De Europese verordening digitale operationele weerbaarheid (DORA) is van toepassing met ingang van 17 januari 2025. Voor veel Europese bedrijven – met name die technologiediensten leveren aan financiële instellingen – introduceert deze verordening een concrete nieuwe vereiste voor financiële entiteiten: zij moeten voor elke derde aanbieder van ICT-diensten een gestandaardiseerde identificator registreren in hun informatieregister.
Wat is DORA?
DORA is een EU-verordening die is ontworpen om de digitale operationele weerbaarheid van de financiële sector te versterken. Ze is van toepassing op banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en een breed scala aan andere gereguleerde financiële entiteiten in alle EU-lidstaten.
Het centrale doel is ervoor te zorgen dat financiële entiteiten ICT-gerelateerde verstoringen kunnen weerstaan, erop kunnen reageren en ervan kunnen herstellen – of deze nu worden veroorzaakt door cyberaanvallen, systeemuitval of technologiestoringen bij derden.
Op wie is DORA van toepassing?
DORA is rechtstreeks van toepassing op gereguleerde financiële entiteiten die actief zijn binnen de EU. Bedrijven die ICT-diensten leveren aan deze entiteiten – zoals softwareontwikkeling, cloudhosting, data-analyse, cyberbeveiliging of andere technologiediensten – zijn zelf niet rechtstreeks onderworpen aan DORA, maar worden er wel rechtstreeks door beïnvloed. De DORA-vereisten rusten immers op de EU-klant, die voor elke ICT-aanbieder een gestandaardiseerde identificator moet opnemen in zijn register.
Op grond van DORA moeten financiële entiteiten een informatieregister bijhouden met alle contractuele regelingen voor ICT-diensten van derde ICT-dienstverleners.
Voor elke aanbieder in dit register is de financiële entiteit verplicht een gestandaardiseerde identificator te registreren:
- Voor aanbieders die rechtspersonen zijn die binnen de EU zijn gevestigd: een LEI of EUID
- Voor aanbieders die rechtspersonen zijn die niet binnen de EU zijn gevestigd: een LEI
Voor een nadere toelichting op hoe dit in de praktijk werkt, bespreekt de GBRIS blog in detail het automatiseren van het DORA ICT-register voor derde partijen met geverifieerde EUID-gegevens.
Dit betekent dat als uw bedrijf ICT-diensten levert aan een gereguleerde financiële instelling in de EU, uw klant een gestandaardiseerde identificator nodig heeft om u op te nemen in zijn DORA-register – een LEI. Afhankelijk van of u binnen of buiten de EU bent gevestigd, is een LEI of EUID vereist. Veel bedrijven kiezen echter voor een LEI omdat deze internationaal wordt erkend en ook buiten de DORA-registercontext kan worden gebruikt.
Wat is een LEI?
Een Legal Entity Identifier is een unieke code van 20 tekens die een rechtspersoon identificeert in financiële en regelgevende systemen wereldwijd. Het wordt uitgegeven door GLEIF-geaccrediteerde LEI-uitgevers (ook bekend als Local Operating Units, of LOU’s), vaak toegankelijk via registratieagenten, en wordt wereldwijd veel gebruikt in financiële regelgevingskaders, waaronder EMIR, MiFID II, SFTR en andere.
U kunt controleren of uw entiteit al een LEI heeft via het publieke zoekgereedschap van GLEIF.
De verlengingsvereiste
Een LEI is geen eenmalige registratie. Het moet jaarlijks worden verlengd om actief te blijven. Een verlopen LEI blijft een geldig identificator in het GLEIF-systeem, maar geeft aan dat verlenging te lang op zich laat wachten – en sommige tegenpartijen en onboardingprocessen geven er de voorkeur aan dat het actueel is.
Volgens GLEIF-gegevens bedraagt het wereldwijde LEI-verlengingspercentage ongeveer 62%. Dit betekent dat een aanzienlijk deel van de wereldwijd geregistreerde LEI’s momenteel niet op tijd wordt verlengd.
Voordat u ervan uitgaat dat de LEI van uw bedrijf geldig is, is het de moeite waard om de huidige status te verifiëren in het GLEIF-register.
Wat nu te doen
Controleer of uw bedrijf een actieve LEI heeft. Gebruik het openbare GLEIF-register om de status te verifiëren. Als uw LEI is verlopen, kunt u dit snel verlengen op onze website.
Registreer een LEI als u er nog geen heeft. DORA is al van kracht en financiële instellingen bouwen actief hun ICT-registers op en voeren audits uit. Afhankelijk van of uw bedrijf binnen of buiten de EU is gevestigd, is een LEI of EUID het vereiste identificator. Veel bedrijven kiezen echter voor een LEI omdat het internationaal wordt erkend en ook buiten de DORA-registercontext kan worden gebruikt.
Zorg dat uw LEI-gegevens up-to-date zijn. Verouderde entiteitsinformatie is een veelvoorkomend probleem dat problemen kan veroorzaken bij onboarding van klanten en regelgevingscontroles.
U kunt een nieuwe LEI registreren of een bestaande verlengen via LEI Nederland – een officiële LEI-registratieagent die opereert onder EQS Group GmbH, een GLEIF-geaccrediteerde Local Operating Unit.