Die Europäische Bankenaufsichtsbehörde (EBA) hat Ende September 2026 ihren Abschlussbericht zu den Leitlinien für ein solides Management von Drittparteirisiken bei Nicht-IKT-Dienstleistungen veröffentlicht.
Zusammen mit der Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) sollen die neuen Leitlinien einen harmonisierten und ganzheitlichen Ansatz für das Management von Drittparteirisiken schaffen. Während DORA den Regelungsrahmen für IKT-Dienstleistungen im Sinne des Artikels 3 Nummer 21 DORA bildet, erfassen die EBA-Leitlinien Drittparteivereinbarungen im Zusammenhang mit Nicht-IKT-Dienstleistungen, bei denen ein Dienstleister laufend oder wiederkehrend Funktionen des Finanzunternehmens unterstützt. Ihr Anwendungsbereich geht damit über die bisherigen EBA-Leitlinien zu Auslagerungen hinaus, die an den Auslagerungsbegriff anknüpfen.
Die EBA hebt hervor, dass die Leitlinien in Abstimmung mit den Arbeiten des Baseler Ausschusses für Bankenaufsicht und des Finanzstabilitätsrats (FSB) erarbeitet wurden. Zugleich sei dem Grundsatz der Proportionalität Rechnung getragen worden, indem der Schwerpunkt auf Drittparteivereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen gelegt werde.
Im Rahmen der Überarbeitung hat die EBA einige der Forderungen berücksichtigt, die von der Deutschen Kreditwirtschaft (DK) und dem Europäischen Bankenverband (EBF) im Konsultationsverfahren vorgebracht worden waren. So können bei Drittparteivereinbarungen, die nicht der Unterstützung kritischer oder wichtiger Funktionen dienen, die erforderlichen Anpassungen anlässlich einer Vertragsverlängerung vorgenommen werden. Sie müssen daher nicht bereits innerhalb von zwei Jahren nach Beginn der Anwendung der Leitlinien erfolgen, wie dies ansonsten vorgesehen ist.
Darüber hinaus wurden bestimmte regulierte Finanzdienstleistungen aus dem Anwendungsbereich der Leitlinien herausgenommen und weitere Anpassungen an DORA, insbesondere an das DORA-Register, vorgenommen. Unter anderem wurde auch die Definition der kritischen oder wichtigen Funktion stärker an die entsprechende Definition in DORA angeglichen.
Der Abschlussbericht enthält noch kein Anwendungsdatum. Nach Angaben der EBA auf ihrer Internetseite sind die Leitlinien zwar finalisiert, aber noch nicht anwendbar. In einem nächsten Schritt sollen sie in die Amtssprachen der Europäischen Union übersetzt werden. Mit ihrem Geltungsbeginn werden die neuen Leitlinien die bisherigen EBA-Leitlinien zu Auslagerungen ersetzen. Die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) prüft derzeit, ob eine Überarbeitung des Moduls AT 9 der Mindestanforderungen an das Risikomanagement (MaRisk) erforderlich ist.