DORA-Informationsregister — IKT-Dienstleister, Meldung an die Aufsicht und häufige Fehler
Was ist das Informationsregister?
Das Informationsregister ist ein strukturiertes Verzeichnis aller vertraglichen Vereinbarungen eines Finanzunternehmens über die Nutzung von IKT-Dienstleistungen von Drittanbietern — mit Kennzeichnung, welche Vereinbarungen kritische oder wichtige Funktionen unterstützen. Die Pflicht ergibt sich aus Art. 28 Abs. 3 DORA (Verordnung (EU) 2022/2554).
Das Register ist das Rückgrat des Drittparteienrisiko-Managements unter DORA: Ohne ein korrektes Register kann weder das Unternehmen selbst noch der Prüfer oder die Aufsicht die Abhängigkeit von IKT-Dienstleistern bewerten.
Wer meldet — und an wen?
Das Finanzunternehmen führt das Register laufend und meldet es an die zuständige Behörde — in Deutschland ist dies die BaFin. Die Behörden leiten die Register an die Europäischen Aufsichtsbehörden weiter (ESAs: EBA, EIOPA und ESMA), die sie unter anderem nutzen, um kritische IKT-Drittdienstleister zu benennen, die unter EU-Überwachung gestellt werden.
Die erste Erhebung der Register fand im Frühjahr 2025 statt; die Meldung wird anschließend in festem Turnus gemäß den Vorgaben der Aufsicht wiederholt. Das Register muss der Aufsicht zudem auf Anfrage zur Verfügung stehen.
Welche Daten muss das Register über IKT-Dienstleister enthalten?
- Identifikation des Dienstleisters (einschließlich LEI-Code, sofern relevant),
- eine Beschreibung der erbrachten IKT-Dienstleistungen und deren Kategorie,
- welche Funktionen die Dienstleistungen unterstützen und ob diese kritisch oder wichtig sind,
- Vertragsdaten: Laufzeit, Kündigungsbedingungen und Exit-Strategie,
- Subunternehmerketten für kritische oder wichtige Funktionen,
- Orte der Leistungserbringung und der Datenverarbeitung.
So bereiten Sie sich vor
- erstellen Sie ein vollständiges Inventar aller IKT-Verträge — nicht nur der offensichtlichen IT-Vereinbarungen,
- klassifizieren Sie, welche Verträge kritische oder wichtige Funktionen unterstützen,
- beschaffen Sie fehlende Stammdaten der Dienstleister (einschließlich LEI-Codes),
- etablieren Sie einen Prozess für die laufende Pflege, damit das Register nicht veraltet,
- validieren Sie Datenqualität und Format, bevor das Register an die Aufsicht gemeldet wird.
Häufige Fehler
- das Register wird als einmalige Aufgabe statt als laufender Prozess behandelt,
- unvollständige Abdeckung — nur klassische IT-Anbieter werden erfasst, nicht alle IKT-Dienstleistungen,
- keine Verknüpfung zwischen dem einzelnen Vertrag und der kritischen Funktion, die er unterstützt,
- Lücken in der Subunternehmerkette bei kritischen Funktionen,
- keine Evidenz hinter der Kritikalitätsklassifizierung — sie lässt sich vor der Aufsicht nicht verteidigen.
Wie Audnexa die Arbeit am Register unterstützt
Audnexa unterstützt den Drittparteien-Teil eines DORA-Audits: Prüfung des Registers und der zugrunde liegenden Verträge mit Verweisen auf Nachweise und einem lückenlosen Audit-Trail — konsolidiert in einem prüfungsfertigen Berichtsentwurf für die Geschäftsleitung. Im Offline-Modus (Bank Mode) verbleibt das Material in der Infrastruktur des Kunden, und ein Mensch gibt jeden Bericht frei.
Ein ausgereiftes Werkzeug, geformt durch mehrere Jahre Audit-Praxis bei Virtline (ISO/IEC 27001). Es ersetzt weder das Urteil eines Prüfers noch eine Rechtsberatung.
Häufige Fragen
Was ist das Informationsregister unter DORA?
Ein Register aller vertraglichen Vereinbarungen eines Finanzunternehmens über die Nutzung von IKT-Dienstleistungen — mit Kennzeichnung kritischer oder wichtiger Funktionen. Die Pflicht ergibt sich aus Art. 28 Abs. 3 der Verordnung (EU) 2022/2554.
Wer muss das Register an die Aufsicht melden?
Beaufsichtigte Finanzunternehmen — darunter Banken, Versicherer, Wertpapierfirmen und Zahlungsinstitute. Die zuständige Behörde (in Deutschland die BaFin) leitet die Register an die ESAs weiter.
Wie oft muss das Register gemeldet werden?
Das Register ist laufend zu führen und gemäß den Vorgaben der Aufsicht zu melden — die erste Erhebung fand im Frühjahr 2025 statt, anschließend wird die Meldung in festem Turnus wiederholt. Es muss zudem auf Anfrage verfügbar sein.
Wofür nutzen die ESAs die Register?
EBA, EIOPA und ESMA nutzen die eingereichten Register, um Konzentrationsrisiken im Sektor zu kartieren und kritische IKT-Drittdienstleister zu benennen, die unter EU-Überwachung gestellt werden.
Kann die Arbeit am Register erfolgen, ohne dass Daten das Haus verlassen?
Ja. Mit einem On-Premise-Tool im Offline-Modus (etwa dem Bank Mode von Audnexa) verbleiben Vertragsdaten und Auditmaterial in der eigenen Infrastruktur des Unternehmens — standardmäßig ohne ausgehenden Datenverkehr.
Quellen
Sicherheitspräsentation vereinbaren
Diese Inhalte dienen ausschließlich der Information und stellen weder eine Rechtsberatung noch ein Prüfungsurteil oder eine formelle Compliance-Entscheidung dar.