DORA en het LEI-nummer: wanneer is het relevant?
DORA betekent niet dat elk technologiebedrijf een LEI-nummer moet aanvragen. De behoefte aan een LEI-nummer ontstaat wanneer een onderneming eenduidig geïdentificeerd moet worden in het DORA-informatieregister.
DORA is vooral van toepassing op financiële instellingen. Financiële instellingen moeten een register bijhouden van hun contracten en dienstverleners op het gebied van informatie- en communicatietechnologie, oftewel ICT-diensten. In het register moet het officiële kenmerk van de dienstverlener worden vermeld.
Voor een in de EU geregistreerde ICT-dienstverlener die een rechtspersoon is, gebruikt het register bij voorkeur een LEI-nummer of EUID. Is geen van beide beschikbaar, dan mag een ander beschikbaar identificatienummer worden gebruikt. Voor een rechtspersoon buiten de EU is een LEI-nummer doorgaans het duidelijkste gestandaardiseerde kenmerk, maar niet in elke situatie de enige toegestane optie.
Wat is DORA?
DORA, oftewel de Digital Operational Resilience Act, is een verordening van de Europese Unie die tot doel heeft de weerbaarheid van de financiële sector tegen ICT-risico’s te versterken. Voorbeelden van zulke risico’s zijn cyberaanvallen, systeemstoringen, datalekken en dienstonderbrekingen.
DORA is op 16 januari 2023 in werking getreden en wordt toegepast vanaf 17 januari 2025.
DORA heeft niet alleen betrekking op de interne IT-systemen van banken. Het raakt ook dienstverleners van wie de diensten bepalend zijn voor de bedrijfsvoering van financiële instellingen.
Wie heeft met DORA te maken?
De belangrijkste verplichtingen van DORA gelden voor financiële instellingen. Denk hierbij aan banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, fondsbeheerders, handelsplatformen en aanbieders van cryptodiensten.
Financiële instellingen moeten hun ICT-risico’s beheren, dienstverleners beoordelen en een DORA-informatieregister bijhouden van alle contracten voor ICT-diensten.
ICT-dienstverleners krijgen vooral via de klantrelatie met DORA te maken. Als een dienstverlener ICT-diensten levert aan een financiële instelling die onder DORA valt, kan de financiële instelling de dienstverlener vragen om het kenmerk dat nodig is om het register in te vullen. Zo’n dienstverlener kan bijvoorbeeld zijn:
- een aanbieder van clouddiensten;
- een aanbieder van softwarediensten;
- een aanbieder van datahosting of gegevensverwerking;
- een aanbieder van cybersecuritydiensten;
- een aanbieder van IT-beheer of ondersteunende diensten;
- een IT-dienstverlener binnen de eigen groep.
Als een ICT-dienstverlener op grond van DORA wordt aangemerkt als kritieke dienstverlener, kan deze onder rechtstreeks toezicht komen te staan van de Europese toezichthoudende autoriteiten. Bij een gewone dienstverlener bestaat de impact meestal uit het feit dat de klant, een financiële instelling, de gegevens opvraagt die nodig zijn om het register in te vullen.
Wat is het DORA-informatieregister?
Het DORA-informatieregister is het register van een financiële instelling met contracten en dienstverleners voor ICT-diensten. In het register wordt onder meer vastgelegd:
- welke ICT-dienst wordt gebruikt;
- wie de dienst levert;
- welke functie van de financiële instelling de dienst ondersteunt;
- of de dienst een kritieke of belangrijke functie ondersteunt;
- in welk land de dienstverlener is gevestigd;
- aan de hand van welk kenmerk de dienstverlener wordt geïdentificeerd.
Het register heeft geen betrekking op alleen de meest kritieke IT-diensten. De financiële instelling moet alle contracten voor ICT-diensten vastleggen. Bij kritieke en belangrijke functies kan de omvang van de registergegevens uitgebreider zijn en ook bepaalde onderaannemers omvatten.
Hoe wordt een ICT-dienstverlener in het register geïdentificeerd?
In het DORA-informatieregister hangt het kenmerk af van de vraag of de dienstverlener een rechtspersoon of een natuurlijke persoon is, en waar deze is geregistreerd.
- De financiële instelling zelf wordt in het informatieregister geïdentificeerd aan de hand van het LEI-nummer.
- Een in de EU geregistreerde ICT-dienstverlener die een rechtspersoon is, kan worden geïdentificeerd aan de hand van het LEI-nummer of het EUID. Het EUID is een uniek Europees kenmerk dat wordt gebruikt in het Europese systeem van handelsregisters.
- Voor een buiten de EU geregistreerde ICT-dienstverlener kan geen EUID worden gebruikt. Een LEI-nummer is dan het meest gestandaardiseerde kenmerk. Als er geen LEI-nummer beschikbaar is, mag een ander beschikbaar identificatienummer worden gebruikt; een LEI kan wel vragen over de datakwaliteit helpen voorkomen.
- Voor een dienstverlener die een natuurlijke persoon is, kunnen andere toegestane kenmerken worden gebruikt, zoals een registratienummer, een btw-nummer of een ander gelijkwaardig kenmerk.
Wanneer is een LEI-nummer vanwege DORA nodig?
In de context van DORA is een LEI-nummer vooral in drie situaties nodig.
Ten eerste heeft de financiële instelling die onder DORA valt zelf een LEI-nummer nodig, omdat in het informatieregister het LEI-nummer wordt gebruikt om de financiële instelling te identificeren.
Ten tweede kan een buiten de EU geregistreerde ICT-dienstverlener een LEI-nummer nodig hebben als de financiële instelling dit als gestandaardiseerd kenmerk in haar DORA-informatieregister gebruikt. Als geen LEI beschikbaar is, kan een ander beschikbaar identificatienummer worden gebruikt.
Ten derde kan een LEI-nummer ook nodig zijn voor een in de EU geregistreerde ICT-dienstverlener, als de klant, een financiële instelling, vraagt om juist het LEI-nummer in het register te gebruiken. Hoewel voor een EU-rechtspersoon ook het EUID kan volstaan, is het LEI-nummer een internationaal bruikbaar en eenvoudig controleerbaar kenmerk.
Wanneer is een LEI-nummer niet nodig?
DORA vereist niet van elke onderneming een LEI-nummer.
Een LEI-nummer is vanwege DORA niet nodig als de onderneming geen financiële instelling is, geen ICT-diensten levert aan een financiële instelling die onder DORA valt, en geen enkele klant die een financiële instelling is, om het kenmerk van de onderneming vraagt voor het DORA-informatieregister.
Een in de EU geregistreerde ICT-dienstverlener heeft mogelijk ook geen LEI-nummer nodig als de financiële instelling in het register het EUID gebruikt en er geen andere reden is om een LEI-nummer te hebben.
Vervangt het EUID het LEI-nummer?
In het DORA-informatieregister kan het EUID het LEI-nummer vervangen voor een in de EU geregistreerde ICT-dienstverlener die een rechtspersoon is. Dit betekent niet dat het EUID het LEI-nummer in alle situaties vervangt.
Een LEI-nummer kan bijvoorbeeld nog steeds nodig zijn voor effectentransacties, rapportage van derivaten, het handelen bij een bank of broker, of als een internationale klant juist het LEI-nummer wil gebruiken.
Voor een buiten de EU geregistreerde ICT-dienstverlener kan het EUID niet worden gebruikt. Een LEI-nummer is dan doorgaans de duidelijkste keuze, maar als het ontbreekt, kan een ander beschikbaar identificatienummer worden gebruikt.
Het LEI-nummer moet geldig zijn
Als een LEI-nummer in het DORA-informatieregister wordt gebruikt, is het verstandig de registratie actueel te houden. Een verlopen status blijft zichtbaar in GLEIF en kan bij de financiële instelling vragen over de datakwaliteit oproepen.
Een verlopen LEI-nummer hoeft niet opnieuw te worden aangevraagd. Het bestaande nummer moet worden verlengd, en na bevestiging wordt de status weer actief. Het nummer zelf blijft hetzelfde.
Lees meer: LEI-nummer verlengen
Hoe vraagt u een LEI-nummer aan?
Het LEI-nummer kan online worden aangevraagd. Bij een Nederlandse onderneming worden de basisgegevens meestal automatisch opgehaald uit het handelsregister.
- Kies een passend pakket. Kies een pakket voor 1, 3 of 5 jaar.
- Voer de naam of het registratienummer van de onderneming in. Het systeem zoekt de gegevens van de onderneming automatisch op.
- Controleer de gegevens. Controleer of de bedrijfsnaam, het registratienummer, het adres en de contactgegevens juist zijn.
- Dien de aanvraag in en rond de betaling af. Na controle van de gegevens wordt het LEI-nummer uitgegeven en naar het e-mailadres verzonden.
Als de onderneming een LEI-nummer nodig heeft voor het DORA-informatieregister, is het verstandig het nummer aan te vragen voordat de financiële instelling de registergegevens moet indienen of bijwerken. Lees meer: Hoe vraagt u een LEI-nummer aan?
Veelgestelde vragen
Vereist DORA van alle ondernemingen een LEI-nummer?
Nee. DORA heeft vooral betrekking op financiële instellingen en hun ICT-dienstverleners. Voor andere ondernemingen vloeit uit DORA geen verplichting tot een LEI-nummer voort.
Moet elke ICT-dienstverlener een LEI-nummer aanvragen?
Nee. Voor een in de EU geregistreerde ICT-dienstverlener die een rechtspersoon is, kan in het DORA-informatieregister ook het EUID volstaan. Een LEI-nummer kan echter nodig zijn als de dienstverlener buiten de EU is geregistreerd of als de klant, een financiële instelling, om een LEI-nummer vraagt.
Is het EUID hetzelfde als het LEI-nummer?
Nee. Het EUID is een kenmerk dat wordt gebruikt in het Europese systeem van handelsregisters. Het LEI-nummer is een internationaal kenmerk voor rechtspersonen, dat op grote schaal wordt gebruikt op de financiële markten en in de rapportage.
Wie is verantwoordelijk voor het invullen van het DORA-informatieregister?
De financiële instelling is verantwoordelijk voor het invullen van het register. De ICT-dienstverlener moet meestal de benodigde gegevens aan de financiële instelling verstrekken, waaronder het LEI-nummer of een ander passend kenmerk.
Wie is verantwoordelijk voor het LEI-nummer van de ICT-dienstverlener?
Het LEI-nummer is het eigen kenmerk van de dienstverlener. De aanvraag wordt ingediend door de dienstverlener of een door hem gemachtigde persoon. De financiële instelling gebruikt dit kenmerk in haar DORA-informatieregister, maar de verplichting om het register bij te houden blijft bij de financiële instelling.
Wat gebeurt er als het LEI-nummer verlopen is?
Een verlopen LEI-nummer kan worden verlengd. Een actuele registratie voorkomt vragen over de datakwaliteit wanneer het nummer in het DORA-informatieregister wordt gebruikt.
Heeft een ICT-dienstverlener buiten de EU een LEI-nummer nodig?
Een LEI-nummer is voor een rechtspersoon buiten de EU doorgaans het duidelijkste gestandaardiseerde kenmerk. Als geen LEI beschikbaar is, kan in het DORA-informatieregister een ander beschikbaar identificatienummer worden gebruikt.