Šta je DORA?
Zakon o digitalnoj operativnoj otpornosti — poznat kao DORA — predstavlja
Uredbu (EU) 2022/2554, koju su Evropski parlament i Savet usvojili 14. decembra 2022. godine. EU ju je objavila u Službenom listu 27. decembra 2022. Stupila je na snagu 16. januara 2023, a puna primena počela je
17. januara 2025.
DORA popunjava konkretnu prazninu u finansijskoj regulativi EU. Pre DORA-e, finansijske institucije su operativni rizik upravljale prvenstveno izdvajanjem kapitala. Međutim, taj pristup nije adekvatno pokrivao prekide vezane za ICT, koji mogu istovremeno pogoditi mnoge institucije kada zakaže deljeni tehnološki provajder. Zbog toga DORA uvodi jedinstveni okvir na nivou EU za upravljanje ICT rizikom, prijavljivanje incidenata, testiranje operativne otpornosti i nadzor nad provajderima tehnologije trećih strana.
Ko mora da se usaglasi sa DORA-om?
DORA se odnosi na dve glavne grupe organizacija uključenih u informaciono-komunikacione tehnologije (ICT) u finansijskom sektoru.
Prvu grupu čine
finansijski subjekti. Ovde spadaju kreditne institucije, platne institucije, institucije za elektronski novac, investicione firme, osiguravajuća i reosiguravajuća društva, provajderi usluga kripto-imovine, centralni depoziti hartija od vrednosti, centralne druge ugovorne strane i mesta trgovanja, između ostalih navedenih u članu 2. uredbe.
Drugu grupu čine
ICT provajderi trećih strana — kompanije koje pružaju tehnološke usluge finansijskim subjektima. Ova grupa obuhvata provajdere cloud računarstva, razvijače softvera, firme za analizu podataka, kompanije za sajber bezbednost, provajdere podatkovnih centara i sve druge provajdere čije usluge podržavaju poslovanje regulisane finansijske institucije.
Važno je napomenuti da DORA obuhvata i
ICT provajdere sa sedištem van EU. Ako tehnološka kompanija u Sjedinjenim Državama, Ujedinjenom Kraljevstvu ili Aziji pruža usluge finansijskim institucijama regulisanim u EU, DORA se primenjuje na taj odnos. Ovo je posebno relevantno za srpske kompanije koje pružaju ICT usluge klijentima u EU.
Zahtev za LEI prema DORA-i
DORA zahteva da finansijski subjekti vode detaljan
Registar informacija koji obuhvata sve njihove ICT provajdere trećih strana.
Sprovedbena uredba Komisije (EU) 2024/2956, objavljena 2. decembra 2024, propisuje standardne šablone za ovaj registar.
Član 3(5) te sprovedbene uredbe navodi direktno:
"Finansijski subjekti koriste važeći i aktivan identifikator pravnog lica (LEI) ili Evropski jedinstveni identifikator naveden u članu 16. Direktive (EU) 2017/1132 ('EUID'), a kada je moguće oba ova identifikatora, kako bi identifikovali sve svoje ICT provajdere trećih strana koji su pravna lica, izuzev fizičkih lica koja deluju u poslovnom svojstvu."
Drugim rečima, svaki ICT provajder treće strane koji je pravno lice mora biti moguće identifikovati putem
važećeg i aktivnog LEI broja ili EUID broja. Oba moraju biti ažurna. Istekli LEI ne zadovoljava ovaj uslov.
LEI ili EUID — koji se odnosi na vas?
Oba identifikatora zadovoljavaju zahteve DORA-e, ali pokrivaju različite situacije. Razumevanje razlike pomaže vam da izaberete pravilno.
LEI (identifikator pravnog lica) je globalno priznat alfanumerički kod od 20 znakova zasnovan na
ISO standardu 17442.
Globalna fondacija za identifikatore pravnih lica (GLEIF) upravlja
Globalnim LEI sistemom i čini sve LEI podatke javno dostupnim u
Globalnom LEI indeksu. LEI pokriva pravna lica u više od 200 jurisdikcija i takođe uključuje podatke o vlasništvu i kontroli.
EUID (Evropski jedinstveni identifikator) povezan je sa Sistemom povezivanja poslovnih registara EU (BRIS). Pošto se povezuje isključivo sa nacionalnim registrima EU, pokriva samo subjekte registrovane u državama članicama EU.
Ovde sprovedbena uredba pravi ključnu razliku: ICT provajderi
osnovani van EU moraju biti identifikovani isključivo putem LEI broja. EUID jednostavno nije dostupan za subjekte van EU. Kao rezultat, LEI je jedini validan identifikator za bilo kog provajdera koji posluje van EU — što je direktno relevantno za srpske ICT provajdere.
Za provajdere sa sedištem u EU, može se koristiti bilo koji od identifikatora. Međutim, za globalno poslovanje ili provajdere sa izlaganjem van EU, LEI je bolji izbor zbog svog međunarodnog priznanja i šireg obuhvata podataka.
Šta u praksi znači "važeći i aktivan"
Sprovedbena uredba konkretno zahteva LEI koji je
važeći i aktivan. Ovo se odnosi na status koji se prikazuje u
globalnoj GLEIF bazi podataka.
LEI sa statusom
"Issued" (izdat) je važeći i aktivan, i stoga zadovoljava DORA zahteve. LEI sa statusom
"Lapsed" (istekao) je istekao i posledično ne zadovoljava zahtev. Finansijski subjekti ne mogu evidentirati istekli LEI kao usklađen identifikator u svom Registru informacija.
LEI ostaje važeći godinu dana od datuma izdavanja ili poslednje obnove. Nakon toga, vlasnik mora da ga obnovi kako bi zadržao aktivan status. Tokom obnove, organizacija koja izdaje LEI ponovo proverava referentne podatke subjekta — uključujući pravni naziv, registrovanu adresu i strukturu vlasništva — u odnosu na zvanične registarske izvore. Ovaj proces obezbeđuje da podaci u globalnoj LEI bazi ostanu tačni i ažurni.
Status bilo kog LEI možete proveriti pomoću
GLEIF alata za pretragu LEI ili putem
pretrage LEI System-a.
Zašto je LEI praktični standard za usklađenost sa DORA-om
Regulatori DORA-e izabrali su LEI jer rešava problem koji nijedan nacionalni identifikator ne može: dosledna, prekogranična identifikacija pravnih lica u jedinstvenom, globalno priznatom formatu.
Nacionalni registracioni brojevi kompanija znatno se razlikuju od zemlje do zemlje, nisu uvek mašinski čitljivi i uopšte ne pokrivaju subjekte van EU. LEI, s druge strane, pruža jedan dosledan kod za bilo koje pravno lice, bez obzira gde je osnovano. Dodatno, pošto su LEI podaci javno dostupni i proverljivi, finansijske institucije mogu trenutno proveriti podatke o provajderu bez traženja dokumentacije.
Za finansijske institucije koje upravljaju mnogim ICT dobavljačima iz različitih zemalja, ova standardizacija značajno smanjuje administrativnu složenost usklađivanja sa DORA-om. Jedna LEI pretraga pruža proverene informacije o pravnom nazivu provajdera, registracionim detaljima i strukturi vlasništva — a sve to je direktno relevantno za obaveze DORA-e u vezi sa upravljanjem rizikom trećih strana.
Za ICT provajdere, posedovanje važećeg LEI olakšava klijentima – finansijskim institucijama – da ih pravilno uključe u svoj DORA registar. S druge strane, provajderi bez važećeg LEI stvaraju praznine u usklađenosti za svoje klijente i time rizikuju narušavanje poslovnog odnosa. GLEIF pruža dodatne informacije o tome kako LEI ovo podržava u svom pregledu
regulatorne upotrebe LEI.
Šta ICT provajderi treba odmah da urade
Proverite da li imate važeći LEI. Ako pružate ICT usluge bilo kojoj finansijskoj instituciji regulisanoj u EU, vaš klijent mora da vas identifikuje u svom DORA Registru informacija. Kontaktirajte ih da potvrdite da li su evidentirali vaš LEI i da li je trenutno aktivan.
Registrujte LEI ako ga još nemate. Proces je u potpunosti digitalan i završava se u roku od 24 sata u većini jurisdikcija. Potrebno je da dostavite pravni naziv vaše kompanije, registrovanu adresu i registracioni broj. U većini slučajeva, sistem automatski proverava ove podatke u odnosu na zvanične poslovne registre. LEI System je akreditovani GLEIF registracioni agent. Možete
započeti registraciju LEI danas.
Obnovite svoj LEI ako je istekao. Istekli LEI mora biti obnovljen pre nego što vaši klijenti mogu da ga koriste u DORA registru. Obnova vraća status "Issued" i ponovo proverava referentne podatke vaše kompanije. Svoj LEI možete
brzo obnoviti preko LEI System-a.
Održavajte svoje LEI podatke ažurnim. Ako se naziv kompanije, registrovana adresa ili struktura vlasništva promenila, ažurirajte referentne podatke svog LEI u skladu s tim. Zastareli LEI podaci stvaraju komplikacije u usklađenosti za vaše klijente – finansijske institucije – kada podnose svoj registar nacionalnim organima.
DORA u kontekstu šire regulative EU
DORA ne funkcioniše izolovano. Postoji zajedno sa drugim propisima EU koji takođe koriste LEI kao standardni identifikator pravnih lica, uključujući izveštavanje o transakcijama prema MiFID II, izveštavanje o derivatima prema EMIR i Uredbu EU o instant plaćanjima. Za finansijske subjekte koji već koriste LEI za izveštavanje o transakcijama, DORA stoga dodaje novu dimenziju, a ne potpuno nov sistem.
Dodatno, DORA se direktno povezuje sa Direktivom NIS2 (Direktiva (EU) 2022/2555) o sajber bezbednosti. DORA funkcioniše kao sektorski specifičan akt u okviru NIS2 za finansijske subjekte. Više o NIS2 i LEI možete pročitati u članku
NIS2 i LEI na ovom sajtu. Za širi pregled toga kako LEI funkcioniše u okviru finansijske regulative EU, pogledajte
Kako LEI funkcioniše u praksi u EU.
DORA i LEI — ključne činjenice ukratko
Šta je DORA? Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za finansijski sektor.
Kada je DORA postala primenjiva? 17. januara 2025.
Ko mora da se usaglasi? Finansijski subjekti EU i njihovi ICT provajderi trećih strana, uključujući provajdere van EU koji pružaju usluge finansijskim institucijama u EU.
Šta DORA zahteva za identifikaciju ICT provajdera? Važeći i aktivan LEI ili EUID, kako je navedeno u Sprovedbenoj uredbi Komisije (EU) 2024/2956.
Koji identifikator se odnosi na ICT provajdere van EU? Samo LEI. EUID pokriva samo subjekte registrovane u EU.
Koji status LEI zadovoljava DORA-u? Samo "Issued" (izdat). LEI sa statusom "Lapsed" (istekao) ne zadovoljava zahtev.
Gde mogu da registrujem ili obnovim LEI? Preko akreditovanog GLEIF registracionog agenta poput
LEI System.
