DORA LEI in Luxembourg: Regeln für IKT-Dienstleister

Eine Anfrage nach einer DORA LEI in Luxembourg bedeutet nicht, dass DORA Ihr IKT-Unternehmen unmittelbar zum Erwerb einer LEI verpflichtet. Die Pflicht liegt beim Finanzunternehmen: Es muss IKT-Drittdienstleister, die juristische Personen sind, im Informationsregister mit einer gültigen und aktiven Rechtsträgerkennung (LEI) oder einer Europäischen einheitlichen Kennung (EUID) identifizieren; bei Anbietern, die nicht in der Union niedergelassen sind, ist nur die LEI vorgesehen.

Was das für Luxembourg bedeutet

Für den Berichtszyklus 2026 hatte die Commission de Surveillance du Secteur Financier (CSSF) ein konkretes Zeitfenster bekannt gegeben: Finanzunternehmen mussten ihr Informationsregister zwischen dem 11. Februar 2026 und dem 31. März 2026 über eDesk einreichen. Der Stichtag des Registers für diesen Zyklus war der 31. Dezember 2025. Diese Angaben betreffen die Einreichung durch Finanzunternehmen, nicht eine eigene Registereinreichung ihrer IKT-Lieferanten.

Für das Hochladen über eDesk musste die LEI des einreichenden Finanzunternehmens der CSSF vorher mitgeteilt werden. Das ist von der Frage zu trennen, welche Kennung für einen IKT-Drittdienstleister im Register verwendet wird: Die eDesk-Voraussetzung betrifft das Finanzunternehmen, das die Datei einreicht.

Ein Fintech aus Esch-sur-Alzette, das eine Luxemburger Zahlungsinstitution beliefert, und ein US-Cloud-Anbieter, der für einen Fondsmanager in Kirchberg tätig ist, veranschaulichen unterschiedliche Lieferantenkonstellationen. Beim US-Anbieter kommt als Kennung nur eine LEI infrage. Der Hinweis zum eDesk-Upload darf deshalb nicht als Aussage verstanden werden, dass jeder Lieferant selbst eine LEI für den Zugang zum Portal benötigt.

Für den nächsten Zyklus sollten Finanzunternehmen ihre eigene Einreichungsfrist anhand künftiger Anweisungen der CSSF prüfen. Lieferanten sollten stattdessen mit ihrem jeweiligen Kunden klären, bis wann dieser ihre Identifikationsdaten benötigt. Aus dem Einreichungsfenster des Zyklus 2026 lässt sich keine neue CSSF-Frist für Lieferanten ableiten.

DORA LEI: die wichtigsten Regeln

• DORA gilt seit dem 17. Januar 2025. Finanzunternehmen führen ein Informationsregister über vertragliche Vereinbarungen zur Nutzung von IKT-Dienstleistungen.
• Bei IKT-Drittdienstleistern, die juristische Personen sind, wird eine gültige und aktive LEI oder eine EUID verwendet, falls verfügbar beide. Für nicht in der Union niedergelassene Anbieter ist nur die LEI vorgesehen.
• Auch bestimmte im Register erfasste Unterauftragnehmer müssen identifiziert werden, wenn sie eine IKT-Dienstleistung für kritische oder wichtige Funktionen tatsächlich unterstützen.
• Die zuständigen Behörden setzen Fristen für Finanzunternehmen fest, bevor sie die Register selbst an die Europäischen Aufsichtsbehörden übermitteln.

Wer führt das Informationsregister?

Die Verordnung (EU) 2022/2554 (DORA), Artikel 28 Absatz 3, verpflichtet Finanzunternehmen, im Rahmen ihres IKT-Risikomanagements ein Informationsregister zu führen und zu aktualisieren. Es erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern, und zwar auf Ebene des einzelnen Unternehmens sowie auf teilkonsolidierter und konsolidierter Ebene.

Auf Anfrage stellen Finanzunternehmen der zuständigen Behörde das vollständige Register oder die angeforderten Teile zur Verfügung. Über neue Vereinbarungen berichten sie mindestens jährlich. Die Europäischen Aufsichtsbehörden nutzen die Register auch zur Benennung kritischer IKT-Drittdienstleister; laut AFM DORA update 7 vom August 2026 waren auf dieser Grundlage neunzehn Anbieter benannt worden.

Für Lieferanten zeigt sich die Regel vor allem in Datenanfragen ihrer Finanzkunden. Die benötigten Angaben können den direkten Vertragspartner ebenso betreffen wie einen relevanten Unterauftragnehmer. Welche Angaben weiterzugeben sind, hängt von der Stellung des jeweiligen Unternehmens in der Lieferkette ab.

Welche Kennung verlangt die Durchführungsverordnung?

Die Durchführungsverordnung (EU) 2024/2956 vom 29. November 2024, veröffentlicht im Amtsblatt am 2. Dezember 2024, legt die Standardvorlagen für das Informationsregister fest. Nach Artikel 3 Absatz 5 verwenden Finanzunternehmen für IKT-Drittdienstleister, die juristische Personen sind, eine gültige und aktive LEI oder die EUID nach Artikel 16 der Richtlinie (EU) 2017/1132; soweit beide verfügbar sind, verwenden sie beide. Ausgenommen sind natürliche Personen, die in geschäftlicher Eigenschaft handeln.

Der Anhang lässt für Anbieter, die juristische Personen sind, nur LEI und EUID zu. Andere Kennungen sind natürlichen Personen vorbehalten, die in geschäftlicher Eigenschaft handeln. Ist eine juristische Person nicht in der Union niedergelassen, darf nur eine LEI verwendet werden. Die EUID ist damit keine Ersatzkennung für einen solchen Anbieter.

Artikel 3 Absatz 6 regelt die Weitergabe von Kennungen in der Unterauftragskette. Unterstützt die Dienstleistung eines direkten Anbieters kritische oder wichtige Funktionen, muss das Finanzunternehmen über diesen Anbieter sicherstellen, dass im Register erfasste Unterauftragnehmer, die die Dienstleistung tatsächlich unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID angeben, falls verfügbar beide. Die Ausnahme für natürliche Personen, die in geschäftlicher Eigenschaft handeln, gilt auch hier.

Beim Finanzunternehmen selbst besteht diese Wahl nicht. Die FAQ der Europäischen Aufsichtsbehörden zum Informationsregister vom 28. März 2025 bestätigt, dass in den Vorlagen B_01.01 und B_01.02 nur die LEI zur Identifizierung eines Finanzunternehmens verwendet werden kann. Eine LEI ist ein alphanumerischer Code mit 20 Zeichen auf Grundlage von ISO 17442.

Warum sollte der LEI-Status geprüft werden?

Artikel 3 Absatz 5 verlangt ausdrücklich eine gültige und aktive LEI. Wer bereits eine LEI besitzt, sollte daher vor der Weitergabe nicht nur den Code, sondern auch seinen Status prüfen. Nach den FAQ gleichen die Europäischen Aufsichtsbehörden LEI mit der GLEIF-Datenbank und EUID mit BRIS-Referenzdaten ab. Im Register muss außerdem die oberste Muttergesellschaft jedes IKT-Drittdienstleisters identifiziert werden.

Frage 44 der FAQ erläutert, dass strenge Prüfungen des LEI-Status in den ersten Berichtsphasen, insbesondere 2025, nicht durchgesetzt würden. Wie lange diese Vorgehensweise gelten sollte, steht dort nicht. Daraus lässt sich weder eine Ausnahme vom Erfordernis einer aktiven LEI noch eine Aussage über die Prüfpraxis im nächsten Zyklus ableiten.

Frage 40 behandelt einen anderen Fall: Fehlt bei einem IKT-Anbieter aus einem Drittland eine LEI, kann das Finanzunternehmen eine andere Kennung melden. Die Datei wird dann nicht zurückgewiesen, der Eintrag jedoch als Datenqualitätsproblem markiert. Diese Verarbeitungshinweise ändern nichts an der Vorgabe des Anhangs, für eine nicht in der Union niedergelassene juristische Person nur eine LEI zu verwenden. Wer noch keine Kennung hat, kann eine LEI beantragen; eine abgelaufene LEI lässt sich erneuern.

Berichtszyklus und nächste Schritte

Nach den Fragen 11 bis 13 der FAQ ist ab 2026 jeweils der 31. Dezember des Vorjahres der Stichtag. Die zuständigen Behörden übermitteln die Register bis zum 31. März an die Europäischen Aufsichtsbehörden und setzen für Finanzunternehmen frühere Fristen. Für einen Lieferanten ist daher die Datensammelfrist seines Kunden maßgeblich, nicht die Frist für die Behörden.

Zyklus	Stichtag	Übermittlung der Behörden	Frist für Finanzunternehmen
2026	31. Dezember 2025	31. März 2026	Früher durch die zuständige Behörde festgelegt
Nächster Zyklus	31. Dezember 2026	Bis zum 31. März 2027	Wird früher durch die zuständige Behörde festgelegt

Die EBA-Seite zur Vorbereitung der DORA-Registermeldungen bündelt Durchführungsverordnung, Datenmodell, Validierungsregeln und FAQ. Für die Vorbereitung einer Lieferantenantwort bietet sich folgende Reihenfolge an:

1. Ermitteln Sie, welche juristische Person Vertragspartner des Finanzunternehmens ist und ob sie in der Union niedergelassen ist.
2. Klären Sie, ob für diese Person eine LEI, eine EUID oder beide Kennungen verfügbar sind. Prüfen Sie vor der Übermittlung den Status einer vorhandenen LEI.
3. Fragen Sie bei betroffenen Unterauftragnehmern die erforderlichen Kennungen ab, wenn ihre Leistung eine IKT-Dienstleistung für kritische oder wichtige Funktionen tatsächlich unterstützt.
4. Halten Sie die Angaben zur obersten Muttergesellschaft bereit und erfragen Sie beim Finanzkunden seine Frist für die Lieferantendaten.

LEI-Regeln aus anderen Bereichen sollten nicht auf dieses Register übertragen werden; der Beitrag zur LEI bei der Kundenidentifizierung nach AMLR in Luxembourg behandelt einen anderen Anwendungsfall. Weitere Themen finden Sie in den LEIFast-Beiträgen zu Regulierung und LEI. Klären Sie für die aktuelle Registeranfrage zuerst Ihre Vertragspartei, die passende Kennung und die Frist Ihres Finanzkunden; falls die Einordnung von Einzelheiten der Vereinbarung abhängt, wenden Sie sich an Ihre Aufsicht oder rechtliche Beratung.