Das Informationsregister nach Art. 28 Abs. 3 DORA führen und einreichen

Diese Seite gilt für beide Rahmen: für Finanzunternehmen im Vollrahmen und im vereinfachten Rahmen nach Art. 16 DORA, also ab 01.01.2027 auch für Factoring- und Leasinginstitute und die übrigen Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe), soweit sie keine Kleinstunternehmen sind. Welcher Rahmen für Sie gilt, klärt die Seite DORA-Anwendungsbereich.

Wer muss ein Informationsregister führen?

Jedes Finanzunternehmen, für das Art. 28 DORA gilt. Das Register gehört zu Art. 28 Abs. 3 und wird auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene geführt. Im vereinfachten Rahmen nach Art. 16 gelten Art. 28 bis 30 im Grundsatz ebenfalls, mit Erleichterungen wie dem Wegfall der Strategie nach Art. 28 Abs. 2, die das Register nicht berühren (Aufsichtsmitteilung der BaFin vom 21.08.2025, Abschnitt 7.2). Auch Kleinstunternehmen führen nach DORA ein Register, eine Ausnahme sieht die Verordnung nicht vor.

Wer es nicht führen muss: Für Kleinstunternehmen der KWG-Gruppe gelten Art. 28 bis 30 DORA nach § 1a Abs. 2a Satz 2 Nr. 3 KWG nicht. Damit entfällt für sie nach unserer Lesart auch das Register, weil es in Art. 28 Abs. 3 steht. Diese Sonderregel steht im KWG und gilt nicht für andere DORA-Kleinstunternehmen. Ob Ihr Institut Kleinstunternehmen ist, prüfen Sie mit beiden Zahlen, wie auf der Seite DORA-Anwendungsbereich beschrieben. Unterstellen Sie den Status nicht. IKT-Dienstleister selbst führen kein Register, DORA verpflichtet nur Finanzunternehmen. Was Ihre Finanzkunden dafür von Ihnen brauchen, steht auf der Seite DORA für IT-Dienstleister.

Was gehört ins Register?

Alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die IKT-Drittdienstleister bereitstellen (Art. 28 Abs. 3 UAbs. 1). IKT-Dienstleistungen sind digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft bereitgestellt werden, einschließlich Hardware als Dienstleistung, ohne herkömmliche analoge Telefondienste (Art. 3 Nr. 21). Der Begriff ist weiter als die Auslagerung. Anhang III der Durchführungsverordnung nennt 19 Arten, von Projektmanagement und Entwicklung über Softwarelizenzen und Betrieb einschließlich Wartung bis zu Cloud-Diensten. Ins Register gehören laut BaFin:

• den direkten IKT-Drittdienstleister (Rang 1) immer, unabhängig davon, ob die Dienstleistung eine kritische oder wichtige Funktion unterstützt,
• bei Dienstleistungen für kritische oder wichtige Funktionen alle Unterauftragnehmer, die die Erbringung wirksam unterstützen,
• bei gruppeninternen IKT-Dienstleistern mindestens den ersten Unterauftragnehmer außerhalb der Gruppe, auch ohne Bezug zu kritischen oder wichtigen Funktionen.

Nicht ins Register gehört die MVP der BaFin, auch die Deutsche Bundesbank ist kein IKT-Drittdienstleister im Sinne von DORA. Zusätzliche Angaben für das eigene Vertragsmanagement sind erlaubt (Art. 5 Abs. 2 der Durchführungsverordnung). In Gruppen entscheidet das Mutterunternehmen, welche Unternehmen aufgenommen werden (Art. 6 Abs. 1).

Wie ist das Register aufgebaut?

Die Durchführungsverordnung (EU) 2024/2956 gibt 15 Vorlagen vor (Anhang I). Jede Vorlage ist eine Tabelle mit festen Spalten, jede Spalte hat einen Code, etwa B_02.02.0060, ein Format und eine Ausfülloption, etwa obligatorisch, obligatorisch unter einer Bedingung oder optional.

Zusammengehalten werden die Vorlagen durch drei Schlüssel: die Kennnummer der vertraglichen Vereinbarung (B_02.01.0010), die das Finanzunternehmen vergibt, unverändert beibehält und in allen Vorlagen gleich verwendet, die Funktionskennung (B_06.01.0010, Format F1, F2 usw.) und die Kennung des Dienstleisters (B_05.01.0010). Wer einen dieser Werte an einer Stelle ändert und an einer anderen nicht, erzeugt Fehler.

LEI, EUID und andere Kennungen

Das Finanzunternehmen identifiziert sich im Register mit seiner LEI. IKT-Drittdienstleister, die juristische Personen sind, werden mit einer gültigen und aktiven LEI oder der europäischen Kennung EUID identifiziert, mit beiden, wenn beide vorhanden sind (Art. 3 Abs. 5 der Durchführungsverordnung). Für juristische Personen außerhalb der EU ist nur die LEI zulässig. Andere Kennungen wie Handelsregister- oder Umsatzsteuer-Identifikationsnummer dürfen Sie nur für natürliche Personen verwenden, die als Unternehmer handeln (Anhang I, B_05.01.0020). Eine Dummy-LEI akzeptiert die BaFin nicht. Die Kennungen erhalten Sie vom Dienstleister selbst. Für Unterauftragnehmer in der Kette kritischer oder wichtiger Funktionen sorgen Sie über den direkten Dienstleister dafür, dass LEI oder EUID vorliegen (Art. 3 Abs. 6).

Wie wird die kritische oder wichtige Funktion je Vertrag erfasst?

Art. 28 Abs. 3 UAbs. 2 DORA verlangt, Verträge für kritische oder wichtige Funktionen von den übrigen zu unterscheiden. Im Register geschieht das über die Funktion: Vorlage B_06.01 führt jede Funktion mit eigener Kennung für jede Kombination aus LEI, genehmigter Tätigkeit und Funktion, mit der Bewertung „ja“, „nein“ oder „keine Bewertung durchgeführt“, dem Datum der letzten Bewertung und den Vorgaben für Wiederherstellungszeit und Wiederherstellungspunkt in Stunden. In B_02.02 verweist jeder Vertrag über die Funktionskennung auf die Funktion, die er unterstützt. Unterstützt ein Vertrag mehrere Funktionen, steht er nach unserer Lesart der Vorlage in mehreren Zeilen, je Funktion eine.

Unterstützt die Dienstleistung eine kritische oder wichtige Funktion, werden weitere Felder Pflicht: Kündigungsfristen beider Seiten in Kalendertagen, maßgebliches Recht, Land der Erbringung, Datenspeicherung mit Ort, Sensibilität der Daten, Grad der Abhängigkeit, dazu die ganze Vorlage B_07.01 mit Substituierbarkeit, Datum des letzten Audits, Ausstiegsplan, Möglichkeit der Wiedereingliederung, Auswirkung einer Einstellung und alternativen Dienstleistern. Welche Funktionen kritisch oder wichtig sind, legen Sie vorher fest, die Methode zeigt die Seite kritische oder wichtige Funktionen einstufen.

Ausfüllhilfe: ein Vertrag, ausgefüllt

Fiktives Beispiel, kein Kunde. Die Muster-Factoring GmbH (23 Beschäftigte, Bilanzsumme 61 Mio. EUR, kein Kleinstunternehmen) aus dem Beispiel zur Funktionsliste bezieht ihr Factoring-Kernsystem als Software-as-a-Service. Der Softwareanbieter betreibt es im Rechenzentrum eines Unterauftragnehmers. Auf dem Kernsystem laufen zwei kritische oder wichtige Funktionen, der Forderungsankauf (F1) und die Debitorenbuchhaltung (F3). Die Tabelle zeigt die wichtigsten Felder für diesen Vertrag. Platzhalter in spitzen Klammern ersetzen Sie durch echte Kennungen, nie durch erfundene.

Hinweis für die KWG-Gruppe: Die Auswahlliste in B_01.01.0040 und die Tätigkeiten in Anhang II folgen den Arten von Finanzunternehmen nach Art. 2 DORA. Eine eigene Option für Institute, die nur über § 1a Abs. 2a KWG erfasst sind, gibt es nicht. In Frage kommen „Kreditinstitute“ oder „sonstige Finanzunternehmen“, und für beide Lesarten gibt es ein Argument. Die Durchführungsverordnung sieht „sonstige Finanzunternehmen“ für Mutterunternehmen vor, die das Register auf Gruppenebene führen, selbst aber nicht registerpflichtig sind, weil sie nicht unter Art. 2 DORA fallen, etwa Finanzholdinggesellschaften, gemischte Finanzholdinggesellschaften oder gemischte Holdinggesellschaften. Institute nach § 1a Abs. 2a KWG fallen ebenfalls nicht unter Art. 2, sind aber über das KWG selbst registerpflichtig. Der Fall ist also nur teilweise vergleichbar, für „sonstige Finanzunternehmen“ spricht deshalb nur eine Analogie. Für „Kreditinstitute“ mit den Tätigkeiten für Kreditinstitute (Anhang II, B_06.01.0020) spricht das KWG, das DORA für diese Institute so anwendet, „als wären diese Institute CRR-Kreditinstitute“. Eine Festlegung der BaFin haben wir nicht gefunden. Gleichen Sie beide Felder mit den Ausfüllhinweisen und der beispielhaft befüllten Excel-Vorlage der BaFin ab und fragen Sie im Zweifel nach.

Die Spaltencodes der Vorlage B_06.01 folgen der Berichtigung der Durchführungsverordnung vom 19.09.2025. Sie hat die Spalten ab der Bewertung um eine Stelle nach vorn gezogen: Die Bewertung „kritisch oder wichtig“ steht in 0050, die Gründe in 0060, das Datum der Bewertung in 0070, die Wiederherstellungsziele in 0080 und 0090, die Auswirkung einer Einstellung in 0100. Unterlagen mit 0060 bis 0110 folgen dem unberichtigten Text. Gleichen Sie die Codes mit der Excel-Vorlage der BaFin ab, mit der Sie einreichen.

Die Ausfüllhilfe gibt es auch als Datei mit den Blättern Ausfüllhilfe, Vorlagen und Prüfliste: Ausfüllhilfe herunterladen (Excel, xlsx). Sie ersetzt nicht die Excel-Vorlage der BaFin, mit der Sie einreichen.

Wie wird das Register bei der BaFin eingereicht?

Zwei weitere Pflichten aus Art. 28 Abs. 3 löst die BaFin über das Register oder bestehende Wege: Die Zahl neuer Verträge entnimmt sie dem Register selbst, eine eigene Meldung ist nicht nötig. Geplante Verträge für kritische oder wichtige Funktionen und Funktionen, die kritisch oder wichtig geworden sind, zeigen Sie zeitnah an. Liegt zugleich eine anzeigepflichtige Auslagerung vor, zeigen Sie diese weiter über das MVP-Fachverfahren „Anzeige von Auslagerungen“ an. Die DORA-Anzeige soll künftig im selben Formular möglich sein, das kündigt die BaFin auf ihrer Website an. Ohne Überschneidung senden Sie das Excel-Formular der BaFin per E-Mail an DORA-Informationsregister@bafin.de.

Offen für die KWG-Gruppe: Art. 28 gilt für sie ab 01.01.2027 (§ 1a Abs. 2a i. V. m. § 65a Abs. 3 KWG). Ob sie schon 2027 ein Register mit Stand 31.12.2026 einreicht oder erstmals 2028 mit Stand 31.12.2027, regelt keine von uns gelesene Quelle. Wir empfehlen, das Register ab Januar 2027 einreichungsfähig zu führen, früh eine Testeinreichung zu machen und die Ankündigung der BaFin zu Jahresbeginn zu verfolgen.

Typische Validierungsfehler

Die Validierungsregeln der europäischen Aufsichtsbehörden selbst haben wir nicht ausgewertet. Die folgenden Fehlerbilder stammen aus den Hinweisen der BaFin und aus dem Wortlaut der Durchführungsverordnung. Die BaFin stellt zusätzlich eine Übersicht möglicher Fehlercodes mit Abhilfe bereit.

Drei typische Lücken

Wie Sie Verträge mit IKT-Dienstleistern prüfen, nachverhandeln und mit Ausstiegsstrategien absichern, behandelt die Seite IKT-Drittdienstleister steuern.

Wie wir unterstützen

Für Institute im Umstieg auf Art. 16 und für Unternehmen im Vollrahmen beginnen wir mit der DORA-Gap-Analyse. Sie zeigt, ob Register, Funktionsliste und Verträge zusammenpassen und was bis zum nächsten Stichtag fehlt. Rechtliche Fragen zu Verträgen und Einzelfällen klären Sie mit Ihrer Rechtsberatung.