DORA-Informationsregister: Einreichung, Stichtage und Anzeigepflichten nach Artikel 28 Absatz 3
Ce texte a été généré par l'intelligence artificielle (IA).Finanzunternehmen im Anwendungsbereich von DORA reichen ihr Informationsregister jährlich bei der BaFin ein — ausschließlich über ein eigenes Fachverfahren der Melde- und Veröffentlichungsplattform (MVP), entweder als strukturierte xBRL-Datei oder über die Excel-Vorlage der BaFin. Rechtsgrundlage ist Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554, die nach ihrem Artikel 64 seit dem 17 janvier 2025 gilt. Dieser Beitrag ordnet ein, was ins Register gehört, welche Stichtage die BaFin nennt und wann eine Einreichung überhaupt als erfüllt gilt.
En bref :
- Base juridique : DORA, Verordnung (EU) 2022/2554, Artikel 28 Absatz 3 (Kapitel V, Abschnitt I); Geltung seit 17 janvier 2025
- Einreichungsweg: BaFin-MVP, Fachverfahren „Digital Operational Resilience Act (DORA)“
- Formate: strukturierte Datei (xBRL, Taxonomie der ESAs) ou Excel-Vorlage der BaFin — kein anderes Format
- Stichtag ab 2026: 31. Dezember des Vorjahres; Weiterleitung an die ESAs durch die Aufsicht jeweils bis 31. März
- Erfüllt ist die Meldung erst dann, wenn sie die Validierungsregeln der ESAs erfolgreich passiert hat
Was Artikel 28 Absatz 3 verlangt — und was die BaFin daraus macht
Artikel 28 Absatz 3 DORA verpflichtet Finanzunternehmen, „im Rahmen ihres IKT-Risikomanagementrahmens auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene ein Informationsregister“ zu führen und zu aktualisieren, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen bezieht. Der zweite Unterabsatz verlangt eine angemessene Dokumentation, die zwischen Vereinbarungen für kritische oder wichtige Funktionen und allen übrigen unterscheidet. Der dritte Unterabsatz fordert einen jährlichen Bericht über die Anzahl neuer Vereinbarungen, die Kategorien von IKT-Drittdienstleistern und die Art der Dienstleistungen. Der vierte Unterabsatz verpflichtet zur Vorlage des vollständigen Registers „auf Verlangen“, der fünfte zur zeitnahen Anzeige geplanter Vereinbarungen für kritische oder wichtige Funktionen.
Le site jährliche Einreichung ergibt sich nicht unmittelbar aus dem Verordnungstext, sondern aus dessen aufsichtlicher Umsetzung: Weil die ESAs die Register für die jährliche Einstufung kritischer IKT-Drittdienstleister benötigen, sieht Leitlinie 5 der Gemeinsamen Leitlinien zur Überwachungs-Zusammenarbeit vor, dass die zuständigen Behörden sie übermitteln. Die BaFin zieht daraus die jährliche Einreichungspflicht nach Unterabsatz 4.
Der jährliche Bericht ist keine zweite Meldung
Ein Punkt sorgt regelmäßig für unnötigen Aufwand: Der Bericht über die Anzahl neuer IKT-Vertragsverhältnisse nach Unterabsatz 3 ist nach aktueller Auffassung der BaFin keine separat abzugebende Meldung. Die BaFin geht davon aus, dass diese Verpflichtung mit der jährlichen Einreichung des Informationsregisters erfüllt ist, und plant, die Anzahl neuer IKT-Vertragsverhältnisse selbst zu ermitteln — ausdrücklich zur weiteren Entlastung der Finanzunternehmen.
Wer also einen eigenen Prozess aufsetzt, um diese Kennzahl separat über das MVP zu melden, baut nach dem heutigen Stand einen Vorgang, den die Aufsicht nicht erwartet. Praktisch relevant bleibt die Kennzahl trotzdem: Sie ergibt sich aus einem gepflegten Register von selbst, und ihre Nachvollziehbarkeit über das Jahr hinweg ist ein guter Indikator dafür, ob die Registerpflege tatsächlich laufend erfolgt oder erst kurz vor dem Stichtag. Da die Auffassung der BaFin als aktueller Stand formuliert ist, gehört sie zu den Punkten, die vor jedem Einreichungszyklus erneut geprüft werden sollten.
Was ins Register gehört: auch Unterauftragnehmer
Der Umfang wird häufig zu eng gezogen. Das Register soll eine Übersicht über sämtliche Verträge mit IKT-Drittdienstleistern abbilden, die dem Finanzunternehmen IKT-Dienstleistungen bereitstellen. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, reicht das nicht: Dort erfasst das Register nicht nur die direkten IKT-Drittdienstleister, sondern auch sämtliche Unterauftragnehmer, die die Erbringung der Dienstleistung sicherstellen.
Eine eigene Regel gilt für gruppeninterne Dienstleister. Nutzt ein gruppeninterner IKT-Dienstleister zur Erbringung seiner Leistungen Unterauftragnehmer, muss die IKT-Dienstleistungskette im Register immer mindestens den ersten Unterauftragnehmer außerhalb der Gruppe umfassen — und zwar auch dann, wenn die erbrachten Dienstleistungen keine kritischen oder wichtigen Funktionen unterstützen.
Für die Datenerhebung heißt das: Die Einstufung „kritisch oder wichtig“ steuert die Tiefe der Lieferkette, die dokumentiert werden muss. Wird eine Funktion erst im Laufe des Jahres kritisch, wächst der Kreis der zu erfassenden Unterauftragnehmer mit. Diese Abhängigkeit zwischen Funktionskritikalität und Registertiefe ist der Grund, warum die Kritikalitätsbewertung dem Registeraufbau vorausgehen sollte und nicht umgekehrt.
Einreichung über das MVP: Fachverfahren, Formate, Melderfreischaltung
Die BaFin nimmt die Informationsregister ausschließlich über das Fachverfahren „Digital Operational Resilience Act (DORA)“ in der MVP entgegen. Zulässig sind genau zwei Formate: eine strukturierte Datei im xBRL-Format, die der Taxonomie der ESAs entspricht, oder die Excel-Vorlage der BaFin. Für den Einreichungsprozess 2026 haben die ESAs keine technischen Änderungen an der Taxonomie vorgenommen.
Die Excel-Vorlage existiert aus einem konkreten Grund: Anders als beim Testlauf im Sommer 2024 gibt es für die reguläre Einreichung kein Konvertierungstool der ESAs. Die BaFin hat die Vorlage als Alternative zur strukturierten Datei bereitgestellt, wobei die vorgegebene Struktur zwingend eingehalten werden muss.
Organisatorisch ist die Melderfreischaltung die erste Hürde: Jedes Finanzunternehmen muss seine vorgesehenen Melderinnen und Melder für das DORA-Fachverfahren freischalten lassen, bevor eine Einreichung möglich ist. Für Probeläufe steht ein eigenes Fachverfahren „TEST: Digital Operational Resilience Act (DORA)“ bereit. Ergänzend stellt die BaFin Ausfüllhinweise, eine beispielhaft befüllte Excel-Vorlage, eine Übersicht möglicher Fehlercodes samt Abhilfen sowie Hinweise zur Einreichung über das MVP-Portal bereit.
Stichtage und der jährliche Rhythmus
Für den ersten Zyklus galten Termine, die den Mechanismus gut erklären: Die ESAs erwarteten eine Übermittlung der Register durch die zuständigen Behörden bis zum 30. April 2025, enthalten sein sollten sämtliche Vertragsinformationen mit Stichtag 31. März 2025. Daraus ergab sich für Unternehmen unter BaFin-Aufsicht ein Einreichungszeitraum vom 14. bis 28. April 2025, mit der Frist spätestens am 28. April 2025.
Ab 2026 gilt ein dauerhafter Rhythmus: Die Übermittlung der Register an die ESAs findet jeweils bis zum 31. März statt, und die Register müssen sämtliche Vertragsinformationen mit Stichtag 31. Dezember des vorherigen Jahres umfassen. Für den Zyklus 2026 hat die BaFin daraus den Stichtag 31. Dezember 2025 und ein Einreichungsfenster vom 9. bis 30. März 2026 abgeleitet.
Nach dieser Systematik ist der Stichtag des jeweils folgenden Zyklus bereits bekannt, sobald ein Jahr endet — das konkrete Einreichungsfenster gibt die BaFin dagegen jeweils gesondert bekannt. Wer die Registerpflege am Kalenderjahresende ausrichtet statt am Fenster im März, arbeitet mit dem Rhythmus statt gegen ihn.
Wann eine Einreichung als erfüllt gilt
Hier liegt die Stelle, an der Einreichungen in der Praxis scheitern: Das Hochladen ist nicht der Abschluss. Im Anschluss an die Einreichung erhalten Finanzunternehmen ein Fehlerprotokoll; etwaige Fehler sind kurzfristig zu korrigieren und das Informationsregister ist erneut einzureichen. Das Register gilt erst dann als den aufsichtsrechtlichen Anforderungen entsprechend eingereicht, wenn es entsprechend den Validierungsregeln der ESAs erfolgreich eingereicht wurde.
Den Status verfolgen Unternehmen im Meldungsprotokoll des MVP-Portals. Wird die Einreichung von den ESAs akzeptiert, erscheint dies dort — durch den Weiterleitungsprozess kann es allerdings einige Tage dauern, bis die Meldung im Protokoll auftaucht. Bei einer Zurückweisung führt das Portal die beanstandeten Fehler auf; sie sind unverzüglich zu beheben, und das korrigierte Register ist über eine separate, neue Meldung erneut hochzuladen.
Zusätzlich führen die ESAs nach Erhalt der Register weitere Prüfungen zur Datenqualität durch, die inhaltliche Inkonsistenzen aufzeigen können. Dieses Feedback leitet die BaFin über das MVP-Postfach weiter; über die Auflistung der Auffälligkeiten hinaus liegen ihr keine Informationen vor. Die Klärung bleibt damit beim Finanzunternehmen. Die BaFin weist ausdrücklich darauf hin, dass eine hohe Datenqualität hinsichtlich Richtigkeit und Vollständigkeit erwartet wird.
Anzeigepflicht und die geplante Entlastung bei Doppelmeldungen
Neben der Registereinreichung verlangt Artikel 28 Absatz 3 Unterabsatz 5 eine zeitnahe Unterrichtung der Aufsicht über jede geplante vertragliche Vereinbarung zur Unterstützung kritischer oder wichtiger Funktionen — und ebenso, wenn eine Funktion erst nachträglich kritisch oder wichtig geworden ist.
Weil die sektoralen Auslagerungsvorschriften ergänzend zu DORA gelten, überschneidet sich diese Anzeige in vielen Fällen mit bestehenden Anzeigepflichten. Deren Grundlagen benennt die BaFin konkret: § 24 Absatz 1 Nummer 19 KWG, § 47 Nummer 8 und 9 VAG, § 28 Absatz 1 Nummer 10 ZAG, § 36 Absatz 2 KAGB und § 64 Absatz 1 Nummer 13 WpIG.
Um Doppelmeldungen zu vermeiden, überarbeitet die BaFin das seit Ende 2022 genutzte MVP-Fachverfahren „Anzeige von Auslagerungen“: Künftig soll ein einfaches Häkchen genügen, um mit einer einzigen Anzeige sowohl die sektorale als auch die DORA-Pflicht zu erfüllen. Einen Termin dafür nennt die BaFin bislang nicht. Bis dahin gilt der Zwischenweg: Auslagerungsanzeigen wie gewohnt über das MVP-Portal abgeben und die DORA-Anzeige nach Abschluss der Überarbeitung per Änderungs- bzw. Updatemeldung nachtragen. Liegt ein Fall vor, für den keine Auslagerungsanzeige erforderlich ist, informiert das Unternehmen die BaFin über ein bereitgestelltes Excel-Formular per E-Mail.
Was das für die Datenpflege bedeutet
Das Register verlangt keine Momentaufnahme, sondern einen Datenstand, der zum Stichtag belastbar ist und Änderungen über das Jahr nachvollziehbar abbildet — Vertragsabschlüsse und Kündigungen ebenso wie Änderungen an IKT-Funktionen. Zwei Anforderungen daraus lassen sich technisch unterstützen:
- C-VRM (Vendor Monitoring) kann Informationen zu Drittanbietern strukturiert und fortlaufend erfassen, sodass Angaben zu den im Register geführten IKT-Dienstleistern nicht erst zum Stichtag zusammengetragen werden.
- EASM (Asset-Inventarisierung) kann Asset-Bezüge sichtbar machen und dokumentieren, die intern nicht oder nicht mehr geführt werden — hilfreich dort, wo die Registertiefe von der Kritikalität einer Funktion abhängt.
Beides ersetzt weder die Kritikalitätsbewertung noch die aufsichtsrechtliche Einordnung; es liefert Datengrundlagen für beides. Für Organisationen, die bei Compliance-Daten auf den Verarbeitungsort achten: LocateRisk ist Fabriqué en Allemagne, nach DSGVO-Anforderungen konzipiert, ISO 27001 zertifiziert und wird ausschließlich in zertifizierten deutschen Rechenzentren betrieben, ohne Datenverarbeitung durch US-Anbieter.
Sources et informations complémentaires
—
Remarque à titre personnel : Cet article reflète la situation juridique au moment de sa publication. Le droit des technologies de l'information et les exigences en matière de conformité étant extrêmement complexes, ce texte ne constitue qu'un premier guide et ne saurait être considéré comme un avis juridique contraignant. En cas de doute, nous vous recommandons de solliciter un avis juridique pour la mise en œuvre au sein de votre entreprise. Toute responsabilité quant au contenu est exclue.
Questions fréquentes
Das Informationsregister nach Artikel 28 Absatz 3 DORA ist ein Verzeichnis aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die IKT-Drittdienstleister einem Finanzunternehmen bereitstellen. Es wird auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene geführt und laufend aktualisiert; dabei ist zwischen Vereinbarungen für kritische oder wichtige Funktionen und allen übrigen zu unterscheiden. Bei Dienstleistungen für kritische oder wichtige Funktionen gehören auch die Unterauftragnehmer in das Register.
Nicht mit dem Hochladen. Nach der Einreichung erhalten Finanzunternehmen ein Fehlerprotokoll; Fehler sind kurzfristig zu korrigieren und das Register ist erneut einzureichen. Als aufsichtsrechtlich ordnungsgemäß eingereicht gilt es erst, wenn es die Validierungsregeln der ESAs erfolgreich passiert hat. Den Status zeigt das Meldungsprotokoll im MVP-Portal, wobei die Bestätigung wegen der Weiterleitung an die ESAs einige Tage dauern kann. Bei Zurückweisung ist das korrigierte Register über eine separate, neue Meldung hochzuladen.
Ab 2026 müssen die Register sämtliche Vertragsinformationen mit Stichtag 31. Dezember des vorherigen Jahres umfassen; die Weiterleitung an die ESAs durch die zuständigen Behörden findet jeweils bis zum 31. März statt. Für den Zyklus 2026 nannte die BaFin den Stichtag 31. Dezember 2025 und ein Einreichungsfenster vom 9. bis 30. März 2026. Zulässig sind ausschließlich eine strukturierte xBRL-Datei nach der Taxonomie der ESAs oder die Excel-Vorlage der BaFin.
Stand: 19.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Français 
Deutsch 
English