--- title: "DORA-Informationsregister: Kostenlose Vorlage 2026 (Excel)" description: "Menschenlesbares Arbeitsregister nach Art. 28 Abs. 3, auf die ITS-Felder gemappt — ganzjährig pflegen, zur Meldung konvertieren. XLSX, PDF & MD, kostenlos." canonical: https://www.orbiqhq.com/de/vorlagen/dora-informationsregister-vorlage html: https://www.orbiqhq.com/de/vorlagen/dora-informationsregister-vorlage publisher: Orbiq GmbH language: en --- # DORA-Informationsregister: Kostenlose Vorlage 2026 (Excel) Menschenlesbares Arbeitsregister nach Art. 28 Abs. 3, auf die ITS-Felder gemappt — ganzjährig pflegen, zur Meldung konvertieren. XLSX, PDF & MD, kostenlos. **Kurzantwort:** Diese kostenlose **Vorlage für das DORA-Informationsregister** ist ein herunterladbares XLSX (plus PDF-Feldleitfaden und maschinenlesbares Markdown; die herunterladbaren Dateien sind auf Deutsch verfügbar), das Finanzunternehmen ein menschenlesbares Arbeitsregister für Artikel 28 Abs. 3 der [Verordnung (EU) 2022/2554](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) gibt. Seine acht Datenblätter spiegeln die Feldlogik der offiziellen Register-of-Information-Templates der ESAs aus der [Durchführungsverordnung (EU) 2024/2956 der Kommission](https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj) — Unternehmen und Zweigniederlassungen (B_01), vertragliche Vereinbarungen (B_02), unterzeichnende und nutzende Unternehmen (B_03–B_04), Dienstleister und Unterauftragsketten (B_05), Funktionen (B_06) und Kritikalitätsbewertungen (B_07) —, sodass das Register, das Sie ganzjährig pflegen, zum Meldezeitpunkt in das offizielle xBRL-CSV-Paket konvertiert wird, statt jedes Frühjahr neu aufgebaut zu werden. In einem Punkt ist diese Vorlage ehrlich, weil die ESAs es sind: **Es gibt kein offizielles Excel, das die Einreichungsvalidierung besteht, und es wird nie eines geben.** Die EBA-FAQ zur RoI-Meldung stellt fest, dass die ESAs keine Excel-Lösung erstellen können, die die referenzielle Integrität des Datenmodells wahrt — „not the least due to the limitations of Excel". Eingereicht wird ein xBRL-CSV-Paket über das Portal Ihrer Behörde. Was Unternehmen tatsächlich fehlt, ist die Schicht *davor* — ein Register, das ein Drittparteienrisiko-Team zwischen den jährlichen Einreichungen aktuell halten kann. Genau das ist diese Vorlage. --- ## Die wichtigsten Erkenntnisse - **Ein Arbeitsregister, keine Einreichungsdatei.** Pflegen Sie es ganzjährig in Excel; im Fenster Ihrer Behörde mappen Sie es auf die offiziellen Templates und konvertieren zu xBRL-CSV. Die Blattstruktur macht daraus eine Mapping-Übung, keine Neurecherche. - **ITS-gemappt per Design.** Jedes Blatt entspricht einer Template-Gruppe der Durchführungsverordnung (EU) 2024/2956, und die geschlossenen Listen sind als Dropdowns eingebaut — einschließlich der **IKT-Dienstleistungstaxonomie S01–S19** und der **LEI-/EUID-Kennungsregeln** für B_05.01. - **Ein relationaler Schlüssel.** Die Vertragsreferenznummer verknüpft Verträge mit Dienstleistern, Unterauftragsketten, unterzeichnenden/nutzenden Unternehmen, Funktionen und Bewertungen — dieselbe relationale Logik, die die 15 offiziellen Templates verwenden. - **Gebaut gegen die echten Fehlerdaten.** Nur **6,5 %** der Register bestanden im ESA-Probelauf 2024 alle 116 Prüfungen; **86 %** der Fehler waren fehlende Pflichtangaben. Ein Blatt mit Prüfungen vor der Einreichung macht aus diesen Befunden eine Arbeitsliste. - **Auf den Zyklus 2026 ausgelegt.** Stichtag 31. Dezember 2025; Unternehmensfenster national in Q1 festgelegt — in Deutschland die BaFin-Einreichung vom **9. bis 30. März 2026** über das MVP-Portal; die Behörden leiten bis zum 31. März an die ESAs weiter. --- ## Was in der Vorlage steckt Das XLSX enthält ein Anleitungsblatt, sieben ITS-gemappte Datenblätter mit ausgearbeiteten Beispielzeilen und eine Checkliste für die Prüfungen vor der Einreichung. ### 1. Unternehmen & Gruppe (B_01) | Feld | Beispiel | RoI-Anker | |---|---|---| | Juristischer Name + LEI | Nordbank SE · 529900T8BM49AURSDO55 | B_01.01–B_01.02 | | Rolle im Register | Registerführendes Unternehmen / Gruppenunternehmen im Anwendungsbereich / Zweigniederlassung | B_01.01–B_01.03 | | Art des Finanzunternehmens | Kreditinstitut | B_01.02 | | Zuständige Behörde | BaFin / EZB | B_01.01 | ### 2. Vertragliche Vereinbarungen (B_02) | Feld | Beispiel | RoI-Anker | |---|---|---| | Vertragsreferenz (relationaler Schlüssel) | CTR-2024-018 | B_02.01 | | Art der Vereinbarung | Eigenständig / Rahmenvereinbarung / Folgevereinbarung / Gruppenintern | B_02.01 | | IKT-Dienstleistungstyp | S17 — Infrastructure-as-a-Service (Dropdown, geschlossene Liste) | B_02.02, Anhang III | | Beginn / Ende / Kündigungsfristen | 01.03.2024 → unbefristet · 180 Tage | B_02.02 | | Unterstützt kritische oder wichtige Funktion? | Ja / Nein / In Bewertung | Art. 28 Abs. 2, Art. 3 Nr. 22 | | Datenspeicher- & Verarbeitungsstandorte | NL; IE | B_02.02 | ### 3. IKT-Dienstleister (B_05.01) und Unterauftragsketten (B_05.02) Dienstleisteridentifikation mit den eingebauten ITS-Kennungsregeln — **LEI oder EUID für juristische Personen in der EU, nur LEI für juristische Personen aus Drittländern**, Ländercode + CRN/VAT/PNR/NIN für natürliche Personen — plus CTPP-Designationsflag und ein rangbasiertes Unterauftragsketten-Blatt (Rang 1 = direkter Dienstleister, Rang 2+ = die Unterauftragnehmer, die den Dienst nach Artikel 29 und dem Unterauftrags-RTS faktisch tragen). ### 4. Funktionen (B_06.01) und KWF-Bewertungen (B_07.01) Funktionsregister mit dem Kritikalitätstest nach Artikel 3 Nr. 22 und dokumentierten Gründen, dazu ein Bewertungsblatt je Vereinbarung mit Substituierbarkeit, Datum der letzten Prüfung, Dokumentation und Testdaten des Exit-Plans (Artikel 28 Abs. 8), Möglichkeit der Wiedereingliederung und Auswirkungen einer Einstellung. Die Exit-Pläne, auf die dieses Blatt verweist, erstellen Sie mit der begleitenden [DORA-Exit-Strategie-Vorlage](/de/vorlagen/dora-exit-strategie-vorlage). ### 5. Prüfungen vor der Einreichung Elf Prüfungen, abgeleitet aus den Fehlerdaten des ESA-Probelaufs und der ersten Einsammlung: Vollständigkeit der Pflichtfelder, LEI-Format und GLEIF-Status, Disziplin bei den geschlossenen Listen, ISO-Daten und -Ländercodes, Integrität der relationalen Schlüssel, Konvertierung nach xBRL-CSV und EBA-Validierungsregeln — jeweils mit Status-Dropdown. --- ## Einreichung in Deutschland: BaFin und das MVP-Portal Für BaFin-beaufsichtigte Unternehmen lief das Einreichungsfenster 2026 vom **9. bis 30. März 2026** über die **Melde- und Veröffentlichungsplattform (MVP-Portal)** der BaFin, Fachverfahren „Digital Operational Resilience Act (DORA)"; eine Testphase mit dem Fachverfahren „TEST: DORA" stand bereits ab dem **4. Februar 2026** offen, und Korrekturen fristgerecht eingereichter Register waren bis zum **24. April 2026** möglich ([BaFin — Informationsregister und Anzeigepflichten](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Informationsregister_und_Anzeigepflichten/Informationsregister_und_Anzeigepflichten_node.html)). Auch hier gilt: eingereicht wird das xBRL-CSV-Paket, nicht die Arbeitsdatei. Andere Behörden setzen eigene Fenster — 2026 etwa die DNB (Niederlande) bis 20. März, die irische Zentralbank vom 1. bis 31. März und die luxemburgische CSSF mit eDesk-Öffnung ab 11. Februar. Wer in mehreren Jurisdiktionen einreicht, pflegt ein Register und bedient daraus mehrere Portale. --- ## So nutzen Sie diese Vorlage 1. **Die Unternehmensebene einmal aufsetzen.** Vervollständigen Sie „Unternehmen & Gruppe" mit dem registerführenden Unternehmen, den erfassten Gruppenunternehmen und Zweigniederlassungen (das Register existiert auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene). 2. **Jede IKT-Vereinbarung inventarisieren.** Artikel 28 Abs. 3 erfasst *alle* vertraglichen Vereinbarungen über IKT-Dienstleistungen — nicht nur Cloud, nicht nur kritische. Die hier vergebene Vertragsreferenznummer ist der Schlüssel, an dem alles andere hängt. 3. **Dienstleister deduplizieren.** Jeder Dienstleister erscheint genau einmal in B_05.01 mit einer gültigen Kennung. Validieren Sie LEIs gegen GLEIF — erloschene LEIs aus veralteten Lieferantendatenbanken sind ein Top-Validierungsfehler. 4. **Ketten, Unterschriften, Funktionen abbilden.** Erfassen Sie die Unterauftragskette hinter jeder kritischen Vereinbarung nach Rängen, halten Sie fest, wer unterzeichnet und wer nutzt, und führen Sie den Kritikalitätstest nach Artikel 3 Nr. 22 je Funktion durch. 5. **Das Kritische bewerten.** Jede Vereinbarung, die eine kritische oder wichtige Funktion unterstützt, erhält eine B_07-Bewertungszeile — Substituierbarkeit, Exit, Wiedereingliederung, Auswirkungen. 6. **Zum Meldezeitpunkt konvertieren.** Arbeiten Sie im Q1-Fenster Ihrer Behörde das Prüfblatt ab, mappen Sie auf die offiziellen Templates, konvertieren Sie in das xBRL-CSV-Paket und lassen Sie vor der Einreichung die EBA-Validierungsregeln laufen. Für die Nachweise, die Sie *von* jedem Dienstleister einholen — Zertifikate, Prüfberichte, Resilienztest-Ergebnisse, Exit-Plan-Tests —, nutzen Sie die begleitende [DORA-Nachweis-Checkliste für IKT-Dienstleister](/de/vorlagen/dora-ikt-dienstleister-nachweis-checkliste); diese Vorlage führt das Register selbst, jene Checkliste die Belege je Dienstleister. --- ## Rechtsgrundlage - **Artikel 28 Abs. 3, Verordnung (EU) 2022/2554 (DORA)** — Finanzunternehmen führen und aktualisieren ein Informationsregister über alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen von IKT-Drittdienstleistern, auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene, und melden es der zuständigen Behörde. - **[Durchführungsverordnung (EU) 2024/2956 der Kommission](https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj)** (29. November 2024) — das ITS mit den Standard-Templates: 15 Templates in 8 Gruppen, verknüpft über relationale Schlüssel, mit geschlossenen Wertelisten einschließlich der IKT-Dienstleistungstaxonomie S01–S19 und der Kennungsregeln für Dienstleister. - **[EBA — FAQ zur DORA-RoI-Meldung](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act/preparation-dora-application)** (aktualisiert am 28. März 2025) — Einreichungsformat (Plain-CSV / xBRL-CSV nach der ESA-Taxonomie), die Feststellung, dass kein validierungsfähiges Excel bereitgestellt werden kann, und der Kalender ab 2026: Stichtag 31. Dezember, Frist NCA → ESAs 31. März. - **[ESAs — Summary Report zum Dry Run 2024](https://www.esma.europa.eu/sites/default/files/2024-12/ESA_2024_35_DORA_Dry_Run_exercise_summary_report.pdf)** — die Datenqualitätsbasis, gegen die die Prüfungen dieser Vorlage gebaut sind. - **[BaFin — Informationsregister und Anzeigepflichten](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Informationsregister_und_Anzeigepflichten/Informationsregister_und_Anzeigepflichten_node.html)** — deutsches Einreichungsverfahren über das MVP-Portal, Fenster und Korrekturfristen 2026. Das vollständige regulatorische Bild zeichnet unser [DORA-Compliance-Leitfaden](/de/eu-vorschriften/dora-compliance); warum die Artikel 19, 28 und 30 über ein klassisches ISMS hinauswachsen, zeigt die [Analyse zu DORA Artikel 19, 28 und 30](/de/eu-vorschriften/incident-reporting-provider-monitoring-dora-article-19-28-30); wer andernorts in der Gruppe DORA gegen NIS2-Pflichten abwägt, findet die Unterschiede in unserem [Vergleich DORA vs. NIS2](/de/eu-vorschriften/dora-vs-nis2). --- ## UK, Norwegen und der EWR **UK:** kein DORA, keine Registereinreichung. Britische Firmen folgen dem FCA/PRA-Regime für operationelle Resilienz ([FCA PS21/3](https://www.fca.org.uk/publications/policy-statements/ps21-3-building-operational-resilience), PRA SS1/21 — vollständig in Kraft seit dem 31. März 2025) plus dem Critical-Third-Parties-Regime nach dem FSMA 2023. Das dort verlangte Mapping ist eine Teilmenge des DORA-Feldsatzes — paneuropäische Gruppen können dieses Register also einmal führen und für UK-Selbstbewertungen wiederverwenden. **Norwegen / EWR:** DORA wurde am 20. Februar 2025 in das EWR-Abkommen übernommen, und das norwegische DORA-Gesetz ist seit dem **1. Juli 2025** in Kraft. **Finanstilsynet** sammelt die Register als zuständige Behörde ein — norwegische Unternehmen nutzen diese Vorlage genau wie ihre EU-Pendants, mit den Fenstern von Finanstilsynet. --- ## Vom jährlichen Kraftakt zum stehenden Register Das Muster, das die Aufsichtsbehörden nach den ersten Einsammlungen benannt haben, ist einfach: Register, die jedes Frühjahr neu aufgebaut werden, scheitern; kontinuierlich gepflegte Register bestehen. Neue Vereinbarungen werden bei Vertragsschluss erfasst, LEIs vor jedem Zyklus neu validiert, die Kritikalität bei Funktionsänderungen neu bewertet. Orbiqs [Vendor Assurance Platform](/de/plattform/vendor-assurance-platform) macht aus dieser Pflege einen Workflow statt einer Kalendererinnerung — strukturierte Dienstleisterdatensätze, Nachweise mit Ablaufverfolgung und kontinuierliches Monitoring, gebaut für europäische Finanzunternehmen mit EU-Datenresidenz. Die maschinenlesbare Markdown-Variante dieser Vorlage ist für KI-Agenten-Workflows unter [/downloads/templates/de/dora-register-of-information-starter.md](/downloads/templates/de/dora-register-of-information-starter.md) verfügbar. --- ## Quellen & Referenzen 1. [Verordnung (EU) 2022/2554 (DORA) — EUR-Lex](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) — Registerpflicht nach Artikel 28 Abs. 3; Kontext der Artikel 29–30 2. [Durchführungsverordnung (EU) 2024/2956 der Kommission — EUR-Lex](https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj) — ITS zu den Standard-Templates des Informationsregisters; Dienstleistungstypliste in Anhang III 3. [BaFin — Informationsregister und Anzeigepflichten](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Informationsregister_und_Anzeigepflichten/Informationsregister_und_Anzeigepflichten_node.html) — MVP-Portal, Fachverfahren DORA, Einreichungsfenster 9.–30. März 2026, Korrekturen bis 24. April 2026 4. [EBA — Preparation for DORA application: RoI-Meldematerialien und FAQ](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act/preparation-dora-application) — Einreichungsformat, Excel-Aussage, Kalender ab 2026 5. [ESAs — 2024 Dry Run exercise summary report (ESA 2024 35)](https://www.esma.europa.eu/sites/default/files/2024-12/ESA_2024_35_DORA_Dry_Run_exercise_summary_report.pdf) — 6,5 % Bestehensquote; Fehlerkategorien 6. [DNB — DORA Registers of Information in March 2026](https://www.dnb.nl/en/sector-news/supervision-2026/q1/dora-reporting-dora-registers-of-information-in-march-2026/) — niederländisches Fenster 2026 (20. März) und xBRL-CSV-Format 7. [Central Bank of Ireland — Reporting of Registers of Information](https://www.centralbank.ie/regulation/digital-operational-resilience-act-dora/reporting-registers-of-information) — irisches Fenster 2026 (1.–31. März) 8. [CSSF — DORA: submission timeframe for the Register of Information 2026](https://www.cssf.lu/en/2026/02/dora-submission-timeframe-for-register-of-information-edesk-portal-open-as-of-11-february-2026/) — luxemburgisches eDesk-Portal offen ab 11. Februar 2026 9. [FCA PS21/3 — Building Operational Resilience](https://www.fca.org.uk/publications/policy-statements/ps21-3-building-operational-resilience) — UK-Regime (keine Registereinreichung) 10. [Finanstilsynet — Norwegisches DORA-Gesetz in Kraft seit 1. Juli 2025](https://www.finanstilsynet.no/nyhetsarkiv/nyheter/2025/ny-lov-om-digital-operasjonell-motstandsdyktighet-i-finanssektoren-dora-loven-trer-i-kraft-1.-juli) — Umsetzung in Norwegen / EWR