Das Informationsregister ist fällig — und die KI-Dienste stehen nicht drin
Das Informationsregister erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen. Jeder externe KI-Dienst ist eine solche Dienstleistung. In den Registern, die im März eingereicht werden, fehlen sie trotzdem regelmäßig — und zwar nicht aus Nachlässigkeit, sondern weil der häufigste Weg ins Haus keinen Vertrag erzeugt.
Was das Register ist und wer es einreichen muss
DORA — die Verordnung über die digitale operationale Resilienz im Finanzsektor — gilt seit dem 17. Januar 2025. Artikel 28 Absatz 3 verlangt von Finanzunternehmen ein Register aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern erbracht werden. Das Register ist der Aufsicht mindestens jährlich zu übermitteln.
Betroffen ist nicht nur die Großbank. DORA erfasst rund zwanzig Arten von Finanzunternehmen — Kreditinstitute, Versicherungen, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften. Darunter sind viele Häuser mit deutlich unter 250 Beschäftigten.
Quelle: Verordnung (EU) 2022/2554 (DORA), Artikel 28 Absatz 3, anwendbar seit 17. Januar 2025. Meldeformate nach der Durchführungsverordnung (EU) 2024/2956 der Kommission. · Stand Oktober 2026
Die Frist: 31. März, Stichtag 31. Dezember
Der Rhythmus ist der eigentliche Unterschied zu anderen regulatorischen Pflichten. Es gibt keinen einmaligen Stichtag, der irgendwann abgearbeitet ist, sondern einen wiederkehrenden Termin.
| Was gilt | |
|---|---|
| Stichtag des Datenstands | 31. Dezember des Vorjahres |
| Einreichung bei der BaFin | bis spätestens 31. März |
| Weg | Melde- und Veröffentlichungsplattform (MVP) der BaFin, Verfahren „DORA" |
| Weiterleitung an die ESAs | durch die BaFin, bis 31. März |
| Erstmalige Erhebung | April 2025, mit abweichendem Stichtag 31. März 2025 |
Quelle: Angaben der BaFin zu Informationsregister und Anzeigepflichten. Die erste Erhebung im Jahr 2025 wies einen abweichenden, früheren Stichtag auf; seit 2026 gilt der Jahresabschlussstichtag des Vorjahres. Maßgeblich sind die jeweils aktuellen Hinweise der BaFin zum Einreichungsverfahren. · Stand Oktober 2026
Praktisch bedeutet der Stichtag 31. Dezember, dass der Abgleich im Januar stattfindet — in derselben Zeit wie der Jahresabschluss. Wer den KI-Bestand erst dann erhebt, erhebt ihn rückblickend, und das ist die Hauptquelle der Lücken.
Warum KI-Dienste in das Register gehören
Das Register fragt nicht nach „KI". Es fragt nach IKT-Dienstleistungen. Und ein extern erbrachter KI-Dienst ist eine digitale Dienstleistung, die über IKT-Systeme fortlaufend erbracht wird — damit erfüllt er die Definition unabhängig davon, ob im Vertrag das Wort Künstliche Intelligenz vorkommt.
Die Frage ist nicht, ob es KI ist. Die Frage ist, ob ein Dritter Ihnen eine IKT-Dienstleistung erbringt.
Weg 2 ist der, der durchfällt
Die direkte Beauftragung eines KI-Anbieters wird in der Praxis meist erfasst: Es gibt einen Vertrag, eine Rechnung und einen Auslagerungsbeauftragten, der davon erfährt.
Die zweite Spur hat keinen dieser Anker. Ein seit Jahren gelisteter Dienstleister ergänzt sein Produkt um eine KI-Funktion, oder er erbringt einen Teil der Leistung über einen KI-Subdienstleister. Der Vertrag bleibt unverändert, die Rechnung bleibt unverändert, und der Registereintrag bleibt ebenfalls unverändert — obwohl sich die Unterauftragskette und damit ein meldepflichtiger Umstand verschoben hat.
Das ist dieselbe Mechanik, die auch bei NIS2 die Lieferkette betrifft: Nicht die Beschaffung ist das Leck, sondern die Veränderung an einem Dienst, den man schon hat.
Was das Register je Eintrag verlangt
Die Durchführungsverordnung gibt den Aufbau in verknüpften Tabellen vor. Für den KI-Anteil sind vor allem vier Angaben die Arbeit:
- Die unterstützte Funktion — welcher Geschäftsprozess hängt an diesem Dienst. Nicht der Produktname, sondern die Funktion.
- Kritikalität — stützt der Dienst eine kritische oder wichtige Funktion. Diese Einordnung entscheidet über den Umfang weiterer Pflichten.
- Der Dienstleistertyp und die Identifikation des Anbieters.
- Die Unterauftragskette — wer erbringt welchen Teil, einschließlich der Ebenen unterhalb des Vertragspartners.
Keine dieser vier Angaben steht in einer Rechnung. Alle vier müssen aus der Fachseite kommen — und sie müssen zwischen zwei Stichtagen aktuell gehalten werden, nicht im Januar rekonstruiert.
Was Regovio abdeckt — und was ausdrücklich nicht
Hier ist die Abgrenzung wichtiger als die Funktionsliste, deshalb zuerst die klare Aussage: Regovio ist kein DORA-Meldewerkzeug. Es erzeugt keine Meldedatei für die BaFin, keine Taxonomie-Datei und keine der vorgeschriebenen Tabellen. Wer das anderes behauptet, fällt im ersten Gespräch mit einem Auslagerungsbeauftragten auf.
Was Regovio abdeckt, ist der KI-Anteil der Vorarbeit — also genau der Teil, der im Januar fehlt:
| Anforderung | Regovio | Stand |
|---|---|---|
| Welche KI-Dienste überhaupt im Einsatz sind | Register mit Typ, Anbieter und Einsatzkontext | heute verfügbar |
| Unterstützte Funktion je Dienst | Einsatzkontext und Beziehungen je Asset | heute verfügbar |
| Kritikalität | Feld der strukturierten Bewertung | heute verfügbar |
| Verantwortliche je Dienst | Explizite Rollenzuweisung | heute verfügbar |
| Beleg, welcher Stand zum Stichtag galt | Append-only Audit-Log mit Akteur und Zeitpunkt | heute verfügbar |
| Kennzeichnung „DORA-relevant" je Asset | Noch keine eigene Relevanzkennzeichnung je Regelwerk | auf der Roadmap — heute nicht enthalten |
| Unterauftragsketten mehrstufig abbilden | Beziehungen zwischen Assets vorhanden, aber keine DORA-Kettenlogik | teilweise |
| Meldedatei für die BaFin, ESAs-Taxonomie | Nicht enthalten und nicht geplant | auf der Roadmap — heute nicht enthalten |
Wenn Sie den KI-Bestand heute in einer Tabelle führen, ist die Grenze dieser Tabelle der nächste nützliche Text — insbesondere der Abschnitt zur Änderungshistorie, denn der Nachweis „dieser Stand galt zum 31. Dezember" ist genau das, was eine überschriebene Zelle nicht leisten kann.