Die EU-Verordnung zur digitalen operationalen Resilienz (DORA) gilt seit dem 17. Januar 2025. Für viele europäische Unternehmen – insbesondere solche, die Technologiedienstleistungen für Finanzinstitute erbringen – führt diese Verordnung eine neue konkrete Anforderung für Finanzunternehmen ein: Sie müssen für jeden IKT-Drittanbieter in ihrem Informationsregister eine standardisierte Kennung erfassen.
Was ist DORA?
DORA ist eine EU-Verordnung, die darauf ausgelegt ist, die digitale operationale Resilienz des Finanzsektors zu stärken. Sie gilt für Banken, Versicherungsunternehmen, Wertpapierfirmen, Zahlungsinstitute und eine Vielzahl weiterer regulierter Finanzunternehmen in allen EU-Mitgliedstaaten.
Ihr zentrales Ziel ist es sicherzustellen, dass Finanzunternehmen IKT-bezogene Störungen widerstehen, darauf reagieren und sich davon erholen können – unabhängig davon, ob diese durch Cyberangriffe, Systemausfälle oder technologische Unterbrechungen bei Drittanbietern verursacht werden.
Wen betrifft DORA?
DORA gilt direkt für regulierte Finanzunternehmen. Ihr Anwendungsbereich erstreckt sich jedoch weit über den Finanzsektor hinaus.
Gemäß DORA müssen Finanzunternehmen ein Informationsregister führen, das alle vertraglichen Vereinbarungen für IKT-Dienstleistungen abdeckt, die von IKT-Drittanbietern erbracht werden.
Für jeden Anbieter in diesem Register ist das Finanzunternehmen verpflichtet, eine standardisierte Kennung zu erfassen:
- Für Anbieter, die juristische Personen mit Sitz in der EU sind: eine LEI oder eine EUID
- Für Anbieter, die juristische Personen ohne Sitz in der EU sind: eine LEI
Einen genaueren Blick auf die praktische Umsetzung bietet der GBRIS-Blog, der ausführlich die Automatisierung des DORA-IKT-Drittanbieterregisters mit verifizierten EUID-Daten behandelt.
Das bedeutet: Wenn Ihr Unternehmen IKT-Dienstleistungen für ein reguliertes Finanzinstitut in der EU erbringt, benötigt Ihr Kunde eine standardisierte Kennung, um Sie in sein DORA-Register aufzunehmen – eine LEI, wenn Ihr Unternehmen außerhalb der EU ansässig ist, oder eine LEI oder EUID, wenn es innerhalb der EU ansässig ist. Ohne diese Kennung kann das Onboarding oder die Due-Diligence-Prüfung verzögert werden, während der Kunde sein DORA-Register vervollständigt.
Was ist eine LEI?
Der Legal Entity Identifier ist ein eindeutiger 20-stelliger Code, der eine juristische Person in Finanz- und Aufsichtssystemen weltweit identifiziert. Er wird von GLEIF-akkreditierten LEI-Ausstellern (auch bekannt als Local Operating Units oder LOUs) ausgestellt, die häufig über Registrierungsagenten zugänglich sind, und wird in europäischen Regulierungsrahmen weit verbreitet eingesetzt, darunter MiFID II und EMIR – – und gemäß DORA ist er einer der akzeptierten Identifikatoren im Rahmen des IKT-Drittanbieterregisters.
Den LEI-Status einer beliebigen Einheit können Sie kostenlos über das öffentliche GLEIF-Register abrufen.
Die Erneuerungspflicht
Eine LEI ist keine einmalige Registrierung. Sie muss jährlich erneuert werden, um aktiv zu bleiben. Eine abgelaufene LEI bleibt ein gültiger Identifikator im GLEIF-System, signalisiert jedoch, dass die Erneuerung fällig ist – und einige Geschäftspartner und Onboarding-Prozesse bevorzugen eine aktuelle LEI.
Laut GLEIF-Daten liegt die globale durchschnittliche LEI-Erneuerungsrate in der EU bei ca. 62 %. Das bedeutet, dass ein erheblicher Anteil der registrierten LEIs in der EU nicht rechtzeitig erneuert wird.
Bevor Sie davon ausgehen, dass die LEI Ihres Unternehmens gültig ist, lohnt es sich, den aktuellen Status in der GLEIF-Datenbank zu überprüfen.
Was sollten Sie jetzt tun?
Prüfen Sie, ob Ihr Unternehmen eine aktive LEI hat. Nutzen Sie das öffentliche GLEIF-Register zur Überprüfung des Status. Wenn Ihre LEI abgelaufen ist, können Sie sie schnell auf unserer Website erneuern.
Registrieren Sie eine LEI wenn Sie noch keine haben. DORA gilt bereits und Finanzinstitute bauen aktiv ihre IKT-Register auf und prüfen diese. Überprüfen Sie, welchen Identifikator Ihr Kunde von Ihnen benötigt. Wenn Ihr Unternehmen eine juristische Person ist, die außerhalb der EU ansässig ist, ist dies in der Regel eine LEI. Wenn Ihr Unternehmen eine juristische Person ist, die innerhalb der EU ansässig ist, kann Ihr Kunde entweder eine LEI oder eine EUID verwenden. Viele Unternehmen wählen weiterhin die LEI, da sie international anerkannt ist und über den DORA-Registerkontext hinaus verwendet werden kann.
Halten Sie Ihre LEI-Daten aktuell. Veraltete Unternehmensinformationen sind ein häufiges Problem, das zu Schwierigkeiten beim Kunden-Onboarding und bei Aufsichtsprüfungen führen kann.
Sie können eine neue LEI registrieren oder eine vorhandene über DeutscheLEI erneuern – einem offiziellen LEI-Registrierungsagenten, der unter der EQS Group GmbH, einer GLEIF-akkreditierten Local Operating Unit, tätig ist. Die Registrierung erfolgt vollständig online und wird in der Regel innerhalb von 24 Stunden abgeschlossen.