Blog

DORA Informationsregister: BaFin

Zusammenfassung

Dieses Dokument fasst die wesentlichen Anforderungen und den Prozess für die Einreichung des Informationsregisters gemäß dem Digital Operational Resilience Act (DORA) bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zusammen. Gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 sind Finanzunternehmen verpflichtet, ein Register über sämtliche Verträge mit Dienstleistern für Informations- und Kommunikationstechnologie (IKT) zu führen und dieses bei der BaFin einzureichen.

Die Ersteinreichung für das Jahr 2025 unterliegt einem strikten Zeitplan: Die Daten müssen den Stichtag 31. März 2025 abbilden und spätestens bis zum 28. April 2025 bei der BaFin übermittelt werden. Die Einreichung erfolgt ausschließlich über die Melde- und Veröffentlichungsplattform (MVP) der BaFin und erfordert eine vorherige Registrierung und Freischaltung für das Fachverfahren „Digital Operational Resilience Act (DORA)“.

Der Validierungsprozess ist mehrstufig. Zunächst führt die BaFin eine technische Prüfung durch. Nur fehlerfreie Meldungen (ohne sog. „ERRORs“) werden an die Europäischen Aufsichtsbehörden (ESAs) weitergeleitet. Die ESAs führen eine erweiterte Prüfung durch. Das Ziel des Prozesses ist der Erhalt eines finalen „Validation Result (RES)“ ohne wesentliche Beanstandungen, womit der Einreichungsprozess als abgeschlossen gilt. Die BaFin stellt umfangreiche Hilfsmaterialien, darunter Excel-Vorlagen und Fehlercode-Übersichten, zur Verfügung.

1. Rechtliche Grundlage und Zweck

Die Verpflichtung zur Führung und Einreichung eines Informationsregisters ergibt sich aus Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 (DORA). Das Register dient dazu, eine umfassende Übersicht über alle vertraglichen Vereinbarungen zu erstellen, die ein Finanzunternehmen mit IKT-Drittdienstleistern zur Bereitstellung von IKT-Dienstleistungen getroffen hat.

Generate your register in one click: https://fund-xp.lu/dora-register/

2. Zeitplan für die Ersteinreichung 2025

Für die Ersteinreichung im Jahr 2025 hat die BaFin einen verbindlichen Zeitplan festgelegt, der sich aus den Vorgaben der ESAs ableitet. Die ESAs erwarten die Übermittlung der Register durch die nationalen Behörden bis zum 30. April 2025.

Phase Zeitraum Beschreibung
Stichtag 31. März 2025 Alle Vertragsinformationen müssen diesen Stichtag abbilden.
Testphase Ab 8. April 2025 Finanzunternehmen können die Einreichung in einer Testumgebung erproben.
Formelle Einreichung 14. bis 28. April 2025 Einreichung des inhaltlich vollständigen Registers. Korrigierte Fassungen können ebenfalls in diesem Zeitraum eingereicht werden.
Fristende 28. April 2025 Spätester Zeitpunkt für die Ersteinreichung bei der BaFin. Die zuvor kommunizierte Frist des 11. April 2025 ist nicht mehr gültig.
Korrekturphase 29. April bis 23. Mai 2025 In diesem Zeitraum können ausschließlich korrigierte Fassungen zum Zweck der Fehlerbehebung eingereicht werden.
Abschluss Bis 23. Mai 2025 Der gesamte Prozess inklusive aller Fehlerbehebungen muss abgeschlossen sein.

3. Technische Voraussetzungen und Einreichungsformate

3.1. MVP-Portal und Fachverfahren

  • Plattform: Die Übermittlung erfolgt ausschließlich über die Melde- und Veröffentlichungsplattform (MVP) der BaFin.
  • Registrierung: Eine Registrierung im MVP-Portal ist zwingend erforderlich.
  • Fachverfahren: Nach der Registrierung muss eine Berechtigung für das Fachverfahren „Digital Operational Resilience Act (DORA)“ beantragt werden.
  • Testumgebung: Es steht eine Testumgebung unter dem Fachverfahren „TEST: Digital Operational Resilience Act (DORA)“ zur Verfügung, für die eine separate Freischaltung beantragt werden muss. Die BaFin empfiehlt die Nutzung dieser Möglichkeit.

3.2. Zulässige Dateiformate

Für die Einreichung sind ausschließlich zwei Formate zugelassen:

  1. BaFin Excel-Vorlage: Die von der BaFin bereitgestellte Excel-Vorlage in der aktuellsten, stabilen Version. Die frühere Beta-Version darf nicht mehr verwendet werden.
  2. Strukturierte xBRL-Datei: Eine gepackte Containerdatei (.zip), die eine strukturierte xBRL-Datei enthält, welche der EBA Taxonomie 4.0 entspricht. Bei diesem Format sind die Ordnerstruktur innerhalb der .zip-Datei und die UTF-8-Kodierung der CSV-Dateien zu beachten.

3.3. Dateinamenskonvention

Die eingereichten Dateien müssen einer strikten Namenskonvention folgen. Der Aufbau lautet: <LEI>_<Berichtsgegenstand>_DE_<Taxonomieversion>_DORA_<Referenzdatum>_<Zeitstempel>.<Dateityp>

Beispiele für die Ersteinreichung (LEI: DUMMYLEI123456789012, Referenzdatum: 2025-03-31):

Berichtsgegenstand Dateityp Vollständiger Dateiname (Beispiel)
Individuell (.IND) .xlsm DUMMYLEI123456789012.IND_DE_DORA010100_DORA_2025-03-31_20250414063010500.xlsm
Konsolidiert (.CON) .zip DUMMYLEI123456789012.CON_DE_DORA010100_DORA_2025-03-31_20250414063010500.zip

4. Der Einreichungs- und Validierungsprozess im Detail

Der Prozess von der Einreichung bis zum Abschluss ist mehrstufig und involviert sowohl die Systeme der BaFin als auch der ESAs. Der Status kann jederzeit im MVP-Portal unter „Protokoll einsehen“ nachverfolgt werden.

Schritt 1: Einreichung und initiale Prüfung (BaFin)

  1. Upload: Die Datei wird über das Formular im DORA-Fachverfahren im MVP-Portal hochgeladen.
  2. Status „In Verarbeitung“: Unmittelbar nach dem Upload prüft das BaFin-System die Datei auf technische Fehler.
  3. Status „Meldung fehlerhaft“: Stellt die BaFin mindestens einen technischen Fehler („ERROR“) fest, wechselt der Status auf orange. Die Meldung wird nicht an die ESAs weitergeleitet. Ein Feedback-Protokoll wird bereitgestellt, und die Meldung muss korrigiert und neu eingereicht werden. Auch inhaltliche Inkonsistenzen („WARNINGs“) werden angezeigt und sollten behoben werden.

Schritt 2: Weiterleitung und externe Prüfung (ESAs) 4. Status „In Verarbeitung (extern)“: Wenn die BaFin-Prüfung keine „ERRORs“ findet, wird die Meldung an die ESAs weitergeleitet. Es wird kein BaFin-Feedback-Protokoll mehr erstellt. 5. ESA-Prüfung: Die ESAs führen eine tiefere, umfangreichere Prüfung durch, die mehrere Tage in Anspruch nehmen kann.

Schritt 3: Finale Rückmeldung und Abschluss 6. Status „Verarbeitung abgeschlossen“: Nach Abschluss der ESA-Prüfung wechselt der Status auf blau. Zwei ESA-Feedbackdateien (instance-status.csv und detailed-feedback.csv) werden zum Download angeboten. Es gibt drei mögliche Ergebnisse: * Variante 1: REJECTED (NOK – Not OK): Die Einreichung enthält technische Fehler nach ESA-Prüfungsschema. Der Prozess ist nicht abgeschlossen; die Fehler müssen behoben und eine neue Einreichung getätigt werden. * Variante 2: Validation Result (RES) mit Beanstandungen: Die Einreichung enthält inhaltliche Inkonsistenzen. In der Regel müssen diese behoben und die Meldung neu eingereicht werden. In Ausnahmefällen (z.B. fehlende LEI für einen IKT-Drittdienstleister, wenn ein anderes Kennzeichen vorhanden ist) können Beanstandungen als unbeachtlich gelten. Liegen ausschließlich solche unbeachtlichen Beanstandungen vor, ist der Prozess abgeschlossen. * Variante 3: Validation Result (RES) ohne Beanstandungen: Die Datei instance-status.csv enthält den Vermerk „No findings found“. Damit ist der Einreichungsprozess endgültig und erfolgreich abgeschlossen. Der Status im MVP-Portal verbleibt dennoch bei „Verarbeitung abgeschlossen“ (blau) und wechselt nicht auf grün.

5. Häufige Fehler und Lösungsansätze

Die Dokumentation der BaFin nennt beispielhaft mehrere typische Fehlerquellen:

  • Fehlen zwingend erforderlicher Werte: Eine Pflichtzelle (z.B. in Tabellenblatt b_01.01, Zelle C8) wurde leer gelassen.
  • Duplizierte Eintragungen: Ein Unternehmen wurde mehrfach in der Liste der IKT-Drittdienstleister (B_05.01) erfasst, was zu einer Häufung von Duplikat-Fehlermeldungen führt.
  • Unzulässige Werte / Freie Zellen:
    • Ein unzulässiger Wert wie „N/A“ wird eingetragen, obwohl die Zelle leer bleiben müsste.
    • Eine Zelle wird leer gelassen, obwohl der spezifische Wert „Not Applicable“ gefordert wird (z.B. bei „Identification code of the branch“, wenn es sich nicht um eine Zweigstelle handelt).
    • Für juristische Personen unter den IKT-Drittdienstleistern wird keine LEI oder EUID angegeben.

6. Unterstützende Ressourcen und Kontakt

Die BaFin stellt eine Reihe von Dokumenten und Links zur Unterstützung bereit:

  • Ausfüllhinweise für die Excel-Vorlage
  • Informationsregister Vorlage 1-00 (Excel)
  • Beispielhaft befüllte Excel-Vorlage
  • Übersicht der möglichen Fehlercodes und Abhilfemöglichkeiten
  • FAQ zum Informationsregister
  • Diverse Dokumente der ESAs (z.B. zu Validierungsregeln, FAQs zur Einreichung)

Bei technischen Problemen mit dem Upload, die trotz Beachtung der Hinweise nicht gelöst werden können, steht folgende E-Mail-Adresse zur Verfügung: [email protected]

BaFIN website :https://www.bafin.de/DE/Aufsicht/DORA/Informationsregister_und_Anzeigepflichten/Informationsregister_und_Anzeigepflichten_node.html