Stand: Oktober 2026
Lesezeit: ca. 5 Minuten

Finanzunternehmen unter dem Anwendungsbereich des Digital Operational Resilience Act (DORA) stehen vor konkreten Berichtspflichten: Gemäß Artikel 28 Absatz 3 DORA müssen sie jährlich ihr vollständiges Informationsregister über alle IKT-Drittdienstleistungen bei der Aufsicht einreichen. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) nimmt diese Meldungen ausschließlich digital über ihr MVP-Portal entgegen.

Die übermittelten Daten bilden die Grundlage für die europäischen Aufsichtsbehörden (ESAs), um systemische IKT-Risiken zu überwachen und kritische IKT-Drittdienstleister (CTPPs) offiziell einzustufen.

Das Wichtigste zum DORA-Register auf einen Blick

• • Einreichungsweg & Stichtag: Die Übermittlung erfolgt digital über die BaFin-Plattform MVP (Fachverfahren „DORA“) auf Basis des Datenstands zum 31. Dezember des Vorjahres.

  • Format & Validierung: Akzeptiert werden strukturierte Dateien nach ESAs-Taxonomie (xBRL) oder das offizielle BaFin-Excel-Template. Strenge Validierungsregeln verlangen höchste Datenqualität.

  • Doppelmeldungen vermeiden: Neue Vereinbarungen für kritische oder wichtige Funktionen unterliegen einer laufenden Anzeigepflicht. Die BaFin hat das Anzeigeverfahren angepasst, um sektorale Auslagerungsmeldungen und DORA-Pflichten zu bündeln.

  • Aufsichtsrechtliche Relevanz: Eine Meldung gilt erst nach erfolgreicher Validierung im MVP-Portal als erfüllt. Unvollständigkeit oder Fehler lösen Nachmeldungspflichten aus.

DORA-Meldepflichten im Überblick

Hintergrund & Ziele der Registerpflicht nach Artikel 28 DORA

Das DORA-Informationsregister ist das zentrale Transparenzinstrument der europäischen Finanzaufsicht. Es verpflichtet Institute dazu, sämtliche Vereinbarungen mit IKT-Drittdienstleistern detailliert zu dokumentieren.

Ziel der BaFin und der ESAs (EBA, EIOPA, ESMA) ist es, hochgradige Konzentrationsrisiken im Binnenmarkt zu identifizieren – etwa wenn viele Finanzinstitute von denselben Cloud- oder Softwareanbietern abhängen. Gleichzeitig dient das Register als Basis, um besonders relevante IT-Dienstleister als „kritisch“ einzustufen und einer direkten europäischen Überwachung zu unterstellen.

DORA-Meldung & ESAs-Taxonomie: Wesentliche Pflichten im Detail

1. Einreichung und technische Validierung über das BaFin-MVP-Portal

Die Übermittlung der Registerdaten erfordert höchste Sorgfalt bei der Datenaufbereitung. Die Daten müssen den ESAs-Validierungsregeln entsprechen. Schlagen technische Prüfungen im MVP-Portal der BaFin fehl, gilt das Register als nicht eingereicht und muss korrigiert erneut hochgeladen werden.

2. Koppelung von DORA-Anzeigen und sektoralen Auslagerungen

Um bürokratischen Doppelaufwand zu vermeiden, hat die BaFin das Fachverfahren „Anzeige von Auslagerungen“ angepasst. Geplante Verträge über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen können so in einem Schritt gemeldet werden. Für Fälle ohne klassische Auslagerungseigenschaft steht ein separates Formular zur Verfügung.

3. Erfassung von Unterauftragsketten und Datenqualität

Die Aufsicht fordert lückenlose Angaben über die gesamte Lieferkette: Neben direkten Vertragspartnern müssen auch wesentliche Sub-Dienstleister (Unterauftragsketten), die geografischen Standorte der Datenverarbeitung und die genaue Zuordnung zu den kritischen Funktionen des Instituts abgebildet sein.

Durchsetzung, Aufsichtsrecht & Compliance-Haftung bei DORA-Verstößen

Mängel in der Datenqualität oder verspätete Registereinreichungen werden von der BaFin als aufsichtsrechtliche Verstöße geahndet. Unternehmen sind verpflichtet, interne Kontrollen einzurichten, die den Registerstatus kontinuierlich überwachen. Zur Vorbereitung auf die Stichtagsmeldung bietet die BaFin regelmäßig Praxis-Workshops an, um typische Ausfüllfehler und Taxonomie-Updates zu adressieren.

Handlungsbedarf für Geschäftsleiter & IT-Compliance-Teams

Um die Fristen und Qualitätsvorgaben der BaFin sicher einzuhalten, sollten Finanzunternehmen folgende Maßnahmen umsetzen:

• Vertrags-Inventur durchführen: Alle Verträge mit IKT-Dienstleistern auf Vollständigkeit, Sub-Dienstleister und Kritikalitätseinstufung überprüfen.

• MVP-Zugang & Formate testen: Technischen Zugang zum BaFin-MVP-Portal sichern und Daten nach der aktuellen ESAs-Taxonomie strukturieren.

• Meldeprozesse synchronisieren: Interne Fristen zur Erfassung von Vertragsänderungen so anpassen, dass unterjährige Anzeigepflichten automatisch ausgelöst werden.

Quelle