Third-Party Risk Management · EBA · Non-ICT
Die EBA Leitlinien Drittparteirisiken sind seit September 2026 final und lösen die Outsourcing-Leitlinien von 2019 ab, sobald sie anwendbar sind. Ein Anwendungsdatum nennt die EBA bislang nicht.
Die Leitlinien sind final, aber noch nicht anwendbar. Sie regeln Non-ICT-Dienstleistungen; für IKT-Dienste bleibt DORA maßgeblich. Wer jetzt Inventar, Register und Verträge ordnet, nutzt die zweijährige Übergangsfrist von Beginn an.
Einordnung im S+P Leistungsmodell: Dieser Beitrag ordnet die Anforderung fachlich ein. Die operative Bearbeitung, etwa Inventar, Register und Vertragsprüfung, gehört zu den 1st Line Services; Beauftragtenfunktionen der zweiten Linie bleiben davon organisatorisch getrennt.
Die vier Punkte fassen Stand, Anwendungsbereich, Governance und Übergang der EBA Leitlinien Drittparteirisiken zusammen.
Status
Die EBA hat den Final Report EBA/GL/2026/09 im September 2026 veröffentlicht. Das Anwendungsdatum steht im Text nur als Platzhalter; die Leitlinien von 2019 werden zu einem noch offenen Datum aufgehoben (Rz. 18, 22).
Anwendungsbereich
Erfasst sind Third-Party Arrangements für Non-ICT-Dienste, Auslagerungen sind eine Teilmenge (Rz. 17). IKT-Dienste bleiben bei DORA (Rz. 5, 7). Bei Mischleistungen entscheidet das Institut, ob der IKT-Dienst für die Leistung wesentlich ist (Rz. 32).
Governance und Register
Institute richten eine Überwachungsrolle oder ein Mitglied des Senior Managements ein (Rz. 44 c). Das Register erfasst alle Arrangements und darf mit dem DORA-Register zusammengeführt werden (Rz. 58, 61). Vertragsmindestinhalte gelten für alle Arrangements, zusätzliche bei kritischen oder wichtigen Funktionen (Rz. 84, 85).
Übergang
Neue, überprüfte oder geänderte Arrangements fallen ab dem Anwendungsdatum unter die Leitlinien (Rz. 18). Für kritische oder wichtige Funktionen gilt eine Zwei-Jahres-Frist, danach ist die Aufsicht zu informieren (Rz. 20); übrige Arrangements können bei der Verlängerung angepasst werden (Rz. 21).
Quellenlage: Grundlage ist der Final Report EBA/GL/2026/09 in englischer Sprache; amtliche Übersetzungen stehen aus. „Rz.“ meint die Randziffern des Leitlinientextes (Abschnitt „Guidelines“), nicht die der Begründung. Übersetzungen der Fachbegriffe sind eigene Wiedergaben.
Die EBA hat die Leitlinien auf Grundlage von Art. 74 der Richtlinie 2013/36/EU entwickelt. Berücksichtigt hat sie außerdem Art. 11 der Richtlinie (EU) 2015/2366, Art. 26 der Richtlinie (EU) 2019/2034, Art. 16 der Richtlinie 2014/65/EU, Art. 34 der Verordnung (EU) 2023/1114 und Art. 16 der Verordnung (EU) Nr. 1093/2010. Die Leitlinien richten sich an die zuständigen Behörden und an die in Rz. 9 genannten Finanzinstitute. Behörden und Institute müssen sich nach Art. 16 Abs. 3 der Verordnung (EU) Nr. 1093/2010 nach Kräften um die Einhaltung bemühen (Rz. 1); die Behörden melden der EBA, ob sie die Leitlinien anwenden (Rz. 3).
Der Zuschnitt ändert sich. Die Leitlinien von 2019 galten ausschließlich für Kreditinstitute und Wertpapierfirmen nach CRD, Zahlungsinstitute und E-Geld-Institute (Begründung, Rz. 9). Die neue Fassung knüpft an Third-Party Arrangements an, also an Vereinbarungen über Dienste, die wiederkehrend oder dauerhaft erbracht werden; Auslagerungen sind eine Teilmenge (Rz. 17). IKT-Dienste im Sinne von Art. 3 Nr. 21 DORA sind ausgenommen und bleiben bei DORA (Rz. 5, 7). Enthält eine Non-ICT-Leistung IKT-Dienste, entscheidet das Institut, ob deren Nutzung für die Leistung wesentlich ist und damit DORA auslöst (Rz. 32).
Ausgenommen sind nach Rz. 33 unter anderem gesetzlich vorgeschriebene Leistungen wie die Abschlussprüfung, regulierte Finanzdienstleistungen anderer beaufsichtigter Unternehmen, Marktinformationsdienste, Zahlungsnetz-Infrastrukturen, Clearing und Abwicklung, globale Nachrichteninfrastrukturen, Korrespondenzbankgeschäfte sowie Leistungen ohne wesentliche Wirkung auf Risiko oder operative Resilienz, etwa Reinigung, Catering oder Rechtsgutachten. Das Risikomanagement für diese Leistungen entfällt damit nicht; die Ausnahmen betreffen nur den Anwendungsbereich der Leitlinien.
Adressiert sind nach Rz. 9 Institute nach CRR, Drittstaatenzweigstellen, Wertpapierfirmen mit Ausnahme kleiner und nicht verflochtener Firmen nach Art. 12 Abs. 1 IFR, Zahlungsinstitute, E-Geld-Institute, Emittenten vermögenswertereferenzierter Token und Kreditgeber nach Art. 4 Nr. 2 der Wohnimmobilienkreditrichtlinie sowie Finanzholdinggesellschaften und gemischte Finanzholdinggesellschaften mit Zulassung nach Art. 21a Abs. 1 CRD. Reine Kontoinformationsdienste sind nicht erfasst (Rz. 11).
Der Schwerpunkt liegt auf Arrangements, die kritische oder wichtige Funktionen unterstützen. Eine Funktion ist stets so einzustufen, wenn ihre Störung die Erlaubnisvoraussetzungen, die finanzielle Leistungsfähigkeit oder die Kontinuität der Dienste wesentlich beeinträchtigen würde (Rz. 34). Operative Aufgaben interner Kontrollfunktionen gelten grundsätzlich als kritisch oder wichtig (Rz. 35). Die Definition entspricht nach der Begründung der in Art. 3 Nr. 22 DORA (Begründung, Rz. 13).
| Thema | Was der Final Report regelt | Randziffer |
|---|---|---|
| Gegenstand | Third-Party Arrangements für Non-ICT-Dienste, wiederkehrend oder dauerhaft erbracht; Auslagerungen als Teilmenge | Rz. 17 |
| IKT-Dienste | ausgenommen, soweit sie unter Kapitel V DORA fallen; bei Mischleistungen entscheidet das Institut über die Wesentlichkeit des IKT-Dienstes | Rz. 5, 7, 32 |
| Adressaten | Institute, Drittstaatenzweigstellen, bestimmte Wertpapierfirmen, Zahlungs- und E-Geld-Institute, ART-Emittenten, Kreditgeber nach MCD, Finanzholdinggesellschaften | Rz. 9 |
| Ausnahmen | unter anderem Abschlussprüfung, Marktinformationsdienste, Zahlungsnetze, Korrespondenzbankgeschäft, unwesentliche Leistungen wie Reinigung oder Catering | Rz. 33 |
| Kritische oder wichtige Funktion | Störung beeinträchtigt wesentlich Zulassung, finanzielle Leistung oder Kontinuität; interne Kontrollfunktionen grundsätzlich erfasst | Rz. 34, 35 |
| Register | Register aller Arrangements, mit dem DORA-Register konsistent oder in einem Register kombinierbar | Rz. 58, 61 |
| Vertragsinhalte | Mindestinhalte für alle Arrangements; zusätzliche Inhalte bei kritischen oder wichtigen Funktionen | Rz. 84, 85 |
| Governance | Überwachungsrolle oder Mitglied des Senior Managements, direkt gegenüber dem Leitungsorgan rechenschaftspflichtig | Rz. 44 c |
| Status | Anwendungsdatum und Aufhebung der Leitlinien von 2019 stehen als Platzhalter; Übergangsfrist zwei Jahre | Rz. 18, 20, 22 |
Die Chronologie der EBA Leitlinien Drittparteirisiken zeigt, was feststeht und was die EBA oder die BaFin noch festlegen müssen.
EBA veröffentlicht den Konsultationsentwurf EBA/CP/2025/12 zur Steuerung von Drittparteirisiken.
Die Konsultationsfrist zum Entwurf läuft ab.
BaFin veröffentlicht die 9. MaRisk-Novelle als Rundschreiben 06/2026 (BA).
EBA veröffentlicht den Final Report EBA/GL/2026/09; die Pressemitteilung nennt eine zweijährige Übergangsfrist.
Stand dieses Beitrags: Der Final Report liegt in englischer Sprache vor, Übersetzungen in die Amtssprachen stehen aus.
Anwendungsdatum der Leitlinien: Im Final Report steht es als Platzhalter (Rz. 18).
Ende der Übergangsfrist: zwei Jahre ab dem Anwendungsdatum; danach ist die Aufsicht zu informieren, wenn Prüfung und Dokumentation nicht abgeschlossen sind (Rz. 20).
Aufhebung der Leitlinien zu Auslagerungen vom 25. Februar 2019 mit Wirkung zu einem noch offenen Datum (Rz. 22).
Umsetzung durch die BaFin: Wie AT 9 MaRisk auf die neue Leitlinie ausgerichtet wird, ist nicht entschieden.
Die Tabelle ordnet die EBA Leitlinien Drittparteirisiken den Funktionen im Institut zu. Die Spalte „Was die Leitlinien verlangen“ gibt den Final Report wieder. Die Spalte „Typische Aufgabe“ ist eine Umsetzungshilfe und keine Vorgabe der Leitlinien.
| Funktion | Was die Leitlinien verlangen | Typische Aufgabe in der Umsetzung |
|---|---|---|
| Leitungsorgan | Genehmigt, überwacht und überprüft die Policy zur Geschäftsfortführung für Arrangements (Rz. 42 g) und die Prüfungspläne der Internen Revision (Rz. 42 h); genehmigt eine schriftliche Policy zu Arrangements für kritische oder wichtige Funktionen und überprüft sie mindestens jährlich (Rz. 47). | Beschlussvorlagen vorbereiten, Berichtslinie zur Überwachungsrolle festlegen. |
| Überwachungsrolle oder Mitglied des Senior Managements | Rolle zur Überwachung aller Arrangements oder benanntes Mitglied des Senior Managements, direkt gegenüber dem Leitungsorgan rechenschaftspflichtig; weniger komplexe Institute können die Rolle einem Mitglied des Leitungsorgans übertragen (Rz. 44 c). | Rollenbeschreibung, Berichtswege und Vertretung dokumentieren. |
| Fachbereiche und Einkauf | Zuständigkeiten für Dokumentation, Steuerung und Überwachung der Arrangements sind klar zuzuweisen (Rz. 44 a); ob ein Arrangement unter die Definition fällt, ist zu klären (Rz. 31). | Inventar aller laufenden Non-ICT-Dienste aufbauen und pflegen. |
| Compliance und Risikomanagement | Register aller Arrangements mit Pflichtangaben (Rz. 58, 61, 62); Einstufung kritischer oder wichtiger Funktionen (Rz. 34 bis 36). | Register konzipieren, Bewertung kritischer oder wichtiger Funktionen vornehmen. |
| Recht und Vertragsmanagement | Schriftlicher Vertrag mit Mindestinhalten (Rz. 83, 84); zusätzliche Inhalte bei kritischen oder wichtigen Funktionen (Rz. 85). | Vertragsbestand gegen die Mindestinhalte prüfen, Prioritäten setzen. |
| Interne Revision | Der Prüfungsplan umfasst Arrangements für kritische oder wichtige Funktionen; die Revision prüft unter anderem Rahmenwerk, Einstufung und Risikobewertung (Rz. 56). | Prüfungsplanung auf Arrangements ausrichten. |
Die Muster ergeben sich aus dem Zuschnitt der EBA Leitlinien Drittparteirisiken und der Lage in Deutschland. Sie ersetzen nicht die Einzelfallprüfung in deinem Haus.
Wiederkehrende oder dauerhafte Non-ICT-Dienste, die bisher keine Auslagerung waren, fallen in den Anwendungsbereich. Rz. 33 nimmt jedoch unwesentliche Leistungen wie Reinigung, Catering oder Rechtsgutachten aus; nicht jeder Einkaufsvorgang gehört ins Register.
Normbezug: Rz. 17, 31, 33
Enthält eine Non-ICT-Leistung IKT-Dienste, entscheidet das Institut, ob deren Nutzung für die Leistung wesentlich ist und damit DORA auslöst. Diese Entscheidung und ihre Kriterien müssen dokumentiert sein.
Normbezug: Rz. 32; Art. 3 Nr. 21 DORA
Das Register soll mit dem DORA-Register möglichst konsistent sein; beide dürfen in einem Register kombiniert werden. Wer beide getrennt führt, pflegt Stammdaten doppelt und riskiert Abweichungen.
Normbezug: Rz. 58, 61; Art. 28 Abs. 3 DORA
Mindestinhalte gelten für alle Arrangements, zusätzliche für kritische oder wichtige Funktionen. Das vergrößert den zu prüfenden Vertragsbestand, auch wenn nicht kritische Arrangements bei der Verlängerung angepasst werden dürfen (Rz. 21).
Normbezug: Rz. 84, 85
Die Leitlinien von 2019 werden zu einem noch offenen Datum aufgehoben. Wie die BaFin AT 9 MaRisk darauf ausrichtet, ist nicht entschieden. Bis dahin gilt die bisherige Aufsichtspraxis.
Normbezug: AT 9 MaRisk; Rz. 22
Die geforderte Überwachungsrolle für alle Arrangements fehlt in vielen Organisationen. Ohne benannte Rolle und Policy sind Berichtslinie und Freigaben nicht belegbar.
Normbezug: Rz. 44 c, 47
Die Tabelle fasst die Prüffelder zusammen, an denen die Umsetzung der EBA Leitlinien Drittparteirisiken typischerweise beginnt.
| Prüffeld | Prüffrage | Normbezug | Mögliche Auffälligkeit |
|---|---|---|---|
| Inventar | Sind alle laufenden Non-ICT-Dienste erfasst, nicht nur Auslagerungen? | Rz. 17, 31 | Nur Auslagerungen im Register |
| Abgrenzung | Ist je Leistung entschieden, ob IKT-Dienste für sie wesentlich sind und DORA gilt? | Rz. 32 | Mischleistungen ohne Zuordnung |
| Kritikalität | Sind Einstufungskriterien definiert, einschließlich operativer Aufgaben interner Kontrollfunktionen? | Rz. 34 bis 36 | Interne Kontrollfunktionen nicht als kritisch geprüft |
| Register | Gibt es ein Register aller Arrangements, mit dem DORA-Register konsistent oder kombiniert? | Rz. 58, 61 | Getrennte Listen mit abweichenden Stammdaten |
| Verträge | Enthalten alle Verträge die Mindestinhalte, kritische zusätzlich die erweiterten? | Rz. 84, 85 | Mindestinhalte nur bei Auslagerungen |
| Governance | Ist die Überwachungsrolle benannt und genehmigt das Leitungsorgan Policy und Prüfpläne? | Rz. 42, 44, 47 | Zuständigkeit auf mehrere Stellen verteilt |
Die Schritte zu den EBA Leitlinien Drittparteirisiken setzen keine Annahme über das Anwendungsdatum voraus und lassen sich in jeder Reihenfolge der EBA-Entscheidungen weiterverwenden.
Erfasse alle laufenden Non-ICT-Dienste über Fachbereiche und Einkauf, mit Vertragsende und Verlängerungsdatum. Das Verlängerungsdatum gehört nach Rz. 61 b zu den Registerangaben und steuert die Reihenfolge der Anpassung.
Dokumentiere, nach welchen Kriterien du entscheidest, ob ein IKT-Dienst für eine Leistung wesentlich ist (Rz. 32). Eine schriftliche Regel verhindert Einzelfallentscheidungen.
Gleiche die Einstufung kritischer oder wichtiger Funktionen an den Begriff in DORA an und prüfe operative Aufgaben interner Kontrollfunktionen gesondert (Rz. 35).
Entscheide, ob du ein Register kombinierst oder zwei konsistente führst (Rz. 61). Lege Pflichtangaben und Verantwortliche fest.
Beginne mit Arrangements für kritische oder wichtige Funktionen und gleiche sie mit den Rz. 84 und 85 ab. Plane die übrigen entlang der Verlängerungstermine (Rz. 21).
Benenne die Überwachungsrolle (Rz. 44 c), lege die Berichtslinie zum Leitungsorgan fest und bereite dokumentierte Ausstiegsstrategien für kritische oder wichtige Funktionen vor (Rz. 114 bis 116).
Die EBA Leitlinien Drittparteirisiken verschieben den Blick vom Outsourcing auf das Dienstleistungsverhältnis insgesamt. Der Rahmen steht, die Anwendung noch nicht. Wer Inventar, Abgrenzung und Register jetzt klärt, geht mit einer belastbaren Basis in die Übergangsfrist.
Der Final Report liegt vor; Anwendungsdatum und Sprachfassungen stehen aus.
Die Leitlinien regeln Non-ICT-Dienste, DORA bleibt für IKT maßgeblich.
Inventar, Register und Rolle tragen jede spätere Detailanforderung.
Die Antworten beziehen sich auf die finale, noch nicht anwendbare Fassung und ersetzen keine Rechtsberatung im Einzelfall.
Nein. Die EBA hat den Final Report im September 2026 veröffentlicht und führt ihn als nicht anwendbar. Das Anwendungsdatum steht im Text nur als Platzhalter (Rz. 18), und die Sprachfassungen stehen aus. Bis dahin bleibt es bei den bisherigen Anforderungen.
Ja. Die EBA Guidelines on outsourcing vom 25. Februar 2019 werden mit Wirkung zu einem noch offenen Datum aufgehoben (Rz. 22). Bis dahin gelten die bisherigen Leitlinien und die darauf beruhenden nationalen Vorgaben weiter.
Nein. IKT-Dienste im Sinne von Art. 3 Nr. 21 DORA sind ausgenommen und bleiben bei DORA (Rz. 5, 7). Enthält eine Non-ICT-Leistung auch IKT-Dienste, entscheidet das Institut, ob deren Nutzung für die Leistung wesentlich ist und damit DORA auslöst (Rz. 32).
Nach Rz. 9 Institute nach CRR, Drittstaatenzweigstellen, Wertpapierfirmen mit Ausnahme kleiner und nicht verflochtener Firmen, Zahlungsinstitute, E-Geld-Institute, Emittenten vermögenswertereferenzierter Token, Kreditgeber nach der Wohnimmobilienkreditrichtlinie sowie Finanzholdinggesellschaften und gemischte Finanzholdinggesellschaften mit Zulassung. Reine Kontoinformationsdienste sind nicht erfasst (Rz. 11).
Zwei Jahre ab dem Anwendungsdatum. Ab diesem Datum gelten die Leitlinien für alle neu geschlossenen, überprüften oder geänderten Arrangements (Rz. 18). Sind Prüfung und Dokumentation von Arrangements für kritische oder wichtige Funktionen nach zwei Jahren nicht abgeschlossen, ist die zuständige Behörde zu informieren, einschließlich geplanter Maßnahmen oder einer Exit-Strategie (Rz. 20). Übrige Arrangements dürfen bei der Verlängerung angepasst werden (Rz. 21).
Die BaFin hat die 9. MaRisk-Novelle am 30.06.2026 als Rundschreiben 06/2026 (BA) veröffentlicht. Die Leitlinien von 2019 werden zu einem noch offenen Datum aufgehoben (Rz. 22). Wie die BaFin AT 9 darauf ausrichtet, ist nicht entschieden.
Die Quellen zu den EBA Leitlinien Drittparteirisiken sind amtliche Veröffentlichungen der EBA. Der Final Report liegt bislang nur in englischer Sprache vor.
Hinweis zum Rechtsstand: Dieser Beitrag beruht auf einer finalen, aber noch nicht anwendbaren Leitlinie. Randziffern beziehen sich auf den englischen Final Report; amtliche Übersetzungen stehen aus. Gleiche Normbezüge, Anwendungsdatum und Übergangsfristen vor internen Freigaben mit der veröffentlichten Fassung ab, ebenso die Angaben zur 9. MaRisk-Novelle mit dem Rundschreiben der BaFin. Der Beitrag ersetzt keine Rechtsberatung im Einzelfall.
Die Umsetzung der EBA Leitlinien Drittparteirisiken berührt Register, Datenhaushalt und die Funktionen der zweiten und dritten Linie.
Operative Bearbeitung rund um das DORA-Register, die Schnittstelle zu einem Register der Arrangements.
Operative Bearbeitung datenintensiver und fristgebundener Fachprozesse nach Vorgaben deines Instituts.
Anbieterneutrale Unterstützung bei Datenhaushalt, Schnittstellen und Auswertbarkeit der Systemlandschaft.
Governance-, Maßnahmen- und Evidenzregister an einem Ort, in deiner bestehenden Microsoft- oder SharePoint-Umgebung.
Ausgelagerte Funktion der zweiten Linie mit dokumentiertem Mandat und geregelter Eskalation. Operative Aufgaben interner Kontrollfunktionen gelten nach Rz. 35 grundsätzlich als kritisch oder wichtig.
Ausgelagerte Funktion der dritten Linie, geeignet für die Prüfungsplanung zu Arrangements.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil →