Die heutige Abgrenzung
AT 9 Tz. 1 stellt darauf ab, ob die Tätigkeit ansonsten vom Institut selbst erbracht würde. Diese Frage bleibt für die MaRisk maßgeblich, solange sie nicht geändert werden.
Abgrenzung Auslagerung und FremdbezugEuropäischer Ordnungsrahmen
EBA Guidelines Third Party Risk: der Stand im September 2026
Rechtsstand: 10. September 2026 | Lesezeit: rund 14 Minuten | Erstveröffentlichung: 31. August 2025, vollständig überarbeitet
Die EBA Guidelines Third Party Risk sollen den Outsourcing-Begriff als Ordnungsprinzip ablösen. Sollen – denn die EBA führt sie am 10. September 2026 weiterhin im Status Under consultation. Der Entwurf ist damit kein geltendes Recht, aber die Richtung steht fest: Nicht die Auslagerung, sondern die Kritikalität der Funktion soll den Pflichtenkreis bestimmen.
Management Summary
Die EBA hat am 8. Juli 2025 das Konsultationspapier EBA/CP/2025/12 zu Leitlinien für die solide Steuerung von Risiken durch Dritte veröffentlicht. Sie sollen die Leitlinien zu Auslagerungen von 2019 ablösen und den Bereich abdecken, der nicht unter DORA fällt. Die Konsultation endete am 8. Oktober 2025.
Die inhaltliche Verschiebung ist grundlegend. Bisher war die Auslagerung der Anknüpfungspunkt: eine Tätigkeit, die das Institut ansonsten selbst erbracht hätte. Künftig soll jede Drittparteienvereinbarung erfasst sein, in der ein Dienstleister eine Funktion erbringt – mit besonderem Gewicht auf kritischen oder wichtigen Funktionen im Sinne der DORA-Terminologie.
Für die Geschäftsleitung ist das keine Detailänderung im Meldewesen. Die bisherige Trennlinie zwischen Auslagerung und sonstigem Fremdbezug, an der in deutschen Häusern das gesamte Auslagerungsmanagement hängt, verliert als Sortierkriterium an Bedeutung. An ihre Stelle tritt die Kritikalität der Funktion.
Entscheidend für die Planung ist der Verfahrensstand: Die EBA weist die Leitlinien auf ihrer Aktivitätsseite am 10. September 2026 weiterhin als Under consultation aus. Von den drei Schritten Konsultation, Abschlussbericht und konsolidierte Fassung ist nur der erste abgeschlossen. Der in der Anhörung genannte Zielzeitpunkt April 2026 ist verstrichen, ohne dass ein Abschlussbericht vorliegt.
Inhalt
- EBA Guidelines Third Party Risk: der Verfahrensstand
- Vom Outsourcing zur Drittparteienbeziehung
- Anwendungsbereich und Übergangsfristen
- Die Pflichten entlang des Lebenszyklus
- Was das für MaRisk-Häuser bedeutet
- Sechs typische Fehleinschätzungen
- Quick-Check zur Selbsteinschätzung
- No-Regret-Maßnahmen
- Fazit
- Häufige Fragen
- Quellen
EBA Guidelines Third Party Risk: der Verfahrensstand
Die Zeitleiste ist wichtiger als sie aussieht: Solange das Anwendungsdatum nicht feststeht, lässt sich kein Umsetzungsplan terminieren. Was belegbar ist und was nicht, steht in der dritten Spalte.
| Zeitpunkt | Ereignis | Belegbarkeit |
|---|---|---|
| 8. Juli 2025 | Veröffentlichung des Konsultationspapiers EBA/CP/2025/12 zu Leitlinien für die solide Steuerung von Risiken durch Dritte | Belegt durch Pressemitteilung und Konsultationspapier der EBA |
| 5. September 2025 | Öffentliche Anhörung der EBA; die Präsentation nennt einen Übergangszeitraum von zwei Jahren ab Anwendungsdatum | Belegt durch die Anhörungspräsentation der EBA |
| 8. Oktober 2025 | Ende der Konsultationsfrist | Belegt durch Konsultationspapier und Anhörungspräsentation |
| bis April 2026 | Von der EBA angekündigter Zeitpunkt für die Veröffentlichung der finalen Fassung | Angekündigt in der Anhörungspräsentation; Eintritt nicht verifiziert |
| 30. Juni 2026 | Abschlussbericht der EBA zu geänderten Leitlinien für Produktüberwachung verweist auf die Leitlinien zur soliden Steuerung von Risiken durch Dritte | Belegt; zeigt, dass die EBA andere Leitlinien bereits darauf ausrichtet |
| 10. September 2026 | Die EBA weist den Status auf ihrer Aktivitätsseite weiterhin als Under consultation aus; von Konsultation, Abschlussbericht und konsolidierter Fassung ist nur der erste Schritt abgeschlossen | Belegt durch die Aktivitätsseite der EBA |
| offen | Abschlussbericht, Anwendungsdatum und Beginn des zweijährigen Übergangszeitraums | Kein Termin bekannt; der Zielzeitpunkt April 2026 ist verstrichen |
Zwei Einträge zusammen ergeben das Bild. Die EBA hat im Juni 2026 ein anderes Leitlinienwerk bereits auf die neuen Leitlinien ausgerichtet – ein überholtes Kapitel zum Outsourcing gestrichen und durch einen Querverweis ersetzt. Der Status der Leitlinien selbst steht dennoch unverändert auf Under consultation. Wer daraus einen Umsetzungsplan ableitet, plant auf einem Text, der sich noch ändern kann.
Vom Outsourcing zur Drittparteienbeziehung
Die Gegenüberstellung folgt dem Konsultationspapier. Sie zeigt, warum es sich nicht um eine Überarbeitung, sondern um einen Perspektivwechsel handelt.
| Punkt | Leitlinien zu Auslagerungen 2019 | Entwurf 2025 |
|---|---|---|
| Anknüpfungspunkt | Auslagerung: eine Tätigkeit, die das Institut ansonsten selbst erbracht hätte | Drittparteienvereinbarung, in der ein Dienstleister eine Funktion erbringt |
| Sortierkriterium | Auslagerung oder sonstiger Fremdbezug | Kritikalität der betroffenen Funktion |
| IKT-Dienstleistungen | Vom Anwendungsbereich erfasst | Ausgenommen; dafür gelten DORA und die ergänzenden Standards |
| Adressaten | Kreditinstitute und Wertpapierfirmen nach CRD, Zahlungs- und E-Geld-Institute | Zusätzlich MiCAR-Emittenten wertreferenzierter Token und Kreditgeber nach der Wohnimmobilienkreditrichtlinie |
| Register | Register über Auslagerungsvereinbarungen | Register über Drittparteienvereinbarungen, an den DORA-Datenfeldern ausgerichtet |
| Terminologie | Kritische oder wesentliche Funktionen | Kritische oder wichtige Funktionen, abgestimmt mit DORA und MiFID II |
Warum das mehr ist als eine Begriffsfrage
Die deutsche Praxis sortiert Dienstleistungsverhältnisse seit Jahren nach AT 9 Tz. 1: Auslagerung oder sonstiger Fremdbezug. An dieser Zuordnung hängt, welche Pflichten greifen – Risikoanalyse, Vertragskatalog, Register, Bericht.
Wenn der Anknüpfungspunkt auf die Drittparteienbeziehung wechselt, fällt diese Vorsortierung als Filter weg. Verhältnisse, die heute als sonstiger Fremdbezug außerhalb des engeren Pflichtenkreises stehen, wären dann erfasst – nicht mit vollem Pflichtenumfang, aber im Anwendungsbereich.
Die künftige Einstufung
Maßgeblich soll die Kritikalität der Funktion sein – mit einer Definition, die mit DORA und MiFID II abgestimmt ist.
Zwingend einzustufende FälleDas IKT-Regime daneben
Für IKT-Dienstleistungen gelten DORA und die Delegierte Verordnung (EU) 2025/532 zur Untervergabe. Die Leitlinien sollen diesen Bereich nicht doppelt regeln.
DORA und IKT-DrittanbieterAnwendungsbereich und Übergangsfristen
Beides steht im Konsultationspapier und ist damit ein Entwurfsstand. Die Angaben können sich in der finalen Fassung geändert haben.
Wer erfasst sein soll
- Kreditinstitute im Anwendungsbereich der Eigenkapitalrichtlinie.
- Wertpapierfirmen mit Ausnahme kleiner und nicht verflochtener Unternehmen nach der Wertpapierfirmenrichtlinie.
- Zahlungsinstitute und E-Geld-Institute.
- Emittenten wertreferenzierter Token nach der Krypto-Märkte-Verordnung.
- Kreditgeber nach der Wohnimmobilienkreditrichtlinie.
- Gruppen und Mutterunternehmen im jeweiligen Aufsichtsverbund.
Ausgenommen bleiben sollen reine Kontoinformationsdienstleister, die allein nach der Zahlungsdiensterichtlinie registriert sind. Für deutsche Wertpapierinstitute ist die Ausnahme für kleine und nicht verflochtene Unternehmen der Punkt, der zuerst zu prüfen ist.
Der Übergangszeitraum
Die Anhörungspräsentation der EBA nennt einen Übergangszeitraum von zwei Jahren ab dem Anwendungsdatum. Neue und geänderte Vereinbarungen sollen ab dem Anwendungsdatum erfasst sein; für Bestandsverträge und das Register gilt die Frist.
Das klingt komfortabel und ist es nicht. Zwei Jahre reichen für eine Bestandsaufnahme und die Nachverhandlung wesentlicher Verträge – nicht für beides plus Aufbau eines Registers, das bisher nur Auslagerungen kennt. Wer die Frist ab Veröffentlichung rechnet statt ab Anwendungsdatum, verschenkt zudem Zeit, die er nicht hat.
Die Pflichten entlang des Lebenszyklus
Der Entwurf ordnet die Anforderungen nach Phasen. Wer die MaRisk kennt, erkennt die Struktur wieder – der Zuschnitt ist aber breiter.
Governance und Strategie
Das Leitungsorgan bleibt für die Funktionen verantwortlich, auch wenn Dritte sie erbringen. Verlangt werden eine verabschiedete Strategie für Drittparteienrisiken, klare Rollen und Berichtslinien sowie eine regelmäßige Überprüfung der Richtlinie.
Substanzerhalt
Der Entwurf greift den Grundsatz auf, dass die Nutzung Dritter nicht zu Instituten ohne eigene Substanz führen darf. Die MaRisk kennen denselben Gedanken in AT 9 Tz. 4.
Vorvertragliche Phase
Risikobewertung je Vereinbarung, Sorgfaltsprüfung des Anbieters, Prüfung von Interessenkonflikten, Bewertung von Drittstaatsrisiken und Festlegung der Kritikalität.
Due-Diligence-Prüfung bei AuslagerungenVertragsphase
Leistungsumfang, Unterauftragnehmer, Prüfungs-, Zugangs- und Informationsrechte, Kündigung, Notfall- und Kontinuitätsregeln. Für kritische oder wichtige Funktionen erweitert.
Mindestanforderungen an AuslagerungsvereinbarungenLaufende Überwachung
Leistungsmessung über Kennzahlen, wiederkehrende Risiko- und Kritikalitätsbewertung, Registerpflege und Meldeprozesse bei Änderungen. Die Interne Revision bezieht die Vereinbarungen in ihren Prüfungsplan ein.
Aufgaben der Internen RevisionAusstieg und Kontinuität
Für jede kritische oder wichtige Funktion getestete Ausstiegspläne, alternative Anbieter und Regelungen zur Übertragbarkeit oder Reintegration.
Auslagerung AusstiegsstrategienDas Register als Angelpunkt
Der Entwurf sieht ein Register über Drittparteienvereinbarungen vor, dessen Datenfelder sich an denen des Informationsregisters nach DORA orientieren. Eine Zusammenführung beider Register ist möglich, aber nicht verlangt.
Praktisch ist das die aufwendigste Einzelanforderung: Ein Register, das heute Auslagerungen erfasst, muss um alle übrigen Drittparteienvereinbarungen erweitert werden. Wer sein Auslagerungsregister ohnehin überarbeitet, sollte die Feldstruktur gleich anschlussfähig anlegen.
Anschluss an das bestehende Register
Das Auslagerungsregister nach AT 9 Tz. 12 lit. b bleibt die Grundlage. Die Erweiterung um weitere Drittparteienvereinbarungen lässt sich als zusätzliches Feld vorbereiten.
Anforderungen an das AuslagerungsregisterUnterauftragnehmer
Der Entwurf legt Gewicht auf die Kette. Für IKT gilt bereits die Delegierte Verordnung (EU) 2025/532 mit der Pflicht zur Ermittlung der Gesamtkette.
Weiterverlagerung kritischer FunktionenVerantwortung im Haus
Die Rollen ändern sich nicht grundsätzlich. Das zentrale Auslagerungsmanagement nach AT 9 Tz. 12 ist der naheliegende Ort für die erweiterte Aufgabe.
Pflichten im AuslagerungsmanagementWas das für MaRisk-Häuser bedeutet
Leitlinien der EBA gelten nicht unmittelbar. Sie richten sich an die zuständigen Behörden, die nach dem Grundsatz Comply or Explain erklären, ob sie ihnen folgen. In Deutschland erfolgt die Umsetzung über die MaRisk.
AT 1 der MaRisk in der Fassung vom 30. Juni 2026 benennt die Leitlinien zu Auslagerungen als umgesetzt und stellt klar: Abschnitte der Leitlinien sind nur dann zusätzlich zu beachten, wenn die MaRisk ausdrücklich auf sie verweisen. Werden die Leitlinien von 2019 aufgehoben, verliert diese Umsetzungsaussage ihren Bezugspunkt.
Drei Folgerungen
- Es entsteht Anpassungsbedarf im AT 9. Wann die BaFin ihn aufgreift und ob sie den Perspektivwechsel vollständig übernimmt, ist offen.
- Bis dahin gilt AT 9 unverändert. Die Abgrenzung nach Tz. 1 zwischen Auslagerung und sonstigem Fremdbezug bleibt für deutsche Institute der maßgebliche Filter.
- Wer heute Prozesse aufsetzt, sollte sie so bauen, dass die Kritikalität einer Funktion als eigenes Merkmal geführt wird – unabhängig davon, ob eine Auslagerung vorliegt.
Die MaRisk-Fassung vom 30. Juni 2026 hat mit der Erläuterung zu AT 9 Tz. 1 bereits einen Schritt in diese Richtung getan: IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA fallen aus dem Anwendungsbereich heraus. Damit ist die Trennung zwischen IKT- und Non-IKT-Regime national schon vollzogen – genau die Trennung, auf der die neuen Leitlinien aufbauen.
Sechs typische Fehleinschätzungen
Die ersten beiden betreffen den Umgang mit dem Entwurfsstand, die übrigen die Vorbereitung.
Entwurf als geltendes Recht behandelt
Solange das Anwendungsdatum nicht feststeht, ist keine Frist verstrichen. Wer intern Pflichten aus einem Entwurf ableitet, erzeugt Aufwand ohne Rechtsgrund – und verliert Glaubwürdigkeit, wenn sich der Text ändert.
Entwurf als irrelevant abgetan
Die Gegenposition ist genauso teuer. Ein Register um alle Drittparteienvereinbarungen zu erweitern, dauert länger als zwei Jahre Übergangsfrist, wenn man erst mit dem Anwendungsdatum beginnt.
IKT-Verträge mitgeplant
Die Leitlinien sollen IKT-Dienstleistungen ausdrücklich nicht erfassen. Wer sie mitzieht, dupliziert das, was DORA bereits regelt.
DORA und IKT-DrittanbieterKritikalität nicht als eigenes Merkmal geführt
Heute hängt alles an der Frage Auslagerung oder Fremdbezug. Wer die Kritikalität nicht getrennt erfasst, muss den Bestand später zweimal durchgehen.
Zwingend einzustufende FälleÜbergangsfrist ab Veröffentlichung gerechnet
Die zwei Jahre laufen nach der Anhörungspräsentation ab dem Anwendungsdatum, nicht ab der Veröffentlichung. Zwischen beidem kann Zeit liegen – oder auch nicht.
Registerfelder nicht anschlussfähig angelegt
Der Entwurf orientiert die Felder an denen des Informationsregisters nach DORA. Wer sein Auslagerungsregister jetzt überarbeitet, sollte diese Struktur mitdenken.
Anforderungen an das AuslagerungsregisterQuick-Check zur Selbsteinschätzung
Sechs Fragen zur Vorbereitung. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist der aktuelle Verfahrensstand der Leitlinien im Haus bekannt?
EBA/CP/2025/12, Anhörungspräsentation der EBA
ErfülltDer Stand wird verfolgt und ist einer Rolle zugeordnet. Prüfe die EBA-Seite vor jeder Umsetzungsentscheidung.
TeilweiseDer Entwurf ist bekannt, der aktuelle Stand nicht. Setze eine Wiedervorlage – zwischen Entwurf und finaler Fassung liegen Unterschiede.
OffenOhne Beobachtung wird aus einer zweijährigen Übergangsfrist ein einjähriges Projekt.
Wird die Kritikalität einer Funktion getrennt von der Auslagerungsfrage geführt?
AT 9 Tz. 2 MaRisk, Art. 3 Nr. 22 DORA
ErfülltKritikalität und Auslagerungseigenschaft sind getrennte Merkmale im Bestand.
TeilweiseDie Kritikalität wird nur bei Auslagerungen bestimmt. Erweitere das Merkmal auf die übrigen Dienstleistungsverhältnisse.
OffenOhne getrennte Führung ist der Bestand später zweimal durchzugehen. Das Merkmal kostet heute wenig.
Ist der Bestand an Dienstleistungsverhältnissen ohne IKT-Bezug bekannt?
Erläuterung zu AT 9 Tz. 1 MaRisk
ErfülltDer Bestand ist erfasst, einschließlich der Verhältnisse außerhalb des AT 9.
TeilweiseAuslagerungen sind erfasst, sonstiger Fremdbezug nur teilweise. Genau dieser Teil käme neu hinzu.
OffenOhne Bestandskenntnis lässt sich der Umfang einer künftigen Umstellung nicht abschätzen.
Sind die Registerfelder an der DORA-Struktur ausgerichtet?
Art. 28 Abs. 3 DORA, EBA/CP/2025/12
ErfülltDie Felder sind abgestimmt; eine Erweiterung wäre ohne Bruch möglich.
TeilweiseDie Register laufen getrennt mit unterschiedlichen Feldern. Gleiche sie bei der nächsten Überarbeitung an.
OffenZwei inkompatible Feldstrukturen bedeuten später eine Migration statt einer Erweiterung.
Bezieht die Interne Revision Drittparteienbeziehungen in die Planung ein?
AT 4.4.3 Tz. 5 MaRisk
ErfülltDas Prüfungsuniversum umfasst die ausgelagerten Tätigkeiten und wird regelmäßig abgeglichen.
TeilweiseWesentliche Auslagerungen sind erfasst, weitere Dienstleister nicht. Erweitere das Universum risikoorientiert.
OffenAT 4.4.3 Tz. 5 erstreckt die Prüfung bereits heute auf ausgelagerte Tätigkeiten. Das ist der Ausgangspunkt.
Gibt es Ausstiegspläne für kritische Funktionen außerhalb des IKT-Bereichs?
AT 9 Tz. 6 MaRisk, EBA/CP/2025/12
ErfülltPläne liegen vor und werden überprüft. Prüfe die Durchführbarkeit an einem konkreten Fall.
TeilweiseHandlungsoptionen sind beschrieben, aber nicht geprüft. AT 9 Tz. 6 verlangt Prüfung und Verabschiedung.
OffenDer Entwurf verlangt für kritische oder wichtige Funktionen getestete Pläne. Das ist der aufwendigste Punkt.
No-Regret-Maßnahmen
Sechs Schritte, die sich auch dann lohnen, wenn die finale Fassung vom Entwurf abweicht – weil sie bereits nach geltendem Recht sinnvoll sind.
- Verfahrensstand beobachten und einer Rolle zuordnen; die Aktivitätsseite der EBA zeigt die Schritte Konsultation, Abschlussbericht und konsolidierte Fassung im Überblick.
- Kritikalität als eigenes Merkmal im Dienstleisterbestand führen, getrennt von der Frage Auslagerung oder sonstiger Fremdbezug.
- Bestand an Dienstleistungsverhältnissen ohne IKT-Bezug vollständig erfassen – das ist der Teil, der neu hinzukäme.
- Registerfelder an der Struktur des Informationsregisters nach DORA ausrichten, damit aus einer Erweiterung keine Migration wird.
- Prüfungsuniversum der Internen Revision risikoorientiert über die wesentlichen Auslagerungen hinaus erweitern.
- Handlungsoptionen und Ausstiegspläne für kritische Funktionen außerhalb des IKT-Bereichs prüfen und verabschieden.
Was bewusst offen bleibt
Wann der Abschlussbericht vorliegt und ab welchem Datum die Leitlinien anzuwenden sind, ist offen. Der in der Anhörung genannte Zielzeitpunkt April 2026 ist verstrichen, ohne dass die EBA den Status geändert hat. Eine Verzögerung hatten mehrere Beobachter für möglich gehalten; Gründe nennt die EBA auf der Aktivitätsseite nicht. Damit lässt sich auch der Beginn des zweijährigen Übergangszeitraums nicht terminieren.
Ebenso offen ist, wie und wann die BaFin den AT 9 anpasst. Aus dem Wegfall der Leitlinien von 2019 folgt Anpassungsbedarf, kein Zeitplan. Wer eine Aussage dazu braucht, sollte sie nicht aus dem europäischen Verfahrensstand ableiten.
Fazit
Die EBA Guidelines Third Party Risk verschieben den Anknüpfungspunkt – und das ist die eigentliche Nachricht.
- Nicht mehr die Auslagerung, sondern die Drittparteienbeziehung soll den Anwendungsbereich bestimmen.
- Maßgeblich für den Pflichtenumfang soll die Kritikalität der Funktion sein, abgestimmt mit der DORA-Terminologie.
- IKT-Dienstleistungen bleiben ausgenommen; dafür gelten DORA und die ergänzenden Standards.
- Vorgesehen ist ein Übergangszeitraum von zwei Jahren ab dem Anwendungsdatum.
- Für MaRisk-Häuser entsteht Anpassungsbedarf im AT 9 – mit offenem Zeitplan.
Bis dahin gilt AT 9 unverändert. Wer die Kritikalität schon heute als eigenes Merkmal führt, hat die Umstellung zur Hälfte hinter sich – und erfüllt nebenbei eine Anforderung, die DORA ohnehin stellt.
Häufige Fragen
Was regeln die EBA Guidelines Third Party Risk?+–
Sie sollen die Leitlinien zu Auslagerungen von 2019 ablösen und einen einheitlichen Rahmen für Drittparteienvereinbarungen ohne IKT-Bezug schaffen. Der Blickwinkel wechselt vom Outsourcing zur Drittparteienbeziehung: erfasst ist auch, was bisher nicht als Auslagerung eingestuft wurde.
Welchen Verfahrensstand haben die Leitlinien?+–
Das Konsultationspapier EBA/CP/2025/12 wurde am 8. Juli 2025 veröffentlicht, die Konsultation endete am 8. Oktober 2025. Die EBA weist den Status auf ihrer Aktivitätsseite am 10. September 2026 weiterhin als Under consultation aus. Ein Abschlussbericht liegt nicht vor; der in der Anhörung genannte Zielzeitpunkt April 2026 ist verstrichen.
Warum betreffen die Leitlinien keine IKT-Dienstleistungen?+–
Für IKT-Dienstleistungen gilt seit 2025 DORA mit den Art. 28 bis 30 und den ergänzenden technischen Regulierungsstandards. Die Leitlinien sollen danebentreten und den Bereich abdecken, der nicht unter DORA fällt – mit abgestimmter Terminologie, um Doppelregulierung zu vermeiden.
Wer soll in den Anwendungsbereich fallen?+–
Nach dem Konsultationspapier Kreditinstitute, Wertpapierfirmen mit Ausnahme kleiner und nicht verflochtener, Zahlungs- und E-Geld-Institute, Emittenten wertreferenzierter Token nach MiCAR sowie Kreditgeber nach der Wohnimmobilienkreditrichtlinie. Reine Kontoinformationsdienstleister sollen ausgenommen bleiben.
Welche Übergangsfrist ist vorgesehen?+–
Die EBA hat in ihrer öffentlichen Anhörung einen Übergangszeitraum von zwei Jahren ab dem Anwendungsdatum genannt. Neue und geänderte Vereinbarungen sollen ab dem Anwendungsdatum erfasst sein, Bestandsverträge innerhalb der Übergangsfrist angepasst werden.
Was bedeutet das für die MaRisk?+–
Die MaRisk setzen die Leitlinien zu Auslagerungen von 2019 um; AT 1 stellt sie als vollständig umgesetzt dar. Werden die Leitlinien abgelöst, entsteht Anpassungsbedarf im AT 9 – wann und in welchem Umfang, ist offen. Die Fassung vom 30. Juni 2026 hat den Anwendungsbereich bereits um IKT-Dienstleistungen bereinigt.
Quellen
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
- EBA, Consultation Paper on Draft Guidelines on the sound management of third-party risk (EBA/CP/2025/12) (PDF)Entwurfstext, Anwendungsbereich, Definitionen und Übergangsbestimmungen.
- EBA, Aktivitätsseite Guidelines on outsourcing arrangements, laufende Überarbeitung 2025Maßgeblicher Beleg für den Verfahrensstand: Status Under consultation, Abschlussbericht ausstehend.
- EBA, Pressemitteilung zur Konsultation der LeitlinienBeleg für Veröffentlichungsdatum und Zielrichtung der Konsultation.
- EBA, Präsentation zur öffentlichen Anhörung vom 5. September 2025 (PDF)Beleg für Konsultationsfrist, Übergangszeitraum von zwei Jahren und den angekündigten Veröffentlichungszeitpunkt.
- EBA, Final report zu geänderten Leitlinien für Produktüberwachung (EBA/GL/2026/07) (PDF)Querverweis auf die Leitlinien zur soliden Steuerung von Risiken durch Dritte; Indiz für die Finalisierung.
- EBA, Final Report – Guidelines on outsourcing arrangements (EBA/GL/2019/02) (PDF)Der Rahmen, der abgelöst werden soll.
- BaFin, Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk)Nationale Umsetzung; AT 1 zur Geltung der Leitlinien und AT 9 zum Anwendungsbereich.
- Verordnung (EU) 2022/2554 (DORA)Grundlage für Art. 3 Nr. 21 und Nr. 22 sowie Art. 28 Abs. 3.
- Delegierte Verordnung (EU) 2025/532 – Untervergabe von IKT-DienstleistungenErgänzender Standard im IKT-Regime, das die Leitlinien ausklammern.
- Deutsche Bundesbank, Themenseite MaRiskFundstelle für Rundschreiben und Änderungsübersichten.
Verwandte Beiträge und Programme
Die EBA Guidelines Third Party Risk berühren jeden Baustein des Auslagerungsmanagements. Hier die Beiträge zum geltenden Recht.
- Governance im Auslagerungsmanagement – HubEinstieg in den gesamten Ordnungsrahmen.
- Abgrenzung von Auslagerungen und Fremdbezug nach MaRiskDer Filter, der an Bedeutung verlieren würde.
- Zwingend als kritisch/wesentlich einzustufenDie Einstufung, die an Bedeutung gewinnt.
- Anforderungen an das AuslagerungsregisterDie Feldstruktur, die anschlussfähig sein sollte.
- Mindestanforderungen an AuslagerungsvereinbarungenDer geltende Vertragskatalog.
- Wie erfolgt die Due-Diligence-Prüfung bei AuslagerungenDie vorvertragliche Phase nach geltendem Recht.
- Weiterverlagerung von kritischen oder wesentlichen FunktionenUnterauftragnehmer in beiden Regimen.
- Auslagerung AusstiegsstrategienExit-Pläne als aufwendigste Einzelanforderung.
- Welche Pflichten hat ein AuslagerungsbeauftragterDie Funktion, deren Aufgabenkreis wachsen würde.
- DORA: IKT-Drittanbieter und systemische RisikenDas Regime, das ausgeklammert bleibt.
- Die 9. MaRisk-Novelle im ÜberblickDie nationale Fassung, die nachziehen müsste.
- Anzeigepflicht zu Auslagerungen bei WertpapierinstitutenBesonderheiten für Wertpapierinstitute.
Hinweis zur Unabhängigkeit: Dieser Beitrag gibt den Verfahrensstand und den Entwurfstext neutral wieder. Aussagen zu Software oder Beratungsleistungen einzelner Anbieter werden bewusst nicht getroffen.
Kritikalität schon heute getrennt führen, statt den Bestand zweimal durchzugehen? Quick-Check zur Vorbereitung.
