DORA-Informationsregister: Kostenlose Vorlage 2026 (Excel)

DORA-Informationsregister: Kostenlose Vorlage 2026 (Excel)

Kurzantwort: Diese kostenlose Vorlage für das DORA-Informationsregister ist ein herunterladbares XLSX (plus PDF-Feldleitfaden und maschinenlesbares Markdown; die herunterladbaren Dateien sind auf Deutsch verfügbar), das Finanzunternehmen ein menschenlesbares Arbeitsregister für Artikel 28 Abs. 3 der Verordnung (EU) 2022/2554 gibt. Seine acht Datenblätter spiegeln die Feldlogik der offiziellen Register-of-Information-Templates der ESAs aus der Durchführungsverordnung (EU) 2024/2956 der Kommission — Unternehmen und Zweigniederlassungen (B_01), vertragliche Vereinbarungen (B_02), unterzeichnende und nutzende Unternehmen (B_03–B_04), Dienstleister und Unterauftragsketten (B_05), Funktionen (B_06) und Kritikalitätsbewertungen (B_07) —, sodass das Register, das Sie ganzjährig pflegen, zum Meldezeitpunkt in das offizielle xBRL-CSV-Paket konvertiert wird, statt jedes Frühjahr neu aufgebaut zu werden.

In einem Punkt ist diese Vorlage ehrlich, weil die ESAs es sind: Es gibt kein offizielles Excel, das die Einreichungsvalidierung besteht, und es wird nie eines geben. Die EBA-FAQ zur RoI-Meldung stellt fest, dass die ESAs keine Excel-Lösung erstellen können, die die referenzielle Integrität des Datenmodells wahrt — „not the least due to the limitations of Excel". Eingereicht wird ein xBRL-CSV-Paket über das Portal Ihrer Behörde. Was Unternehmen tatsächlich fehlt, ist die Schicht davor — ein Register, das ein Drittparteienrisiko-Team zwischen den jährlichen Einreichungen aktuell halten kann. Genau das ist diese Vorlage.

---

Die wichtigsten Erkenntnisse

• Ein Arbeitsregister, keine Einreichungsdatei. Pflegen Sie es ganzjährig in Excel; im Fenster Ihrer Behörde mappen Sie es auf die offiziellen Templates und konvertieren zu xBRL-CSV. Die Blattstruktur macht daraus eine Mapping-Übung, keine Neurecherche.
• ITS-gemappt per Design. Jedes Blatt entspricht einer Template-Gruppe der Durchführungsverordnung (EU) 2024/2956, und die geschlossenen Listen sind als Dropdowns eingebaut — einschließlich der IKT-Dienstleistungstaxonomie S01–S19 und der LEI-/EUID-Kennungsregeln für B_05.01.
• Ein relationaler Schlüssel. Die Vertragsreferenznummer verknüpft Verträge mit Dienstleistern, Unterauftragsketten, unterzeichnenden/nutzenden Unternehmen, Funktionen und Bewertungen — dieselbe relationale Logik, die die 15 offiziellen Templates verwenden.
• Gebaut gegen die echten Fehlerdaten. Nur 6,5 % der Register bestanden im ESA-Probelauf 2024 alle 116 Prüfungen; 86 % der Fehler waren fehlende Pflichtangaben. Ein Blatt mit Prüfungen vor der Einreichung macht aus diesen Befunden eine Arbeitsliste.
• Auf den Zyklus 2026 ausgelegt. Stichtag 31. Dezember 2025; Unternehmensfenster national in Q1 festgelegt — in Deutschland die BaFin-Einreichung vom 9. bis 30. März 2026 über das MVP-Portal; die Behörden leiten bis zum 31. März an die ESAs weiter.

---

Was in der Vorlage steckt

Das XLSX enthält ein Anleitungsblatt, sieben ITS-gemappte Datenblätter mit ausgearbeiteten Beispielzeilen und eine Checkliste für die Prüfungen vor der Einreichung.

1. Unternehmen & Gruppe (B_01)

Feld	Beispiel	RoI-Anker
Juristischer Name + LEI	Nordbank SE · 529900T8BM49AURSDO55	B_01.01–B_01.02
Rolle im Register	Registerführendes Unternehmen / Gruppenunternehmen im Anwendungsbereich / Zweigniederlassung	B_01.01–B_01.03
Art des Finanzunternehmens	Kreditinstitut	B_01.02
Zuständige Behörde	BaFin / EZB	B_01.01

2. Vertragliche Vereinbarungen (B_02)

Feld	Beispiel	RoI-Anker
Vertragsreferenz (relationaler Schlüssel)	CTR-2024-018	B_02.01
Art der Vereinbarung	Eigenständig / Rahmenvereinbarung / Folgevereinbarung / Gruppenintern	B_02.01
IKT-Dienstleistungstyp	S17 — Infrastructure-as-a-Service (Dropdown, geschlossene Liste)	B_02.02, Anhang III
Beginn / Ende / Kündigungsfristen	01.03.2024 → unbefristet · 180 Tage	B_02.02
Unterstützt kritische oder wichtige Funktion?	Ja / Nein / In Bewertung	Art. 28 Abs. 2, Art. 3 Nr. 22
Datenspeicher- & Verarbeitungsstandorte	NL; IE	B_02.02

3. IKT-Dienstleister (B_05.01) und Unterauftragsketten (B_05.02)

Dienstleisteridentifikation mit den eingebauten ITS-Kennungsregeln — LEI oder EUID für juristische Personen in der EU, nur LEI für juristische Personen aus Drittländern, Ländercode + CRN/VAT/PNR/NIN für natürliche Personen — plus CTPP-Designationsflag und ein rangbasiertes Unterauftragsketten-Blatt (Rang 1 = direkter Dienstleister, Rang 2+ = die Unterauftragnehmer, die den Dienst nach Artikel 29 und dem Unterauftrags-RTS faktisch tragen).

4. Funktionen (B_06.01) und KWF-Bewertungen (B_07.01)

Funktionsregister mit dem Kritikalitätstest nach Artikel 3 Nr. 22 und dokumentierten Gründen, dazu ein Bewertungsblatt je Vereinbarung mit Substituierbarkeit, Datum der letzten Prüfung, Dokumentation und Testdaten des Exit-Plans (Artikel 28 Abs. 8), Möglichkeit der Wiedereingliederung und Auswirkungen einer Einstellung. Die Exit-Pläne, auf die dieses Blatt verweist, erstellen Sie mit der begleitenden DORA-Exit-Strategie-Vorlage.

5. Prüfungen vor der Einreichung

Elf Prüfungen, abgeleitet aus den Fehlerdaten des ESA-Probelaufs und der ersten Einsammlung: Vollständigkeit der Pflichtfelder, LEI-Format und GLEIF-Status, Disziplin bei den geschlossenen Listen, ISO-Daten und -Ländercodes, Integrität der relationalen Schlüssel, Konvertierung nach xBRL-CSV und EBA-Validierungsregeln — jeweils mit Status-Dropdown.

---

Einreichung in Deutschland: BaFin und das MVP-Portal

Für BaFin-beaufsichtigte Unternehmen lief das Einreichungsfenster 2026 vom 9. bis 30. März 2026 über die Melde- und Veröffentlichungsplattform (MVP-Portal) der BaFin, Fachverfahren „Digital Operational Resilience Act (DORA)"; eine Testphase mit dem Fachverfahren „TEST: DORA" stand bereits ab dem 4. Februar 2026 offen, und Korrekturen fristgerecht eingereichter Register waren bis zum 24. April 2026 möglich (BaFin — Informationsregister und Anzeigepflichten). Auch hier gilt: eingereicht wird das xBRL-CSV-Paket, nicht die Arbeitsdatei. Andere Behörden setzen eigene Fenster — 2026 etwa die DNB (Niederlande) bis 20. März, die irische Zentralbank vom 1. bis 31. März und die luxemburgische CSSF mit eDesk-Öffnung ab 11. Februar. Wer in mehreren Jurisdiktionen einreicht, pflegt ein Register und bedient daraus mehrere Portale.

---

So nutzen Sie diese Vorlage

1. Die Unternehmensebene einmal aufsetzen. Vervollständigen Sie „Unternehmen & Gruppe" mit dem registerführenden Unternehmen, den erfassten Gruppenunternehmen und Zweigniederlassungen (das Register existiert auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene).
2. Jede IKT-Vereinbarung inventarisieren. Artikel 28 Abs. 3 erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen — nicht nur Cloud, nicht nur kritische. Die hier vergebene Vertragsreferenznummer ist der Schlüssel, an dem alles andere hängt.
3. Dienstleister deduplizieren. Jeder Dienstleister erscheint genau einmal in B_05.01 mit einer gültigen Kennung. Validieren Sie LEIs gegen GLEIF — erloschene LEIs aus veralteten Lieferantendatenbanken sind ein Top-Validierungsfehler.
4. Ketten, Unterschriften, Funktionen abbilden. Erfassen Sie die Unterauftragskette hinter jeder kritischen Vereinbarung nach Rängen, halten Sie fest, wer unterzeichnet und wer nutzt, und führen Sie den Kritikalitätstest nach Artikel 3 Nr. 22 je Funktion durch.
5. Das Kritische bewerten. Jede Vereinbarung, die eine kritische oder wichtige Funktion unterstützt, erhält eine B_07-Bewertungszeile — Substituierbarkeit, Exit, Wiedereingliederung, Auswirkungen.
6. Zum Meldezeitpunkt konvertieren. Arbeiten Sie im Q1-Fenster Ihrer Behörde das Prüfblatt ab, mappen Sie auf die offiziellen Templates, konvertieren Sie in das xBRL-CSV-Paket und lassen Sie vor der Einreichung die EBA-Validierungsregeln laufen.

Für die Nachweise, die Sie von jedem Dienstleister einholen — Zertifikate, Prüfberichte, Resilienztest-Ergebnisse, Exit-Plan-Tests —, nutzen Sie die begleitende DORA-Nachweis-Checkliste für IKT-Dienstleister; diese Vorlage führt das Register selbst, jene Checkliste die Belege je Dienstleister.

---

Rechtsgrundlage

• Artikel 28 Abs. 3, Verordnung (EU) 2022/2554 (DORA) — Finanzunternehmen führen und aktualisieren ein Informationsregister über alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen von IKT-Drittdienstleistern, auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene, und melden es der zuständigen Behörde.
• Durchführungsverordnung (EU) 2024/2956 der Kommission (29. November 2024) — das ITS mit den Standard-Templates: 15 Templates in 8 Gruppen, verknüpft über relationale Schlüssel, mit geschlossenen Wertelisten einschließlich der IKT-Dienstleistungstaxonomie S01–S19 und der Kennungsregeln für Dienstleister.
• EBA — FAQ zur DORA-RoI-Meldung (aktualisiert am 28. März 2025) — Einreichungsformat (Plain-CSV / xBRL-CSV nach der ESA-Taxonomie), die Feststellung, dass kein validierungsfähiges Excel bereitgestellt werden kann, und der Kalender ab 2026: Stichtag 31. Dezember, Frist NCA → ESAs 31. März.
• ESAs — Summary Report zum Dry Run 2024 — die Datenqualitätsbasis, gegen die die Prüfungen dieser Vorlage gebaut sind.
• BaFin — Informationsregister und Anzeigepflichten — deutsches Einreichungsverfahren über das MVP-Portal, Fenster und Korrekturfristen 2026.

Das vollständige regulatorische Bild zeichnet unser DORA-Compliance-Leitfaden; warum die Artikel 19, 28 und 30 über ein klassisches ISMS hinauswachsen, zeigt die Analyse zu DORA Artikel 19, 28 und 30; wer andernorts in der Gruppe DORA gegen NIS2-Pflichten abwägt, findet die Unterschiede in unserem Vergleich DORA vs. NIS2.

---

UK, Norwegen und der EWR

UK: kein DORA, keine Registereinreichung. Britische Firmen folgen dem FCA/PRA-Regime für operationelle Resilienz (FCA PS21/3, PRA SS1/21 — vollständig in Kraft seit dem 31. März 2025) plus dem Critical-Third-Parties-Regime nach dem FSMA 2023. Das dort verlangte Mapping ist eine Teilmenge des DORA-Feldsatzes — paneuropäische Gruppen können dieses Register also einmal führen und für UK-Selbstbewertungen wiederverwenden.

Norwegen / EWR: DORA wurde am 20. Februar 2025 in das EWR-Abkommen übernommen, und das norwegische DORA-Gesetz ist seit dem 1. Juli 2025 in Kraft. Finanstilsynet sammelt die Register als zuständige Behörde ein — norwegische Unternehmen nutzen diese Vorlage genau wie ihre EU-Pendants, mit den Fenstern von Finanstilsynet.

---

Vom jährlichen Kraftakt zum stehenden Register

Das Muster, das die Aufsichtsbehörden nach den ersten Einsammlungen benannt haben, ist einfach: Register, die jedes Frühjahr neu aufgebaut werden, scheitern; kontinuierlich gepflegte Register bestehen. Neue Vereinbarungen werden bei Vertragsschluss erfasst, LEIs vor jedem Zyklus neu validiert, die Kritikalität bei Funktionsänderungen neu bewertet. Orbiqs Vendor Assurance Platform macht aus dieser Pflege einen Workflow statt einer Kalendererinnerung — strukturierte Dienstleisterdatensätze, Nachweise mit Ablaufverfolgung und kontinuierliches Monitoring, gebaut für europäische Finanzunternehmen mit EU-Datenresidenz. Die maschinenlesbare Markdown-Variante dieser Vorlage ist für KI-Agenten-Workflows unter /downloads/templates/de/dora-register-of-information-starter.md verfügbar.

---

Quellen & Referenzen

1. Verordnung (EU) 2022/2554 (DORA) — EUR-Lex — Registerpflicht nach Artikel 28 Abs. 3; Kontext der Artikel 29–30
2. Durchführungsverordnung (EU) 2024/2956 der Kommission — EUR-Lex — ITS zu den Standard-Templates des Informationsregisters; Dienstleistungstypliste in Anhang III
3. BaFin — Informationsregister und Anzeigepflichten — MVP-Portal, Fachverfahren DORA, Einreichungsfenster 9.–30. März 2026, Korrekturen bis 24. April 2026
4. EBA — Preparation for DORA application: RoI-Meldematerialien und FAQ — Einreichungsformat, Excel-Aussage, Kalender ab 2026
5. ESAs — 2024 Dry Run exercise summary report (ESA 2024 35) — 6,5 % Bestehensquote; Fehlerkategorien
6. DNB — DORA Registers of Information in March 2026 — niederländisches Fenster 2026 (20. März) und xBRL-CSV-Format
7. Central Bank of Ireland — Reporting of Registers of Information — irisches Fenster 2026 (1.–31. März)
8. CSSF — DORA: submission timeframe for the Register of Information 2026 — luxemburgisches eDesk-Portal offen ab 11. Februar 2026
9. FCA PS21/3 — Building Operational Resilience — UK-Regime (keine Registereinreichung)
10. Finanstilsynet — Norwegisches DORA-Gesetz in Kraft seit 1. Juli 2025 — Umsetzung in Norwegen / EWR