Finale EBA-Leitlinien zu non-IKT-Drittparteirisiken

 

Aktueller Stand und Zielrichtung

Die Europäische Bankenaufsichtsbehörde (EBA) hat am 18. September 2026 die finalen Guidelines on the sound management of third-party risk regarding non-ICT services veröffentlicht (EBA/GL/2026/09). Die Konsultationsphase lief bis zum 8. Oktober 2025. Bei der EBA gingen bis dahin 72 Stellungnahmen ein.

Die EBA-Leitlinien zum Third-Party Risk Management (EBA-GL TPRM) lösen die bisherigen EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) ab und sind an den durch DORA geschaffenen Regulierungsrahmen angepasst. Die nationalen Aufsichtsbehörden müssen sie nun in ihre Aufsichtspraxis übernehmen.

Hintergrund und Einordnung

Die EBA-GL TPRM gehen davon aus, dass aus dem Bezug von Leistungen Dritter ein Risiko für Institute entstehen kann – unabhängig davon, ob es sich um IKT-Dienstleistungen (im Sinne von DORA), heutige Auslagerungen (im Sinne der nationalen Umsetzung der EBA-Leitlinien zu Auslagerungen, etwa der MaRisk) oder non-IKT-Leistungen handelt.

Die EBA unterscheidet daher zwischen IKT-Dienstleistungen und non-IKT-Dienstleistungen. Beide Kategorien können auch Auslagerungen nach heutigem Verständnis umfassen. In den EBA-GL TPRM stellen Auslagerungen keine eigene Kategorie mit eigenen Rechtsfolgen mehr dar. Das Regelwerk erfasst vielmehr Drittparteirisiken bei non-IKT-Leistungen und legt einen besonderen Schwerpunkt auf Leistungen, die kritische oder wichtige Funktionen unterstützen. Durch die Angleichung an DORA macht die EBA klar, dass Institute einen holistischen Ansatz für das Management ihrer Drittparteirisiken verfolgen sollen, der sowohl IKT- als auch non-IKT-Dienstleistungen umfasst.

Anwendungsbereich und Abgrenzung

Die Leitlinien gelten für alle non-IKT Drittparteiverträge von Unternehmen im Anwendungsbereich wie etwa CRR- oder Zahlungsinstitute und Wertpapierunternehmen. Bei gemischten Leistungen, also Verträgen mit sowohl IKT- als auch non-IKT-Komponenten, soll eine Schwerpunktbetrachtung erfolgen: Überwiegt der IKT-Anteil, greift DORA, überwiegt der non-ICT-Anteil, sind die neuen EBA-Leitlinien maßgeblich. Bei der Abgrenzung zwischen IKT- und non-IKT-Dienstleistungen legt die EBA die Entscheidungshoheit in die Hände der Institute: Es obliegt dem Finanzunternehmen selbst zu bestimmen, ob die Nutzung eines IKT-Dienstes für die Erbringung der Leistung im Rahmen der Drittparteivereinbarung wesentlich ist und damit die Anwendung des DORA-Rahmens auslöst. Nicht im Anwendungsbereich sind zudem der reine Erwerb von Waren (z.B. Plastikkarten, Kartenleser, Büromaterial, Computer oder Möbel).

Der sachliche Anwendungsbereich erstreckt sich damit auf eine Vielzahl verschiedenster non-IKT-Dienstleistungen. Rn. 33 enthält jedoch eine erweiterte Ausnahmeliste. Diese umfasst insbesondere regulierte Finanzdienstleistungen, Marktinformationsdienste wie Bloomberg oder S&P, Payment Network Infrastructures wie Visa, MasterCard oder WERO sowie Dienstleistungen ohne wesentliche Auswirkungen auf die Risikoexposition oder operationelle Resilienz, etwa Druck, Reinigung und Rechtsberatung.

Governance- und Risikomanagementanforderungen

Das Grundkonzept der Anforderungen lehnt sich eng an die bisherigen Leitlinien für Outsourcing an. Institute müssen ein angemessenes Governance-Framework etablieren, das den gesamten Lebenszyklus der Drittparteienbeziehung abdeckt. Dabei können sie an ihre DORA-Strukturen anknüpfen: Die Policy darf mit der Policy nach Art. 28 Abs. 10 DORA zusammengeführt werden (Rn. 49), die Überwachungsfunktion mit der Funktion nach Art. 5 Abs. 3 DORA (Rn. 44 lit. c, Fn. 46).

Die Bewertung der Kritikalität („critical or important functions“) ist in der finalen Fassung stärker an DORA angeglichen (Rn. 34 ff.; siehe auch Art. 3 Nr. 22 DORA). Die Ausführungen in den Randnummern 34 bis 37 wurden überarbeitet und schaffen zusätzliche Klarheit bei der Bestimmung dieser Funktionen. Unabhängig davon zeigt die Praxis, dass viele Institute mit der Bestimmung, was kritisch-wichtige Funktionen sind und welche Leistungen Dritter sie unterstützen, durchaus ihre Schwierigkeiten haben. Dies wird sich auch unter den EBA-GL TPRM fortsetzen.

Weiterhin ist ein Informationsregister auch für non-IKT-Verträge von den Instituten zu führen (Rn. 61 ff.). Dieses Register soll inhaltlich mit dem unter DORA geforderten Register abgestimmt und – soweit möglich – gemeinsam geführt oder integriert werden können, um redundante Strukturen zu vermeiden (Rn. 63).

Fristen und Übergangsregelungen

Die Leitlinien gelten ab ihrem Anwendungsdatum für alle Drittparteivereinbarungen, die ab diesem Zeitpunkt neu abgeschlossen, überprüft oder geändert werden (Rn. 18). Auch bestehende Vereinbarungen sind zu überprüfen und entsprechend anzupassen (Rn. 19). Für Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, gilt ab Anwendungsbeginn eine Übergangsfrist von zwei Jahren. Ist die Überprüfung und Dokumentation bis dahin nicht abgeschlossen, muss das Institut die zuständige Aufsichtsbehörde darüber informieren und die geplanten Maßnahmen zum Abschluss der Überprüfung und Dokumentation oder eine mögliche Exit-Strategie mitteilen (Rn. 20). Für Vereinbarungen, die keine kritischen oder wichtigen Funktionen unterstützen, ist die Überprüfung und Dokumentation erst anlässlich der nächsten Vertragsverlängerung erforderlich (Rn. 21). Dies stellt eine deutliche Erleichterung gegenüber der Konsultationsfassung dar, die noch eine feste Zweijahresfrist für alle Vereinbarungen vorsah.

Vertragliche Mindestanforderungen

Die EBA übernimmt wesentliche Vertragsstandards aus DORA (Rn. 84 ff), ist aber im Ergebnis nicht komplett deckungsgleich. Mindestvertragsinhalte sind etwa:

• klare Leistungsbeschreibungen und Monitoring,
• Audit-Rechte für Institute und Aufsichtsbehörden,
• Regelungen zur Nutzung von Subunternehmern (u.a. rechtzeitige Anzeige von Änderungen mit Zustimmung oder Widerspruchsrecht, Rn. 90 bis 93),
• Informationspflichten bei Incidents sowie
• Exitregelungen.

Die vertraglichen Monitoring-Pflichten und Exit-Strategien gelten in der finalen Fassung nicht mehr pauschal für alle erfassten Verträge, sondern beziehen sich auf Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Inhaltlich sind die Anforderungen größtenteils aus den heutigen EBA-Leitlinien bereits bekannt. Die DORA-Streitpunkte zur Teilnahme der Anbieter an Schulungen des Finanzunternehmens bzw. Threat-led Penetration Tests fehlen in den EBA-GL TPRM.

Verhältnis zu anderen Regimen

Die neuen Leitlinien stehen im Kontext einer breiteren europäischen Entwicklung zur Vereinheitlichung des Drittparteienmanagements.

Parallel zur EBA hat auch die ESMA ein Papier mit 13 (nicht-bindenden) Grundprinzipien für die Beaufsichtigung von Drittparteirisiken bei Wertpapierfirmen und Marktbetreibern veröffentlicht. Es entsteht der Eindruck, dass die Aufsichtsbehörden das Thema Third-Party Risk künftig übergreifend und harmonisiert adressieren wollen.

Weitere wesentliche Änderungen gegenüber der Konsultationsfassung

• Die Definition der Drittparteivereinbarung wurde um das Zeitkriterium „on a recurrent basis or an ongoing basis“ ergänzt und damit an DORA angeglichen.
• Beim Subcontracting werden nur noch Subunternehmer erfasst, die kritische oder wichtige Funktionen erfüllen („effectively underpin“), statt pauschal alle Subunternehmer in der Kette.
• Die in der Konsultationsfassung vorgesehene Pflicht zu einer Business Impact Analysis für die Exit-Strategie wurde gestrichen.
• Die Regelungen für EU-Niederlassungen von Drittlandsbanken (Third Country Branches) sind ausführlicher und proportionaler ausgestaltet. Insbesondere wird klargestellt, dass anstelle eines schriftlichen Vertrags auch Service Level Agreements oder Policies ausreichen.
• Annex I mit dem Funktionenkatalog, einer beispielhaften Auflistung von Dienstleistungen, die von Third-Party Service Providers (TPSPs) erbracht werden können, wurde vollständig gestrichen.

Fazit

Die Fokussierung auf Auslagerungen im heutigen Sinne nimmt weiter ab, da Auslagerungen im neuen Rahmen jeweils nur eine Unterkategorie von IKT- oder non-IKT-Drittparteivereinbarungen sind. Die EBA-GL TPRM sind deutlich auf eine Angleichung an DORA sowie auf einen proportionaleren, risikobasierten Umgang mit Drittparteivereinbarungen ausgerichtet. Dies kann zu einer Vereinfachung für Institute führen. Gleichzeitig werden die Institute ihre Verträge und Prozesse in „Remediation-Projekten“ auf die neuen Standards heben müssen, wobei weniger risikorelevante Vereinbarungen von flexibleren Übergangsregelungen profitieren. Als Ausgangspunkt bieten sich die DORA-Bestandsaufnahme und die dafür entwickelten DORA-Templates an. Zu erfassen sind dann vor allem die Verträge, die dort nicht als IKT-Dienstleistung eingeordnet wurden.

Die Leitlinien wurden am 18. September 2026 veröffentlicht. Der Anwendungsbeginn steht noch nicht fest, da zunächst die Übersetzungen in die Amtssprachen der EU erfolgen müssen. Danach haben die nationalen Aufsichtsbehörden zwei Monate Zeit, um zu erklären, ob sie die Leitlinien anwenden oder aus welchen Gründen nicht („comply or explain“). Wir informieren Sie über weitere Updates.