Μητρώο πληροφοριών DORA: το άρθρο 28 παράγραφος 3 στην πράξη

Τι απαιτεί το άρθρο 28 παράγραφος 3

Το μητρώο πληροφοριών (Register of Information, RoI) είναι το δομημένο αρχείο όλων των συμβατικών ρυθμίσεων για τη χρήση υπηρεσιών ΤΠΕ που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ. Το άρθρο 28 παράγραφος 3 του κανονισμού (ΕΕ) 2022/2554 (DORA) ζητεί από κάθε χρηματοοικονομική οντότητα να το τηρεί και να το επικαιροποιεί σε επίπεδο οντότητας και, κατά περίπτωση, σε υποενοποιημένο και ενοποιημένο επίπεδο.

Δεν πρόκειται για έκθεση προς ανάγνωση, αλλά για σύνολο δεδομένων σε μηχαναναγνώσιμη μορφή που αποτυπώνει ποιος παρέχει τι, ποια λειτουργία υποστηρίζεται, πού βρίσκεται η εξάρτηση και πού οδηγεί η αλυσίδα υπεργολαβίας. Είναι επίσης η κύρια πηγή με την οποία οι εποπτικές αρχές χαρτογραφούν τον κίνδυνο συγκέντρωσης ΤΠΕ στον ευρωπαϊκό χρηματοοικονομικό τομέα.

Η δουλειά ξεκινά πριν από το μητρώο. Τα υποδείγματα ρωτούν ποιες λειτουργίες είναι κρίσιμες ή σημαντικές, ποιος είναι ο μέγιστος ανεκτός χρόνος διακοπής και ποιοι οι στόχοι ανάκαμψης. Αυτά είναι αποτελέσματα ανάλυσης επιπτώσεων στις δραστηριότητες, όχι του μητρώου. Όποιος συμπληρώνει πρώτα το μητρώο καταλήγει να δηλώνει κρισιμότητα που δεν μπορεί να τεκμηριώσει.

Τα 15 υποδείγματα: ένα σχεσιακό μοντέλο

Ο εκτελεστικός κανονισμός (ΕΕ) 2024/2956, το εκτελεστικό τεχνικό πρότυπο (ITS) που εκδόθηκε βάσει του άρθρου 28 παράγραφος 9, ορίζει 15 διασυνδεδεμένα υποδείγματα. Δεν είναι ανεξάρτητα φύλλα εργασίας: μια μεταβολή στο ένα δημιουργεί προσδοκία στα υπόλοιπα, και ακριβώς αυτή η σχεσιακή ακεραιότητα επιτρέπει τους αυτοματοποιημένους διασταυρωτικούς ελέγχους. Τα υποδείγματα ομαδοποιούνται σε έξι στρώσεις.

• Οντότητα: οι οντότητες που τηρούν το μητρώο και τα υποκαταστήματά τους.
• Πάροχος: τρίτοι πάροχοι υπηρεσιών ΤΠΕ και ενδοομιλικοί πάροχοι.
• Σύμβαση: συμβατικές ρυθμίσεις, μία εγγραφή ανά ρύθμιση, ετήσιο κόστος και στρατηγική εξόδου.
• Υπηρεσία: οι υπηρεσίες ΤΠΕ που λαμβάνονται ανά σύμβαση και τα συμφωνημένα επίπεδα εξυπηρέτησης.
• Λειτουργία και πόροι: οι υποστηριζόμενες λειτουργίες με τη σήμανση κρίσιμης ή σημαντικής λειτουργίας, οι πόροι ΤΠΕ και η διαβάθμιση των δεδομένων.
• Υπεργολαβία: οι υπεργολάβοι των ρυθμίσεων που υποστηρίζουν κρίσιμη ή σημαντική λειτουργία και ολόκληρη η αλυσίδα.

Για τη θέση του 2024/2956 μέσα στο σύνολο των τεχνικών προτύπων, δείτε τα RTS και ITS του DORA.

Μορφότυπος xBRL-CSV και ελεγχόμενα λεξιλόγια

Η υποβολή δεν είναι ελεύθερο έγγραφο. Είναι πακέτο αναφοράς xBRL-CSV: ένα αρχείο μεταδεδομένων JSON, ένα αρχείο CSV ανά υπόδειγμα με την ονοματοδοσία των Ευρωπαϊκών Εποπτικών Αρχών (ΕΕΑ) και αναφορές στη δημοσιευμένη ταξινομία.

Τα κωδικοποιημένα πεδία δεν δέχονται ελεύθερο κείμενο. Χρησιμοποιούνται:

• κωδικοί LEI είκοσι χαρακτήρων, κατά ISO 17442, για κάθε νομική οντότητα και κάθε πάροχο,
• κωδικοί χώρας κατά ISO 3166-1 alpha-2,
• κωδικοί νομίσματος κατά ISO 4217,
• οι κωδικοί της ταξινομίας των ΕΕΑ για τον τύπο της υπηρεσίας ΤΠΕ.

Επικυρώστε το πακέτο ως προς την ταξινομία πριν από την υποβολή. Μία μη αποδεκτή τιμή ή μία σπασμένη αναφορά ανάμεσα σε δύο υποδείγματα αρκεί για να απορριφθεί ολόκληρη η υποβολή.

Προθεσμίες υποβολής

Η υποβολή είναι ετήσια. Κάθε χρηματοοικονομική οντότητα υποβάλλει το μητρώο στην αρμόδια αρχή της έως την εθνική προθεσμία, και η αρμόδια αρχή το διαβιβάζει ενοποιημένο στις ΕΕΑ έως τις 30 Απριλίου. Στον πρώτο κύκλο η προθεσμία των οντοτήτων ήταν η 30ή Απριλίου 2025. Για τον δεύτερο κύκλο, οι περισσότερες αρχές την τοποθέτησαν στο τέλος του πρώτου τριμήνου του 2026.

Επιβεβαιώνετε πάντα την ακριβή ημερομηνία και τον δίαυλο υποβολής της δικής σας αρχής. Στην Ελλάδα, ανάλογα με το είδος της οντότητας, αυτή είναι η Τράπεζα της Ελλάδος ή η Επιτροπή Κεφαλαιαγοράς. Ο κύκλος του 2026 είναι πιο αναλογικός από τον πρώτο: μέρος των οντοτήτων υποβάλλει πλήρη δεδομένα, ενώ όσες δεν έχουν ουσιώδη μεταβολή μπορούν να βεβαιώσουν ότι η κατάσταση παραμένει αμετάβλητη, σύμφωνα με τις οδηγίες της αρμόδιας αρχής.

Λάθη που οδηγούν σε απόρριψη

Στον πρώτο κύκλο οι αιτίες απόρριψης ήταν λίγες και επαναλαμβανόμενες.

• Ελλιπής ή άκυρος κωδικός LEI, συνήθως από καταχώριση που έχει λήξει: η συχνότερη αιτία όλων.
• Άθροιση ανά πάροχο αντί για μία εγγραφή ανά συμβατική ρύθμιση.
• Συντηρητική κρισιμότητα: ρυθμίσεις που χαρακτηρίζονται μη κρίσιμες για να συρρικνωθεί το πεδίο.
• Κενά υποδείγματα υπεργολαβίας για μεγάλους παρόχους υπολογιστικού νέφους.
• Κενή στρατηγική εξόδου σε ρυθμίσεις που υποστηρίζουν κρίσιμη ή σημαντική λειτουργία: σφάλμα επικύρωσης και ουσιαστική μη συμμόρφωση μαζί.
• Ασυνεπείς ημερομηνίες αναφοράς μεταξύ των υποδειγμάτων.

Τα μητρώα διασταυρώνονται αυτόματα μεταξύ τους. Δύο οντότητες που δηλώνουν ασύμβατα στοιχεία για τον ίδιο πάροχο, ή αλυσίδα υπεργολαβίας που φαίνεται ανύπαρκτη για έναν μεγάλο πάροχο νέφους, ξεχωρίζουν αμέσως στα δεδομένα.

Από το μητρώο στον ορισμό των CTPP

Τα συγκεντρωτικά μητρώα είναι η βάση πάνω στην οποία οι ΕΕΑ, δηλαδή EBA, EIOPA και ESMA, ορίζουν κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ (CTPP) κατά το άρθρο 31. Τον Νοέμβριο του 2025 ορίστηκαν 19 πάροχοι, καθένας με τον δικό του κύριο εποπτικό φορέα.

Η μόνη ποσόστωση επί του κύκλου εργασιών μέσα στον κανονισμό βρίσκεται εκεί: το άρθρο 35 επιτρέπει στον κύριο εποπτικό φορέα να επιβάλλει σε ορισθέντα κρίσιμο τρίτο πάροχο περιοδική χρηματική ποινή έως 1 % του μέσου ημερήσιου παγκόσμιου κύκλου εργασιών του. Για τις χρηματοοικονομικές οντότητες δεν υπάρχει αντίστοιχο ενωσιακό ανώτατο όριο, καθώς οι διοικητικές κυρώσεις ανήκουν στα κράτη μέλη.

Αν κάποιος από τους ορισθέντες παρόχους εμφανίζεται στο μητρώο σας, ελέγξτε ότι η σύμβαση φέρει τις υποχρεωτικές ρήτρες του άρθρου 30, σημάνετε ρητά τον κίνδυνο συγκέντρωσης, κρατήστε δοκιμασμένη στρατηγική εξόδου και ενημερώστε το διοικητικό όργανο. Το εργαλείο αξιολόγησης κινδύνου τρίτων παρόχων εντοπίζει κενά ρητρών και σημεία συγκέντρωσης μέσα σε λίγα λεπτά.

Δημιουργήστε το μητρώο πληροφοριών σας →

Συχνές ερωτήσεις

Η σελίδα αυτή αποτελεί επαγγελματική υποστήριξη, όχι νομική συμβουλή. · Αγγλική έκδοση