Das Informationsregister nach DORA: Was hineingehört und woran es meistens scheitert
Seit Januar 2025 muss jedes Finanzunternehmen ein Register seiner IKT-Dienstleister führen. Die Pflicht ist unstrittig. Was hineingehört, überrascht viele Häuser trotzdem.
Das Informationsregister ist der unspektakulärste Teil von DORA und zugleich der, nach dem in Prüfungen als Erstes gefragt wird. Der Grund ist einfach: Es ist ein Dokument. Entweder es existiert und ist vollständig, oder es existiert nicht. Anders als bei Fragen des Risikomanagements gibt es wenig Raum für Auslegung.
Was die Verordnung verlangt
Grundlage ist Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554. Danach führen Finanzunternehmen ein Register aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, und zwar auf Ebene des Einzelunternehmens, auf teilkonsolidierter und auf konsolidierter Ebene, soweit zutreffend.
Entscheidend ist die Unterscheidung, die die Verordnung trifft: Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, werden gesondert gekennzeichnet und unterliegen strengeren Anforderungen. Was kritisch ist, legt nicht der Dienstleister fest, sondern Ihr Haus auf Basis seiner Business-Impact-Analyse.
Die Aufsicht hat das Format über technische Regulierungsstandards konkretisiert. Für die Praxis heißt das: Es gibt vorgegebene Tabellen mit definierten Feldern, nicht eine frei gestaltbare Liste.
Die Einträge, die regelmäßig fehlen
Wenn wir mit Instituten über ihr Register sprechen, ist es selten leer. Es ist meistens unvollständig, und zwar an immer denselben Stellen.
Unterauftragnehmer. Erfasst wird der direkte Vertragspartner. Dass dieser selbst Leistungen weitergibt, steht häufig nicht drin. Die Verordnung verlangt aber Transparenz über die Kette, soweit kritische Funktionen betroffen sind.
Kleine Verträge. Ein Monitoring-Dienst für 40 Euro im Monat fällt durch das Raster, weil niemand ihn als Auslagerung wahrnimmt. Für die Einstufung zählt aber nicht der Preis, sondern die Funktion, die er unterstützt.
Alles, was nicht „IT“ heißt. Der Dienstleister für Ausweicharbeitsplätze, der Archivdienstleister, der Anbieter der Telefonanlage, der Betreiber des Aufzeichnungssystems. Diese Leistungen sind IKT-Dienstleistungen im Sinne der Verordnung, werden aber oft bei der Haustechnik oder beim Einkauf geführt.
Beendete Verträge. Das Register bildet einen Stand ab. Wer vor zwei Jahren gewechselt hat und den alten Eintrag stehen ließ, hat ein falsches Register, und das fällt bei einem Abgleich mit der Kreditorenbuchhaltung sofort auf.
Warum das Register schneller veraltet, als man denkt
Ein Register ist kein Projekt mit einem Enddatum. Jeder neue Cloud-Dienst, jede Vertragsverlängerung mit geänderten Bedingungen, jeder Wechsel eines Unterauftragnehmers verändert es.
In der Praxis funktioniert nur ein Weg: Das Register wird an einen bestehenden Prozess gekoppelt, meistens an die Vertrags- oder Rechnungsfreigabe. Wer eine Rechnung für eine IT-Leistung freigibt, beantwortet dabei eine Pflichtfrage, steht der Dienstleister im Register. Das ist unelegant und deutlich zuverlässiger als ein jährlicher Rundruf.
Was ein Dienstleister beisteuern sollte
Ein großer Teil der benötigten Angaben liegt nicht bei Ihnen, sondern beim Dienstleister: Rechtsform, Niederlassungsstaat, Kennung des Unternehmens, Art der erbrachten Leistung, Standorte der Datenverarbeitung, eingesetzte Unterauftragnehmer.
Wir halten diese Angaben für unsere Leistungen vor und geben sie in einer Form heraus, die sich direkt in die vorgegebenen Tabellen übernehmen lässt. Das ist kein Entgegenkommen, sondern eine Erwartung, die Sie an jeden Ihrer IKT-Dienstleister stellen sollten. Wer sie nicht erfüllen kann, verursacht Ihnen bei jeder Meldung Arbeit.
Ein Vorschlag für den Einstieg
Falls Sie nicht sicher sind, wie vollständig Ihr Register ist, gibt es einen schnellen Test, der ohne Projekt auskommt. Nehmen Sie die Kreditorenliste der letzten zwölf Monate und markieren Sie jeden Posten, der nach IT aussieht: Software, Wartung, Hosting, Telefonie, Geräte, Beratung. Gleichen Sie diese Liste gegen Ihr Register ab.
Die Differenz ist in aller Regel größer als erwartet. Sie ist aber auch der schnellste Weg zu einem vollständigen Register, weil sie bei dem ansetzt, was tatsächlich bezahlt wird, und nicht bei dem, woran sich jemand erinnert.
Häufige Fragen
Ab wann gilt die Pflicht zum Informationsregister?
Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar. Das Register ist seitdem zu führen und auf Anforderung der zuständigen Behörde vorzulegen. Es gab zudem Meldetermine für die erstmalige Übermittlung an die Aufsicht.
Gilt das auch für kleine Institute?
DORA unterscheidet nach Art des Unternehmens, nicht nach Größe. Es gilt allerdings ein Verhältnismäßigkeitsprinzip: Umfang und Tiefe dürfen zum Risikoprofil passen. Die Registerpflicht selbst entfällt dadurch nicht.
Ist ein Ausweicharbeitsplatz eine IKT-Dienstleistung?
Ja. Die Bereitstellung vorbereiteter Arbeitsplätze mit Netzanbindung, Telefonie und Anwendungszugriff ist eine IKT-Dienstleistung und gehört ins Register: in aller Regel mit der Kennzeichnung, dass sie eine kritische Funktion unterstützt.
Reicht eine Excel-Tabelle?
Formal gibt es keine Vorgabe zum Werkzeug, sondern zum Inhalt und zur Struktur. Eine Tabelle kann genügen, solange sie die vorgegebenen Felder abbildet und gepflegt wird. Der Schwachpunkt ist selten das Format, sondern die Aktualität.
Wer im Haus ist zuständig?
Das legt Ihr Haus fest. In der Praxis bewährt sich eine geteilte Verantwortung: Die inhaltliche Pflege liegt bei der Stelle, die Verträge verantwortet, die fachliche Einstufung bei Risikomanagement oder Compliance. Die IT liefert die technischen Angaben zu.
Jürg Raess
Sales & Business Development / Project Coordinator: Schwerpunkt Business Continuity, Notfallarbeitsplätze und Banken.