Themenhub für Entscheider
Rechtsstand: 10. September 2026 | Basis: MaRisk in der Fassung vom 30.06.2026, KWG in der ab 01.04.2026 geltenden Fassung, Verordnung (EU) 2022/2554
Governance im Auslagerungsmanagement heißt 2026: drei Regelwerke sauber auseinanderhalten und die Verantwortung dort verankern, wo sie hingehört. Dieser Hub ordnet die Themen für Geschäftsleitung und Aufsichtsorgan und verweist auf die vertiefenden Beiträge.
Bis 2024 war das Auslagerungsmanagement weitgehend eine Frage der Umsetzungstiefe: Welche Detailvorgabe ist wie zu erfüllen. Mit der am 30. Juni 2026 veröffentlichten Fassung der MaRisk verschiebt sich das. Das Rundschreiben ist deutlich stärker prinzipienbasiert; Detailvorgaben entfallen an mehreren Stellen. Was bleibt, ist die Verantwortung – und die Pflicht, die eigene Ausgestaltung begründen zu können.
Parallel dazu wirken zwei weitere Rechtsakte auf denselben Sachverhalt. Die Verordnung (EU) 2022/2554 zieht IKT-Dienstleistungen in ein eigenes Regime. Und die KWG-Änderungen zur Umsetzung der CRD VI, die grundsätzlich zum 1. April 2026 in Kraft getreten sind, erstrecken Eignungsanforderungen auf Inhaber von Schlüsselfunktionen unterhalb der Organebene.
Für die Entscheidungsebene bedeutet das eine andere Fragestellung. Nicht mehr: Haben wir die Checkliste abgearbeitet. Sondern: Können wir erklären, warum unser Auslagerungsmanagement in dieser Form angemessen ist, wer es verantwortet und woran wir seine Wirksamkeit messen.
Vier Rechtsquellen greifen ineinander. Die Tabelle zeigt, welche wofür zuständig ist. Die häufigste Fehlerquelle liegt nicht in einer der Quellen, sondern an ihren Schnittstellen.
| Rechtsquelle | Regelungsgegenstand | Zeitliche Geltung | Einordnung |
|---|---|---|---|
| MaRisk, Rundschreiben 06/2026 (BA) | Auslagerungen von Aktivitäten und Prozessen (AT 9), Ressourcen (AT 7), Organisationsrichtlinien (AT 5) | Stand 30.06.2026 | Konkretisiert § 25a Abs. 1 und § 25b KWG |
| Verordnung (EU) 2022/2554 (DORA) | IKT-Dienstleistungen nach Art. 3 Nr. 21 und IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 | unmittelbar geltend | Nach Erläuterung zu AT 9 Tz. 1 außerhalb des AT 9 |
| KWG in der ab 01.04.2026 geltenden Fassung | Geschäftsleiterpflichten (§ 25c), Inhaber von Schlüsselfunktionen (§ 25e), Auslagerung (§ 25b) | grundsätzlich seit 01.04.2026 | Umsetzung der Richtlinie (EU) 2024/1619 |
| EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) | Europäischer Rahmen für Auslagerungsvereinbarungen | in den MaRisk umgesetzt | In AT 1 der MaRisk als umgesetzte Leitlinie benannt |
Vor jeder Steuerungsfrage steht die Zuordnungsfrage. AT 9 Tz. 1 definiert die Auslagerung und grenzt den sonstigen Fremdbezug ab. Die Erläuterung nimmt IKT-Dienstleistungen nach DORA aus dem Anwendungsbereich heraus.
Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit Aktivitäten und Prozessen beauftragt wird, die ansonsten das Institut selbst erbringen würde. Zivilrechtliche Gestaltungen können das nicht ausschließen.
Zur AbgrenzungAT 9 Tz. 2 verlangt eine Risikoanalyse, aus der sich die Einstufung ergibt. Bei nicht wesentlichen Auslagerungen greifen die allgemeinen Anforderungen des § 25a Abs. 1 KWG.
MaRisk Ordnungsrahmen im ÜberblickBestimmte Konstellationen sind stets als kritisch oder wesentlich zu behandeln. Die Kriterien stammen aus dem europäischen Rahmen und wirken in die nationale Praxis hinein.
Zu den EinstufungskriterienWas sich über AT 9 hinaus geändert hat: Proportionalitätsklassen, Modelle und Validierung, ESG-Risiken und die Struktur des Rundschreibens insgesamt.
Zur 9. MaRisk-NovelleDie Entwicklung der EBA-Vorgaben zum Third-Party Risk Management und ihr Verhältnis zu den Auslagerungsleitlinien.
Zu den EBA-LeitlinienFür Wertpapierinstitute gelten eigene Anzeigepflichten. Der Beitrag ordnet § 40 WpIG und die europäischen Vorgaben ein.
Zur AnzeigepflichtAT 9 Tz. 12 verlangt ein zentrales Auslagerungsmanagement mit vier benannten Aufgaben. Wer diese Funktion trägt und wie ihre Eignung beurteilt wird, ist seit 2026 eine eigenständige Governance-Entscheidung.
Die Bestellungsanforderung ist aus AT 9 Tz. 12 verschwunden, die Eignungsanforderung ist über § 25e KWG neu hinzugekommen. Was daraus für die Geschäftsleitung folgt.
Fit & Proper als AuslagerungsbeauftragterDas Aufgabenspektrum im Detail: Implementierung, Dokumentation, Unterstützung der Fachbereiche und Koordination der Risikoanalyse.
Zu den PflichtenMonitoring- und Kontrollhandlungen über den Lebenszyklus der Auslagerung hinweg, einschließlich Eskalation bei Schlechtleistung.
Aufgaben der Internen RevisionWerden Risikocontrolling-Funktion, Compliance-Funktion oder Interne Revision ausgelagert, gelten besondere Maßstäbe. AT 9 Tz. 10 verlangt dann einen unabhängigen und sachkundigen Beauftragten.
Zur Auslagerung besonderer FunktionenDie Interne Revision prüft auch ausgelagerte Tätigkeiten. Unter den Voraussetzungen von AT 9 Tz. 4 kann sie auf eigene Prüfungshandlungen verzichten.
Zu den Aufgaben der Internen RevisionWas bei der Auslagerung der Internen Revision an Banken und Finanzdienstleister zu beachten ist.
Zur ausgelagerten RevisionDie Steuerungsseite ist der Teil, den Prüfer zuerst aufschlagen. AT 9 Tz. 9 verlangt die laufende Überwachung der Leistung anhand vorzuhaltender Kriterien, ausdrücklich genannt sind Key Performance Indicators und Key Risk Indicators.
Die vollständige Dokumentation der Auslagerungen einschließlich Weiterverlagerungen nach § 25b Abs. 1 Satz 4 KWG ist ausdrückliche Aufgabe des zentralen Auslagerungsmanagements.
Zu den AnforderungenKPIs messen Leistung, KRIs warnen vor Risiken. Für die Aussage nach AT 9 Tz. 13 zur Steuerbarkeit braucht es beides.
KPI und KRI im VergleichWelche Mängel im Risikomanagement wiederkehrend beanstandet werden und wie sich daraus ein Maßnahmenplan ableiten lässt.
Zu den FeststellungenDie Trennlinie zwischen MaRisk und DORA ist die größte strukturelle Änderung des Jahres. Sie entlastet dort, wo bisher doppelt gearbeitet wurde – und schafft ein neues Risiko, wenn die Zuordnung unterbleibt.
Wie das Überwachungsregime für kritische IKT-Drittdienstleister funktioniert und welche Abhängigkeiten dabei sichtbar werden.
Zu DORA und IKT-DrittanbieternJede bestehende Auslagerung und jeder Fremdbezug ist daraufhin zu prüfen, ob eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA vorliegt. Das Ergebnis gehört dokumentiert.
Grundlage: Abgrenzung nach MaRiskArt. 5 Abs. 4 DORA verpflichtet die Mitglieder des Leitungsorgans, ausreichende Kenntnisse und Fähigkeiten aktiv aktuell zu halten – unter anderem durch regelmäßige spezielle Schulungen.
Eignung im AuslagerungsmanagementDie Governance im Auslagerungsmanagement scheitert selten am Fachwissen und häufig an unklarer Zuständigkeit. Diese Übersicht ordnet die wiederkehrenden Entscheidungen zu.
| Entscheidung | Zuständig | Norm | Anmerkung |
|---|---|---|---|
| Richten wir ein zentrales Auslagerungsmanagement ein? | Geschäftsleitung | AT 9 Tz. 12 MaRisk | Proportionalitätsentscheidung, zu begründen und zu dokumentieren |
| Ist die Funktion eine Schlüsselfunktion? | Geschäftsleitung | § 1 Abs. 2b, § 25e KWG | Einordnung mit Folgen für das Eignungsverfahren |
| Welche Auslagerungen sind wesentlich? | Fachbereiche, koordiniert durch das zentrale Auslagerungsmanagement | AT 9 Tz. 2 MaRisk | Risikoanalyse, regelmäßig zu überprüfen |
| Greift AT 9 oder DORA? | Zentrales Auslagerungsmanagement gemeinsam mit der IKT-Seite | Erläuterung zu AT 9 Tz. 1 | Zuordnung je Dienstleistungsverhältnis |
| Ist die Berichterstattung ausreichend? | Geschäftsleitung, Kenntnisnahme durch das Aufsichtsorgan | AT 9 Tz. 13, AT 3.2 MaRisk | Drei Pflichtaussagen im Bericht |
| Wird die Wirksamkeit unabhängig geprüft? | Interne Revision | AT 4.4.3 Tz. 5 MaRisk | Erstreckt sich ausdrücklich auf ausgelagerte Tätigkeiten |
Governance im Auslagerungsmanagement lässt sich 2026 auf vier Sätze verdichten.
Wer diese vier Punkte belegen kann, hat den aufsichtlichen Kern abgedeckt. Alles Weitere ist Ausgestaltung – und die darf institutsindividuell ausfallen.
AT 9 ist prinzipienorientierter gefasst. Die Aufzählung der zu analysierenden Aspekte in der Risikoanalyse entfällt, der Grundsatz bleibt: Alle für das Institut relevanten Aspekte sind zu berücksichtigen. Zugleich zieht die Erläuterung zu AT 9 Tz. 1 eine klare Trennlinie zu DORA. Weniger Detailvorgabe bedeutet mehr Begründungslast auf Seiten des Instituts.
Nein. Nach der Erläuterung zu AT 9 Tz. 1 fallen ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich des AT 9. Jedes Dienstleistungsverhältnis braucht deshalb eine dokumentierte Zuordnung.
AT 9 Tz. 12 knüpft die Pflicht an Art, Umfang und Komplexität der Auslagerungsaktivitäten. Es handelt sich um eine Proportionalitätsentscheidung, die das Institut zu treffen und zu begründen hat. Für Gruppen und Finanzverbünde lässt AT 9 Tz. 14 ein zentrales Auslagerungsmanagement auf Gruppen- oder Verbundebene zu.
Kleine Institute müssen die Risikoanalyse nach AT 9 Tz. 2 alle drei Jahre überprüfen und können qualitative Ansätze heranziehen. Sehr kleine Institute können die Compliance-Funktion oder die Interne Revision vollständig auslagern (AT 9 Tz. 5) und die Berichterstattung nach AT 9 Tz. 13 im Rahmen einer Vorstandssitzung abwickeln.
AT 9 Tz. 7 führt für wesentliche Auslagerungen die Punkte auf, die nach § 25b Abs. 3 Satz 3 KWG in Textform zu vereinbaren sind – von der Leistungsspezifikation über Standorte und Dienstleistungsgüte bis zu Informations- und Prüfungsrechten, Kündigungsrechten und Regelungen zur Weiterverlagerung.
Sie endet nicht. AT 9 Tz. 4 stellt ausdrücklich klar, dass eine Auslagerung nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen führt und dass Leitungsaufgaben nicht ausgelagert werden dürfen. Das ist der Kern der Governance im Auslagerungsmanagement.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Hub einsteht.
Die folgende Übersicht enthält sämtliche Beiträge, die diesem Hub zugeordnet sind.
Wer die Funktion im eigenen Haus besetzt, braucht nachweisbare Kenntnisse nach AT 7.1 Tz. 2 MaRisk. S+P Seminare bietet dazu einen Zertifikats-Lehrgang zu MaRisk AT 9 und DORA an.
Hinweis zur Unabhängigkeit: Die Beiträge dieses Hubs beschreiben Anforderungen und Systemlandschaften neutral. Aussagen zu Produkten einzelner Anbieter werden bewusst nicht getroffen.
Auslagerungsmanagement operativ abgeben statt selbst aufbauen? Zuerst die Zuständigkeiten klären.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.