Kurzdefinition: Das Informationsregister (englisch Register of Information) ist das zentrale Verzeichnis aller IKT-Drittdienstleister-Verträge eines Finanzunternehmens. Nach Art. 28 Abs. 3 DORA führen und aktualisieren Finanzunternehmen im Rahmen ihres IKT-Risikomanagementrahmens ein Informationsregister, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht. [N-DORA-28]
Der Normwortlaut
Art. 28 Abs. 3 DORA bestimmt: Finanzunternehmen „führen und aktualisieren im Rahmen ihres IKT-Risikomanagementrahmens auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene ein Informationsregister, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht“. Dabei ist zwischen Vereinbarungen für kritische oder wichtige Funktionen und sonstigen zu unterscheiden. [N-DORA-28]
Was ist das Informationsregister?
Ein vollständiges Vertragsverzeichnis. Das Register erfasst alle Vereinbarungen über IKT-Dienstleistungen, die das Finanzunternehmen von Drittdienstleistern bezieht. Es ist Teil des IKT-Risikomanagementrahmens und Grundlage für Aufsicht und Steuerung des Drittparteienrisikos. [N-DORA-28]
Auf welchen Ebenen ist es zu führen?
Auf drei Ebenen. Nach Art. 28 Abs. 3 DORA ist das Register auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene zu führen. Bei Gruppen entsteht so ein gestuftes Bild der IKT-Abhängigkeiten. [N-DORA-28]
Was muss unterschieden werden?
Kritische und sonstige Funktionen. Die vertraglichen Vereinbarungen sind angemessen zu dokumentieren, wobei zwischen Vereinbarungen, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen abdecken, und solchen ohne diesen Bezug unterschieden wird. [N-DORA-28]
Wozu dient das Register?
Steuerung und Aufsicht. Das Register macht Konzentrationsrisiken und Abhängigkeiten sichtbar und ist Grundlage der Meldung an die Behörden. Es unterstützt die volle Verantwortung des Finanzunternehmens für seine IKT-Dienstleistungen nach Art. 28 Abs. 1 DORA. [N-DORA-28]
Muss das Register aktuell gehalten werden?
Ja. Art. 28 Abs. 3 DORA verlangt ausdrücklich, das Register zu „führen und aktualisieren“. Es ist kein einmaliges Dokument, sondern laufend zu pflegen — insbesondere bei neuen, geänderten oder beendeten Verträgen. [N-DORA-28]
Häufige Fehlannahmen
- „Ein Register nur auf Unternehmensebene reicht.“ Nein. Es ist zusätzlich auf teilkonsolidierter und konsolidierter Ebene zu führen. [N-DORA-28]
- „Nur kritische Verträge müssen erfasst werden.“ Nein. Erfasst werden vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen; kritische oder wichtige Funktionen sind gesondert einzuordnen. [N-DORA-28]
- „Das Register ist einmalig zu erstellen.“ Nein. Es ist laufend zu aktualisieren. [N-DORA-28]
- „Das Register liegt außerhalb des Risikomanagements.“ Nein. Es ist Teil des IKT-Risikomanagementrahmens. [N-DORA-28]
- „Mit Auslagerung endet die Verantwortung.“ Nein. Das Finanzunternehmen bleibt in vollem Umfang verantwortlich. [N-DORA-28]
- „Das Register ist eine rein interne Notiz.“ Nein. Es ist Grundlage der aufsichtlichen Meldungen. [N-DORA-28]
Was die Geschäftsleitung tun sollte
- Register aufbauen. Alle IKT-Dienstleistungsverträge vollständig erfassen.
- Ebenen abbilden. Unternehmens-, teilkonsolidierte und konsolidierte Ebene berücksichtigen.
- Kritisch markieren. Verträge für kritische oder wichtige Funktionen kennzeichnen.
- Aktuell halten. Änderungen laufend nachpflegen und für Meldungen bereithalten.
Für die Geschäftsleitung
Das Informationsregister ist das Rückgrat des DORA-Drittparteienrisikomanagements: Wer seine IKT-Abhängigkeiten nicht vollständig kennt, kann sie nicht steuern. Ein sauber geführtes, aktuelles Register ist zugleich Steuerungsinstrument und Nachweis gegenüber der Aufsicht.
Quellen
- [N-DORA-28] Art. 28 DORA (VO (EU) 2022/2554, Allgemeine Grundsätze / Informationsregister). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
