DORA LEI in Belgien: Kennungen für IKT-Dienstleister

Eine Anfrage nach einer DORA LEI durch eine belgische Bank oder einen Versicherer bedeutet nicht, dass DORA Ihren IKT-Dienstleister unmittelbar zur Beantragung einer LEI verpflichtet. Das Finanzunternehmen muss juristische Personen unter seinen IKT-Drittdienstleistern im Informationsregister mit einer gültigen und aktiven Rechtsträgerkennung (LEI) oder einer Europäischen einheitlichen Kennung (EUID) identifizieren, soweit verfügbar mit beiden. Bei Dienstleistern, die nicht in der Union niedergelassen sind, ist nur die LEI zulässig.

Was das für Belgien bedeutet

In Belgien ist für den Meldeweg entscheidend, welche Stelle das Finanzunternehmen beaufsichtigt. Die FSMA – Mitteilung zum begrenzten DORA-Informationsregister 2026 beschreibt eine Wiederholung der Registermeldung mit eingeschränktem Kreis der einreichenden Unternehmen. Eine Meldung an die FSMA über eine FiMiS Survey war nur für Marktbetreiber, Gesellschaften für Portfolioverwaltung und Anlageberatung, Verwaltungsgesellschaften von OGA und AIF sowie selbstverwaltete OGA vorgesehen. Die Frist für diese Meldung endete am 20. März 2026.

Unternehmen aus diesem Kreis, bei denen sich gegenüber dem Vorjahr nichts geändert hatte, konnten dies einfach bestätigen. Die begrenzte Meldung für 2026 ist daher nicht mit einer allgemeinen Einreichungsfrist für alle belgischen Finanzunternehmen gleichzusetzen. Für einen IKT-Dienstleister, dessen Kunde von der FSMA beaufsichtigt wird, kommt es darauf an, welche Angaben der Kunde für seine Meldung benötigt.

Bei Finanzunternehmen unter Aufsicht der Nationalbank von Belgien (NBB) beschreibt das NBB-Rundschreiben NBB_2026_05 vom 31. März 2026 OneGate als Einreichungsweg. Die NBB beschränkt ihre Anfragen in der Regel auf die höchste Ebene der (Teil-)Konsolidierung unter ihrer Aufsicht. Gehört eine Gruppe mit einem bedeutenden Kreditinstitut dazu, werden die Bankenregister bei der EZB eingereicht; an die NBB gehen nur die Register für die von ihr beaufsichtigten Unternehmen.

Damit sind FiMiS und OneGate keine austauschbaren Meldewege. Ein IT-Dienstleister aus Gent, der eine belgische Bank beliefert, sollte die erforderlichen Identifikationsangaben und den Termin direkt mit seinem Kunden klären. Für den amerikanischen Cloudanbieter eines Brüsseler Versicherers kommt als Kennung nur die LEI in Betracht.

DORA LEI: die wichtigsten Punkte

• DORA gilt seit dem 17. Januar 2025. Das Informationsregister ist eine Pflicht der Finanzunternehmen.
• Bei IKT-Drittdienstleistern, die juristische Personen sind, sind eine gültige und aktive LEI oder eine EUID zu verwenden, soweit verfügbar beide. Für juristische Personen, die nicht in der Union niedergelassen sind, ist nur eine LEI zulässig.
• Auch bestimmte im Register erfasste Unterauftragnehmer müssen entsprechend identifiziert werden, wenn sie einen IKT-Dienst für kritische oder wichtige Funktionen tatsächlich unterstützen.
• Die zuständigen Behörden legen für Finanzunternehmen Fristen fest, die vor ihrem eigenen Meldetermin bei den Europäischen Aufsichtsbehörden liegen.

Wozu dient das Informationsregister?

Die Verordnung (EU) 2022/2554 (DORA), Artikel 28 Absatz 3, verpflichtet Finanzunternehmen, im Rahmen ihres IKT-Risikomanagements ein Informationsregister über sämtliche vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen durch IKT-Drittdienstleister zu führen und zu aktualisieren. Das gilt auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene. Auf Anfrage stellen sie der zuständigen Behörde das gesamte Register oder verlangte Teile zur Verfügung und melden mindestens jährlich neue Vereinbarungen.

Die Europäischen Aufsichtsbehörden nutzen die Register auch zur Benennung kritischer IKT-Drittdienstleister. Laut AFM DORA update 7 vom August 2026 wurden auf Grundlage der Register neunzehn solche Dienstleister benannt. Für einen Zulieferer entsteht daraus vor allem eine praktische Aufgabe: Sein Finanzunternehmenskunde benötigt verlässliche Angaben zur Identifizierung, auch wenn der Zulieferer Teil einer relevanten Unterauftragskette ist.

Welche Kennung schreibt die Durchführungsverordnung vor?

Die Durchführungsverordnung (EU) 2024/2956 der Kommission vom 29. November 2024, veröffentlicht im Amtsblatt am 2. Dezember 2024, legt die Standardvorlagen für das Register fest. Nach Artikel 3 Absatz 5 müssen Finanzunternehmen IKT-Drittdienstleister, die juristische Personen sind, mit einer gültigen und aktiven LEI oder der EUID nach Artikel 16 der Richtlinie (EU) 2017/1132 identifizieren; soweit vorhanden, verwenden sie beide. Ausgenommen sind natürliche Personen, die geschäftlich tätig sind.

Der Anhang lässt für IKT-Drittdienstleister, die juristische Personen sind, nur LEI oder EUID zu. Alternative Kennungen sind natürlichen Personen vorbehalten, die geschäftlich tätig sind. Ist die juristische Person nicht in der Union niedergelassen, darf ausschließlich eine LEI verwendet werden. Die Möglichkeit einer EUID für einen geeigneten Anbieter mit Niederlassung in der Union gilt daher nicht für einen Anbieter außerhalb der Union.

Artikel 3 Absatz 6 erfasst Unterauftragnehmer: Unterstützt die IKT-Dienstleistung eines direkten Anbieters eine kritische oder wichtige Funktion, muss das Finanzunternehmen über diesen Anbieter sicherstellen, dass die im Register erfassten Unterauftragnehmer, die die Dienstleistung tatsächlich unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID angeben, soweit verfügbar beide. Die Ausnahme für geschäftlich tätige natürliche Personen gilt auch hier. Ein direkter Anbieter muss deshalb gegebenenfalls Kennungen seiner relevanten Unterauftragnehmer einholen.

Für das Finanzunternehmen selbst gelten andere Vorgaben. Die FAQ der Europäischen Aufsichtsbehörden zur Registermeldung vom 28. März 2025 bestätigen, dass in den Vorlagen B_01.01 und B_01.02 nur eine LEI zur Identifizierung eines Finanzunternehmens dient. Eine LEI ist ein alphanumerischer Code mit 20 Zeichen auf Grundlage von ISO 17442. Die EUID-Option für Dienstleister ändert diese Vorgabe nicht.

Warum muss eine LEI gültig und aktiv sein?

Artikel 3 Absatz 5 verlangt ausdrücklich eine gültige und aktive LEI. Wer bereits eine LEI hat, sollte deshalb ihren Status prüfen. Laut den FAQ gleichen die Europäischen Aufsichtsbehörden LEI mit der GLEIF-Datenbank und EUID mit BRIS-Referenzdaten ab; im Register muss außerdem die oberste Muttergesellschaft jedes IKT-Drittdienstleisters identifiziert werden.

Frage 44 der FAQ erläutert, dass strenge Prüfungen des LEI-Status in der Anfangsphase der Meldungen, insbesondere 2025, nicht durchgesetzt würden. Wie lange dies gelten sollte, steht dort nicht. Daraus lässt sich keine Befreiung von der Anforderung einer aktiven LEI für einen späteren Meldezyklus ableiten.

Frage 40 behandelt einen anderen Fall: Fehlt die LEI eines IKT-Drittdienstleisters aus einem Drittland, kann das Finanzunternehmen eine andere Kennung melden. Die Datei wird nicht zurückgewiesen, der Eintrag aber als Datenqualitätsproblem gekennzeichnet. Diese Verarbeitungshinweise ersetzen nicht die Regel des Anhangs, nach der für eine nicht in der Union niedergelassene juristische Person nur eine LEI zulässig ist. Ohne LEI können Sie eine LEI beantragen; bei einer abgelaufenen LEI können Sie die LEI verlängern.

Termine der jährlichen Registermeldung

Nach den Fragen 11 bis 13 der FAQ ist ab 2026 jeweils der 31. Dezember des Vorjahres der Stichtag. Die zuständigen Behörden melden die Register bis zum 31. März jedes Kalenderjahres an die Europäischen Aufsichtsbehörden und setzen für Finanzunternehmen frühere Fristen. Ein Zulieferer sollte deshalb seinen Kunden nach dessen Termin für die Datenerhebung fragen, statt den Meldetermin der Aufsichtsbehörden als eigene Frist zu behandeln.

Meldezyklus	Stichtag	Meldung der Behörden an die Europäischen Aufsichtsbehörden	Frist des Finanzunternehmens
Zyklus 2026	31. Dezember 2025	31. März 2026	Von der zuständigen Behörde früher festgelegt
Nächster Zyklus	31. Dezember 2026	Bis zum 31. März 2027	Wird von der zuständigen Behörde früher festgelegt

Die Seite EBA – Preparations for reporting of DORA registers of information bündelt Durchführungsverordnung, Datenmodell, Validierungsregeln und FAQ. Finanzunternehmen sollten die Anweisungen ihrer zuständigen Behörde zur jeweils maßgeblichen Frist prüfen.

Checkliste für IKT-Dienstleister

1. Stellen Sie fest, welche juristische Person Vertragspartner des Finanzunternehmens ist und ob sie in der Union niedergelassen ist. Davon hängt ab, ob eine EUID infrage kommt.
2. Geben Sie dem Kunden die angefragte Kennung; halten Sie LEI und EUID bereit, wenn beide vorhanden sind. Prüfen Sie vor der Übermittlung den LEI-Status.
3. Klären Sie, ob im Register erfasste Unterauftragnehmer eine Dienstleistung für kritische oder wichtige Funktionen tatsächlich unterstützen, und holen Sie gegebenenfalls deren Kennungen ein.
4. Bereiten Sie die Angaben zur Identifizierung Ihrer obersten Muttergesellschaft vor und erfragen Sie den Termin, bis zu dem Ihr Kunde die Daten benötigt.

Andere Vorgaben zur LEI folgen nicht automatisch denselben Regeln für IKT-Dienstleister. Der Beitrag zur LEI bei der Kundenprüfung nach AMLR in Belgien behandelt einen anderen Anwendungsfall; weitere Themen finden Sie in den LEIFast-Beiträgen zu regulatorischen Vorgaben. Klären Sie für das Informationsregister jetzt die vertragsschließende juristische Person, ihre zulässige Kennung und den Abgabetermin Ihres Kunden; hängt die Einordnung von Einzelheiten der Vereinbarung ab, wenden Sie sich an Ihre Aufsichtsbehörde oder rechtliche Beratung.