DORA und die LEI-Nummer: für wen und wann relevant?
DORA bedeutet nicht, dass jedes Technologieunternehmen eine LEI-Nummer beantragen muss. Der Bedarf an einer LEI-Nummer entsteht dann, wenn ein Unternehmen im DORA-Informationsregister eindeutig identifiziert werden muss.
DORA gilt in erster Linie für Finanzunternehmen. Finanzunternehmen müssen ein Register über ihre Verträge und Dienstleister im Bereich Informations- und Kommunikationstechnologie (IKT) führen. Im Register ist die offizielle Kennung des Dienstleisters anzugeben.
Bei einem in der EU registrierten IKT-Dienstleister, der eine juristische Person ist, kann diese Kennung die LEI-Nummer oder die EUID sein. Bei einer außerhalb der EU registrierten juristischen Person wird eine LEI-Nummer vorausgesetzt.
Was ist DORA?
DORA, der Digital Operational Resilience Act, ist eine Verordnung der Europäischen Union, die die Widerstandsfähigkeit des Finanzsektors gegenüber IKT-Risiken stärken soll. Zu solchen Risiken zählen zum Beispiel Cyberangriffe, Systemausfälle, Datenlecks und Dienstunterbrechungen.
DORA trat am 16. Januar 2023 in Kraft und gilt seit dem 17. Januar 2025.
DORA befasst sich nicht nur mit den internen IT-Systemen der Banken. Die Verordnung betrifft auch Dienstleister, von deren Leistungen die Tätigkeit der Finanzunternehmen abhängt.
Wen betrifft DORA?
Die wesentlichen Pflichten aus DORA treffen Finanzunternehmen. Dazu zählen zum Beispiel Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, Fondsverwalter, Handelsplätze und Anbieter von Krypto-Dienstleistungen.
Finanzunternehmen müssen ihre IKT-Risiken steuern, ihre Dienstleister bewerten und ein DORA-Informationsregister über alle IKT-Dienstleistungsverträge führen.
IKT-Dienstleister kommen vor allem über die Kundenbeziehung mit DORA in Berührung. Erbringt ein Dienstleister eine IKT-Dienstleistung für ein Finanzunternehmen, das in den Anwendungsbereich von DORA fällt, kann das Finanzunternehmen vom Dienstleister die für das Register erforderliche Kennung anfordern. Ein solcher Dienstleister kann zum Beispiel sein:
- ein Anbieter von Cloud-Diensten;
- ein Anbieter von Softwarediensten;
- ein Anbieter von Datenhosting oder Datenverarbeitung;
- ein Anbieter von Cybersicherheitsdiensten;
- ein Anbieter von IT-Management- oder Supportdiensten;
- ein konzerninterner IT-Dienstleister.
Wird ein IKT-Dienstleister nach DORA als kritischer Dienstleister eingestuft, kann er der direkten Aufsicht der europäischen Aufsichtsbehörden unterliegen. Bei einem gewöhnlichen Dienstleister besteht die Auswirkung meist darin, dass der Kunde aus dem Finanzsektor die für das Register erforderlichen Angaben anfordert.
Was ist das DORA-Informationsregister?
Das DORA-Informationsregister ist ein Register des Finanzunternehmens über seine IKT-Dienstleistungsverträge und Dienstleister. Im Register wird unter anderem erfasst:
- welche IKT-Dienstleistung genutzt wird;
- wer die Dienstleistung erbringt;
- welche Funktion des Finanzunternehmens die Dienstleistung unterstützt;
- ob die Dienstleistung eine kritische oder wichtige Funktion unterstützt;
- in welchem Land der Dienstleister ansässig ist;
- anhand welcher Kennung der Dienstleister identifiziert wird.
Das Register beschränkt sich nicht nur auf die kritischsten IT-Dienstleistungen. Das Finanzunternehmen muss alle IKT-Dienstleistungsverträge erfassen. Bei kritischen und wichtigen Funktionen kann der Umfang der Registerdaten umfassender sein und auch bestimmte Unterauftragnehmer einschließen.
Wie wird der IKT-Dienstleister im Register identifiziert?
Im DORA-Informationsregister hängt die verwendete Kennung davon ab, ob der Dienstleister eine juristische Person oder ein Einzelunternehmer ist und wo er registriert ist.
- Das Finanzunternehmen selbst wird im Informationsregister anhand der LEI-Nummer identifiziert.
- Ein in der EU registrierter IKT-Dienstleister, der eine juristische Person ist, kann anhand der LEI-Nummer oder der EUID identifiziert werden. Die EUID ist eine im europäischen System der Unternehmensregister verwendete eindeutige europäische Kennung.
- Bei einem außerhalb der EU registrierten IKT-Dienstleister, der eine juristische Person ist, wird eine LEI-Nummer vorausgesetzt. Fehlt die LEI-Nummer, kann die Verwendung einer anderen Kennung zu Problemen bei der Datenqualität führen. Deshalb ist die LEI-Nummer bei Dienstleistern aus Drittstaaten die verlässlichste Lösung.
- Bei einem Einzelunternehmer als Dienstleister können andere zulässige Kennungen verwendet werden, zum Beispiel eine Registernummer, eine Umsatzsteuer-Identifikationsnummer oder eine andere gleichwertige Kennung.
Wann ist eine LEI-Nummer wegen DORA erforderlich?
Im Rahmen von DORA ist eine LEI-Nummer vor allem in drei Situationen erforderlich.
Erstens benötigt das Finanzunternehmen, das in den Anwendungsbereich von DORA fällt, selbst eine LEI-Nummer, da im Informationsregister die LEI-Nummer zur Identifizierung des Finanzunternehmens verwendet wird.
Zweitens ist eine LEI-Nummer für einen außerhalb der EU registrierten IKT-Dienstleister erforderlich, der eine juristische Person ist, wenn er in das DORA-Informationsregister eines EU-Finanzunternehmens aufgenommen werden muss.
Drittens kann eine LEI-Nummer auch für einen in der EU registrierten IKT-Dienstleister erforderlich sein, wenn der Kunde aus dem Finanzsektor im Register ausdrücklich die LEI-Nummer verwenden möchte. Auch wenn bei einer juristischen Person aus der EU die EUID geeignet sein kann, ist die LEI-Nummer eine international nutzbare und leicht überprüfbare Kennung.
Wann ist keine LEI-Nummer erforderlich?
DORA verlangt nicht von jedem Unternehmen eine LEI-Nummer.
Wegen DORA ist keine LEI-Nummer erforderlich, wenn das Unternehmen kein Finanzunternehmen ist, keine IKT-Dienstleistungen für ein Finanzunternehmen erbringt, das in den Anwendungsbereich von DORA fällt, und kein Kunde aus dem Finanzsektor die Kennung des Unternehmens für das DORA-Informationsregister anfordert.
Ein in der EU registrierter IKT-Dienstleister benötigt möglicherweise auch dann keine LEI-Nummer, wenn das Finanzunternehmen im Register die EUID verwendet und kein anderer Bedarf an einer LEI-Nummer besteht.
Ersetzt die EUID die LEI-Nummer?
Im DORA-Informationsregister kann die EUID bei einem in der EU registrierten IKT-Dienstleister, der eine juristische Person ist, die LEI-Nummer ersetzen. Das bedeutet nicht, dass die EUID die LEI-Nummer in allen Situationen ersetzt.
Eine LEI-Nummer kann weiterhin erforderlich sein, zum Beispiel für Wertpapiergeschäfte, die Meldung von Derivaten, die Geschäftsbeziehung mit einer Bank oder einem Broker, oder wenn ein internationaler Kunde ausdrücklich die LEI-Nummer verwenden möchte.
Bei einem außerhalb der EU registrierten IKT-Dienstleister, der eine juristische Person ist, kann die EUID nicht verwendet werden. In diesem Fall ist für das DORA-Informationsregister eine LEI-Nummer erforderlich.
Die LEI-Nummer muss gültig sein
Die im DORA-Informationsregister verwendete LEI-Nummer muss gültig und aktiv sein. Ist der Status der LEI-Nummer abgelaufen, muss sie vor der Verwendung im Register oder der Übermittlung an den Kunden erneuert werden.
Eine abgelaufene LEI-Nummer muss nicht neu beantragt werden. Die bestehende Nummer muss erneuert werden, und nach der Bestätigung wird sein Status wieder aktiv. Die Nummer selbst bleibt gleich.
Mehr dazu: LEI-Nummer erneuern
Wie beantragt man eine LEI-Nummer?
Die LEI-Nummer kann online beantragt werden. Bei einem deutschen Unternehmen werden die Grunddaten meist automatisch aus dem Handelsregister ermittelt.
- Wählen Sie das passende Paket. Wählen Sie ein 1-, 3- oder 5-Jahres-Paket.
- Geben Sie den Firmennamen oder die Registrierungsnummer ein. Das System sucht die Unternehmensdaten automatisch.
- Überprüfen Sie die Daten. Stellen Sie sicher, dass Firmenname, Registrierungsnummer, Adresse und Kontaktdaten korrekt sind.
- Stellen Sie den Antrag und bezahlen Sie die Rechnung. Nach der Prüfung der Daten wird die LEI-Nummer ausgestellt und an Ihre E-Mail-Adresse gesendet.
Wenn ein Unternehmen die LEI-Nummer für das DORA-Informationsregister benötigt, lohnt es sich, die Nummer zu beantragen, bevor das Finanzunternehmen die Registerdaten einreichen oder aktualisieren muss. Mehr dazu: Wie beantragt man eine LEI-Nummer?
Häufig gestellte Fragen
Verlangt DORA von allen Unternehmen eine LEI-Nummer?
Nein. DORA betrifft in erster Linie Finanzunternehmen und deren IKT-Dienstleister. Für andere Unternehmen ergibt sich aus DORA keine LEI-Nummer-Pflicht.
Muss jeder IKT-Dienstleister eine LEI-Nummer beantragen?
Nein. Bei einem in der EU registrierten IKT-Dienstleister, der eine juristische Person ist, kann im DORA-Informationsregister auch die EUID ausreichen. Eine LEI-Nummer kann dennoch erforderlich sein, wenn der Dienstleister außerhalb der EU registriert ist oder wenn der Kunde aus dem Finanzsektor die LEI-Nummer verlangt.
Ist die EUID dasselbe wie die LEI-Nummer?
Nein. Die EUID ist eine im europäischen System der Unternehmensregister verwendete Kennung. Die LEI-Nummer ist eine internationale Kennung für juristische Personen, die auf den Finanzmärkten und im Meldewesen weit verbreitet ist.
Wer ist für die Führung des DORA-Informationsregisters verantwortlich?
Für die Führung des Registers ist das Finanzunternehmen verantwortlich. Der IKT-Dienstleister muss dem Finanzunternehmen in der Regel die erforderlichen Daten übermitteln, einschließlich der LEI-Nummer oder einer anderen geeigneten Kennung.
Wer ist für die LEI-Nummer des IKT-Dienstleisters verantwortlich?
Die LEI-Nummer ist die eigene Kennung des Dienstleisters. Den Antrag stellt der Dienstleister oder eine von ihm bevollmächtigte Person. Das Finanzunternehmen verwendet diese Kennung in seinem DORA-Informationsregister, die Pflicht zur Führung des Registers bleibt jedoch beim Finanzunternehmen.
Was passiert, wenn die LEI-Nummer abgelaufen ist?
Eine abgelaufene LEI-Nummer muss erneuert werden. Die im DORA-Informationsregister verwendete LEI-Nummer muss gültig und aktiv sein.
Benötigt ein außerhalb der EU ansässiger IKT-Dienstleister eine LEI-Nummer?
Handelt es sich um eine juristische Person, die in das DORA-Informationsregister eines EU-Finanzunternehmens aufgenommen werden muss, wird für ihre Identifizierung eine LEI-Nummer vorausgesetzt.