DORA LEI in Liechtenstein: Regeln für IKT-Dienstleister

Eine Anfrage zu DORA und LEI in Liechtenstein bedeutet nicht, dass DORA Ihr IKT-Unternehmen unmittelbar zur Beantragung einer LEI verpflichtet. Finanzunternehmen müssen juristische Personen unter ihren IKT-Drittdienstleistern im Informationsregister mit einer gültigen und aktiven Rechtsträgerkennung (LEI) oder einer Europäischen einheitlichen Kennung (EUID) identifizieren; bei Anbietern ausserhalb des EWR ist nur die LEI vorgesehen.

Was das für Liechtenstein bedeutet

Für Liechtenstein sind zwei Anwendungsdaten zu unterscheiden. Laut dem EFTA EEA-Lex-Faktenblatt zur Verordnung (EU) 2022/2554 wurde DORA durch den Beschluss Nr. 40/2025 des Gemeinsamen EWR-Ausschusses vom 20. Februar 2025 in das EWR-Abkommen übernommen. Im EWR gilt die Verordnung seit dem 1. Juli 2025; in der EU gilt sie seit dem 17. Januar 2025.

In Liechtenstein galt DORA laut den DORA-FAQs der Finanzmarktaufsicht Liechtenstein (FMA) bereits seit dem 1. Februar 2025 aufgrund einer Vorabumsetzung. Das EWR-DORA-Durchführungsgesetz (EWR-DORA-DG) vom 5. Dezember 2024 trat an diesem Tag in Kraft. Nach der Übernahme in das EWR-Abkommen gilt DORA unmittelbar. Seit dem 1. Februar 2025 sind Finanzintermediäre im DORA-Anwendungsbereich von der FMA-Richtlinie 2021/3 zur IKT-Sicherheit ausgenommen.

Laut der FMA-Supportseite galt für das Informationsregister zum Stichtag 31. Dezember 2025 ein Einreichungsfenster vom 18. Februar bis zum 18. März 2026. Finanzunternehmen mussten es über das e-Service Portal der FMA im Format XBRL-CSV einreichen; die FMA stellt dafür keine Excel-Vorlage bereit. Datenqualitätstests durch die Europäischen Aufsichtsbehörden und die FMA konnten im April 2026 zu Stornierungen und Neueinreichungen führen. Fragen zum Register konnten an DORA@fma-li.li gerichtet werden.

Die Unterscheidung zwischen EWR und Drittstaat ist für Lieferanten besonders greifbar: Ein Softwarehaus aus Vaduz, das eine Liechtensteiner Bank mit einer Kernbankenlösung beliefert, kann als juristische Person mit LEI oder EUID erfasst werden, bei Verfügbarkeit mit beiden. Ein IT-Dienstleister aus St. Gallen, der eine Vermögensverwaltung in Schaan betreut, sitzt dagegen in der Schweiz. Da die Schweiz nicht zum EWR gehört und Schweizer Unternehmen keine EUID haben, ist für einen solchen Anbieter nur die LEI vorgesehen.

DORA-LEI-Anforderungen: die wichtigsten Punkte

• DORA gilt im EWR seit dem 1. Juli 2025; in Liechtenstein galt die Verordnung durch Vorabumsetzung bereits seit dem 1. Februar 2025.
• Das Finanzunternehmen führt das Informationsregister. Die Pflicht zur Identifizierung liegt nicht unmittelbar beim IKT-Drittdienstleister.
• Für juristische Personen im EWR sind eine gültige und aktive LEI oder eine EUID zulässig, bei Verfügbarkeit beide. Ausserhalb des EWR ist nur die LEI vorgesehen.
• Auch bestimmte im Register erfasste Unterauftragnehmer benötigen eine passende Kennung, wenn sie eine IKT-Dienstleistung für kritische oder wichtige Funktionen tatsächlich unterstützen.
• Die zuständigen Behörden setzen den Finanzunternehmen Fristen vor ihrer jährlichen Übermittlung an die Europäischen Aufsichtsbehörden bis zum 31. März.

Wozu dient das DORA-Informationsregister?

Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, Artikel 28 Absatz 3, verpflichtet Finanzunternehmen, ein Informationsregister über sämtliche vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen durch IKT-Drittdienstleister zu führen und aktuell zu halten. Es gehört zum IKT-Risikomanagement und wird auf Ebene des Unternehmens sowie auf teilkonsolidierter und konsolidierter Ebene geführt.

Auf Anfrage stellen Finanzunternehmen ihrer zuständigen Behörde das vollständige Register oder verlangte Teile bereit; über neue Vereinbarungen berichten sie mindestens jährlich. Die Europäischen Aufsichtsbehörden nutzen die Register auch zur Einstufung kritischer IKT-Drittdienstleister. Laut dem DORA update 7 der niederländischen Aufsicht AFM (August 2026) wurden auf Grundlage der Register neunzehn Anbieter eingestuft. Ein Dienstleister benötigt deshalb verlässliche Angaben zu seiner Identität, damit sein Finanzkundenunternehmen das Register befüllen kann.

Welche Kennung verlangt die Durchführungsverordnung?

Die Durchführungsverordnung (EU) 2024/2956 der Kommission vom 29. November 2024, veröffentlicht im Amtsblatt am 2. Dezember 2024, legt die Standardvorlagen für das Informationsregister fest. Nach Artikel 3 Absatz 5 verwenden Finanzunternehmen für IKT-Drittdienstleister, die juristische Personen sind, eine gültige und aktive LEI oder die in Artikel 16 der Richtlinie (EU) 2017/1132 genannte EUID – und, sofern verfügbar, beide. Natürliche Personen, die geschäftlich tätig sind, sind davon ausgenommen.

Der Anhang lässt für IKT-Drittdienstleister, die juristische Personen sind, nur LEI und EUID zu; alternative Kennungen sind natürlichen Personen vorbehalten, die geschäftlich tätig sind. Bei juristischen Personen ausserhalb des EWR ist aufgrund der EWR-Anpassung nur die LEI vorgesehen. Die EUID ist somit eine Option für einen geeigneten Anbieter im EWR, nicht für einen Anbieter in einem Drittstaat.

Artikel 3 Absatz 6 erfasst zudem Unterauftragnehmer: Unterstützt die Dienstleistung des direkten Anbieters eine kritische oder wichtige Funktion, muss das Finanzunternehmen über ihn sicherstellen, dass die im Register erfassten Unterauftragnehmer, die diese Dienstleistung tatsächlich unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID angeben – bei Verfügbarkeit beides. Die Ausnahme für geschäftlich tätige natürliche Personen bleibt bestehen. Ein direkter Anbieter muss daher unter Umständen auch Kennungen seiner einschlägigen Unterauftragnehmer einholen.

Für das Finanzunternehmen selbst gilt eine andere Vorgabe. Die FAQ der Europäischen Aufsichtsbehörden zur Registermeldung vom 28. März 2025 bestätigen: In den Vorlagen B_01.01 und B_01.02 identifiziert nur eine LEI das Finanzunternehmen. Die LEI ist ein alphanumerischer Code mit 20 Zeichen auf Grundlage von ISO 17442.

Warum muss die LEI aktiv sein?

Artikel 3 Absatz 5 verlangt ausdrücklich eine gültige und aktive LEI. Wer bereits eine LEI hat, sollte deshalb ihren Status prüfen, bevor die Kennung an den Kunden geht. Laut den FAQ gleichen die Europäischen Aufsichtsbehörden LEI-Daten mit der GLEIF-Datenbank und EUID-Daten mit BRIS-Referenzdaten ab. Im Register muss ausserdem die oberste Muttergesellschaft jedes IKT-Drittdienstleisters identifiziert werden.

Frage 44 der FAQ erläutert, dass strenge Prüfungen des LEI-Status in der anfänglichen Meldephase, insbesondere 2025, nicht durchgesetzt würden. Wie lange dieser Ansatz gilt, steht dort nicht. Daraus lässt sich keine Ausnahme von der Anforderung einer aktiven LEI für künftige Meldezyklen ableiten.

Frage 40 behandelt eine andere Situation: Fehlt für einen Anbieter aus einem Drittstaat eine LEI, darf das Finanzunternehmen eine andere Kennung melden. Die Datei wird dann nicht zurückgewiesen, der Eintrag aber als Datenqualitätsproblem markiert. Diese Verarbeitungsvorgabe ändert nichts an der Kennungsregel des Anhangs. Hat Ihr Unternehmen noch keine LEI, können Sie eine LEI beantragen; ist eine vorhandene LEI abgelaufen, können Sie die LEI erneuern.

Fristen für das jährliche Informationsregister

Nach den Fragen 11 bis 13 der FAQ ist ab 2026 jeweils der 31. Dezember des Vorjahres der Stichtag. Die zuständigen Behörden übermitteln die Register bis zum 31. März an die Europäischen Aufsichtsbehörden und legen für Finanzunternehmen frühere Fristen fest. Für Lieferanten ist deshalb die Datenerhebungsfrist ihres Kunden massgeblich, nicht automatisch die Frist der Behörde.

Meldezyklus	Stichtag	Frist der Behörden gegenüber den Aufsichtsbehörden	Frist für Finanzunternehmen
2026	31. Dezember 2025	31. März 2026	Früher durch die zuständige Behörde festgelegt
Nächster Zyklus	31. Dezember 2026	31. März 2027	Wird früher durch die zuständige Behörde festgelegt

Die EBA-Seite zur Vorbereitung der DORA-Registermeldungen bündelt die Durchführungsverordnung, das Datenmodell, Validierungsregeln und die FAQ. Finanzunternehmen sollten die Anweisungen ihrer zuständigen Behörde zur eigenen Einreichungsfrist prüfen.

Checkliste für IKT-Drittdienstleister

1. Klären Sie, welche juristische Person den Vertrag mit dem Finanzunternehmen geschlossen hat und ob sie im EWR niedergelassen ist. Davon hängt ab, ob eine EUID infrage kommt.
2. Prüfen Sie die vom Kunden verlangten Kennungen. Wenn LEI und EUID verfügbar sind, halten Sie beide bereit; prüfen Sie vor Weitergabe den Status der LEI.
3. Ermitteln Sie, ob erfasste Unterauftragnehmer eine Dienstleistung für eine kritische oder wichtige Funktion tatsächlich unterstützen, und holen Sie deren zutreffende Kennungen ein.
4. Halten Sie die Angaben zur Identifizierung Ihrer obersten Muttergesellschaft bereit und fragen Sie den Finanzkunden nach seiner Frist für die Lieferantendaten.

Weitere regulatorische Beiträge finden Sie im LEIFast-Blog. Für dieses Register ist der nächste Schritt, die vertragschliessende juristische Person, ihre zulässige Kennung und die Datenerhebungsfrist des Finanzkunden zu bestätigen. Wenn die Einordnung von Einzelheiten Ihrer Vereinbarung abhängt, klären Sie diese mit Ihrer Aufsichtsbehörde oder Ihrer rechtlichen Beratung.