Rejestr informacji to maszynowo czytelny wykaz wszystkich ustaleń umownych dotyczących korzystania z usług ICT. Wymaga go art. 28 ust. 3 rozporządzenia (UE) 2022/2554, a jego treść i format określa ITS (UE) 2024/2956.
Rejestr informacji to nie dokument opisowy, lecz maszynowo czytelny zbiór danych. Odwzorowuje wszystkie ustalenia umowne dotyczące korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT: kto świadczy usługę, co ona wspiera i dokąd prowadzi łańcuch zależności.
Obowiązek wynika z art. 28 ust. 3 rozporządzenia (UE) 2022/2554. Podmiot finansowy utrzymuje i aktualizuje rejestr na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym, co najmniej raz w roku przekazuje zawarte w nim informacje właściwemu organowi i udostępnia rejestr na jego żądanie.
Treść, strukturę i format zgłoszenia doprecyzowuje wykonawczy standard techniczny, czyli rozporządzenie wykonawcze (UE) 2024/2956. Rejestr obejmuje wszystkie ustalenia umowne, także te, które nie wspierają krytycznych lub istotnych funkcji, wraz z łańcuchem podwykonawstwa. Kontekst: czym jest DORA.
ITS (UE) 2024/2956 definiuje 15 powiązanych ze sobą wzorów. Nie są to niezależne arkusze: łączą je wspólne klucze, więc zmiana w jednej tabeli zmienia oczekiwania wobec pozostałych. Ta spójność relacyjna umożliwia organom automatyczne porównywanie zgłoszeń. Wzory układają się w sześć warstw:
Kolejność prac ma znaczenie. Pola o maksymalnym dopuszczalnym czasie przestoju i celach przywrócenia sprawności są wynikiem analizy wpływu na działalność, a nie rejestru. Podmioty, które zaczynają od wypełniania wzorów, deklarują krytyczność, której potem nie potrafią uzasadnić.
Zgłoszenie ma postać pakietu sprawozdawczego xBRL-CSV: plik metadanych w formacie JSON, po jednym pliku CSV na każdy wzór oraz odwołania do opublikowanej taksonomii europejskich urzędów nadzoru. Kodowanie znaków to UTF-8, a układ kolumn jest narzucony.
Pola kodowane nie przyjmują tekstu dowolnego. Obowiązkowe są:
Pakiet warto przepuścić przez reguły walidacyjne przed wysyłką. Jedna niedozwolona wartość albo jedno zerwane odwołanie między wzorami potrafi zablokować całe zgłoszenie.
Podmiot finansowy przekazuje rejestr swojemu właściwemu organowi krajowemu w terminie ustalonym na poziomie krajowym. Organy konsolidują zgłoszenia i przekazują je europejskim urzędom nadzoru do 30 kwietnia. W pierwszym cyklu termin dla podmiotów przypadał na 30 kwietnia 2025 r.; w drugim większość organów przesunęła go na koniec pierwszego kwartału.
| Jurysdykcja | Organ | Termin dla podmiotu |
|---|---|---|
| Niderlandy | DNB | 22 marca 2026 r. |
| Niemcy, Francja, Belgia, Irlandia, Luksemburg, Włochy, Hiszpania | BaFin, ACPR i AMF, NBB i FSMA, CBI, CSSF, Banca d'Italia i IVASS, BdE i CNMV | 31 marca 2026 r. |
| Konsolidacja unijna | EBA, EIOPA, ESMA | 30 kwietnia 2026 r. |
Terminy i portale ustalane są krajowo, więc datę potwierdzaj u własnego organu; podmioty nadzorowane przez Komisję Nadzoru Finansowego znajdą ją w komunikatach KNF. W cyklu 2026 zasada proporcjonalności jest wyraźniejsza: część podmiotów przekazuje pełny zestaw danych, a podmioty bez istotnych zmian mogą to potwierdzić zgodnie z instrukcjami organu. Sam obowiązek bieżącego utrzymywania rejestru trwa niezależnie od cyklu.
Powtarzalne przyczyny odrzucenia i pytań nadzorczych po cyklu 2025 to:
Organy porównują zgłoszenia automatycznie. Rozbieżność między dwoma podmiotami opisującymi tego samego dostawcę albo dostawca nieobecny w rejestrze zostają wychwycone od razu.
Zagregowane rejestry są podstawowym źródłem danych, na którym europejskie urzędy nadzoru opierają wyznaczanie kluczowych zewnętrznych dostawców usług ICT zgodnie z art. 31 oraz ocenę ryzyka koncentracji w obszarze ICT. W listopadzie 2025 r. wyznaczono pierwszych 19 dostawców, przypisując każdemu z nich wiodący organ nadzorczy.
Wyznaczenie zmienia reżim nadzoru: kluczowy zewnętrzny dostawca usług ICT podlega bezpośrednio wiodącemu organowi nadzorczemu, który na podstawie art. 35 może nałożyć okresową karę pieniężną do 1% średniego dziennego światowego obrotu, naliczaną codziennie. Ta sankcja dotyczy wyłącznie wyznaczonych dostawców, nie podmiotów finansowych.
Jeśli wyznaczony dostawca figuruje w Twoim rejestrze, sprawdź, czy umowa zawiera postanowienia wymagane w art. 30, oznacz ryzyko koncentracji i utrzymuj przetestowaną strategię wyjścia. Szerzej: ryzyko ze strony zewnętrznych dostawców usług ICT.
Zbuduj i zwaliduj swój rejestr informacji →
Każdy podmiot finansowy objęty zakresem DORA. Rejestr prowadzi się na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym, zgodnie z art. 28 ust. 3, i przekazuje właściwemu organowi co najmniej raz w roku.
Większość organów wyznaczyła termin dla podmiotów na 31 marca 2026 r., a Niderlandy na 22 marca 2026 r. Organy konsolidują dane i przekazują je do 30 kwietnia. Własną datę potwierdź u swojego właściwego organu.
W formacie xBRL-CSV: pakiet zawiera plik metadanych JSON, po jednym pliku CSV na każdy wzór i odwołania do opublikowanej taksonomii. Pola kodowane wymagają kodów LEI, kodów państw ISO 3166-1 alfa-2 oraz kodów walut ISO 4217. Tekst dowolny nie jest przyjmowany.
ITS (UE) 2024/2956 definiuje 15 powiązanych ze sobą wzorów w sześciu warstwach: podmiot, dostawca, umowa, usługa, funkcja i zasób oraz podwykonawstwo. Tworzą model relacyjny, więc zmiana w jednej tabeli zmienia oczekiwania wobec pozostałych.
Brakujące lub nieważne kody LEI, agregowanie umów według dostawcy zamiast jednego rekordu na ustalenie umowne, zaniżona ocena krytyczności, puste wzory podwykonawstwa przy dostawcach chmurowych, nieuzupełnione strategie wyjścia oraz niespójne daty odniesienia między wzorami.
Zagregowane rejestry są podstawowym źródłem danych, na którym europejskie urzędy nadzoru wyznaczają kluczowych zewnętrznych dostawców usług ICT zgodnie z art. 31. W listopadzie 2025 r. wyznaczono 19 dostawców, każdemu przypisując wiodący organ nadzorczy. Wyznaczeni dostawcy podlegają bezpośredniemu nadzorowi unijnemu.
Ta strona stanowi wsparcie merytoryczne, a nie poradę prawną. · Wersja angielska