Download · XLSX
DORA-Informationsregister: Spalten, Codelisten und Prüfungen vor der Meldung an die BaFin
Ein Arbeitsblatt mit 33 Zeilen zu Datenfeldern der Meldebögen B_01.01-B_07.01 und 4 Prüfungen für das gesamte Register. Zu jedem Feld: Spaltencode der ITS, zulässige Werte, wann das Feld Pflicht ist, Prüfung vor der Meldung und typische Datenquelle. Ohne Formular und ohne Registrierung.
Was ist die Vorlage für das DORA-Informationsregister?
Die Vorlage für das DORA-Informationsregister ist ein Arbeitsblatt, in dem Sie Daten zu Ihren Verträgen mit IKT-Drittdienstleistern sammeln und prüfen, bevor Sie sie in die Meldung an die BaFin übertragen. Sie beschreibt die zentralen Felder der Meldebögen aus der Durchführungsverordnung (EU) 2024/2956 (ITS): was einzutragen ist, wann ein Feld Pflicht ist, wie Sie es prüfen und woher die Daten meist kommen. Gedacht ist sie für IKT-Risikomanagement, Compliance und Einkauf, auch im Rahmen einer DORA-Umsetzung.
Warum Register an der Validierung scheitern
Art. 28 Abs. 3 DORA verpflichtet Finanzunternehmen, ein Informationsregister zu allen vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zu führen, auf Einzelebene sowie auf teilkonsolidierter und konsolidierter Ebene. Dabei unterscheiden sie Vereinbarungen über Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, von allen anderen.
Die Meldebögen legt die Durchführungsverordnung (EU) 2024/2956 fest: 15 Meldebögen von B_01.01 bis B_99.01, verknüpft über Schlüssel wie Vertragsnummer, Dienstleisterkennung und Funktionskennung.
IKT-Drittdienstleister, die juristische Personen sind, werden mit einem gültigen und aktiven LEI oder der EUID identifiziert; liegen beide vor, mit beiden (Art. 3 Abs. 5 ITS). Jede Zelle enthält einen einzigen Wert. Gibt es mehrere Werte, etwa mehrere Speicherorte, kommt je Wert eine Zeile hinzu (Art. 4 Abs. 2 ITS).
Schlüsselfelder dürfen nicht leer bleiben: Trifft die Bedingung nicht zu, tragen Sie „Not Applicable“ ein (FAQ der ESAs zum Informationsregister).
Fiktive LEI (Dummy-LEI) akzeptiert die BaFin nicht (BaFin-FAQ zu DORA).
Im Probelauf 2024 bestanden 6,5 % der ausgewerteten Register alle Datenqualitätsprüfungen (Pressemitteilung der ESAs). 86 % der Fehler waren fehlende Pflichtangaben, am häufigsten die Kennungen der Dienstleister und ihrer Mutterunternehmen (Bericht der ESAs zum Probelauf).
Stellen Sie dabei sicher, bis spätestens zum 31. März den Einreichungsprozess vollständig und fehlerfrei zu durchlaufen.
Stichtag ist der 31. Dezember des Vorjahres, im nächsten Zyklus also der 31. Dezember 2026 (ESA-Q&A 2025_7387). Eingereicht wird ausschließlich über die Melde- und Veröffentlichungsplattform (MVP) der BaFin, als xBRL-Datei nach der Taxonomie der ESAs oder mit der Excel-Vorlage der BaFin. Für den Zyklus 2027 sind laut BaFin keine Taxonomie-Änderungen vorgesehen (BaFin, Informationsregister). Stand: 5. Oktober 2026.
// Anwendung
Vier Schritte mit der Vorlage
Beginnen Sie mit der Vertragsliste
Erfassen Sie alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die zum Stichtag 31. Dezember bestehen, auch gruppeninterne. Jede erhält eine Referenznummer, die über die Zyklen gleich bleibt.
Ergänzen Sie die Kennungen der Dienstleister
Tragen Sie für jede juristische Person LEI oder EUID ein und prüfen Sie den LEI in der GLEIF-Suche. Ergänzen Sie das oberste Mutterunternehmen und die Unterauftragnehmer aus der Liste des Dienstleisters.
Verknüpfen Sie Verträge mit Funktionen
Vergeben Sie die Funktionskennungen F1, F2 und so weiter und übernehmen Sie Kritikalität, RTO und RPO aus der Business-Impact-Analyse und den IKT-Geschäftsfortführungsplänen. Jede Dienstleistung ohne Funktion ist eine Lücke, die Sie vor der Meldung schließen.
Prüfen Sie vor der Meldung
Die Spalte „Prüfung vor der Meldung“ nennt, was bei jedem Feld zu kontrollieren ist. Tragen Sie Status und Verantwortliche ein und übertragen Sie die Daten erst dann in die aktuelle Excel-Vorlage der BaFin oder in die xBRL-Datei.
Vorschau: die ersten sechs Felder
Das vollständige Arbeitsblatt hat 37 Zeilen: Felder der Meldebögen B_01.01, B_01.02, B_02.01, B_02.02, B_05.01, B_05.02, B_06.01 und B_07.01 sowie Prüfungen für das gesamte Register. Die Hinweise enthalten die Arten von IKT-Dienstleistungen S01-S19 aus Anhang III. Unten sehen Sie die ersten sechs Zeilen, ohne die Spalten „Wann Pflicht“ und „Typische Datenquelle“.
| Spaltencode | Datenfeld | Was eintragen (zulässige Werte) | Prüfung vor der Meldung |
|---|---|---|---|
| B_01.01.0010 | LEI des Finanzunternehmens, das das Register führt | 20-stelliger LEI (ISO 17442) | Der LEI ist bei GLEIF aktiv (search.gleif.org). Keine Handelsregister- oder Steuernummer eintragen: Im Probelauf 2024 waren nationale Kennungen statt LEI ein häufiger Fehler. |
| B_01.02.0010 | LEI jedes Finanzunternehmens im Konsolidierungskreis | LEI; ein Unternehmen, das keiner Gruppe angehört, meldet nur den eigenen LEI | Derselbe LEI überall, wo das Unternehmen erneut vorkommt (B_02.02.0020, B_06.01.0040) |
| B_02.01.0010 | Referenznummer der vertraglichen Vereinbarung | Ihre eindeutige Nummer je Vereinbarung mit einem direkten IKT-Drittdienstleister | Keine Dubletten; dieselbe Nummer in B_02.02, B_05.02 und B_07.01 |
| B_02.01.0020, B_02.01.0030 | Art der Vereinbarung und Nummer der übergeordneten Vereinbarung | 1 eigenständig, 2 übergeordnet (Rahmenvertrag), 3 nachfolgend oder zugehörig; bei 3 die Nummer der übergeordneten Vereinbarung | Jede Vereinbarung vom Typ 3 verweist auf eine vorhandene Vereinbarung vom Typ 2. Bei Typ 1 und 2 darf das Feld nicht leer sein: „Not Applicable“ eintragen |
| B_02.01.0040, B_02.01.0050 | Währung und jährliche Kosten der Vereinbarung für das Vorjahr | Währungscode nach ISO 4217; Betrag in Einheiten, nicht in Tausend (Kosten oder Schätzung) | Keine Doppelzählung zwischen übergeordneter und nachfolgenden Vereinbarungen |
| B_02.02.0030, B_02.02.0040 | Kennung des IKT-Drittdienstleisters und Art der Kennung | Wie in B_05.01.0010 und B_05.01.0020 | Jede Kennung ist in B_05.01 vorhanden. Im Probelauf 2024 fehlten am häufigsten die Kennungen der Dienstleister. |
Weitere Fassungen: Englisch und Polnisch (KNF), etwa für Gruppen mit Gesellschaften in Polen. Liegen die Registerdaten in mehreren Systemen, beginnen Sie mit Data Governance: einem Datenkatalog und Verantwortlichen für jedes Feld.
// Umfang
Was die Vorlage leistet und was sie nicht ersetzt
Die Vorlage bietet
- Die zentralen Felder der Meldebögen B_01.01-B_07.01 mit Spaltencodes aus ITS 2024/2956
- Zulässige Werte aus den geschlossenen Listen und die IKT-Dienstleistungsarten S01-S19
- Prüfungen, die typische Fehler vor der Meldung aufdecken
- Spalten für Quellsystem, Datenverantwortliche und Status
Sie ersetzt nicht
- Die Excel-Vorlage der BaFin oder eine xBRL-Datei nach ESA-Taxonomie
- Die Validierung durch BaFin und ESAs; nur sie entscheidet über die Annahme
- Ihre Bewertung, welche Funktionen kritisch oder wichtig sind
- Eine Rechtsberatung, ob DORA für Sie gilt
Ein Register, das einmal im Jahr von Hand abgetippt wird, ist nur am Tag der Meldung aktuell.
// FAQ
Fragen zur Registervorlage
Kann ich diese Datei bei der BaFin einreichen?
Nein. Die BaFin nimmt das Register ausschließlich über die MVP-Plattform an, als xBRL-Datei nach der Taxonomie der ESAs oder mit ihrer eigenen Excel-Vorlage. Unsere Datei dient dazu, die Daten vorher zu sammeln und zu prüfen. Ihre Meldepflicht ist laut BaFin erst erfüllt, wenn auch die ESAs Ihr Register validiert haben.
Warum nicht gleich die Excel-Vorlage der BaFin?
Die BaFin-Vorlage ist für die Meldung gedacht. Unsere Datei ordnet jedem Feld eine Prüfung, eine typische Datenquelle und eine verantwortliche Person zu. So sehen Sie vorab, welche Angaben fehlen und wer sie liefert. Die geprüften Werte übertragen Sie anschließend in die BaFin-Vorlage.
Enthält die Vorlage alle Spalten der ITS 2024/2956?
Nein. Sie enthält die Felder, die Verträge, Dienstleister und Funktionen verknüpfen, und die Bewertungsfelder für Dienstleistungen zu kritischen oder wichtigen Funktionen. Ganz fehlen die Meldebögen B_01.03 (Zweigniederlassungen), B_02.03, B_03.01-B_03.03, B_04.01 und B_99.01; aus den übrigen fehlen einzelne Spalten. Alle Spalten und Ausfüllanweisungen stehen in Anhang I der Durchführungsverordnung.
Was tun, wenn ein Dienstleister keinen LEI hat?
Eine juristische Person aus der EU können Sie mit ihrer EUID aus dem Handelsregister angeben. Dienstleister mit Sitz außerhalb der EU werden nur mit LEI identifiziert. Fragen Sie den Dienstleister also nach seinem LEI. Andere Kennungsarten wie die Umsatzsteuer-ID (Kennungsart „VAT“, ohne Länderpräfix) sind nur für natürliche Personen zulässig, die gewerblich handeln.
Muss ich für den Download meine E-Mail-Adresse angeben?
Nein. Sie laden die Datei ohne Formular herunter. Wenn Sie das Register gemeinsam mit uns durchgehen möchten, fragen Sie den ersten Schritt an.
Erster Schritt: 5 Wochen, fester Umfang
Ein Register aus Daten, nicht aus Abtippen
Wir prüfen, woher jede Spalte des Registers kommt und wer sie pflegt. Wo Daten von Hand eingetragen wurden, verknüpfen wir sie mit Verträgen, Rechnungen und Ihrem Systeminventar, damit der nächste Zyklus eine Aktualisierung ist und keine Neuerfassung. Mehr zur DORA-Umsetzung und zu Data Governance.
Ersten Schritt anfragen