Neue EBA-Leitlinien zum Drittparteirisikomanagement

vor 10 Minuten

7 Min. Lesezeit

Die Europäische Bankenaufsichtsbehörde (EBA) hat am 18. September 2026 den Abschlussbericht zu ihren Leitlinien für das solide Management von Drittparteirisiken bei Nicht-IKT-Dienstleistungen veröffentlicht (EBA/GL/2026/09). Die Leitlinien konzentrieren sich auf Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, und sollen den Aufwand für weniger wesentliche Vereinbarungen senken; für die Umsetzung ist eine zweijährige Übergangsphase vorgesehen. Sie lösen die EBA-Leitlinien zu Auslagerungen vom 25. Februar 2019 ab.

Vom Auslagerungs- zum Drittparteibegriff

Der zentrale konzeptionelle Schritt: Auslagerung ist künftig nur noch eine Teilmenge. Erfasst wird jede Vereinbarung zwischen einem Finanzunternehmen und einem Drittdienstleister (Third-Party Service Provider, TPSP) – einschließlich gruppeninterner Dienstleister –, mit der eine oder mehrere Funktionen wiederkehrend oder dauerhaft unterstützt werden. Eine Auslagerung im engeren Sinn liegt weiterhin nur vor, wenn der Dienstleister eine Funktion übernimmt, die das Institut sonst selbst erbringen würde.

Sachlich beschränken sich die Leitlinien auf Nicht-IKT-Dienstleistungen; IKT-Dienstleistungen bleiben dem Digital Operational Resilience Act (DORA) vorbehalten. Erwartet wird dennoch ein ganzheitlicher Ansatz, der IKT- und Nicht-IKT-Drittparteirisiken gemeinsam abdeckt. Bei gemischten Vereinbarungen muss das Institut selbst beurteilen, ob der IKT-Anteil für die Leistungserbringung wesentlich ist und damit DORA greift.

Der Anwendungsbereich ist zugleich breiter als 2019: Erfasst sind CRD-Institute, Wertpapierfirmen, die nicht als klein und nicht verflochten gelten, Zahlungs- und E-Geld-Institute, Emittenten wertreferenzierter Token (ARTs) sowie Kreditgeber nach der Wohnimmobilienkreditrichtlinie, die Finanzinstitute sind.

Ausdrücklich nicht erfasst sind unter anderem:

gesetzlich zwingend von Dritten zu erbringende Leistungen (z. B. die Abschlussprüfung) sowie regulierte Finanzdienstleistungen, die von anderen beaufsichtigten Unternehmen erbracht werden müssen (z. B. Verwahrung, Handelsplätze)
Marktinformationsdienste, Interbankgeschäfte und Transaktionen mit Zentralbanken
Zahlungsnetzinfrastrukturen, Clearing- und Settlement-Vereinbarungen, global beaufsichtigte Finanznachrichteninfrastrukturen (z. B. SWIFT) sowie Korrespondenzbankdienstleistungen
Leistungen ohne wesentlichen Einfluss auf Risikolage oder operationale Resilienz – genannt werden etwa Rechtsgutachten, Reinigung, Catering, Postdienste, Sekretariat – sowie der Bezug von Waren und Versorgungsleistungen

Kritische oder wichtige Funktionen als Dreh- und Angelpunkt

Die Definition der kritischen oder wichtigen Funktion (Critical or Important Function, CIF) folgt DORA. Eine Funktion ist kritisch oder wichtig, wenn ihr Ausfall die Finanzlage, die Solidität oder Kontinuität der Dienstleistungen oder die fortlaufende Einhaltung der Zulassungsvoraussetzungen wesentlich beeinträchtigen würde. Für CIF-Vereinbarungen gelten durchgehend strengere Anforderungen als für sonstige Drittparteivereinbarungen.

Zwei Automatismen sind für die Praxis besonders relevant: Operative Tätigkeiten interner Kontrollfunktionen, die auf Dritte übertragen werden, sind stets als kritisch oder wichtig einzustufen, es sei denn, die Beurteilung ergibt, dass ein Ausfall die Wirksamkeit der Kontrollfunktion nicht beeinträchtigen würde. Funktionen, deren Erbringung in einem Umfang erfolgt, der eine aufsichtliche Zulassung erfordern würde, gelten automatisch als kritisch oder wichtig. Institute müssen zudem eine eigene Methodik zur Kritikalitätsbeurteilung festlegen.

Governance: Strategie, Policy und klare Verantwortlichkeiten

Das Leitungsorgan hat eine Strategie für das Management von Drittparteirisiken festzulegen, zu genehmigen und regelmäßig zu überprüfen; integrierte oder getrennte Strategien für IKT und Nicht-IKT sind beide zulässig. Hinzu kommt eine schriftliche Leitlinie für Vertragsbeziehungen über CIF-relevante Nicht-IKT-Dienstleistungen, die mindestens jährlich zu überprüfen ist und den gesamten Lebenszyklus abdecken muss – von der Planung über Risikoanalyse, Due Diligence, Genehmigung und Überwachung bis zu Ausstiegsstrategien.

Diese Leitlinie darf mit der Policy nach Art. 28 Abs. 10 DORA zusammengeführt werden, muss dann aber zwischen IKT- und Nicht-IKT-Dienstleistungen, zwischen beaufsichtigten und nicht beaufsichtigten Dienstleistern, zwischen gruppeninternen und externen Vereinbarungen sowie zwischen EU- und Drittstaatendienstleistern unterscheiden.

Bei den Verantwortlichkeiten enthält der Text eine ausdrückliche Erleichterung: Institute haben eine Funktion zur Überwachung aller Drittparteivereinbarungen einzurichten oder ein Mitglied der Geschäftsleitung zu benennen; weniger komplexe Institute müssen zumindest eine klare Aufgaben- und Verantwortungsteilung sicherstellen und dürfen die Rolle einem Mitglied des Leitungsorgans zuweisen. Diese Rolle darf mit der Überwachungsfunktion nach Art. 5 Abs. 3 DORA kombiniert werden.

Register und Informationspflichten gegenüber der Aufsicht

Das bisherige Auslagerungsregister wird zum Register aller Drittparteivereinbarungen, mit Unterscheidung zwischen CIF- und sonstigen Vereinbarungen. Das Register soll so weit wie möglich mit dem Informationsregister nach Art. 28 Abs. 3 DORA konsistent sein; ein einziges gemeinsames Register ist ausdrücklich zulässig. Für alle Vereinbarungen sind unter anderem Referenznummer und Vertragstyp, Laufzeitdaten, Funktionsbeschreibung, CIF-Kennzeichnung samt Begründung, eine interne Kategorisierung sowie Identifikationsdaten des Dienstleisters (LEI, EUID, Mutterunternehmen) zu erfassen.

Für CIF-Vereinbarungen kommen weitere Felder hinzu: anwendbares Recht, Datum der letzten Prüfungen, wesentliche Unterauftragnehmer samt Kette und Standort, Ergebnis der letzten Substituierbarkeitsbeurteilung (leicht, mittel, hochkomplex oder unmöglich), Reintegrationsanalyse mit Recovery Time und Recovery Point Objective, Bestehen eines Ausstiegsplans, alternative Dienstleister sowie die geschätzten jährlichen Kosten der Vereinbarung.

Hinzu treten Informationspflichten: Geplante Vertragsverhältnisse über kritische oder wichtige Funktionen – und Fälle, in denen eine bestehende Funktion kritisch oder wichtig wird – sind der zuständigen Behörde rechtzeitig anzuzeigen, gegebenenfalls im aufsichtlichen Dialog. Auch wesentliche Änderungen und schwerwiegende Ereignisse bei CIF-Vereinbarungen sind zeitnah zu melden.

Vertrag, Weitervergabe, Prüfrechte und Ausstieg

Die Mindestinhalte schriftlicher Verträge sind im Kern aus DORA und den Auslagerungsleitlinien bekannt: Leistungsbeschreibung, Angaben zu Erbringungs- und Datenverarbeitungsorten, anwendbares Recht, Datenschutz- und Datenrückgaberegelungen, Service Levels, Kooperationspflichten gegenüber Aufsichts- und Abwicklungsbehörden sowie Kündigungsrechte. Für CRD-Institute ist zusätzlich ausdrücklich auf die Befugnisse der nationalen Abwicklungsbehörde nach Art. 68 und 71 BRRD zu verweisen.

Bei CIF-Vereinbarungen kommen messbare Leistungsziele, Berichts- und Anzeigepflichten des Dienstleisters, Vorgaben zu Notfallplänen, uneingeschränkte Prüf- und Zugangsrechte einschließlich Vor-Ort-Prüfungen sowie eine verpflichtende Übergangsphase im Rahmen der Ausstiegsstrategie hinzu. Gemeinsame Prüfungen mehrerer Institute (Pooled Audits) gelten nicht als Drittparteivereinbarung im Sinne der Leitlinien. Ob Unterbeauftragung kritischer oder wichtiger Funktionen zulässig ist, muss der Vertrag ausdrücklich regeln; die Letztverantwortung des Leitungsorgans wird dadurch nicht gemindert.

Gruppen und institutsbezogene Sicherungssysteme

Für Verbundstrukturen enthält Titel I eigene Regelungen – für österreichische und deutsche Sektorverbünde der praktisch wichtigste Abschnitt. Zentrale Lösungen sind zulässig, entlasten das einzelne Institut aber nicht von der Verantwortung:

Bei zentraler Überwachung müssen die Institute für CIF-Dienstleistungen eine unabhängige Überwachung und eine eigene angemessene Aufsicht sicherstellen und mindestens jährlich Berichte mit Risikobeurteilung und Leistungsüberwachung sowie eine Zusammenfassung der relevanten Prüfberichte erhalten.
Bei zentraler vorvertraglicher Analyse erhält jedes Institut eine Zusammenfassung und muss die eigene Struktur und Risikolage in die Entscheidung einbeziehen.
Ein zentral geführtes Register ist möglich, sofern jedes Institut und die Aufsicht den individuellen Registerauszug unverzüglich erhalten können.
Bei zentralen Ausstiegsplänen erhält jedes Institut eine Zusammenfassung und muss sich von der Durchführbarkeit überzeugen.
Gruppeninterne Vereinbarungen unterliegen demselben Rahmen wie externe und sind nicht per se risikoärmer; die Konditionen einschließlich der finanziellen sind objektiv festzulegen.

Bedeutung für die interne Revision

Die interne Revision hat die von Dritten erbrachten Funktionen risikoorientiert unabhängig zu prüfen; Prüfungsplan und -programm müssen CIF-Drittparteivereinbarungen einschließen. Zu beurteilen sind insbesondere die korrekte Umsetzung des Rahmenwerks einschließlich der Policy, die Qualität der Kritikalitätsbeurteilung, die Angemessenheit der Risikoanalyse, die Einbindung der Governance-Gremien und die laufende Überwachung. Ergänzend ist ein formaler Follow-up-Prozess für wesentliche Prüfungsfeststellungen einzurichten.

Zeitplan - und was noch offen ist

Hier ist Vorsicht geboten: Der Abschlussbericht enthält noch kein Erstanwendungsdatum. Die Leitlinien gelten ab „[date]“ für alle ab diesem Zeitpunkt geschlossenen, überprüften oder geänderten Vereinbarungen; sind Überprüfung und Dokumentation von CIF-Vereinbarungen nach zwei Jahren nicht abgeschlossen, ist die zuständige Behörde unter Angabe der geplanten Maßnahmen oder einer möglichen Ausstiegsstrategie zu informieren. Bei nicht kritischen Vereinbarungen können Überprüfung und Dokumentation auf den Zeitpunkt der Vertragsverlängerung beschränkt werden. Die Auslagerungsleitlinien von 2019 werden zum selben, noch offenen Datum aufgehoben. Auch die Frist für die Compliance-Meldung der nationalen Aufsichtsbehörden ist im Dokument noch als Platzhalter ausgewiesen; die Leitlinien liegen bislang nur in englischer Fassung vor.

Einordnung

Die von der EBA betonte Vereinfachung liegt in der Fokussierung auf kritische oder wichtige Funktionen und im Verzicht auf volle Anforderungstiefe bei nachrangigen Vereinbarungen – nicht in einer Entlastung kleiner Häuser als Kategorie. Kleine und nicht komplexe Institute (SNCIs) im Sinne von Art. 4 Abs. 1 Nr. 145 CRR sind kein eigener Adressatenkreis der Leitlinien; Erleichterungen ergeben sich über den Proportionalitätsgrundsatz und über die Formulierung „weniger komplexe Institute“, etwa bei qualitativen Risikoanalysen und bei der Zuweisung der Überwachungsrolle. Der Aufwand verlagert sich damit weniger auf zusätzliche Prozesse als auf zwei Abgrenzungsfragen: Was ist überhaupt eine Drittparteivereinbarung im Sinne der Leitlinien, und welche Leistung ist IKT, welche nicht. Für Verbundinstitute dürfte die praktische Arbeit überwiegend in der Sektor- oder Zentralinstitutsebene liegen – mit der Einschränkung, dass Registerauszug, Berichte und Ausstiegspläne auf Einzelinstitutsebene verfügbar und vom jeweiligen Leitungsorgan gewürdigt sein müssen.

💡 Hinweise für kleine und nicht komplexe Institute:

Verschaffen Sie sich zunächst einen vollständigen Überblick: Bestandsaufnahme aller laufenden Vertragsbeziehungen mit Dienstleistern, nicht nur der bisher als Auslagerung geführten. Der Ausschlusskatalog der Leitlinien (u. a. Abschlussprüfung, SWIFT, Korrespondenzbankgeschäft, Reinigung, Catering, Warenbezug) reduziert die Grundgesamtheit erfahrungsgemäß deutlich und sollte früh angewendet werden.

Klären Sie die Abgrenzung zu DORA schriftlich und einheitlich. Da bei gemischten Verträgen das Institut selbst über die Wesentlichkeit des IKT-Anteils entscheidet, gehört diese Entscheidung dokumentiert – sonst entsteht genau die Lücke, die in der Prüfung auffällt.

Prüfen Sie, ob ein gemeinsames Register für IKT- und Nicht-IKT-Vereinbarungen sinnvoller ist als zwei getrennte. Zwei Datenfelder sind neu zu erheben und brauchen Vorlauf: Substituierbarkeit und geschätzte Jahreskosten je CIF-Vereinbarung.

Legen Sie die Methodik zur Einstufung kritischer oder wichtiger Funktionen fest, bevor Sie die Einzelfälle beurteilen – einschließlich der Sonderfälle: ausgelagerte operative Tätigkeiten interner Kontrollfunktionen und zulassungspflichtige Tätigkeiten.

Nutzen Sie die Erleichterung für weniger komplexe Institute bewusst: klare Aufgabenteilung statt eigener Stelle, Zuweisung an ein Mitglied des Leitungsorgans, qualitative statt quantitativer Risikoanalyse. Dokumentieren Sie die Proportionalitätsentscheidung, statt sie stillschweigend vorauszusetzen.

Institute in Verbundstrukturen sollten frühzeitig mit der Zentralorganisation klären, welche Berichte, Registerauszüge, Analysezusammenfassungen und Ausstiegspläne sie in welcher Frequenz erhalten – die Leitlinien verlangen mindestens jährliche Berichte und eine eigene Würdigung durch das Leitungsorgan.

Nehmen Sie Drittparteivereinbarungen in die Mehrjahresplanung der internen Revision auf. Der Prüfungsplan muss CIF-Vereinbarungen abdecken; ein formaler Follow-up-Prozess für wesentliche Feststellungen ist ausdrücklich gefordert.

Für die Vertragsanpassung gilt: Die Zweijahresfrist läuft erst ab dem noch festzulegenden Erstanwendungsdatum. Bei nicht kritischen Vereinbarungen genügt die Anpassung zur Vertragsverlängerung – anstehende Neuabschlüsse und Verlängerungen sollten die neuen Mindestinhalte aber schon jetzt berücksichtigen.

Quelle / Eckdaten

👉 Link zum Dokument	EBA-Leitlinien zum Management von Drittparteienrisiken
📅 Veröffentlichung	18. September 2026
Art des Dokuments	Abschlussbericht mit finalen Leitlinien (Guidelines nach Art. 16 EBA-Verordnung, „comply or explain“)
Herausgeber	Europäische Bankenaufsichtsbehörde (EBA)
⚖️ Rechtsgrundlage	Art. 74 Richtlinie 2013/36/EU (CRD); daneben berücksichtigt: Art. 11 Richtlinie (EU) 2015/2366 (PSD 2), Art. 26 Richtlinie (EU) 2019/2034 (IFD), Art. 16 Richtlinie 2014/65/EU (MiFID II), Art. 34 Verordnung (EU) 2023/1114 (MiCAR), Art. 16 Verordnung (EU) Nr. 1093/2010
Adressaten	Zuständige Behörden sowie CRD-Institute, Drittstaatenzweigstellen, Wertpapierfirmen (ausgenommen kleine und nicht verflochtene), Zahlungs- und E-Geld-Institute, ART-Emittenten, Kreditgeber nach der Wohnimmobilienkreditrichtlinie, die Finanzinstitute sind, sowie genehmigte (gemischte) Finanzholdinggesellschaften
✅ Status	Final; bislang nur in englischer Sprachfassung, Übersetzung in die EU-Amtssprachen ausstehend
📅 Erstanwendung	Im Dokument noch nicht festgelegt (Platzhalter „[date]“); danach zweijährige Übergangsfrist für bestehende Vereinbarungen; Aufhebung der Auslagerungsleitlinien von 2019 zum selben Datum