného registračného agenta GLEIF, ako je
LEI System.
