DORA LEI Österreich: Kennungen für IKT-Drittdienstleister

Eine Anfrage zu DORA LEI in Österreich bedeutet nicht, dass DORA Ihren IKT-Dienstleister unmittelbar zum Erwerb einer LEI verpflichtet. Finanzunternehmen müssen ihre IKT-Drittdienstleister im Informationsregister identifizieren: Für juristische Personen kommt eine gültige und aktive Rechtsträgerkennung (LEI) oder eine Europäische einheitliche Kennung (EUID) infrage, bei Verfügbarkeit beide. Für Anbieter, die nicht in der Union niedergelassen sind, ist nur die LEI zulässig.

Was das für Österreich bedeutet

Für österreichische Finanzunternehmen ist die Finanzmarktaufsicht (FMA) die zuständige Behörde für die Einreichung des Informationsregisters. Nach den Angaben der FMA zum IKT-Drittdienstleisterrisiko beziehen sich die Daten im Register auf den 31. Dezember des Vorjahres. Im Berichtszyklus 2026 war daher der 31. Dezember 2025 der Stichtag.

Die Einreichung bei der FMA erfolgte vom 16. Februar bis zum 13. März 2026 über die FMA Incoming Platform. Für die Übermittlung stellt die FMA eine Excel-Vorlage bereit, die verwendet werden muss. Erfüllt eine Einreichung die Validierungsregeln nicht, wird sie zurückgewiesen. Die zuständigen Behörden mussten die Register anschließend bis zum 31. März 2026 an die Europäischen Aufsichtsbehörden übermitteln.

Diese Termine betreffen die Registerübermittlung, nicht eine allgemeine Frist, bis zu der jeder Dienstleister seinerseits eine Kennung beantragen musste. Ein IT-Dienstleister aus Graz, der eine Raiffeisenbank mit einer Zahlungsverkehrssoftware beliefert, sollte deshalb die Anfrage seines Kunden und dessen Termin für die benötigten Angaben prüfen. Dasselbe gilt für einen US-Cloudanbieter, der eine Wiener Versicherung bedient. Bei diesem Beispiel ist für die Identifizierung des nicht in der Union niedergelassenen Anbieters nur eine LEI möglich.

Für den nächsten Berichtszyklus nennt dieser FMA-Hinweis noch kein Einreichungsfenster. Übertragen Sie daher die Termine vom Februar und März 2026 nicht auf eine künftige Einreichung, sondern klären Sie den Abgabetermin mit dem Finanzunternehmen.

DORA LEI Österreich: die wichtigsten Regeln

• DORA gilt seit dem 17. Januar 2025. Das Informationsregister ist eine Pflicht der Finanzunternehmen.
• Für IKT-Drittdienstleister, die juristische Personen sind, sind LEI oder EUID vorgesehen, bei Verfügbarkeit beide. Für juristische Personen, die nicht in der Union niedergelassen sind, ist nur die LEI zulässig.
• Die Kennungspflicht kann auch erfasste Unterauftragnehmer betreffen, die eine IKT-Dienstleistung für kritische oder wichtige Funktionen tatsächlich unterstützen.
• Die Frist des Finanzunternehmens liegt vor der jährlichen Frist, zu der seine zuständige Behörde das Register an die Europäischen Aufsichtsbehörden meldet.

Wozu dient das Informationsregister?

Nach Verordnung (EU) 2022/2554 (DORA), Artikel 28 Absatz 3, führen und aktualisieren Finanzunternehmen im Rahmen ihres IKT-Risikomanagements ein Informationsregister über sämtliche vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen. Das Register wird auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene geführt. Der zuständigen Behörde sind auf Anfrage das vollständige Register oder angeforderte Teile zugänglich zu machen; über neue Vereinbarungen ist mindestens jährlich zu berichten.

Die Europäischen Aufsichtsbehörden nutzen die Register auch, um kritische IKT-Drittdienstleister zu benennen. Laut AFM DORA update 7 vom August 2026 wurden auf Grundlage der Register neunzehn Anbieter benannt. Für Dienstleister zeigt sich die Registerpflicht vor allem darin, dass Finanzunternehmen verlässliche Angaben zu ihren Vertragspartnern und gegebenenfalls zu deren Unterauftragnehmern benötigen.

LEI oder EUID: welche Kennung ist zulässig?

Die Durchführungsverordnung (EU) 2024/2956 vom 29. November 2024, veröffentlicht am 2. Dezember 2024, legt die Standardvorlagen für das Informationsregister fest. Nach Artikel 3 Absatz 5 identifizieren Finanzunternehmen IKT-Drittdienstleister, die juristische Personen sind, mit einer gültigen und aktiven LEI oder der in Artikel 16 der Richtlinie (EU) 2017/1132 genannten EUID. Sind beide vorhanden, werden beide verwendet. Ausgenommen sind natürliche Personen, die im Rahmen einer Geschäftstätigkeit handeln.

Der Anhang lässt für juristische Personen nur LEI und EUID zu; alternative Kennungen sind natürlichen Personen vorbehalten, die im Rahmen einer Geschäftstätigkeit handeln. Für juristische Personen, die nicht in der Union niedergelassen sind, darf ausschließlich eine LEI verwendet werden. Eine EUID ist somit keine Alternative für einen solchen Anbieter.

Artikel 3 Absatz 6 erfasst zudem bestimmte Unterauftragnehmer. Unterstützt die Leistung des direkten IKT-Drittdienstleisters eine kritische oder wichtige Funktion, muss das Finanzunternehmen über diesen Dienstleister sicherstellen, dass im Register erfasste Unterauftragnehmer, die die Leistung tatsächlich unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID angeben, bei Verfügbarkeit beide. Die Ausnahme für natürliche Personen, die im Rahmen einer Geschäftstätigkeit handeln, gilt auch hier.

Für das Finanzunternehmen selbst gelten andere Vorgaben: Laut den FAQ der Europäischen Aufsichtsbehörden zur Registermeldung vom 28. März 2025 ist in den Vorlagen B_01.01 und B_01.02 nur eine LEI zulässig. Eine LEI ist ein alphanumerischer Code mit 20 Zeichen auf Grundlage von ISO 17442. Die EUID-Option für bestimmte Dienstleister ändert diese Vorgabe nicht.

Warum muss eine vorhandene LEI aktiv sein?

Artikel 3 Absatz 5 verlangt ausdrücklich eine gültige und aktive LEI. Wer bereits eine LEI besitzt, sollte deshalb ihren Status prüfen, bevor die Kennung an einen Kunden übermittelt wird. Die Europäischen Aufsichtsbehörden gleichen LEI mit der GLEIF-Datenbank und EUID mit BRIS-Referenzdaten ab. Im Register muss außerdem die oberste Muttergesellschaft jedes IKT-Drittdienstleisters identifiziert werden.

Die FAQ erläutern in Frage 44, dass strenge Prüfungen des LEI-Status in den anfänglichen Meldephasen, insbesondere 2025, nicht durchgesetzt würden. Wie lange diese Vorgehensweise gilt, steht dort nicht. Sie hebt die Anforderung einer gültigen und aktiven LEI nicht auf.

Für einen Drittlandanbieter ohne verfügbare LEI beschreibt Frage 40 einen gesonderten Fall bei der Verarbeitung der Meldung: Das Finanzunternehmen kann eine andere Kennung melden; die Datei wird nicht zurückgewiesen, der Eintrag aber als Datenqualitätsproblem markiert. Diese Erläuterung ersetzt nicht die Regel des Anhangs, wonach für eine juristische Person, die nicht in der Union niedergelassen ist, nur eine LEI verwendet werden darf. Fehlt Ihrem Unternehmen die Kennung, können Sie eine LEI beantragen; eine abgelaufene LEI können Sie erneuern.

Stichtage und Meldefristen

Nach den FAQ der Europäischen Aufsichtsbehörden ist ab 2026 jeweils der 31. Dezember des Vorjahres der Stichtag. Die zuständigen Behörden übermitteln die Register bis zum 31. März des jeweiligen Jahres; für Finanzunternehmen legen sie frühere Fristen fest. Der Termin eines IKT-Dienstleisters für die Lieferung seiner Angaben ergibt sich daher aus der Anfrage seines Kunden, nicht aus der Frist für die Behörden.

Berichtszyklus	Stichtag	Frist für zuständige Behörden	Frist für Finanzunternehmen
2026	31. Dezember 2025	31. März 2026	In Österreich: 16. Februar bis 13. März 2026
Nächster Zyklus	31. Dezember 2026	31. März 2027	Wird von der zuständigen Behörde früher festgelegt

Die EBA-Seite zur Vorbereitung der DORA-Registermeldungen bündelt die Durchführungsverordnung, das Datenmodell, Validierungsregeln und FAQ. Finanzunternehmen sollten für ihre konkrete Einreichung die Anweisungen ihrer zuständigen Behörde prüfen.

Was IKT-Dienstleister jetzt prüfen sollten

1. Stellen Sie fest, welche juristische Person Vertragspartner des Finanzunternehmens ist und ob sie in der Union niedergelassen ist. Davon hängt ab, ob eine EUID infrage kommt.
2. Prüfen Sie, welche Kennung Ihr Kunde benötigt. Falls LEI und EUID verfügbar sind, halten Sie beide bereit; kontrollieren Sie bei einer LEI den aktiven Status.
3. Ermitteln Sie, ob erfasste Unterauftragnehmer eine Leistung für kritische oder wichtige Funktionen tatsächlich unterstützen. Holen Sie gegebenenfalls deren Kennungen ein.
4. Klären Sie die Angaben zur obersten Muttergesellschaft und fragen Sie Ihren Kunden nach seinem Termin für die vollständigen Lieferantendaten.

Andere Vorschriften können eine LEI in einem anderen Zusammenhang verlangen; die LEI bei der Kundenprüfung nach AMLR in Österreich behandelt einen solchen Fall. Weitere Themen finden Sie unter LEIFast-Beiträge zu regulatorischen Fragen. Für dieses Register sollten Sie als Nächstes Ihre vertragsschließende Gesellschaft, deren zulässige Kennung und den Abgabetermin Ihres Kunden bestätigen. Hängt die Beurteilung von Einzelheiten Ihres Vertrags ab, klären Sie diese mit der zuständigen Behörde oder Ihrer rechtlichen Beratung.