DORA Informationsregister: Update – Frist verschoben vom 11.04.2025 auf den 28.04.2025

Am 06. März 2025 informierte die Finanzaufsicht BaFin Finanz­unter­nehmen über die Anforderungen an Informations­register und legte dabei einen Schwerpunkt auf die Einreichung dieser Register mit Hilfe einer Excel-Vorlage. Sollte das künftig alljährliche Einreichen des Registers ursprünglich bis 11.04.2025 beendet sein, wurde die Frist zur Einreichung nun auf den 28.04.2025 verschoben.

Gemäß dem Digital Operational Resilience Act (DORA) müssen Unternehmen des Finanzsektors seit dem 17. Januar 2025 an sogenannte Informationsregister führen. Darin sollen alle vertraglichen Vereinbarungen über die Nutzung von Dienstleistungen der Informations- und Kommunikationstechnologie (IKT) zwischen dem Finanzunternehmen und IKT-Drittdienstleistern enthalten sein. Die Unternehmen müssen die Register jährlich einreichen. Grundsätzlich ist das Informationsregister als strukturierte Datei (xBRL) einzureichen. Um insbesondere kleineren Unternehmen den Einreichungsprozess zu erleichtern, hat die BaFin entschieden, alternativ dazu die Einreichung über eine von der BaFin speziell vorkonfigurierte Excel-Vorlage zuzulassen.

Frist verschoben vom 11.04.2025 auf den 28.04.2025

Nun hat die BaFin die Frist zur Einreichung des Informationsregisters auf den 28.04.2025 verschoben.

• Die zuvor kommunizierte Frist bis zum 11.04.2025 hat damit keine Gültigkeit mehr. Eine formelle Einreichung der Informationsregister in 2025 ist nur zwischen dem 14. und 28. April 2025 möglich.
• Ab dem 08.04.2025 können Einreichungen des Informationsregisters über eine Test-Möglichkeit verprobt werden. Eine vorherige Freischaltung des Fachverfahrens „TEST: Digital Operational Resilience Act (DORA)“ ist dazu erforderlich, wobei Finanzunternehmen, die bereits im MVP-Portal registriert sind und im Rahmen der initialen Melderfreischaltung 2024 Zugang zum Fachverfahren “Digital Operational Resilience Act (DORA)“ erhalten haben, zugleich auch für die Testumgebung freigeschalten werden.
• Es steht eine neue, verbesserte Version der Excel-Vorlage zum Informationsregister zur Verfügung (Version 1.0.). Die Beta-Version ist nicht mehr anwendbar.

Hintergrund zum Informationsregister

Seit dem 17. Januar 2025 ist die Verordnung (EU) 2022/2554, bekannt als DORA, für Finanzunternehmen umzusetzen. Damit gilt für Finanzunternehmen auch die Pflicht zur Vorlage des Informationsregisters mit allen vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleistern bereitgestellten IKT-Dienstleistungen gemäß Art. 28 Abs. 3 UAbs. 4 DORA. Das bedeutet konkret:

• Erweiterung der Einreichungs- und Anzeigepflichten: Finanzunternehmen müssen ein Informationsregister für alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern über die Nutzung von IKT-Dienstleistungen führen und aktualisieren sowie an die Aufsicht übermitteln.
• Auslagerungen außerhalb von IKT sind nicht Teil des Informationsregisters. Finanzunternehmen müssen daher zusätzlich weiterhin ein Auslagerungsregister führen, soweit von anderen Rechtsnormen vorgeschrieben (z.B. KWG, ZAG).
• Informationsregister bilden Grundlage für die Einstufung von kritischen IKT-Drittdienstleistern nach Art. 31 DORA.
• Konkretisiert werden die Anforderungen durch den ITS Informationsregister („ITS RoI“), der detaillierte Anweisungen zum Ausfüllen der Formulare enthält.

Die Europäischen Aufsichtsbehörden (ESAs) erwarten eine Übermittlung der Register durch die zuständigen nationalen Behörden bis zum 30.04.2025. Hierin sollen sämtliche Vertragsinformationen mit Stichtag 31. März 2025 enthalten sein.

Finanzunternehmen haben der BaFin das Informationsregister deshalb erstmals bis zum 28.04.2025 zur Verfügung zu stellen, danach jährlich. Ab 2026 findet die Übermittlung der Register an die ESAs durch die zuständigen Behörden jeweils bis zum 31. März statt. Ab diesem Zeitpunkt gilt zudem, dass die Register sämtliche Vertragsinformationen mit Stichtag 31. Dezember des vorherigen Jahres umfassen müssen.dk

Korrektur: In der vorigen Version des Textes hatten wir im Einstieg versehentlich geschrieben “Sollte das künftig alljährliche Einreichen des Registers ursprünglich am 11.04.2025 starten” – das ist natürlich nicht korrekt, sondern sollte heißen, dass es bis zum 11.04.2025 hätte beendet sein sollen.