DORA und das Auslagerungsmanagement
Beitrag zum Zusammenspiel von DORA und Auslagerungsmanagement.
Umsetzung und Einreichung: Zu S+P Compliance · Zum Quick-Check
S+P Governance | DORA und IKT-Drittparteienrisiko
DORA-Informationsregister: Pflichten und Verantwortung der Leitung
Rechtsstand: Oktober 2026 · Lesezeit: rund 16 Minuten · Zielgruppe: Geschäftsleitung, Leitungsorgan, IKT-Risiko- und Auslagerungsmanagement
Das DORA-Informationsregister erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern. Finanzunternehmen müssen es führen, aktuell halten und der Aufsicht vorlegen. Für die Geschäftsleitung zählt, dass Vollständigkeit, Stichtag und Einreichung nachweisbar sind und die Verantwortung auch bei IKT-Dienstleistungen von Dritten bei ihr bleibt.
Management Summary
Die Frage an die Geschäftsleitung lautet nicht nur, ob das Register eingereicht wurde, sondern was sie belegen kann: dass es vollständig und zum Stichtag aktuell ist, dass kritische oder wichtige Funktionen eingestuft sind und dass die Leitung die Risiken aus IKT-Dienstleistungen regelmäßig überprüft.
Rechtsgrundlage ist Art. 28 Abs. 3 DORA: Finanzunternehmen führen und aktualisieren im Rahmen ihres IKT-Risikomanagementrahmens ein Informationsregister über alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die IKT-Drittdienstleister bereitstellen, und unterscheiden dabei Vereinbarungen für kritische oder wichtige Funktionen von den übrigen. Das Format legt die Durchführungsverordnung (EU) 2024/2956 mit Standardvorlagen fest.
Die BaFin nimmt das Register jährlich ausschließlich über die Melde- und Veröffentlichungsplattform entgegen. Es gibt den Sachstand zum 31. Dezember des Vorjahres wieder, und der Einreichungsprozess ist bis spätestens 31. März vollständig und fehlerfrei zu durchlaufen. Erst wenn auch die Europäischen Aufsichtsbehörden das Register validiert haben, ist die Meldepflicht ordnungsgemäß erfüllt.
Die Verantwortung bleibt bei den Finanzunternehmen: Sie bleiben jederzeit in vollem Umfang für die Einhaltung ihrer Pflichten verantwortlich (Art. 28 Abs. 1 Buchst. a DORA). Dieser Beitrag zeigt Inhalt, Einreichung, Fristen und Pflichten nach Funktion und enthält einen Quick-Check, mit dem du einordnest, wo dein Haus steht.
Keypoints im Überblick
Die Tabelle fasst zusammen, was der Beitrag weiter unten ausführt und belegt.
| Keypoint | Kernaussage | Normbezug |
|---|---|---|
| Pflicht | Finanzunternehmen führen und aktualisieren ein Informationsregister über alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern. | Art. 28 Abs. 3 DORA |
| Unterscheidung | Die Dokumentation unterscheidet Vereinbarungen für kritische oder wichtige Funktionen von den übrigen. | Art. 28 Abs. 3 DORA |
| Format | Standardvorlagen für das Register legt die Durchführungsverordnung der Kommission fest. | Art. 28 Abs. 9 DORA, Durchführungsverordnung (EU) 2024/2956 |
| Einreichung | Jährlich über die MVP der BaFin, Stichtag 31. Dezember des Vorjahres, bis spätestens 31. März vollständig und fehlerfrei; als xBRL-Datei oder mit der Excel-Vorlage der BaFin. | BaFin-Angaben zum Informationsregister |
| Validierung | BaFin und danach die ESAs validieren das Register. Erst nach der Validierung durch die ESAs ist die Meldepflicht ordnungsgemäß erfüllt. | BaFin-Angaben zum Informationsregister |
| Weitere Anzeigen | Geplante Verträge über IKT-Dienstleistungen für kritische oder wichtige Funktionen sind zeitnah anzuzeigen. Sektorale Anzeigen von Auslagerungen gelten weiter. | Art. 28 Abs. 3 DORA, BaFin-Angaben zum Informationsregister |
| Verantwortung | Die Finanzunternehmen bleiben jederzeit in vollem Umfang verantwortlich. Das Leitungsorgan überprüft regelmäßig die Risiken aus Vereinbarungen für kritische oder wichtige Funktionen. | Art. 28 Abs. 1 Buchst. a DORA, Art. 28 Abs. 2 DORA |
Inhalt dieses Beitrags
- 1. Was das Informationsregister ist
- 2. Was ins Register gehört
- 3. Einreichung bei der BaFin
- 4. Weitere Anzeigepflichten
- 5. Rechtsrahmen und Verantwortung
- 6. Fristen und Zeitpunkte
- 7. Pflichten nach Funktion
- 8. Herausforderungen mit Normbezug
- 9. Bedeutung für Governance und Resilienz
- 10. Quick-Check
- 11. Lösungsansätze
- 12. Fazit
- 13. Häufige Fragen
- 14. Quellenverzeichnis
Was ist das DORA-Informationsregister?
Das Informationsregister ist nach Art. 28 Abs. 3 DORA ein Register aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die IKT-Drittdienstleister bereitstellen. Finanzunternehmen führen und aktualisieren es im Rahmen ihres IKT-Risikomanagementrahmens auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene.
Die BaFin analysiert die Daten, um zum Beispiel Konzentrationsrisiken für den Finanzmarkt zu erkennen, und leitet die Register an die Europäischen Aufsichtsbehörden (ESAs) weiter. Diese stufen anhand der Register jährlich die kritischen IKT-Drittdienstleister ein.
Erfasst sind alle Vereinbarungen über IKT-Dienstleistungen, nicht nur Auslagerungen kritischer Funktionen. Das Register unterscheidet aber, ob eine Vereinbarung kritische oder wichtige Funktionen unterstützt. Das Format der Standardvorlagen ergibt sich aus der Durchführungsverordnung (EU) 2024/2956, die auf Art. 28 Abs. 9 DORA beruht.
Was ins Informationsregister gehört
Die BaFin nennt wesentliche Inhalte, die richtig und vollständig eingetragen sein müssen. Die Tabelle stellt sie neben die Vorgaben aus DORA.
| Inhalt | Anforderung | Normbezug |
|---|---|---|
| Verträge | Übersicht über sämtliche Verträge mit IKT-Drittdienstleistern, die dem Finanzunternehmen IKT-Dienstleistungen bereitstellen. | Art. 28 Abs. 3 DORA |
| Direkter Dienstleister (Rang 1) | Informationen immer, unabhängig davon, ob die Dienstleistung eine kritische oder wichtige Funktion unterstützt. | BaFin-Angaben zum Informationsregister |
| Unterauftragnehmer | Bei IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen: sämtliche Unterauftragnehmer, die die Dienstleistung wirksam unterstützen. | BaFin-Angaben zum Informationsregister |
| Gruppeninterne Dienstleister | Nutzen sie Unterauftragnehmer, mindestens der erste Unterauftragnehmer außerhalb der Gruppe in der Dienstleistungskette, auch ohne kritische oder wichtige Funktion. | BaFin-Angaben zum Informationsregister |
| Unterscheidung | Die Vereinbarungen werden angemessen dokumentiert, getrennt nach Unterstützung kritischer oder wichtiger Funktionen und übrigen Vereinbarungen. | Art. 28 Abs. 3 DORA |
| Ebenen | Führung und Aktualisierung auf Unternehmensebene sowie teilkonsolidiert und konsolidiert. | Art. 28 Abs. 3 DORA |
| Format | Standardvorlagen für das Informationsregister. | Durchführungsverordnung (EU) 2024/2956 |
Einreichung bei der BaFin: Ablauf in sechs Schritten
Der Ablauf gilt für Unternehmen unter Aufsicht der BaFin. Die Schritte folgen den Angaben der BaFin zum Informationsregister und zum MVP-Fachverfahren.
- 1
Stichtag beachten
Das Register gibt den Sachstand zum 31. Dezember des vergangenen Jahres wieder.
- 2
Register befüllen
Die Daten folgen den Standardvorlagen und den von den ESAs veröffentlichten Validierungsregeln für die einzelnen Datenfelder.
- 3
Melder freischalten lassen
Im MVP-Portal wird das Fachverfahren DORA beantragt. Voraussetzung ist der LEI-Code des Finanzunternehmens; die BaFin schaltet frei und informiert per E-Mail.
- 4
Testen
Eine testweise Einreichung ist jederzeit über das Fachverfahren „TEST: Digital Operational Resilience Act (DORA)“ möglich.
- 5
Einreichen
Ausschließlich über die MVP, als strukturierte xBRL-Datei nach der Taxonomie der ESAs oder mit der Excel-Vorlage der BaFin, bis spätestens 31. März vollständig und fehlerfrei.
- 6
Validierung abwarten
BaFin und danach die ESAs validieren das Register, was bis zu 48 Stunden dauern kann. Bei einem Fehlerprotokoll korrigieren und erneut einreichen. Erst nach der Validierung durch die ESAs ist die Meldepflicht ordnungsgemäß erfüllt.
Danach prüfen die ESAs die Datenqualität und können über das MVP-Portal zur Korrektur auffordern. Für den Einreichungszyklus 2027 sind nach Angabe der BaFin keine Taxonomie-Änderungen vorgesehen. Wird die Melde- und Einreichungspflicht an einen Dienstleister übertragen, ist das Excel-Formular zur Auslagerung der Meldungsabgabe an die BaFin zu senden.
Weitere Anzeigepflichten rund um IKT-Dienstleistungen
Die jährliche Einreichung ist nicht die einzige Pflicht. Die Tabelle zeigt, was daneben gilt und was die BaFin nach eigener Angabe nicht doppelt verlangt.
| Anzeige | Was gilt | Normbezug |
|---|---|---|
| Zahl neuer Vereinbarungen | Finanzunternehmen berichten mindestens jährlich über die Zahl neuer Vereinbarungen, die Kategorien der Drittdienstleister, die Art der Vereinbarungen sowie die bereitgestellten Dienstleistungen und Funktionen. Nach Angabe der BaFin müssen die Zahlen nicht zusätzlich gemeldet werden, weil die BaFin sie aus den Registern selbst erheben kann. | Art. 28 Abs. 3 DORA, BaFin-Angaben zum Informationsregister |
| Geplante Verträge für kritische oder wichtige Funktionen | Die zuständige Behörde ist zeitnah über jede geplante vertragliche Vereinbarung über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen zu unterrichten, ebenso wenn eine Funktion kritisch oder wichtig geworden ist. | Art. 28 Abs. 3 DORA |
| Register auf Verlangen | Auf Verlangen ist das vollständige Register oder auf Anfrage sind bestimmte Teile zusammen mit allen Informationen bereitzustellen, die für eine wirksame Beaufsichtigung als notwendig erachtet werden. | Art. 28 Abs. 3 DORA |
| Sektorale Anzeigen | Anzeigen von Auslagerungen nach KWG, VAG oder KAGB gelten weiter und erfolgen über das MVP-Fachverfahren „Anzeige von Auslagerungen“. | BaFin-Angaben zum Informationsregister |
Rechtsrahmen und Verantwortung der Leitung
DORA regelt das Register im Abschnitt über Schlüsselprinzipien für das Management des IKT-Drittparteienrisikos. Die Tabelle ordnet die Vorgaben nach der Frage, die sich der Leitung stellt.
| Frage | Was gilt | Normbezug |
|---|---|---|
| Wer bleibt verantwortlich? | Finanzunternehmen, die vertragliche Vereinbarungen über IKT-Dienstleistungen getroffen haben, bleiben jederzeit in vollem Umfang für die Einhaltung und Erfüllung aller Verpflichtungen nach DORA und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich. | Art. 28 Abs. 1 Buchst. a DORA |
| Welche Rolle hat das Leitungsorgan? | Finanzunternehmen beschließen eine Strategie für das IKT-Drittparteienrisiko und überprüfen sie regelmäßig. Das Leitungsorgan überprüft regelmäßig die Risiken, die im Zusammenhang mit Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen ermittelt werden. Ausgenommen sind unter anderem Kleinstunternehmen. | Art. 28 Abs. 2 DORA |
| Was verlangt das Register? | Führung und Aktualisierung eines Informationsregisters über alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern, angemessen dokumentiert und nach kritischen oder wichtigen Funktionen unterschieden. | Art. 28 Abs. 3 DORA |
| Wer legt das Format fest? | Die ESAs erarbeiten Entwürfe technischer Durchführungsstandards für die Standardvorlagen des Registers. Die Kommission hat sie mit der Durchführungsverordnung (EU) 2024/2956 erlassen. | Art. 28 Abs. 9 DORA, Durchführungsverordnung (EU) 2024/2956 |
| Was gilt gegenüber der Aufsicht? | Das Register ist auf Verlangen vollständig oder in Teilen bereitzustellen. Die BaFin verlangt die jährliche Vorlage über die MVP. | Art. 28 Abs. 3 DORA, BaFin-Angaben zum Informationsregister |
Wie ein Haus das Register für die Leitung aufbereitet, regelt DORA nicht im Einzelnen. Nach unserer Einschätzung gehört ein regelmäßiger Bericht an die Leitung dazu, weil sie die Risiken aus Vereinbarungen für kritische oder wichtige Funktionen regelmäßig überprüfen muss.
Allgemeine Darstellung, keine Rechtsberatung. Die Angaben zur Einreichung betreffen von der BaFin beaufsichtigte Unternehmen; für andere Aufsichtsbehörden gelten deren Vorgaben. Die BaFin kann ihre Hinweise anpassen.
Fristen und Zeitpunkte
Die zeitlichen Vorgaben ergeben sich aus den Angaben der BaFin. Konkrete Einreichungsfenster nennt die BaFin zu Beginn des jeweiligen Jahres.
| Gegenstand | Zeitpunkt oder Frist | Normbezug |
|---|---|---|
| Stichtag | 31. Dezember des vergangenen Jahres: Das Register gibt den Sachstand zu diesem Tag wieder. | BaFin-Angaben zum Informationsregister |
| Einreichung | Jährlich; der Einreichungsprozess ist bis spätestens 31. März vollständig und fehlerfrei zu durchlaufen. | BaFin-Angaben zum Informationsregister |
| Beginn der Annahme | Die BaFin informiert zu Beginn jedes Jahres auf ihrer Website, ab wann sie das Register entgegennimmt. | BaFin-Angaben zum Informationsregister |
| Validierung | Prüfung durch BaFin und danach durch die ESAs, die bis zu 48 Stunden dauern kann. | BaFin-Angaben zum Informationsregister |
| Geplante Verträge | Zeitnahe Unterrichtung über geplante Vereinbarungen für kritische oder wichtige Funktionen. | Art. 28 Abs. 3 DORA |
| Zyklus 2027 | Keine Taxonomie-Änderungen vorgesehen. | BaFin-Angaben zum Informationsregister |
Pflichten und Aufgaben nach Funktion
Wer im Haus welche Aufgabe übernimmt, richtet sich nach der Organisation. Die Übersicht zeigt, wo Vorgaben berührt sind.
| Funktion | Aufgabe | Normbezug |
|---|---|---|
| Geschäftsleitung, Leitungsorgan | Verantwortet die Einhaltung der Pflichten, beschließt die Strategie für das IKT-Drittparteienrisiko und überprüft regelmäßig die Risiken aus Vereinbarungen für kritische oder wichtige Funktionen. | Art. 28 Abs. 1 Buchst. a DORA, Art. 28 Abs. 2 DORA |
| IKT-Risiko- und Auslagerungsmanagement | Führt und aktualisiert das Register, stuft Vereinbarungen nach kritischen oder wichtigen Funktionen ein und pflegt die Unterauftragsketten. | Art. 28 Abs. 3 DORA |
| Vertrags- und Einkaufsmanagement | Liefert vollständige Vertragsdaten sowie Angaben zu Dienstleistern und Unterauftragnehmern. | Praxisaufgabe, kein Normbezug |
| Meldeverantwortliche | Beantragen die Freischaltung im MVP-Portal mit dem LEI-Code, reichen ein und korrigieren nach einem Fehlerprotokoll. | BaFin-Angaben zum MVP-Fachverfahren |
| Beauftragter Dienstleister für die Meldung | Wird die Melde- und Einreichungspflicht übertragen, lässt der Dienstleister eigene Melder freischalten, und das Finanzunternehmen sendet das Formular zur Auslagerung der Meldungsabgabe an die BaFin. | BaFin-Angaben zum MVP-Fachverfahren |
Allgemeine Darstellung ohne Anspruch auf Vollständigkeit. Die konkrete Zuordnung hängt von Rechtsform, Größe und Organisation des Hauses ab.
Herausforderungen mit Normbezug
Alle sechs Herausforderungen haben einen Bezug zu DORA oder zu Angaben der BaFin.
Vollständigkeit
Art. 28 Abs. 3 DORADas Register muss alle vertraglichen Vereinbarungen über IKT-Dienstleistungen erfassen, nicht nur Auslagerungen kritischer Funktionen.
Kritische oder wichtige Funktionen
Art. 28 Abs. 3 DORADie Dokumentation muss je Vereinbarung unterscheiden, ob sie solche Funktionen unterstützt. Das setzt voraus, dass die Funktionen im Haus eingestuft sind.
Unterauftragsketten
BaFin-Angaben zum InformationsregisterBei kritischen oder wichtigen Funktionen sind sämtliche Unterauftragnehmer zu erfassen, die die Dienstleistung wirksam unterstützen; bei gruppeninternen Dienstleistern mindestens der erste externe.
Stichtag und Aktualität
BaFin-Angaben zum InformationsregisterDas Register muss den Sachstand zum 31. Dezember des Vorjahres wiedergeben. Nach unserer Einschätzung braucht das einen festen Jahresabschluss der Vertragsdaten.
Datenqualität und Validierung
BaFin-Angaben zum InformationsregisterZuerst validieren BaFin und ESAs formal, danach prüfen die ESAs die Datenqualität und können zur Korrektur auffordern.
Konzernebenen
Art. 28 Abs. 3 DORADas Register ist auf Unternehmensebene sowie teilkonsolidiert und konsolidiert zu führen und zu aktualisieren.
Bedeutung für Governance und Resilienz
Das Informationsregister ist mehr als eine Meldung. Es zeigt, welche IKT-Abhängigkeiten das Haus hat und wo sich Risiken bei einzelnen Dienstleistern konzentrieren. Die BaFin nutzt die Daten selbst, um Konzentrationsrisiken zu erkennen. Für die Geschäftsleitung lautet die Leitfrage, was sie belegen kann: dass das Register vollständig und aktuell ist, dass kritische oder wichtige Funktionen eingestuft sind und dass sie die Risiken regelmäßig überprüft.
Quick-Check: Wo steht dein Haus beim Informationsregister?
Vier Fragen, je drei Stufen. Zu jeder Stufe erscheint eine Empfehlung für die nächste Sitzung der Geschäftsleitung. Die Auswahl wird nicht gespeichert und nicht übertragen.
Sind alle vertraglichen Vereinbarungen über IKT-Dienstleistungen im Register erfasst, auf allen erforderlichen Ebenen?
Bezug: Art. 28 Abs. 3 DORA.
Empfehlung für die nächste Sitzung: Der Bestand gilt als vollständig. Prüfe, ob er zum Stichtag abgeglichen und dokumentiert ist.
Empfehlung für die nächste Sitzung: Der Bestand ist teilweise erfasst. Lege fest, wer fehlende Verträge bis wann nachträgt.
Empfehlung für die nächste Sitzung: Der Bestand ist unklar. Starte eine Bestandsaufnahme über Einkauf, Fachbereiche und IT.
Ist je Vereinbarung dokumentiert, ob sie kritische oder wichtige Funktionen unterstützt, und sind Unterauftragsketten erfasst?
Bezug: Art. 28 Abs. 3 DORA und BaFin-Angaben zum Informationsregister.
Empfehlung für die nächste Sitzung: Einstufung und Ketten sind dokumentiert. Prüfe, wie aktuell sie sind.
Empfehlung für die nächste Sitzung: Die Einstufung liegt teilweise vor. Ergänze die fehlenden Einstufungen und fordere Angaben zu Unterauftragnehmern an.
Empfehlung für die nächste Sitzung: Es gibt keine einheitliche Einstufung. Lege Kriterien fest und stufe die Vereinbarungen ein.
Sind Melder freigeschaltet, ein Testlauf durchgeführt und die Validierungsregeln der ESAs berücksichtigt?
Bezug: BaFin-Angaben zum Informationsregister und BaFin-Angaben zum MVP-Fachverfahren.
Empfehlung für die nächste Sitzung: Der Einreichungsweg steht. Prüfe Vertretungen und den Zeitplan vor dem 31. März.
Empfehlung für die nächste Sitzung: Teile sind vorbereitet. Beantrage fehlende Freischaltungen und plane einen Testlauf.
Empfehlung für die nächste Sitzung: Der Weg ist offen. Beantrage die Freischaltung im MVP-Portal und lege Zuständigkeiten fest.
Überprüft die Leitung regelmäßig die Risiken aus Vereinbarungen für kritische oder wichtige Funktionen, und gibt es einen Berichtsweg dafür?
Bezug: Art. 28 Abs. 1 Buchst. a und Abs. 2 DORA.
Empfehlung für die nächste Sitzung: Ein Berichtsweg besteht. Prüfe, ob die Berichte das Register und seine Auffälligkeiten abdecken.
Empfehlung für die nächste Sitzung: Die Überprüfung erfolgt unregelmäßig. Lege Turnus und Inhalt des Berichts an die Leitung fest.
Empfehlung für die nächste Sitzung: Es gibt keinen Berichtsweg. Führe einen regelmäßigen Bericht zu Dienstleistern und Risiken ein.
Lösungsansätze: fünf Maßnahmen für die Praxis
Diese fünf Maßnahmen sind nach unserer Einschätzung unabhängig von Größe und Struktur des Hauses sinnvoll.
- Vertragsbestand vollständig erfassen: Alle Vereinbarungen über IKT-Dienstleistungen zusammentragen, nicht nur Auslagerungen.
- Funktionen und Ketten dokumentieren: Kritische oder wichtige Funktionen einstufen und Unterauftragsketten erfassen.
- Datenqualität vor dem Stichtag prüfen: Validierungsregeln der ESAs anwenden und das Testverfahren der BaFin nutzen.
- Melder früh freischalten: LEI-Code bereithalten, Freischaltung beantragen und die Einreichung vor dem 31. März planen.
- Berichtsweg zur Leitung festlegen: Turnus und Inhalt des Berichts über Dienstleister, Konzentrationen und Auffälligkeiten festlegen.
Fazit
Das Informationsregister ist ein Pflichtbaustein des IKT-Drittparteienrisikomanagements und zugleich ein Nachweis dafür, dass die Leitung ihre IKT-Abhängigkeiten kennt. Die Verantwortung bleibt bei den Finanzunternehmen.
- Das Register erfasst alle Vereinbarungen über IKT-Dienstleistungen von Drittdienstleistern.
- Stichtag ist der 31. Dezember, der Einreichungsprozess ist bis spätestens 31. März fehlerfrei zu durchlaufen.
- Erst die Validierung durch die ESAs erfüllt die Meldepflicht ordnungsgemäß.
- Die Leitung überprüft regelmäßig die Risiken aus Vereinbarungen für kritische oder wichtige Funktionen.
Die Entscheidung liegt bei der Geschäftsleitung: Wer das DORA-Informationsregister vollständig, zum Stichtag aktuell und mit klarem Berichtsweg führt, kann gegenüber Aufsicht und Prüfern darlegen, wie das Haus seine IKT-Abhängigkeiten steuert.
Häufige Fragen
Die Antworten beziehen sich auf Art. 28 DORA und die Angaben der BaFin, Stand Oktober 2026.
Was ist das DORA-Informationsregister?+–
Das DORA-Informationsregister erfasst alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die IKT-Drittdienstleister bereitstellen. Finanzunternehmen führen und aktualisieren es auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene (Art. 28 Abs. 3 DORA).
Wer muss das Informationsregister bei der BaFin einreichen?+–
Unternehmen, die von der BaFin beaufsichtigt werden und DORA umsetzen müssen, stellen der BaFin jährlich das vollständige Informationsregister zur Verfügung. Für andere Aufsichtsbehörden gelten deren Vorgaben.
Wann ist das Informationsregister einzureichen?+–
Es ist jährlich einzureichen. Der Einreichungsprozess ist bis spätestens 31. März vollständig und fehlerfrei zu durchlaufen. Das Register muss den Sachstand zum 31. Dezember des Vorjahres wiedergeben. Zu Beginn jedes Jahres informiert die BaFin darüber, ab wann sie das Register entgegennimmt.
Was gehört in das Informationsregister?+–
Eine Übersicht über sämtliche Verträge mit IKT-Drittdienstleistern, Informationen zum direkten Dienstleister immer, bei kritischen oder wichtigen Funktionen sämtliche Unterauftragnehmer, die die Dienstleistung wirksam unterstützen, und bei gruppeninternen Dienstleistern mindestens den ersten Unterauftragnehmer außerhalb der Gruppe. Die Vereinbarungen werden danach unterschieden, ob sie kritische oder wichtige Funktionen unterstützen.
Wie reiche ich das Informationsregister bei der BaFin ein?+–
Ausschließlich über die Melde- und Veröffentlichungsplattform der BaFin, entweder als strukturierte xBRL-Datei nach ESA-Taxonomie oder mit der Excel-Vorlage der BaFin. BaFin und danach die ESAs validieren das Register; erst nach der Validierung durch die ESAs ist die Meldepflicht ordnungsgemäß erfüllt.
Ersetzt die jährliche Einreichung alle Anzeigepflichten?+–
Nein. Die Zahl neuer Vereinbarungen muss nach Angabe der BaFin nicht zusätzlich gemeldet werden. Geplante Verträge über IKT-Dienstleistungen für kritische oder wichtige Funktionen sind der BaFin aber zeitnah anzuzeigen (Art. 28 Abs. 3 DORA), und sektorale Anzeigen von Auslagerungen nach KWG, VAG oder KAGB gelten weiter.
Quellenverzeichnis
Primärquellen: EU-Rechtsakte und Veröffentlichungen der BaFin, Stand Oktober 2026.
EU-Rechtsakte
Verordnung (EU) 2022/2554 (DORA)
Art. 28: Verantwortung, Strategie, Informationsregister und Ermächtigung für die Standardvorlagen (Absätze 1, 2, 3 und 9).
Durchführungsverordnung (EU) 2024/2956
Technische Durchführungsstandards zu den Standardvorlagen für das Informationsregister.
Aufsicht
BaFin: Informationsregister und Anzeigepflichten
Einreichungszyklus, Stichtag, Einreichungsweg, Inhalte, Validierung und weitere Anzeigepflichten.
BaFin: MVP-Fachverfahren für DORA-Meldungen
Melderfreischaltung, LEI-Code und ausgelagerte Meldepflichten.
EBA: FAQ zur Meldung der Informationsregister unter DORA (PDF)
Von der BaFin zur Befüllung des Registers verlinkt; Fragen und Antworten zur Meldung der Register.
Die Angaben der BaFin zu Fristen und Verfahren können sich ändern. Maßgeblich ist jeweils die aktuelle Fassung der verlinkten Seiten.
Verwandte Leistungen und Programme
Dieser Beitrag ordnet ein. Umsetzung und Qualifizierung finden an anderer Stelle statt.
Anforderungen an das Auslagerungsregister
Beitrag zum klassischen Auslagerungsregister als Gegenstück zum Informationsregister.
DORA: IKT-Drittanbieter und systemische Risiken
Beitrag zu Konzentrations- und Systemrisiken bei IKT-Drittanbietern.
S+P Compliance: Informationsregister mit xBRL-Support
Beschreibt die Unterstützung bei Erstellung und Einreichung des Registers.
S+P Seminare: DORA und NIS-2
Seminare zu DORA und NIS-2 für Teams, die die Anforderungen selbst erfüllen.
