Das Informationsregister nach DORA
Artikel 28 Absatz 3 DORA verpflichtet jedes Finanzunternehmen, ein Register über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen zu führen und der Aufsicht jährlich vorzulegen. Was nach einer Liste klingt, ist ein Datenmodell aus fünfzehn verknüpften Tabellen – und genau an den Verknüpfungen scheitern die meisten Meldungen.
Kurz gefasst: Das Informationsregister ist ein strukturierter Datensatz nach der Durchführungsverordnung (EU) 2024/2956. Stichtag für den Inhalt ist der 31. Dezember 2025, eingereicht wird vom 9. bis 30. März 2026 über die Melde- und Veröffentlichungsplattform der BaFin, entweder als xBRL-Datei oder über die BaFin-Excel-Vorlage. Am 31. März 2026 leitet die BaFin die Register an die Europäischen Aufsichtsbehörden weiter.
Was das Register leisten soll
Die Aufsicht will zwei Fragen beantworten können, die sich aus einzelnen Verträgen nicht beantworten lassen: Welche Dienstleister stützen im europäischen Finanzsektor kritische Funktionen – und wo häufen sich Abhängigkeiten auf wenige Anbieter? Deshalb ist das Register kein Vertragsverzeichnis, sondern ein Beziehungsmodell. Es verknüpft Unternehmen, Verträge, Dienste, Funktionen und Lieferketten so, dass die Aufsicht institutsübergreifend rechnen kann.
Diese Zweckbestimmung erklärt die Struktur. Wer das Register als Tabelle mit einer Zeile je Vertrag anlegt, hat die Aufgabe nicht verstanden und wird spätestens bei der Plausibilitätsprüfung zurückgewiesen.
Die fünfzehn Tabellen
Die Durchführungsverordnung gibt den Aufbau vor. Die Tabellen tragen feste Kennungen, auf die sich auch die Rückmeldungen der Aufsicht beziehen:
| Tabelle | Gegenstand | Inhalt |
|---|---|---|
| RT.01.01 | Das Unternehmen, das das Register führt | Auf Einzel-, teilkonsolidierter und konsolidierter Ebene. |
| RT.01.02 | Unternehmen im Konsolidierungskreis | Alle Gesellschaften der Gruppe, bei Einzelunternehmen nur dieses. |
| RT.01.03 | Zweigniederlassungen | Niederlassungen außerhalb des Herkunftslands. |
| RT.02.01 | Vertragliche Vereinbarungen – allgemein | Jede Vereinbarung mit einem direkten Dienstleister, mit eigener Referenznummer. |
| RT.02.02 | Vertragliche Vereinbarungen – spezifisch | Dienste, gestützte Funktionen, Kündigungsfristen, anwendbares Recht, Speicherorte. |
| RT.02.03 | Gruppeninterne Vereinbarungen | Verknüpfung interner Verträge mit den externen Vereinbarungen der Lieferkette. |
| RT.03.01 | Unterzeichnende Finanzunternehmen | Wer den Vertrag auf Kundenseite geschlossen hat. |
| RT.03.02 | Unterzeichnende Dienstleister | Wer den Vertrag auf Anbieterseite geschlossen hat. |
| RT.03.03 | Gruppeninterne Erbringer | Konzerngesellschaften, die selbst IKT-Dienste erbringen. |
| RT.04.01 | Nutzende Unternehmen | Wer den Dienst tatsächlich in Anspruch nimmt – oft nicht der Unterzeichner. |
| RT.05.01 | IKT-Drittdienstleister | Direkte Anbieter, gruppeninterne Erbringer, Unterauftragnehmer und deren oberste Muttergesellschaft. |
| RT.05.02 | Lieferketten | Rang und Hierarchie der Anbieter innerhalb einer Kette. |
| RT.06.01 | Funktionen | Die gestützten Funktionen samt Kritikalitätsbewertung. |
| RT.07.01 | Bewertungen | Substituierbarkeit und Auditdaten für Dienste, die kritische oder wichtige Funktionen stützen. |
| RT.99.01 | Eigene Definitionen | Institutsinterne Auslegung der geschlossenen Wertelisten. |
Der Aufwand steckt nicht in den Stammdaten, sondern in den Verweisen. Ein Dienst in RT.02.02 muss auf eine Funktion in RT.06.01 zeigen, diese auf eine Kritikalitätsbewertung, und stützt der Dienst eine kritische oder wichtige Funktion, verlangt RT.07.01 zusätzlich eine Aussage zur Substituierbarkeit und zum letzten Audit. Fehlt ein Glied, bricht die Kette.
Nachunternehmerketten
RT.05.02 bildet ab, wer hinter dem direkten Anbieter steht. Das ist der Teil, den Institute am häufigsten unterschätzen: Der Vertrag besteht mit einem Anbieter, die Leistung erbringen aber ein Rechenzentrumsbetreiber, ein Plattformanbieter und gelegentlich ein vierter Beteiligter, von dem im Vertrag kein Wort steht. Für das Register zählt die Kette, nicht die Vertragsbeziehung.
Ergänzend regelt die Delegierte Verordnung (EU) 2025/532, in Kraft seit dem 22. Juli 2025, unter welchen Bedingungen eine Untervergabe bei kritischen oder wichtigen Funktionen überhaupt zulässig ist – mit Sorgfaltspflichten vor Vertragsschluss und Anforderungen an Änderung und Beendigung. Wer die Kette für das Register erhebt, sollte die Prüfung nach dieser Verordnung im selben Durchgang erledigen; die Datenbasis ist dieselbe. Welche Klauseln der Vertrag dafür enthalten muss, steht im Beitrag zu den Pflichtinhalten nach DORA Artikel 28 und 30.
Fünf Fehler, die Meldungen kosten
- Nicht auflösbare Kennungen. LEI und EUID werden gegen die Register geprüft. Eine abgelaufene LEI oder eine Schreibweise mit Leerzeichen führt zur Zurückweisung, nicht zu einer Rückfrage.
- Referenznummern ohne Gegenstück. Jede Vereinbarung in RT.02.01 braucht konsistente Verweise in den abhängigen Tabellen. Wer Verträge nachträglich umnummeriert, zerlegt das Modell.
- Unterzeichner und Nutzer verwechselt. RT.03.01 nennt, wer den Vertrag geschlossen hat, RT.04.01, wer den Dienst nutzt. In Gruppen sind das selten dieselben Gesellschaften.
- Kritikalität nach Bauchgefühl. Die Einstufung in RT.06.01 muss aus einer dokumentierten Methodik folgen. Sie ist der Hebel, an dem die halbe Meldung hängt: Sie entscheidet, welche Dienste die Zusatzangaben in RT.07.01 auslösen.
- Erst im Februar begonnen. Der Stichtag ist der 31. Dezember. Wer im neuen Jahr anfängt, rekonstruiert einen Zustand, den niemand mehr im Kopf hat, und verhandelt gleichzeitig fehlende Vertragsangaben mit Dienstleistern, die keine Frist drückt.
Wie für diese Dienstleister Ausstiegspläne und die Bewertung des Konzentrationsrisikos aufgebaut werden, steht im Beitrag zu Ausstiegsstrategien und Konzentrationsrisiko.
Häufige Fragen
Wer muss ein Informationsregister führen?
Alle Finanzunternehmen im Anwendungsbereich von DORA – Banken, Versicherer, Kapitalverwaltungsgesellschaften, Zahlungs- und E-Geld-Institute, Wertpapierinstitute. Die Pflicht folgt unmittelbar aus Artikel 28 Absatz 3 DORA und gilt unabhängig von der Größe des Hauses. Erleichterungen gibt es beim Umfang der Angaben, nicht bei der Pflicht selbst.
Welche Frist gilt für die Meldung 2026?
Stichtag für den Registerinhalt ist der 31. Dezember 2025. Die Einreichung bei der BaFin ist im Zeitraum vom 9. bis 30. März 2026 möglich; am 31. März 2026 leitet die BaFin die Register an die Europäischen Aufsichtsbehörden weiter. Wer den Zeitraum verstreichen lässt, kann nicht nachreichen.
In welchem Format wird eingereicht?
Ausschließlich über die Melde- und Veröffentlichungsplattform der BaFin, entweder als strukturierte xBRL-Datei nach der Taxonomie der Europäischen Aufsichtsbehörden oder über die Excel-Vorlage der BaFin. Für 2026 stellt die BaFin kein Konvertierungswerkzeug bereit – wer aus einer eigenen Datenhaltung meldet, muss die Umwandlung selbst lösen.
Müssen auch Unterauftragnehmer erfasst werden?
Ja, sobald sie zur Lieferkette eines Dienstes gehören, der eine kritische oder wichtige Funktion stützt. Tabelle RT.05.02 bildet Rang und Hierarchie der Kette ab. Ergänzend regelt die Delegierte Verordnung (EU) 2025/532, seit dem 22. Juli 2025 in Kraft, unter welchen Bedingungen eine Untervergabe überhaupt zulässig ist.
Was passiert bei fehlerhaften Angaben?
Das Register wird maschinell geprüft. Formale Fehler – eine LEI, die nicht auflösbar ist, eine Referenznummer ohne Gegenstück, ein Pflichtfeld ohne Wert – führen zur Zurückweisung der Meldung. Inhaltliche Widersprüche fallen später auf, etwa in der Sonderprüfung oder wenn die Aufsicht Ketten über mehrere Institute hinweg vergleicht.
Wenn das Register nicht jedes Jahr neu entstehen soll
Ein Register, das für die Meldung gebaut und danach liegen gelassen wird, ist im Folgejahr wieder eine Baustelle. Unter der Servicemarke banksolve übernimmt die Eppstone Consulting GmbH Aufbau, Datenpflege und Qualitätssicherung als laufenden Managed Service – in Ihrer Infrastruktur, ohne Datenaustritt.
Stand: 7. September 2026.