DORA-Informationsregister bei der BaFin: Ablauf, Formate und häufige Fehler

Kurz vor der Einreichung sieht es in vielen Häusern gleich aus: Die Liste der IKT-Dienstleister besteht aus drei Excel-Dateien aus drei Abteilungen, die Unterauftragnehmer-Ketten sind lückenhaft, und einen xBRL-Export hat noch niemand erzeugt. Bis zum Ende des Einreichungsfensters muss daraus ein validiertes, vollständiges Register auf der BaFin-Plattform werden.

Das Informationsregister ist nach Artikel 28 Absatz 3 DORA jährlich einzureichen. Die BaFin öffnet dafür jedes Jahr ein festes Fenster von rund drei Wochen und nimmt das Register ausschließlich über ihre Melde- und Veröffentlichungsplattform entgegen. 2026 lief dieses Fenster vom 9. bis 30. März. Keine Verlängerung, keine Kulanz.

Dieser Artikel erklärt, was das Informationsregister konkret verlangt, welche Fehler die BaFin am häufigsten sieht und wie Sie die Einreichung in drei Wochen sicher durch die Validierung bringen.

Was ist das DORA-Informationsregister?

Artikel 28 Absatz 3 DORA verpflichtet jedes Finanzunternehmen im Anwendungsbereich der Verordnung, ein vollständiges Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern zu führen. Das klingt nach einer Tabelle — ist aber ein komplexes Meldewesen mit klaren technischen Vorgaben.

Das Register erfasst:

• Alle IKT-Dienstleister, die dem Unternehmen Leistungen erbringen — intern wie extern
• Alle vertraglichen Vereinbarungen, die kritische oder wichtige Funktionen unterstützen
• Die vollständige Kette der Unterauftragsvergabe, mindestens bis zum ersten externen Unterauftragnehmer
• Risikoklassifizierung, Vertragslaufzeiten, Kündigungsfristen und Exitpläne
• Angaben zur Datenlokation und zum Rechtsstandort des Dienstleisters

Wichtig: Das Register geht weit über klassische Auslagerungsverzeichnisse hinaus. Auch sonstige IKT-Dienstleistungen müssen erfasst werden — also Leistungen, die keine formale Auslagerung darstellen, aber dennoch operative Funktionen unterstützen.

Der BaFin-Einreichungszeitraum: ein festes Fenster im Frühjahr

Die BaFin legt den Einreichungszeitraum jedes Jahr fest und veröffentlicht ihn auf ihrer DORA-Seite. 2026 lag er vom 9. bis 30. März. In diesem Fenster müssen alle Finanzunternehmen ihr aktualisiertes Informationsregister über die Melde- und Veröffentlichungsplattform (MVP) einreichen. Den Termin für 2027 hatte die BaFin bis August 2026 noch nicht bekanntgegeben.

Die wichtigsten Eckdaten:

• Stichtag: Das Register muss den Sachstand zum 31. Dezember des Vorjahres wiedergeben
• Format: Ausschließlich als strukturierte xBRL-Datei (ESA-Taxonomie) oder über die Excel-Vorlage der BaFin
• Portal: Einreichung nur über das Fachverfahren „Digital Operational Resilience Act (DORA)“ in der BaFin-MVP
• Validierung: Nach der Einreichung erhalten Unternehmen ein Fehlerprotokoll — Fehler müssen kurzfristig korrigiert und das Register erneut eingereicht werden
• Testverfahren: Über das Fachverfahren „TEST: DORA“ können vorab Testeinreichungen vorgenommen werden

Keine technischen Änderungen an der Taxonomie: Die ESAs haben für den Einreichungsprozess 2026 keine Änderungen an der xBRL-Taxonomie vorgenommen. Wer seine Daten bereits 2025 im richtigen Format hatte, muss die Struktur nicht anpassen — nur die Inhalte aktualisieren.

600 Vorfälle in 12 Monaten: Warum das Register jetzt so wichtig ist

Die Zahlen sprechen für sich: Seit Januar 2025 hat die BaFin über 600 schwerwiegende IKT-Vorfälle im deutschen Finanzsektor registriert. 63 Prozent dieser Vorfälle standen in direktem Zusammenhang mit externen IKT-Drittdienstleistern.

Das Informationsregister ist kein bürokratischer Selbstzweck. Es ist das zentrale Instrument, mit dem die Aufsicht systemische Abhängigkeiten im Finanzsektor erkennt. Auf Basis der 2025 eingereichten Register haben die Europäischen Aufsichtsbehörden (ESAs) erstmals 19 kritische IKT-Drittdienstleister benannt — darunter Amazon, Microsoft und Google. Diese stehen nun unter direkter Überwachung.

Drei Erkenntnisse aus den bisherigen Einreichungen:

1. Konzentrationsrisiko ist real: Die Top 10 der kritischen IKT-Dienstleister halten über 85 Prozent aller Verträge. Ein Ausfall bei einem einzelnen Provider kann hunderte Institute gleichzeitig treffen.
2. 75 Prozent der kritischen Dienstleister sitzen in Drittstaaten: Überwiegend in den USA. Die Datenlokation mag europäisch sein — die Entscheidungsgewalt ist es oft nicht.
3. Fehlende Exitpläne: Viele Finanzunternehmen haben für ihre wichtigsten IKT-Verträge keinen dokumentierten Ausstiegsplan. Je schwieriger die Ersetzbarkeit, desto seltener existiert ein Plan — genau umgekehrt zu dem, was DORA fordert.

Was muss konkret ins Register?

Das DORA-Informationsregister ist in mehreren Tabellen strukturiert, die der ESA-Taxonomie folgen. Finanzunternehmen müssen für jeden IKT-Vertrag umfassende Angaben machen:

Auf Unternehmensebene

• LEI (Legal Entity Identifier) des meldenden Unternehmens
• Konsolidierungsebene: Einzelmeldung (.IND) oder konsolidierte Meldung (.CON) bei Gruppen
• Identifikation aller kritischen und wichtigen Geschäftsfunktionen

Auf Vertragsebene

• Vollständige Vertragsidentifikation (Vertragstyp, Laufzeit, Kündigungsfristen)
• Zuordnung zu den unterstützten Geschäftsfunktionen
• Risikoklassifizierung: Unterstützt der Vertrag eine kritische oder wichtige Funktion?
• Kosten und Vergütungsstruktur
• Datenlokation: Wo werden die Daten verarbeitet und gespeichert?

Auf Dienstleisterebene

• LEI oder vergleichbare Identifikation des IKT-Drittdienstleisters
• Rechtsstandort und Hauptsitz
• Angaben zu Unterauftragnehmern — bei kritischen Funktionen die gesamte Kette
• Substituierbarkeit: Wie einfach kann der Dienstleister ersetzt werden?

Besondere Aufmerksamkeit bei Unterauftragnehmern: Wenn ein gruppeninterner IKT-Dienstleister Unterauftragnehmer nutzt, muss die Kette im Register immer mindestens den ersten externen Unterauftragnehmer umfassen — auch wenn die Leistung keine kritische Funktion unterstützt.

Die häufigsten Fehler bei der Einreichung

Die BaFin hat im Rahmen ihrer Workshops am 24. und 26. Februar 2026 die typischen Problemfelder adressiert. Aus den Erfahrungen des ersten Einreichungsjahres 2025 zeigen sich wiederkehrende Fehlerquellen:

1. Inkonsistente Foreign Keys

Die Tabellen des Informationsregisters sind untereinander verknüpft. Der LEI in Tabelle B.01.02 muss exakt mit dem LEI in den Vertragstabellen übereinstimmen. Bereits ein Tippfehler führt zur automatischen Ablehnung durch das Validierungssystem.

2. Unvollständige Unterauftragnehmerketten

Viele Institute erfassen nur ihre direkten Dienstleister, nicht aber deren Unterauftragnehmer. DORA verlangt die vollständige Kette — insbesondere bei Dienstleistungen, die kritische Funktionen unterstützen.

3. Falsche Dateiformate

Die BaFin akzeptiert ausschließlich xBRL-Dateien nach ESA-Taxonomie oder die offizielle Excel-Vorlage. Eigene Excel-Formate, CSV-Exporte oder PDF-Uploads werden abgelehnt.

4. Fehlende Risikoklassifizierung

Nicht jeder IKT-Vertrag ist gleich kritisch. Aber die Zuordnung „unterstützt kritische/wichtige Funktion“ muss für jeden Vertrag dokumentiert sein. Unternehmen, die hier pauschal klassifizieren, riskieren Rückfragen.

5. Veraltete Vertragsdaten

Das Register muss den Sachstand zum 31. Dezember 2025 abbilden. Verträge, die 2025 abgeschlossen oder gekündigt wurden, müssen entsprechend erfasst sein. Ein Register, das auf dem Stand von 2024 basiert, wird nicht akzeptiert.

Praxisleitfaden: die Einreichung in drei Wochen

Drei Wochen sind knapp. Aber machbar. Hier ist der Fahrplan:

Woche 1: Datenerhebung und Konsolidierung

• Bestehende Vertragsregister aus Einkauf, IT, Compliance und Risikomanagement zusammenführen
• Lücken identifizieren: Welche IKT-Dienstleister fehlen? Welche Unterauftragnehmer sind nicht erfasst?
• LEIs aller Dienstleister verifizieren
• Testeinreichung über das BaFin-Testverfahren durchführen

Woche 2: Validierung und Qualitätssicherung

• Fehlerprotokoll der Testeinreichung auswerten und korrigieren
• Foreign Keys und Querverweise zwischen Tabellen prüfen
• Risikoklassifizierung mit den Fachabteilungen abstimmen
• Exitpläne für Verträge mit kritischen Funktionen dokumentieren

Woche 3: Einreichung und Nachkorrektur

• Finale Einreichung über die BaFin-MVP durchführen
• Fehlerprotokoll der produktiven Einreichung sofort prüfen
• Korrekturen innerhalb der Frist nachreichen
• Interne Dokumentation der Einreichung für Audit-Zwecke sichern

Was passiert, wenn Sie die Frist verpassen?

DORA ist eine EU-Verordnung mit unmittelbarer Geltung. Die BaFin hat die Einreichung des Informationsregisters als aufsichtliche Pflicht definiert. Wer nicht fristgerecht einreicht, muss rechnen mit:

• Aufsichtlichen Rückfragen und Maßnahmen durch die BaFin
• Verschärfter Prüfintensität bei anstehenden Vor-Ort-Prüfungen
• Reputationsrisiken bei der internen und externen Berichterstattung
• Im Extremfall: Bußgeldern nach dem Finanzmarktdigitalisierungsgesetz (FinmadiG)

Die BaFin hat in ihrem Workshop klar gemacht: Eine hohe Datenqualität wird erwartet. „Richtigkeit und Vollständigkeit“ waren die Kernbotschaften. Die Zeiten, in denen man ein halbfertiges Register abgeben konnte, sind vorbei.

Der größere Kontext: DORA 2026 geht weit über das Register hinaus

Das Informationsregister ist nur einer der fünf DORA-Pfeiler. Die BaFin hat für 2026 ihre Prüfungsschwerpunkte gesetzt:

• IKT-Risikomanagement-Rahmenwerk: Ist es dokumentiert, von der Geschäftsleitung genehmigt und im operativen Betrieb verankert?
• Incident Reporting: Kann Ihr Unternehmen die 4-Stunden-Erstmeldefrist für schwerwiegende IKT-Vorfälle einhalten?
• Resilienz-Testing: Die BaFin erwartet 2026 erste Nachweise über durchgeführte Basistests und — für systemrelevante Institute — Threat-Led Penetration Tests (TLPT)
• Vertragsanpassung: Bestehende IKT-Verträge müssen an die DORA-Mindestvertragsinhalte angepasst werden. Für Institute unter BAIT/VAIT/KAIT/ZAIT gilt eine Übergangsfrist bis 1. Januar 2027

Fazit: Das Informationsregister ist der Lackmustest für Ihre DORA-Reife

Die Einreichung des Informationsregisters ist nicht nur eine Meldepflicht. Sie ist der erste echte Prüfstein, an dem die BaFin erkennt, wie ernst ein Institut DORA nimmt. Wer ein vollständiges, validiertes Register fristgerecht einreicht, signalisiert Compliance-Reife. Wer es nicht tut, steht auf der Liste für die nächste Vor-Ort-Prüfung.

Warten Sie nicht auf das Fenster. Wer Register, Verträge und Exitpläne laufend pflegt, reduziert die Einreichung auf eine Formsache. Die BaFin-Hilfestellungen, Ausfüllhinweise, Excel-Vorlage und Fehlercodes, sind solide. Nutzen Sie sie.

Wenn Sie Unterstützung bei der DORA-Umsetzung brauchen — von der Registeraufbereitung bis zur Gesamtstrategie — sprechen Sie mit unseren Experten. ADVISORI begleitet Finanzunternehmen seit Jahren bei regulatorischen Transformationsprojekten.

Häufig gestellte Fragen zum DORA-Informationsregister

Welche Unternehmen müssen das Informationsregister einreichen?

Alle Finanzunternehmen im Anwendungsbereich von DORA — Banken, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen, Krypto-Dienstleister und weitere Akteure im Finanzsektor.

In welchem Format muss das Register eingereicht werden?

Als strukturierte xBRL-Datei nach ESA-Taxonomie oder über die offizielle Excel-Vorlage der BaFin. Andere Formate werden nicht akzeptiert.

Was passiert nach der Einreichung?

Die BaFin führt eine automatische Validierung durch und sendet ein Fehlerprotokoll. Fehlerhafte Einreichungen müssen innerhalb der Frist korrigiert und erneut eingereicht werden.

Müssen auch gruppeninterne IKT-Dienstleister erfasst werden?

Ja. Auch konzerninterne IKT-Dienstleister und deren externe Unterauftragnehmer müssen im Register erfasst werden.

Was ist der Unterschied zwischen individueller und konsolidierter Meldung?

Einzelunternehmen reichen eine individuelle Meldung (.IND) ein. Finanzgruppen können eine konsolidierte Meldung (.CON) auf Gruppenebene abgeben, müssen aber alle Einzelunternehmen der Gruppe abdecken. Bei der korrekten Abgrenzung individueller und konsolidierter Meldungen unterstützt unsere DORA-Beratung.