Što je DORA?
Zakon o digitalnoj operativnoj otpornosti — poznat kao DORA — je
Uredba (EU) 2022/2554, koju su Europski parlament i Vijeće usvojili 14. prosinca 2022. EU ju je objavila u Službenom listu 27. prosinca 2022. Stupila je na snagu 16. siječnja 2023., a u potpunosti se počela primjenjivati
17. siječnja 2025.
DORA rješava specifičnu prazninu u regulaciji financijskog sektora EU-a. Prije DORA-e, financijske institucije upravljale su operativnim rizikom prvenstveno izdvajanjem kapitala. Međutim, takav pristup nije na odgovarajući način obuhvaćao poremećaje povezane s ICT-om, koji mogu istovremeno pogoditi mnoge institucije kada zajednički tehnološki pružatelj usluga zakaže. Zbog toga DORA uvodi jedinstveni okvir na razini EU-a za upravljanje ICT rizikom, izvještavanje o incidentima, testiranje operativne otpornosti i nadzor pružatelja tehnoloških usluga trećih strana.
Tko mora poštovati DORA-u?
DORA se primjenjuje na dvije glavne skupine organizacija uključenih u usluge informacijsko-komunikacijske tehnologije (ICT) u financijskom sektoru.
Prva skupina su
financijski subjekti. Uključuju kreditne institucije, platne institucije, institucije za elektronički novac, investicijska društva, društva za osiguranje i reosiguranje, pružatelje usluga kripto-imovine, središnje depozitorije vrijednosnih papira, središnje druge ugovorne strane i mjesta trgovanja, među ostalima navedenima u članku 2. Uredbe.
Druga skupina su
pružatelji ICT usluga trećih strana — tvrtke koje pružaju tehnološke usluge financijskim subjektima. Ova skupina uključuje pružatelje usluga računalstva u oblaku, razvojne tvrtke softvera, tvrtke za analitiku podataka, tvrtke za kibernetičku sigurnost, pružatelje podatkovnih centara i svakog drugog pružatelja čije usluge podupiru poslovanje regulirane financijske institucije.
Važno je napomenuti da DORA obuhvaća i
ICT pružatelje s poslovnim nastanom izvan EU-a. Ako tehnološka tvrtka iz Sjedinjenih Američkih Država, Ujedinjenog Kraljevstva ili Azije pruža usluge financijskim institucijama reguliranima u EU-u, DORA se primjenjuje na taj odnos.
Zahtjev za LEI prema DORA-i
DORA zahtijeva da financijski subjekti vode detaljan
Registar informacija koji obuhvaća sve njihove pružatelje ICT usluga trećih strana.
Provedbena uredba Komisije (EU) 2024/2956, objavljena 2. prosinca 2024., propisuje standardne obrasce za taj registar.
Članak 3. stavak 5. te provedbene uredbe izravno navodi:
„Financijski subjekti koriste valjani i aktivni identifikator pravne osobe (LEI) ili europski jedinstveni identifikator iz članka 16. Direktive (EU) 2017/1132 (‚EUID’), a kada je dostupno, oba ta identifikatora, za identifikaciju svih svojih pružatelja ICT usluga trećih strana koji su pravne osobe, osim fizičkih osoba koje djeluju u poslovnom svojstvu.”
Drugim riječima, svaki pružatelj ICT usluga treće strane koji je pravna osoba mora biti moguće identificirati putem
valjanog i aktivnog LEI-ja ili EUID-a. Oba moraju biti važeća. Istekli LEI ne zadovoljava ovaj zahtjev.
LEI ili EUID — koji se odnosi na vas?
Oba identifikatora zadovoljavaju zahtjeve DORA-e, ali obuhvaćaju različite situacije. Razumijevanje razlike pomaže vam da odaberete pravi.
LEI (identifikator pravne osobe) je globalno prepoznat alfanumerički kod od 20 znakova temeljen na
ISO standardu 17442.
Global Legal Entity Identifier Foundation (GLEIF) upravlja
globalnim LEI sustavom i javno objavljuje sve LEI podatke u
globalnom LEI indeksu. LEI obuhvaća pravne osobe u više od 200 jurisdikcija, a uključuje i podatke o vlasništvu i kontroli.
EUID (europski jedinstveni identifikator) povezan je sa sustavom povezivanja poslovnih registara EU-a (BRIS). Budući da se povezuje isključivo s nacionalnim registrima EU-a, obuhvaća samo subjekte registrirane u državama članicama EU-a.
Provedbena uredba ovdje uvodi ključnu razliku: ICT pružatelji
s poslovnim nastanom izvan EU-a moraju se identificirati isključivo LEI-jem. EUID jednostavno nije dostupan subjektima izvan EU-a. Zbog toga je LEI jedini valjani identifikator za svakog pružatelja koji posluje izvan EU-a.
Za pružatelje s poslovnim nastanom u EU-u prihvatljiv je bilo koji od ta dva identifikatora. Međutim, za globalno poslovanje ili pružatelje s izloženošću izvan EU-a, LEI je bolji izbor zbog svoje međunarodne prepoznatljivosti i šire pokrivenosti podacima.
Što u praksi znače „valjan i aktivan”
Provedbena uredba izričito zahtijeva
valjani i aktivni LEI. To se odnosi na status koji se prikazuje u
globalnoj GLEIF bazi podataka.
LEI sa statusom
„Issued” (izdan) je valjan i aktivan, te time zadovoljava zahtjeve DORA-e. LEI sa statusom
„Lapsed” (istekao) je nevažeći, pa prema tome ne zadovoljava zahtjev. Financijski subjekti ne mogu u svojem Registru informacija zabilježiti istekli LEI kao usklađeni identifikator.
LEI ostaje valjan godinu dana od datuma izdavanja ili posljednje obnove. Nakon toga, vlasnik ga mora obnoviti da bi zadržao aktivan status. Tijekom obnove, organizacija koja izdaje LEI ponovno provjerava referentne podatke subjekta — uključujući pravni naziv, registriranu adresu i strukturu vlasništva — u odnosu na službene registarske izvore. Ovaj postupak osigurava da podaci u globalnoj LEI bazi podataka ostanu točni i aktualni.
Status bilo kojeg LEI-ja možete provjeriti pomoću
GLEIF alata za pretragu LEI ili putem
LEI System pretrage.
Zašto je LEI praktični standard za usklađenost s DORA-om
Regulatori DORA-e odabrali su LEI jer rješava problem koji nijedan nacionalni identifikator ne može riješiti: dosljednu, prekograničnu identifikaciju pravnih osoba u jedinstvenom, globalno prepoznatom formatu.
Nacionalni registracijski brojevi tvrtki znatno se razlikuju od zemlje do zemlje, nisu uvijek strojno čitljivi i uopće ne obuhvaćaju subjekte izvan EU-a. LEI, s druge strane, pruža jedan dosljedan kod za bilo koju pravnu osobu, bez obzira na to gdje je osnovana. Osim toga, budući da su LEI podaci javno dostupni i provjerljivi, financijske institucije mogu odmah provjeriti podatke o pružatelju bez traženja dokumentacije.
Za financijske institucije koje upravljaju brojnim ICT dobavljačima u različitim zemljama, ova standardizacija znatno smanjuje administrativnu složenost usklađivanja s DORA-om. Jedna pretraga LEI broja donosi provjerene podatke o pravnom nazivu pružatelja, registracijskim detaljima i strukturi vlasništva — sve što je izravno relevantno za obveze upravljanja rizikom trećih strana prema DORA-i.
Za ICT pružatelje, posjedovanje valjanog LEI-ja klijentima iz financijskih institucija olakšava njihovo pravilno uključivanje u DORA registar. Pružatelji bez valjanog LEI-ja, s druge strane, svojim klijentima stvaraju praznine u usklađenosti i time rizikuju narušavanje poslovnog odnosa. GLEIF nudi dodatne informacije o tome kako LEI u tome pomaže u svojem pregledu
regulatorne upotrebe LEI-ja.
Što ICT pružatelji trebaju učiniti sada
Provjerite imate li valjani LEI. Ako pružate ICT usluge bilo kojoj financijskoj instituciji reguliranoj u EU-u, vaš klijent mora vas identificirati u svojem DORA Registru informacija. Kontaktirajte ih kako biste potvrdili jesu li zabilježili vaš LEI i je li trenutno aktivan.
Registrirajte LEI ako ga još nemate. Postupak je u potpunosti digitalan i za većinu jurisdikcija dovršava se u roku od 24 sata. Potrebno je navesti pravni naziv tvrtke, registriranu adresu i registracijski broj. U većini slučajeva sustav automatski provjerava te podatke u odnosu na službene poslovne registre. LEI System je akreditirani GLEIF registracijski agent. Danas možete
pokrenuti zahtjev za LEI.
Obnovite svoj LEI ako je istekao. Istekli LEI mora se obnoviti prije nego što ga vaši klijenti mogu koristiti u DORA registru. Obnova vraća status „Issued” (izdan) i ponovno potvrđuje referentne podatke vaše tvrtke. Svoj LEI možete
brzo obnoviti putem LEI System.
Održavajte svoje LEI podatke ažurnima. Ako se naziv vaše tvrtke, registrirana adresa ili struktura vlasništva promijenila, ažurirajte referentne podatke svog LEI-ja. Zastarjeli LEI podaci stvaraju probleme s usklađenošću vašim klijentima iz financijskih institucija kada podnose svoj registar nacionalnim tijelima.
DORA u kontekstu širih propisa EU-a
DORA ne djeluje izolirano. Postoji uz druge propise EU-a koji također koriste LEI kao standardni identifikator za pravne osobe, uključujući izvještavanje o transakcijama prema MiFID II, izvještavanje o izvedenicama prema EMIR-u i Uredbu EU-a o trenutnim plaćanjima. Za financijske subjekte koji već koriste LEI za izvještavanje o transakcijama, DORA tako dodaje novu dimenziju, a ne u potpunosti novi sustav.
Osim toga, DORA je izravno povezana s Direktivom NIS2 (Direktiva (EU) 2022/2555) o kibernetičkoj sigurnosti. DORA za financijske subjekte funkcionira kao sektorski specifičan propis prema NIS2. Više o NIS2 i LEI-ju možete pročitati u članku
NIS2 i LEI na ovoj stranici. Za širi pregled načina na koji LEI funkcionira u financijskim propisima EU-a, pogledajte
Kako LEI funkcionira u praksi u EU-u.
DORA i LEI — ključne činjenice ukratko
Što je DORA? Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti financijskog sektora.
Od kada se DORA primjenjuje? Od 17. siječnja 2025.
Tko mora biti usklađen? Financijski subjekti u EU-u i njihovi pružatelji ICT usluga trećih strana, uključujući pružatelje izvan EU-a koji opslužuju financijske institucije u EU-u.
Što DORA zahtijeva za identifikaciju ICT pružatelja? Valjani i aktivni LEI ili EUID, kako je propisano Provedbenom uredbom Komisije (EU) 2024/2956.
Koji identifikator vrijedi za ICT pružatelje izvan EU-a? Samo LEI. EUID obuhvaća samo subjekte registrirane u EU-u.
Koji status LEI-ja zadovoljava DORA-u? Samo status „Issued” (izdan). LEI sa statusom „Lapsed” (istekao) ne zadovoljava zahtjev.
Gdje mogu registrirati ili obnoviti LEI? Putem akreditiranog GLEIF registracijskog agenta, kao što je
LEI System.
