DORA LEI für IKT-Drittdienstleister in Deutschland

Eine Anfrage nach einer DORA LEI durch eine deutsche Bank bedeutet nicht, dass DORA Ihr IKT-Unternehmen unmittelbar zur Beantragung einer LEI verpflichtet. Das Finanzunternehmen muss seine IKT-Drittdienstleister im Informationsregister identifizieren: Bei juristischen Personen kommt eine gültige und aktive Rechtsträgerkennung (LEI) oder eine Europäische einheitliche Kennung (EUID) in Betracht, bei Dienstleistern ohne Niederlassung in der Union dagegen nur die LEI.

Was das für Deutschland bedeutet

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) verlangt von den beaufsichtigten Finanzunternehmen, ihr vollständiges Informationsregister jedes Jahr einzureichen. Die Übermittlung muss spätestens am 31. März vollständig und fehlerfrei abgeschlossen sein. Das Register bildet jeweils den Stand zum 31. Dezember des Vorjahres ab; die BaFin leitet die Register an die europäischen Aufsichtsbehörden weiter.

Für ein Softwarehaus aus München, das einer Sparkasse eine Kernbank-Komponente liefert, wird diese Pflicht häufig als Anfrage nach Unternehmensdaten sichtbar. Nach den BaFin-FAQs zu DORA erhalten Finanzunternehmen die erforderliche LEI und/oder EUID von ihren IKT-Drittdienstleistern selbst. Hat ein Dienstleister beide Kennungen, sind beide anzugeben. Für kleinere Anbieter sieht die BaFin keine Dummy-LEI vor.

Ein Cloud-Anbieter mit Sitz außerhalb der EU, der einen deutschen Versicherer bedient, kann dagegen nicht mit einer EUID anstelle der LEI eingetragen werden. Für diese juristische Person ist nur die LEI zulässig. Ob ein bestimmtes Unternehmen die Voraussetzungen für die jeweilige Kennung erfüllt, sollte anhand seiner Niederlassung und seiner Stellung im Vertragsverhältnis geprüft werden.

Die Einreichung erfolgt ausschließlich über die Melde- und Veröffentlichungsplattform (MVP) der BaFin. Für den Einreichungszyklus 2027 plant die BaFin keine Änderungen der Taxonomie. Lieferanten reichen das Register nicht selbst über die MVP ein; sie sollten mit ihrem Finanzkunden klären, wann dieser ihre Angaben benötigt.

DORA LEI und Informationsregister: die Kernpunkte

• DORA gilt seit dem 17. Januar 2025. Finanzunternehmen führen ein Informationsregister über ihre vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen.
• Juristische Personen unter den IKT-Drittdienstleistern werden mit einer gültigen und aktiven LEI oder einer EUID identifiziert. Sind beide vorhanden, werden beide verwendet.
• Für juristische Personen ohne Niederlassung in der Union ist im Register nur die LEI zulässig.
• Bei bestimmten Leistungen für kritische oder wichtige Funktionen müssen auch relevante Unterauftragnehmer identifiziert werden.

Verordnung (EU) 2022/2554 (DORA), Artikel 28 Absatz 3, verpflichtet Finanzunternehmen, das Informationsregister als Teil ihres IKT-Risikomanagementrahmens zu führen und zu aktualisieren. Erfasst werden alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern – auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene. Auf Anfrage stellen Finanzunternehmen ihrer zuständigen Behörde das gesamte Register oder die angeforderten Teile zur Verfügung und berichten mindestens jährlich über neue Vereinbarungen.

Die europäischen Aufsichtsbehörden nutzen die Register auch zur Benennung kritischer IKT-Drittdienstleister. Laut AFM DORA update 7 vom August 2026 wurden auf Grundlage der Register neunzehn solche Dienstleister benannt. Für andere Lieferanten ergibt sich aus dieser Angabe keine eigene Meldepflicht; für ihren Finanzkunden zählt vor allem, dass die Identifikationsdaten im Register stimmen.

LEI oder EUID: Welche Kennung gehört ins Register?

Die Durchführungsverordnung (EU) 2024/2956 vom 29. November 2024, veröffentlicht im Amtsblatt am 2. Dezember 2024, legt die Standardvorlagen für das Informationsregister fest. Nach Artikel 3 Absatz 5 verwenden Finanzunternehmen für IKT-Drittdienstleister, die juristische Personen sind, eine gültige und aktive LEI oder die EUID nach Artikel 16 der Richtlinie (EU) 2017/1132; falls verfügbar, verwenden sie beide. Ausgenommen sind natürliche Personen, die in geschäftlicher Eigenschaft handeln.

Der Anhang der Durchführungsverordnung beschränkt die Kennungen für juristische Personen auf LEI und EUID. Alternative Codes sind natürlichen Personen vorbehalten, die in geschäftlicher Eigenschaft handeln. Bei einer juristischen Person ohne Niederlassung in der Union ist ausschließlich die LEI zulässig. Die Wahlmöglichkeit zwischen LEI und EUID für einen geeigneten Anbieter mit Niederlassung in der Union lässt sich daher nicht auf einen Anbieter außerhalb der Union übertragen.

Artikel 3 Absatz 6 erfasst außerdem Unterauftragnehmer: Unterstützt die Leistung eines direkten IKT-Drittdienstleisters eine kritische oder wichtige Funktion, muss das Finanzunternehmen über diesen Dienstleister sicherstellen, dass die im Register erfassten Unterauftragnehmer, auf die sich die Leistung tatsächlich stützt, eine gültige und aktive LEI verwenden oder ihre EUID angeben – und beide, falls verfügbar. Die Ausnahme für natürliche Personen in geschäftlicher Eigenschaft gilt auch hier. Ein direkter Anbieter kann deshalb zusätzlich nach Kennungen seiner relevanten Unterauftragnehmer gefragt werden.

Für das Finanzunternehmen selbst gelten andere Vorgaben. Die FAQ der europäischen Aufsichtsbehörden zur Registermeldung vom 28. März 2025 bestätigen, dass in den Vorlagen B_01.01 und B_01.02 nur eine LEI zur Identifizierung des Finanzunternehmens verwendet werden kann. Die LEI ist ein alphanumerischer Code mit 20 Zeichen nach ISO 17442. Die EUID-Option für bestimmte Lieferanten ersetzt diese Vorgabe für Finanzunternehmen nicht.

Warum der LEI-Status geprüft werden sollte

Wer bereits eine LEI hat, sollte vor der Weitergabe prüfen, ob sie aktiv ist: Artikel 3 Absatz 5 verlangt ausdrücklich eine gültige und aktive Kennung. Nach den FAQ gleichen die europäischen Aufsichtsbehörden LEIs mit der GLEIF-Datenbank und EUIDs mit BRIS-Referenzdaten ab. Im Register muss zudem das oberste Mutterunternehmen jedes IKT-Drittdienstleisters identifiziert werden.

Frage 44 der FAQ erläutert, dass in der Anfangsphase der Meldungen, insbesondere 2025, strenge Prüfungen des LEI-Status nicht durchgesetzt würden. Wie lange diese Vorgehensweise gelten würde, steht dort nicht. Daraus lässt sich keine Ausnahme von der Vorgabe einer aktiven LEI für einen späteren Meldezyklus ableiten.

Hat Ihre LEI bereits den Status LAPSED, verlängern Sie die bestehende Registrierung, statt einen neuen Code zu beantragen. Unser Beitrag über eine abgelaufene LEI und ihre Verlängerung erläutert, wie Sie den Status prüfen und die LEI verlängern.

Für Anbieter aus Drittstaaten enthält Frage 40 einen gesonderten Verarbeitungshinweis: Fehlt eine LEI, kann das Finanzunternehmen eine andere Kennung melden. Die Datei wird deshalb nicht zurückgewiesen, der Eintrag aber als Datenqualitätsproblem markiert. Dieser Hinweis ändert nicht die Vorgabe des Anhangs, dass juristische Personen ohne Niederlassung in der Union mit einer LEI zu identifizieren sind. Falls noch keine LEI vorliegt, können Sie eine LEI beantragen; eine abgelaufene LEI können Sie verlängern.

Stichtage und Einreichung

Ab dem Meldezyklus 2026 ist nach den FAQ der europäischen Aufsichtsbehörden der 31. Dezember des Vorjahres der Stichtag. Die zuständigen Behörden melden die Register jährlich bis zum 31. März an die europäischen Aufsichtsbehörden und legen die Fristen für Finanzunternehmen fest. Für in Deutschland beaufsichtigte Finanzunternehmen nennt die BaFin eine vollständige und fehlerfreie Einreichung bis spätestens 31. März.

Meldezyklus	Stichtag	Frist zur Meldung an die europäischen Aufsichtsbehörden	Einreichung bei der BaFin
2026	31. Dezember 2025	31. März 2026	Bis spätestens 31. März 2026
2027	31. Dezember 2026	31. März 2027	Bis spätestens 31. März 2027

Die Seite EBA – Preparations for reporting of DORA registers of information bündelt Durchführungsverordnung, Datenmodell, Validierungsregeln und FAQ. Für Lieferanten ist die Einreichungsfrist nicht automatisch die Frist zur Datenlieferung: Maßgeblich ist, wann der jeweilige Finanzkunde die Angaben für sein Register benötigt.

Checkliste für IKT-Drittdienstleister

1. Stellen Sie fest, welche juristische Person Vertragspartner des Finanzunternehmens ist und ob sie in der Union niedergelassen ist. Davon hängt ab, ob eine EUID als Kennung infrage kommt.
2. Prüfen Sie eine vorhandene LEI auf ihren aktiven Status. Teilen Sie dem Kunden die angefragten Kennungen mit; wenn LEI und EUID vorhanden sind, geben Sie beide an.
3. Klären Sie, ob für eine kritische oder wichtige Funktion relevante Unterauftragnehmer im Register stehen. Fordern Sie deren zutreffende Kennungen an, damit die Angaben über den direkten Anbieter weitergegeben werden können.
4. Halten Sie die Angaben zum obersten Mutterunternehmen bereit und erfragen Sie beim Finanzkunden dessen Frist für die Lieferantendaten.

LEI-Vorgaben aus anderen Regelwerken sollten nicht auf das DORA-Register übertragen werden. Der Beitrag zur LEI bei der Kundenidentifizierung nach AMLR in Deutschland behandelt einen anderen Anwendungsfall; weitere Themen stehen im LEIFast-Blog zu Regulierung und LEI. Prüfen Sie für diese Registermeldung zunächst Vertragspartner, zulässige Kennung und Datenfrist Ihres Finanzkunden. Wenn die Einordnung vom konkreten Vertragsverhältnis abhängt, wenden Sie sich an Ihre Aufsichtsbehörde oder Ihre rechtliche Beratung.