So füllen wir mit KI dein DORA-Informationsregister aus deinen eigenen IT-Verträgen vor
Jedes Jahr reichst du bei der BaFin ein Register aller IT-Dienstleister ein – Stand 31. Dezember des Vorjahres, über das Meldeportal MVP, als Excel-Vorlage der BaFin mit 15 Datenblättern oder als xBRL-Datei. Den genauen Einreichungszeitraum legt die BaFin jedes Jahr fest; 2026 lief er vom 9. bis 30. März. Die Angaben dafür stecken im Kleingedruckten: in Verträgen, Auftragsverarbeitungsverträgen und Unterauftragnehmer-Listen. Unser Assistent liest diese Unterlagen lokal bei dir, schlägt jeden Registereintrag mit Fundstelle vor und markiert, was nur du entscheiden kannst.
Ein Formular im Konzernformat
Die BaFin-Vorlage hat 15 Datenblätter mit englischen Feldbezeichnungen und funktioniert nur mit erlaubten Makros in lokal installiertem Excel unter Windows. Für kleine Wertpapierinstitute gibt es beim IT-Risikomanagement Erleichterungen – beim Register nicht.
Die Antworten stehen im Kleingedruckten
Kündigungsfristen, anwendbares Recht, wo die Daten gespeichert und verarbeitet werden, welche Unterauftragnehmer beteiligt sind: Das musst du für Portfolio-Software, Kundenportal, Telefonaufzeichnung, E-Mail und IT-Betreuung aus Verträgen und Anhängen heraussuchen.
Fehlerprotokoll statt Haken
Nach dem Hochladen prüfen erst die BaFin und dann die europäischen Aufsichtsbehörden das Register – das kann bis zu 48 Stunden dauern. Kommt ein Fehlerprotokoll, musst du korrigieren und neu einreichen. Der Branchenverband VuV schreibt, schon die erste Einreichung habe zahlreiche Institute fachlich und technisch vor Herausforderungen gestellt.
Das Video entsteht gerade. Bis dahin steht der Text hier zum Nachlesen.
Das Thema in knapp zwei Minuten
Zum Nachlesen
Dein DORA-Informationsregister ist eine Excel-Datei mit fünfzehn Datenblättern, englischen Feldbezeichnungen – und sie funktioniert nur mit erlaubten Makros in lokal installiertem Excel unter Windows.
Ich bin Martin Geck, Mitgründer von PromptingBirds. Wir bauen KI-Systeme für Unternehmen, und gerade für kleine Wertpapierinstitute.
Einmal im Jahr reichst du bei der BaFin ein Register aller IT-Dienstleister ein, Stand 31. Dezember. Die Angaben dafür stehen im Kleingedruckten: Kündigungsfristen beider Seiten, anwendbares Recht, wo die Daten gespeichert und verarbeitet werden, welche Unterauftragnehmer beteiligt sind. Das musst du aus Verträgen und Anhängen heraussuchen – für jedes System einzeln.
Und was, wenn die KI eine Kündigungsfrist falsch liest? Gleich mehr dazu.
Der Assistent liest deine Verträge lokal bei dir und schlägt jeden Registereintrag vor – mit der Fundstelle daneben. Du prüfst nicht mehr das ganze Vertragswerk, sondern nur noch den Vorschlag.
Zur Sorge vor falsch gelesenen Fristen: Jeder Wert kommt mit dem Satz aus dem Vertrag, aus dem er stammt. Ohne Beleg schlägt der Assistent gar nichts vor, sondern setzt den Punkt auf eine Frageliste. Und was in keinem Vertrag steht – ob eine Funktion kritisch ist, ob es einen Ausstiegsplan gibt – entscheidest ohnehin du.
Den Kern gibt es als getesteten Prototyp. Die Register-Ausgabe bauen wir mit den ersten Häusern im Pilot. In unserem Beispiel mit öffentlichen Unterlagen einer kleinen Vermögensverwaltung kamen wir auf sechs Dienstleister – einen davon nennt die Firma nicht einmal beim Namen, da steht nur „externer Hoster“.
Fang nicht im März an. Die BaFin legt den Einreichungszeitraum jedes Jahr neu fest – 2026 lief er vom 9. bis 30. März. Die Vertragsinventur ist die Arbeit, nicht das Ausfüllen.
Was sich für dein Informationsregister ändert
Jeder Eintrag mit Fundstelle
Was du entscheiden musst, ist markiert
Verträge bleiben im Haus
Weitere Informationen
Wie der Assistent dein Register vorbereitet
Er nutzt denselben Kern wie unser Prüfungs-Assistent: Dokumente lokal lesen, nur aus ihnen antworten, jede Angabe belegen. Das Ergebnis sind geprüfte Werte in der makrofähigen Excel-Vorlage der BaFin (.xlsm) – eingereicht wird weiterhin von dir über das MVP-Portal.
Vertragsinventur zum Stichtag
Du legst Verträge, Auftragsverarbeitungsverträge, Unterauftragnehmer-Listen und Rechnungen deiner IT-Dienstleister in einen Ordner. Der Assistent erstellt daraus eine Liste aller IT-Leistungen, die zum 31. Dezember liefen.Felder vorschlagen mit Beleg
Für jede Vertragsbeziehung schlägt er die Registerfelder vor – etwa Vertragsbeginn, Kündigungsfristen beider Seiten, Land des anwendbaren Rechts, Speicher- und Verarbeitungsort der Daten – jeweils mit Fundstelle.Offene Punkte als Frageliste
Was kein Dokument beantwortet, landet auf einer Liste: Fragen an dich (zum Beispiel Einstufung als kritisch oder wichtig, Wiederanlaufzeiten) und Fragen an den Dienstleister (zum Beispiel fehlende Kennungen oder Unterauftragnehmer).Prüfung vor dem Hochladen
Die vorgeschlagenen Werte prüfen wir gegen die Auswahllisten der BaFin-Vorlage und gegen die veröffentlichten Validierungsregeln der europäischen Aufsichtsbehörden, soweit sich diese vorab prüfen lassen. So fallen Formfehler auf, bevor das Fehlerprotokoll kommt.Im nächsten Jahr nur noch Änderungen
Das Register wird jedes Jahr neu fällig. Der Assistent vergleicht dann neue und geänderte Verträge mit dem Register vom Vorjahr und zeigt dir nur, was sich bewegt hat.So sieht es konkret aus
Ein Beispiel ausschließlich mit echten, öffentlichen Daten einer kleinen Vermögensverwaltung (anonymisiert): welche Dienstleister sie selbst nennt, was das öffentliche LEI-Verzeichnis dazu sagt – und was nur die Firma ergänzen kann. Das Register-Modul bauen wir im Pilot.
Rein: was die Firma selbst veröffentlicht
Datenschutzerklärung und Website nennen sechs Dienstleister, etwa für die Kunden-App, für Videokonferenzen und für die Statistik der Website – einen davon ohne Namen („externer Hoster“).Rein: öffentliche Daten zu den Anbietern
Rechtsträgerkennung (LEI), Sitz und Konzernmutter jedes Anbieters kommen aus dem öffentlichen GLEIF-Verzeichnis. Für einen Anbieter gibt es dort keinen Eintrag – auch das steht im Ergebnis.Raus: die Excel-Vorlage der BaFin, ehrlich befüllt
Alle Beispielwerte der BaFin gelöscht, nur öffentlich belegte Werte eingetragen – Makros, Signatur und Auswahllisten bleiben unverändert. Vertragsnummern sind als Platzhalter markiert. Alles andere bleibt leer: „nicht öffentlich – kommt von der Firma“.Raus: eine Belegliste zu jeder Zelle
Zu jedem Wert steht die Quelle, zu jeder leeren Pflichtangabe der Hinweis, dass nur die Firma sie kennt. Offene Punkte – etwa ob die Depotbank überhaupt ins Register gehört – stehen auf einer eigenen Liste.Was DORA von dir verlangt
Das Register ist kein Formular, das man einmal ausfüllt. Es ist eine jährliche Meldung mit festem Stichtag, festem Format und einem Einreichungszeitraum, den die BaFin jedes Jahr neu bekannt gibt.
Ein Register aller IKT-Dienstleister
Artikel 28 Absatz 3 DORA verpflichtet Finanzunternehmen, ein Informationsregister zu allen vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen zu führen und der Aufsicht zu melden.Stichtag 31. Dezember
Das Register bildet die Vertragslage zum 31. Dezember des Vorjahres ab. Was im Januar dazukommt, gehört in das Register des nächsten Jahres.Der Einreichungszeitraum kommt von der BaFin
Die BaFin legt das Zeitfenster jedes Jahr fest und kündigt es gesondert an. 2026 lief es vom 9. bis 30. März. Verlass dich nicht auf „irgendwann bis Ende März“ – das Fenster kann früher schließen.Zwei zulässige Formate
Die makrofähige Excel-Vorlage der BaFin mit 15 Datenblättern oder eine xBRL-Datei. Die Vorlage funktioniert nur mit erlaubten Makros in lokal installiertem Excel unter Windows.Eingereicht wird über das MVP-Portal
Nach dem Hochladen prüfen erst die BaFin und dann die europäischen Aufsichtsbehörden. Das kann bis zu 48 Stunden dauern; kommt ein Fehlerprotokoll, musst du korrigieren und neu einreichen.Quellen und Stand
Stand: 26. Oktober 2026. Die Angaben auf dieser Seite stammen aus den folgenden öffentlichen Quellen. Maßgeblich ist die jeweils aktuelle Fassung und die Bekanntgabe der BaFin zum Einreichungszeitraum.
