Umstieg auf DORA · Vollrahmen und Art. 16
Informationsregister erstellen und jährlich einreichen
Das Informationsregister nach Art. 28 Abs. 3 DORA erfasst alle Verträge über IKT-Dienstleistungen und wird jedes Jahr bei der BaFin eingereicht. Wir erstellen das Register mit Ihnen zum ersten Mal und begleiten danach die jährliche Aktualisierung und Einreichung. Einreichen tun Sie selbst über Ihren Zugang zur MVP der BaFin. Ersterstellung ab 8.400 € netto, jährliche Aktualisierung mit Einreichungsbegleitung 3.500 € netto je Einreichung, jeweils zzgl. USt.
Wer braucht das Register, und warum ist das erste das schwerste?
Die Leistung gilt für beide Rahmen: für Finanzunternehmen im Vollrahmen und im vereinfachten Rahmen nach Art. 16 DORA. Sie führen nach Art. 28 Abs. 3 DORA ein Informationsregister über alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern und kennzeichnen, welche davon kritische oder wichtige Funktionen unterstützen. Für die Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe), etwa Factoring- und Leasinginstitute, gilt Art. 28 ab dem 1. Januar 2027, für Kleinstunternehmen dieser Gruppe gar nicht.
Aufbau und Felder legt die Durchführungsverordnung (EU) 2024/2956 fest. Eingereicht wird jährlich über die MVP der BaFin mit Stand 31. Dezember des Vorjahres. Der Einreichungsprozess muss bis spätestens 31. März vollständig und fehlerfrei durchlaufen sein, und die Pflicht ist erst erfüllt, wenn auch die europäischen Aufsichtsbehörden das Register validiert haben.
Die meiste Arbeit steckt im ersten Register. Alle IKT-Verträge müssen gefunden werden, auch die, die nie als Auslagerung galten, denn der DORA-Begriff der IKT-Dienstleistung ist deutlich weiter. Jeder Vertrag braucht die Funktion, die er stützt, und jeder Dienstleister eine gültige Kennung. Danach geht es um Pflege. Was im Register steht und wie es aufgebaut ist, erklärt unsere Seite zum Informationsregister mit Ausfüllhilfe. Mit dieser Leistung setzen wir es für Sie um.
Was gehört zur Leistung?
Fünf Bausteine für die Ersterstellung, ein Baustein für jedes weitere Jahr. Die Einstufung kritischer oder wichtiger Funktionen setzen wir voraus.
Welche Verträge gehören hinein?
Vertragsinventar
Aus Auslagerungsregister, Kreditorenliste und Vertragsablage erfassen wir alle vertraglichen Vereinbarungen über IKT-Dienstleistungen. Den direkten Dienstleister (Rang 1) immer, bei Diensten für kritische oder wichtige Funktionen auch die Unterauftragnehmer, die die Leistung wirksam unterstützen.
Was ins Register gehörtWelche Funktion stützt der Vertrag?
Zuordnung zu Funktionen
Jeden Vertrag ordnen wir den Funktionen aus Ihrer Funktionsliste zu, damit das Register Verträge für kritische oder wichtige Funktionen von den übrigen unterscheidet. Verträge ohne klare Zuordnung kommen mit Begründung auf die Liste offener Punkte.
Funktionen einstufenWer genau ist der Dienstleister?
Kennungen beschaffen
Dienstleister, die juristische Personen sind, brauchen eine gültige und aktive LEI oder EUID. Eine Dummy-LEI akzeptiert die BaFin nicht. Wir prüfen vorhandene Kennungen und liefern Ihnen Textbausteine für die Anfrage an Dienstleister und, über diese, an deren Unterauftragnehmer.
Passt alles zusammen?
Befüllung und Plausibilitätsprüfung
Wir befüllen die Vorlagen nach der Durchführungsverordnung und prüfen sie auf Vollständigkeit, Kohärenz und einheitliche Schlüssel. Die typischen Fehlerbilder kennen wir von der Ausfüllhilfe und gehen sie vor der Übergabe einzeln durch.
Typische ValidierungsfehlerWie bleibt das Register aktuell?
Pflegeschritt im Vertragsprozess
Änderungen an IKT-Verträgen gehören umgehend ins Register, die Angaben sind regelmäßig zu prüfen. Wir beschreiben, wer im Beschaffungs- und Vertragsprozess was einträgt, damit das Register nicht nur im März gepflegt wird.
Was kommt jedes Jahr wieder?
Aktualisierung und Einreichungsbegleitung
Zum Stichtag 31. Dezember gleichen wir neue, geänderte und beendete Verträge ab, prüfen erneut und begleiten Ihre Einreichung über die MVP bis zur Annahme. Lehnt die Validierung ab, korrigieren wir mit Ihnen vor Fristende. Kommt im April ein Datenqualitätsfeedback, gehen wir es mit Ihnen durch.
Was Sie am Ende in der Hand haben
Die Ergebnisse übergeben wir als Dateien, die Sie selbst weiterführen.
01
Vertragsinventar
Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen mit Quelle, Dienstleister, Kennnummer und Zuordnung zu Funktionen.
02
Befülltes Register
Die Vorlagen nach der Durchführungsverordnung (EU) 2024/2956 für einen Rechtsträger, plausibilisiert und bereit für Ihre Einreichung.
03
Liste offener Punkte
Fehlende Kennungen, unklare Unterauftragnehmer, Verträge ohne Zuordnung, jeweils mit Verantwortlichen.
04
Textbausteine für Dienstleister
Anfragen zu LEI oder EUID und zu Unterauftragnehmern in der Kette, zum Versand durch Ihr Unternehmen.
05
Pflegeanleitung
Wer wann was einträgt, als Schritt in Beschaffung und Vertragsmanagement, mit Termin für die jährliche Aktualisierung.
06
Einreichungsprotokoll
In der zweiten Stufe: Ablauf der Einreichung, Ergebnis der Validierung, Korrekturen und Durchsicht eines Datenqualitätsfeedbacks.
Beispiel: Ersterstellung für ein Leasinginstitut
So kann die Ersterstellung bei einem fiktiven Leasinginstitut der KWG-Gruppe verlaufen, das kein Kleinstunternehmen ist und ab dem 1. Januar 2027 unter Art. 28 fällt. Ein Beispiel, keine Zusage: Termine, Vertragslage und Antwortzeiten der Dienstleister verschieben den Plan.
| Zeitraum | Abschnitt | Ergebnis | Beitrag des Instituts |
|---|---|---|---|
| Dezember 2026 | Scoping und Unterlagen | Vertragsquellen benannt: Auslagerungsregister mit 9 Einträgen, Kreditorenliste, Vertragsablage. Funktionsliste liegt beschlossen vor | Unterlagen bereitstellen, Ansprechperson benennen |
| Januar 2027 | Vertragsinventar und Zuordnung | 23 vertragliche Vereinbarungen über IKT-Dienstleistungen, davon 6 für kritische oder wichtige Funktionen | zwei Workshops mit Einkauf, IT und Vertragsmanagement |
| Januar bis Februar 2027 | Kennungen und Befüllung | Vorlagen befüllt, LEI oder EUID bei 4 Dienstleistern und 3 Unterauftragnehmern angefragt | Anfragen an Dienstleister versenden |
| Februar 2027 | Prüfung und Übergabe | Register plausibilisiert, 2 offene Punkte mit Verantwortlichen, Pflegeschritt im Beschaffungsprozess | Abnahme, Pflege ab Übergabe |
Fiktives Beispiel von Blackfort Technology, keine Mandatsdaten und keine Zusage zu Terminen oder Ergebnissen. Ab wann die KWG-Gruppe erstmals ein Register einreicht, regelt nach unserem Stand keine Quelle. Das Beispiel geht davon aus, dass das Register ab Anfang 2027 einreichungsfähig sein soll.
Was kostet das Informationsregister, und wo liegen die Grenzen?
Zwei Stufen mit festem Grundumfang für einen Rechtsträger und bis 25 vertragliche Vereinbarungen über IKT-Dienstleistungen. Die Spalte PT zeigt den Aufwand je Baustein in Personentagen. Mehr Rechtsträger oder Vereinbarungen bepreisen wir nach dem Scoping-Gespräch.
| Baustein | Umfang | PT |
|---|---|---|
| Ersterstellung: Vertragsinventar | Erfassung aus Ihren Unterlagen, Prüfung vorhandener LEI und EUID, Textbausteine für Anfragen an Dienstleister | 1,5 |
| Ersterstellung: Zuordnung zu Funktionen und Dienstleistern | Zuordnung zu Ihrer Funktionsliste, Dienstleistungsketten bei kritischen oder wichtigen Funktionen | 1 |
| Ersterstellung: Befüllung der Vorlagen | Vorlagen nach der Durchführungsverordnung (EU) 2024/2956 | 1,5 |
| Ersterstellung: Plausibilitätsprüfung | Prüfung, Liste offener Punkte, Pflegeanleitung, Übergabe | 1 |
| Ersterstellung: Workshops | bis 4, je bis 3 Std., per Video oder vor Ort, etwa mit Einkauf, IT und Vertragsmanagement | 1 |
| Preis Ersterstellung | ab 8.400 € netto zzgl. USt. Die Einreichung ist nicht enthalten, siehe jährliche Aktualisierung | 6 |
| Jährliche Aktualisierung | Abgleich neuer, geänderter und beendeter Verträge und Kennungen zum Stichtag 31. Dezember, ein Abstimmungstermin | 1,5 |
| Jährliche Aktualisierung: Prüfung | Plausibilitätsprüfung des aktualisierten Registers | 0,5 |
| Jährliche Aktualisierung: Einreichungsbegleitung | Begleitung Ihrer Einreichung über die MVP bis zur Annahme, Korrektur bei Ablehnung | 0,5 |
| Preis jährliche Aktualisierung | 3.500 € netto zzgl. USt. je Einreichung | 2,5 |
Angebot ausschließlich für Unternehmen (B2B). PT = Personentage. Als eine Vereinbarung zählt, was im Register eine eigene Kennnummer bekommt. Mehr Rechtsträger, Vereinbarungen oder ein Register auf Gruppenebene bepreisen wir nach dem Scoping-Gespräch und nennen den Preis im Angebot. Eine Gap-Analyse wird auf diese Einzelleistung nicht angerechnet, angerechnet wird sie nur auf die Pakete der Reihe „Umstieg auf DORA“ (Umstieg von der BAIT, VAIT, KAIT, ZAIT und BAIT-Bestand bereinigen).
Wie läuft die Ersterstellung ab?
Vier Abschnitte. Die Dauer hängt vor allem davon ab, wie schnell Verträge vorliegen und Dienstleister ihre Kennungen liefern.
1
Scoping und Unterlagen
Rahmen und Rechtsträger klären, Vertragsquellen sammeln, Funktionsliste und vorhandene Kennungen anfordern.
2
Vertragsinventar und Zuordnung
Verträge erfassen, Dienstleistungsketten bei kritischen oder wichtigen Funktionen klären, Funktionen zuordnen.
3
Kennungen und Befüllung
Anfragen an Dienstleister vorbereiten, Vorlagen befüllen, offene Punkte nachhalten.
4
Prüfung und Übergabe
Plausibilitätsprüfung, Liste offener Punkte, Pflegeanleitung und Übergabe des Registers.
Danach führen Sie das Register selbst weiter. Zum Stichtag beginnt die zweite Stufe, wenn Sie sie beauftragen. Wer bis 31. März einreichen muss, sollte das Register früh im Jahr fertig haben, damit Zeit für Korrekturen bleibt.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Ausfüllhilfe, Erstellung oder Gap-Analyse?
Unsere Seite zum Informationsregister erklärt Vorlagen, Pflichtfelder, Kennungen, Einreichung und typische Validierungsfehler und bietet eine Ausfüllhilfe mit Beispielvertrag zum Download. Wer das Register selbst aufbauen will, beginnt dort. Mit dieser Leistung erstellen wir es mit Ihnen und begleiten die Einreichung.
Die DORA-Gap-Analyse zeigt, ob Register, Funktionsliste und Verträge zusammenpassen und was insgesamt fehlt, und endet mit einem Maßnahmenplan. Das Paket „Umstieg von der BAIT“ und die übrigen Pakete der Reihe „Umstieg auf DORA“ enthalten das Register nicht. Diese Leistung ergänzt sie.
Wenn Ihr Institut zur KWG-Gruppe gehört
Für Kleinstunternehmen der KWG-Gruppe gelten Art. 28-30 DORA nach § 1a Abs. 2a Satz 2 Nr. 3 KWG nicht. Damit entfällt für sie nach unserer Lesart auch das Register, weil es in Art. 28 Abs. 3 steht. Kleinstunternehmen ist nur, wer weniger als zehn Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanzsumme 2 Mio. EUR nicht überschreitet. Bei Factoring- und Leasinginstituten liegt die Bilanzsumme oft darüber. Wir halten Ihre Zahlen deshalb am Anfang fest und unterstellen den Status nicht. Kriterien und Grenzfälle erklärt die Seite DORA-Betroffenheit.
Diese Sonderregel steht im KWG. Vom Informationsregister nach Art. 28 Abs. 3 nimmt DORA selbst Kleinstunternehmen nicht aus. Offen ist noch, ab wann die KWG-Gruppe erstmals einreicht. Art. 28 gilt für sie ab dem 1. Januar 2027, der Stand der Einreichung ist jeweils der 31. Dezember des Vorjahres. Eine Festlegung dazu haben wir in keiner Quelle gefunden. Wir verfolgen die Ankündigungen der BaFin und richten den Zeitplan im Angebot danach aus.
Wer die Leistung verantwortet
Verantwortlicher Berater ist Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology, seit 2017 inhabergeführt.
Was bringt Ihr Unternehmen ein?
Eine Ansprechperson
Zum Beispiel aus Vertragsmanagement, Auslagerungsmanagement oder IT, mit Zugriff auf Verträge und Kostenangaben.
Funktionsliste und Unterlagen
Ihre Liste kritischer oder wichtiger Funktionen, das Auslagerungsregister, eine Kreditorenliste und die Verträge selbst.
Dienstleister und MVP-Zugang
Den Versand der Anfragen zu Kennungen an Ihre Dienstleister und eine Person mit Zugang zur MVP, die einreicht.
Was gehört nicht zur Leistung?
Damit die Erwartungen stimmen:
- Keine Einstufung kritischer oder wichtiger Funktionen. Wir arbeiten mit Ihrer Funktionsliste. Fehlt sie, klären wir die Einstufung vorher, etwa in der Gap-Analyse oder einem Paket der Reihe „Umstieg auf DORA“.
- Keine Vertragsprüfung und keine Vertragsverhandlung. Ob Ihre Verträge die Pflichtinhalte nach Art. 30 DORA enthalten, ist ein eigenes Thema, Formulierung und Prüfung der Klauseln gehören zu Ihrer Rechtsberatung. Keine Rechtsberatung, auch nicht zur Frage, ob Ihr Unternehmen das Register führen muss.
- Keine Einreichung in Ihrem Namen und keine Anzeigen. Sie reichen über Ihren Zugang zur MVP ein, und die Verantwortung für das Register bleibt bei Ihrem Unternehmen. Anzeigen geplanter Verträge für kritische oder wichtige Funktionen erstatten Sie selbst.
- Keine unterjährige Pflege. Änderungen tragen Sie nach der Übergabe selbst ein. Eine laufende Begleitung vereinbaren wir gesondert.
- Keine Zusage, dass die Validierung beim ersten Versuch gelingt, und keine Zusage, wie Aufsicht oder Prüfer das Register bewerten. Kein Zertifikat.
Die Einordnungen auf dieser Seite sind allgemeine Informationen zum Stand von DORA, der Durchführungsverordnung (EU) 2024/2956 und dem KWG. Ob und wie sie für Ihr Unternehmen gelten, ist im Einzelfall zu prüfen.
Häufige Fragen
Müssen wir das Informationsregister überhaupt führen?+
Ja, wenn Art. 28 DORA für Sie gilt, im Vollrahmen ebenso wie im vereinfachten Rahmen nach Art. 16. Eine Ausnahme gibt es für Kleinstunternehmen der KWG-Gruppe, weil Art. 28-30 für sie nach § 1a Abs. 2a KWG nicht gelten. Andere Kleinstunternehmen führen das Register. Ob Ihr Unternehmen erfasst ist, klärt die Seite DORA-Betroffenheit.
Reichen Sie das Register für uns ein?+
Nein. Sie reichen über Ihren Zugang zur MVP der BaFin ein, wir begleiten den Ablauf. Die Pflicht ist erst erfüllt, wenn auch die europäischen Aufsichtsbehörden das Register validiert haben. Lehnt die Validierung ab, laden Sie das korrigierte Register vor Fristende neu hoch. Nach dem 31. März ist im laufenden Zyklus keine Nachreichung mehr möglich.
Wir haben schon ein Auslagerungsregister. Reicht das nicht?+
Es ist ein guter Ausgangspunkt, deckt aber in der Regel nicht alle IKT-Verträge ab. Der DORA-Begriff der IKT-Dienstleistung ist deutlich weiter als der Auslagerungsbegriff, laut BaFin sind alle Drittbezüge mit IKT-Bezug einzuwerten. Wir nutzen Ihr Auslagerungsregister als eine von mehreren Quellen.
Ist die erste Einreichung in der Ersterstellung enthalten?+
Die Ersterstellung endet mit einem einreichungsfähigen Register. Die Begleitung der Einreichung gehört zur zweiten Stufe und wird je Einreichung berechnet. Liegt die Ersterstellung kurz vor dem Stichtag, legen wir im Angebot fest, wie beide Stufen zusammenpassen.
Was, wenn wir mehr als 25 Verträge haben?+
Dann bepreisen wir die Ersterstellung und die jährliche Aktualisierung nach dem Scoping-Gespräch. Als eine Vereinbarung zählt, was im Register eine eigene Kennnummer bekommt. Ein Register auf Gruppenebene mit mehreren Rechtsträgern vereinbaren wir ebenfalls gesondert.
Weiterlesen
- DORA-Informationsregister: Aufbau, Pflichtfelder, Einreichung
- Kritische oder wichtige Funktionen nach DORA einstufen
- IKT-Drittdienstleister steuern: DORA-Verträge nach Art. 30
- DORA-Gap-Analyse: Quick-Check, Art. 16, Vollrahmen, Preise
- Umstieg von der BAIT auf DORA nach Art. 16: Umfang und Preis
- DORA Anwendungsbereich: wer betroffen ist, welcher Rahmen gilt
- Art. 16 DORA: der vereinfachte IKT-Risikomanagementrahmen
- IKT-Risikomanagement nach DORA: Rahmen und DOR-Strategie
- Über uns: DORA-Readiness von Blackfort Technology aus Bonn
Quellen
- Verordnung (EU) 2022/2554 (DORA), deutsche Fassung, Art. 28 Abs. 3 (abgerufen am 2026-11-06)
- Durchführungsverordnung (EU) 2024/2956 (Standardvorlagen für das Informationsregister) (abgerufen am 2026-11-06)
- BaFin: Informationsregister und Anzeigepflichten (abgerufen am 2026-11-06)
- BaFin: FAQs zu DORA, Abschnitt Informationsregister (abgerufen am 2026-11-06)
- BaFin-Aufsichtsmitteilung vom 21.08.2025: Hinweise zur Umsetzung von DORA mit vereinfachtem IKT-Risikomanagementrahmen, Abschnitt 7 (PDF) (abgerufen am 2026-11-06)
- § 1a KWG (abgerufen am 2026-11-06)
- § 65a KWG (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-06
Kontakt aufnehmen
Informationsregister besprechen
Schreiben Sie uns kurz, welcher Rahmen für Ihr Unternehmen gilt, wie viele IKT-Verträge Sie ungefähr haben und ob es eine beschlossene Funktionsliste gibt. Im Erstgespräch, auf Wunsch telefonisch oder per Video, klären wir, ob die Leistung passt. Im anschließenden Scoping-Gespräch legen wir Umfang, Preis und Zeitplan fest.