EBA/GL/2026/09: Was sich gegenüber den Auslagerungsleitlinien ändert

Was sich gegenüber EBA/GL/2019/02 ändert

Der Lebenszyklus von der Risikoanalyse bis zur Exit-Strategie bleibt. Neu sind vor allem der weitere Anwendungsbereich bei Nicht-IKT-Dienstleistungen, die Abstimmung mit DORA und strengere Regeln zur Unterauftragsvergabe. Fundstellen ohne Zusatz beziehen sich auf EBA/GL/2026/09.

1. Tz. 17, Tz. 31 Anwendungsbereich

   1. Drittparteienvereinbarung statt Auslagerung

   Erfasst ist grundsätzlich jede Vereinbarung über Nicht-IKT-Dienstleistungen, mit der ein Drittdienstleister eine Funktion wiederkehrend oder laufend unterstützt, soweit keine Ausnahme greift. Auslagerungen sind nur noch eine Teilmenge davon.

   + Details Weniger anzeigen

   Die Leitlinien von 2019 knüpften an die Auslagerung an: Ein Dienstleister erbringt wiederkehrend oder laufend eine Funktion, die das Institut sonst selbst erbringen würde oder realistischerweise erbringen könnte (2019 Tz. 12 und 26). Die neuen Leitlinien setzen bei der Drittparteienvereinbarung an, mit der ein Drittdienstleister eine oder mehrere Funktionen wiederkehrend oder laufend unterstützt. Auslagerungen sind ausdrücklich eine Teilmenge davon (Tz. 17). Für jede Vereinbarung prüfen Finanzunternehmen, ob es um eine Nicht-IKT-Dienstleistung geht, ob sie eine Funktion wiederkehrend oder laufend unterstützt und ob diese Funktion kritisch oder wichtig ist (Tz. 31). Schon 2019 sollten Institute die Risiken aller Vereinbarungen mit Dritten steuern, ob Auslagerung oder nicht (2019 Tz. 33). Register und Überwachung hingen aber am Auslagerungsbegriff, Mindestinhalte für Verträge sogar nur an Auslagerungen kritischer oder wichtiger Funktionen (2019 Tz. 52, 75 und 100). Jetzt gelten sie für alle Drittparteienvereinbarungen im Anwendungsbereich und damit auch für Vereinbarungen, die bisher nicht als Auslagerung galten. Für kritische oder wichtige Funktionen kommen weitere Vertragsinhalte hinzu (Tz. 58, 84, 85 und 110).

   Ab Geltungsbeginn, Bestand mit der Überprüfung

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

2. Tz. 33 Anwendungsbereich

   2. Ausnahmen neu gefasst

   Abschlussprüfung, Marktdaten, Zahlungsnetze und Korrespondenzbanken bleiben ausgenommen. Sonstige zugekaufte Dienstleistungen sind nur noch ausgenommen, wenn sie weder die Risikopositionen noch die operationelle Resilienz wesentlich berühren.

   + Details Weniger anzeigen

   Die meisten Ausnahmen von 2019 bleiben grundsätzlich bestehen: gesetzlich einem Dienstleister vorgeschriebene Leistungen wie die Abschlussprüfung, Marktinformationsdienste, Clearing und Abwicklung, global tätige Finanznachrichtennetze unter behördlicher Überwachung wie SWIFT und Korrespondenzbankdienste. Zahlungsnetze müssen nicht mehr global tätig sein, genannt sind neben Visa und Mastercard jetzt auch europäische Zahlungsinitiativen, Wero und GIE CB. Neu ausgenommen sind regulierte Finanzdienstleistungen, die gesetzlich ein anderes nach Unionsrecht reguliertes Finanzunternehmen erbringen muss, etwa Verwahrung oder Handelsplätze. Für andere Leistungen kann ein solches Unternehmen weiterhin Drittdienstleister sein. Neu ausgenommen sind auch Finanzgeschäfte zwischen Finanzinstituten und mit Zentralbanken. Leistungen wie Rechtsgutachten, Reinigung oder Verpflegung galten 2019 nicht als Auslagerung, weil das Institut sie sonst nicht selbst erbringen würde (2019 Tz. 28). Jetzt sind zugekaufte Dienstleistungen ausgenommen, wenn sie keine wesentlichen Auswirkungen auf die Risikopositionen oder die operationelle Resilienz haben. Waren und Versorgungsleistungen bleiben ohne diese Prüfung ausgenommen. Auch die Wirkung ändert sich: 2019 galten die genannten Leistungen nur nicht als Auslagerung, ihre Risiken sollten trotzdem nach Abschnitt 12.2 bewertet werden (2019 Tz. 33). Jetzt fallen sie ganz aus dem Anwendungsbereich der Leitlinien. Laut einer Fußnote heißt das nicht, dass Finanzunternehmen ihre Risiken nicht angemessen steuern sollten (Tz. 33).

   Ab Geltungsbeginn, Datum noch offen

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

3. Tz. 5, Tz. 7, Tz. 32 Anwendungsbereich

   3. IKT-Dienstleistungen nicht mehr erfasst

   IKT-Dienstleistungen im Sinne von DORA fallen nicht mehr unter die Leitlinien. Bei gemischten Vereinbarungen beurteilt das Finanzunternehmen, ob der IKT-Anteil für die Leistung wesentlich ist und damit DORA greift.

   + Details Weniger anzeigen

   2019 erfassten die Leitlinien auch IKT- und Cloud-Auslagerungen, mit eigenen Begriffen zu Cloud-Diensten und einem Abschnitt zur Sicherheit von Daten und Systemen (2019 Tz. 12 und 81 bis 83). Jetzt gelten sie nur für Nicht-IKT-Dienstleistungen. IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA und das IKT-Risikomanagement sind ausgenommen, weil DORA sie regelt (Tz. 5 und 7). Gehören zu einer Nicht-IKT-Dienstleistung auch IKT-Dienstleistungen, bestimmt das Finanzunternehmen, ob der IKT-Anteil für die Leistung wesentlich ist und damit DORA greift (Tz. 32). Gefordert bleibt ein ganzheitlicher Ansatz für das Drittparteienrisiko über IKT- und Nicht-IKT-Dienstleistungen (Tz. 7). Vorgaben zum Schutz der Daten und zum Ort der Datenverarbeitung bleiben auch für Nicht-IKT-Dienstleistungen (Tz. 81, 84 und 86).

   Ab Geltungsbeginn, Datum noch offen

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

4. Tz. 9 bis 11 Anwendungsbereich

   4. Mehr Adressaten

   Neben Instituten, Zahlungs- und E-Geld-Instituten erfassen die Leitlinien jetzt auch Drittstaatenzweigstellen, ART-Emittenten, Wohnimmobilienkreditgeber, soweit sie Finanzinstitute sind, und zugelassene (gemischte) Finanzholdinggesellschaften. Bei Wertpapierfirmen sind alle außer kleinen und nicht verflochtenen erfasst.

   + Details Weniger anzeigen

   2019 richteten sich die Leitlinien an Institute im Sinne der CRR, damals Kreditinstitute und der CRD unterliegende Wertpapierfirmen, sowie an Zahlungs- und E-Geld-Institute (2019 Tz. 7). Jetzt nennen sie Wertpapierfirmen nach MiFID II ausdrücklich und nehmen nur kleine und nicht verflochtene nach Art. 12 Abs. 1 IFR aus. Damit sind auch Wertpapierfirmen erfasst, die der IFD statt der CRD unterliegen. Neu sind außerdem Zweigstellen von Kreditinstituten aus Drittstaaten nach Art. 47 CRD, Emittenten vermögenswertereferenzierter Token (ART) nach MiCAR, Kreditgeber nach der Wohnimmobilienkreditrichtlinie, soweit sie Finanzinstitute sind, sowie zugelassene Finanzholdinggesellschaften und gemischte Finanzholdinggesellschaften (Tz. 9). Drittstaatenzweigstellen dokumentieren die Leistungen ihrer Hauptniederlassung statt in einem Vertrag zum Beispiel in einer Leistungsvereinbarung oder in Richtlinien (Tz. 10). Kontoinformationsdienstleister, die nur diesen Dienst erbringen, bleiben ausgenommen (Tz. 11).

   Ab Geltungsbeginn, Datum noch offen

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

5. Tz. 38, Tz. 42, Tz. 44, Tz. 47 bis 49 Neu oder verschärft

   5. Strategie und Richtlinie, auf Wunsch gemeinsam mit DORA

   Das Leitungsorgan legt eine Strategie zum Drittparteienrisiko fest. Die Richtlinie für kritische oder wichtige Funktionen überprüft es mindestens jährlich, sie darf mit der DORA-Richtlinie zusammengelegt werden.

   + Details Weniger anzeigen

   Neu ist eine Strategie zum soliden Management von Drittparteienrisiken, die das Leitungsorgan festlegt, genehmigt und regelmäßig überprüft. IKT- und Nicht-IKT-Drittparteienrisiken können in einer gemeinsamen oder in getrennten Strategien stehen (Tz. 38). Zu den Pflichten des Leitungsorgans gehören jetzt ausdrücklich auch die Business-Continuity-Richtlinie und die Prüfungspläne der Internen Revision zu Drittparteienvereinbarungen (Tz. 42). Die schriftliche Richtlinie bezieht sich jetzt auf Nicht-IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. 2019 galt die Auslagerungsrichtlinie für alle Auslagerungen und trennte kritische oder wichtige von den übrigen (2019 Tz. 41 und 43). Das Leitungsorgan überprüft die Richtlinie mindestens einmal jährlich, 2019 hieß es regelmäßig (Tz. 47, 2019 Tz. 41). Sie darf mit der Richtlinie nach Art. 28 Abs. 10 DORA zusammengelegt werden, wenn sie unter anderem IKT- und Nicht-IKT-Dienstleistungen unterscheidet (Tz. 49). Die Rolle zur Überwachung aller Drittparteienvereinbarungen darf mit der Rolle nach Art. 5 Abs. 3 DORA kombiniert werden (Tz. 44).

   Ab Geltungsbeginn, Datum noch offen

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

6. Tz. 58 bis 62 Neu oder verschärft

   6. Register für alle Drittparteienvereinbarungen

   Das Register erfasst alle Drittparteienvereinbarungen im Anwendungsbereich. Es soll zum DORA-Informationsregister passen und darf mit ihm zusammengelegt werden.

   + Details Weniger anzeigen

   Wie 2019 führen Finanzunternehmen ein Register und unterscheiden Vereinbarungen für kritische oder wichtige Funktionen von den übrigen (Tz. 58, 2019 Tz. 52). Mit dem weiteren Anwendungsbereich gehören mehr Nicht-IKT-Vereinbarungen hinein. IKT-Dienstleistungen gehören in das Informationsregister nach Art. 28 Abs. 3 DORA. Dem soll das Register so weit wie möglich entsprechen, beide dürfen in einem Register stehen (Tz. 61). Neue Mindestangaben für alle Vereinbarungen sind unter anderem die Art der Vereinbarung (eigenständig, übergeordnet oder nachgeordnet) und der Grund einer Beendigung. Angaben zur Gruppenzugehörigkeit, 2019 nur bei kritischen oder wichtigen Funktionen verlangt, gelten jetzt für alle Vereinbarungen (Tz. 61, 2019 Tz. 54 und 55). Für kritische oder wichtige Funktionen kommen unter anderem hinzu: Ziele für Wiederherstellungszeit und Wiederherstellungspunkt (RTO, RPO), ob ein Exit-Plan besteht, zu Unterauftragnehmern eine Kennung und der Rang in der Kette sowie eine vierstufige statt dreistufige Einschätzung der Ersetzbarkeit (Tz. 62, 2019 Tz. 55). Nicht mehr aufgeführt sind etwa Kündigungsfristen, Datenstandorte, Cloud-Modelle und das genehmigende Gremium. IKT-Unterauftragnehmer, die eine solche Nicht-IKT-Dienstleistung tatsächlich tragen, sind ebenfalls zu erfassen (Tz. 58).

   Ab Geltungsbeginn, Bestand mit der Überprüfung

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

7. Tz. 87 bis 95 Neu oder verschärft

   7. Unterauftragsvergabe: zustimmen oder widersprechen

   Bei kritischen oder wichtigen Funktionen soll der Drittdienstleister neue Unterauftragsvergaben oder wesentliche Änderungen erst umsetzen, wenn das Finanzunternehmen zugestimmt oder bis zum Ende einer vereinbarten Frist nicht widersprochen hat.

   + Details Weniger anzeigen

   Wie 2019 betreffen die Regeln die Unterauftragsvergabe bei kritischen oder wichtigen Funktionen. 2019 sollte die Mitteilungsfrist dem Institut erlauben, geplante Unterauftragsvergaben zu prüfen und ihnen zu widersprechen, bevor sie wirksam werden. Ein Widerspruchsrecht oder einen Zustimmungsvorbehalt sollte der Vertrag aber nur sichern, wo angemessen (2019 Tz. 78). Dieser Vorbehalt entfällt: Der Vertrag soll eine angemessene Frist vorsehen, in der das Finanzunternehmen neuen Unterauftragsvergaben oder Änderungen zustimmen oder widersprechen kann. Erst nach Zustimmung oder ohne Widerspruch bis zum Fristende soll der Drittdienstleister sie umsetzen (Tz. 91 und 92). Übersteigt eine Unterauftragsvergabe oder Änderung nach Einschätzung des Finanzunternehmens seine Risikotoleranz, soll es vor Fristende widersprechen und Anpassungen verlangen (Tz. 93). Der Vertrag soll außerdem sicherstellen, dass die Vereinbarung zwischen Drittdienstleister und Unterauftragnehmer in drei Fällen gekündigt werden kann, etwa wenn der Drittdienstleister trotz Widerspruch handelt (Tz. 95). Neu im Vertrag sind auch Pflichten des Drittdienstleisters zu Standortrisiken, zur Weitergabe von Überwachungs- und Berichtspflichten an Unterauftragnehmer und zur Kontinuität entlang der Kette (Tz. 89). Ins Register gehören Unterauftragnehmer, die die Dienstleistung tatsächlich tragen. 2019 kam es darauf an, ob sie einen wesentlichen Teil der Funktion übernehmen (Tz. 88, 2019 Tz. 77).

   Ab Geltungsbeginn, Bestand mit der Überprüfung

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02

8. Tz. 18 bis 22 Erleichterung

   8. Übergang: zwei Jahre für kritische oder wichtige Funktionen

   Bestehende Vereinbarungen für kritische oder wichtige Funktionen sollen binnen zwei Jahren ab Geltungsbeginn überprüft und dokumentiert sein, sonst ist die Aufsicht zu informieren. Alle anderen können bis zu ihrer Verlängerung warten.

   + Details Weniger anzeigen

   Die Leitlinien gelten ab einem Datum, das die EBA noch festlegt, für alle Drittparteienvereinbarungen, die ab dann geschlossen, überprüft oder geändert werden (Tz. 18). Finanzunternehmen sollen bestehende Vereinbarungen überprüfen und anpassen (Tz. 19). Sind Überprüfung und Dokumentation der Vereinbarungen zu kritischen oder wichtigen Funktionen zwei Jahre nach Geltungsbeginn nicht abgeschlossen, informieren Finanzunternehmen ihre Aufsicht darüber, mit den geplanten Maßnahmen oder einer möglichen Exit-Strategie (Tz. 20). Die übrigen Vereinbarungen können sie auch erst bei ihrer Verlängerung überprüfen und dokumentieren (Tz. 21). 2019 galt für kritische oder wichtige Funktionen dasselbe Verfahren mit festem Datum: War die Überprüfung bis zum 31.12.2021 nicht abgeschlossen, sollten Institute ihre Aufsicht informieren (2019 Tz. 15). Die Dokumentation aller bestehenden Auslagerungen außer Cloud-Auslagerungen sollten sie nach der ersten Verlängerung, spätestens bis zum 31.12.2021 nachholen (2019 Tz. 16). Für Vereinbarungen zu anderen Funktionen gibt es jetzt keine feste Frist mehr. Mit dem Geltungsbeginn werden die Auslagerungsleitlinien von 2019 aufgehoben (Tz. 22).

   Zwei Jahre ab Geltungsbeginn, Datum noch offen

   Quellen: EBA/GL/2026/09· EBA/GL/2019/02· EBA-Projektseite

9. MaRisk AT 1 Tz. 2, AT 9 Tz. 1 Klarstellung

   9. Für Deutschland: Die MaRisk setzen noch die Leitlinien von 2019 um

   Das Rundschreiben 06/2026 nennt EBA/GL/2019/02 als umgesetzt. Ob und wie die Bafin die neuen Leitlinien in die MaRisk überträgt, steht noch aus.

   + Details Weniger anzeigen

   In der Erläuterung zu AT 1 Tz. 2 zählt das Rundschreiben 06/2026 die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) zu den in den MaRisk umgesetzten Leitlinien. Zu DORA grenzt die 9. Novelle bereits wie die neuen Leitlinien ab: IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht unter AT 9 (Erläuterung zu AT 9 Tz. 1). 2024 schrieb die Bafin, die EBA untersuche in einer Gap-Analyse, wie sich DORA auf die Auslagerungsleitlinien auswirkt. Diese bildeten im Kern die Grundlage der Anforderungen zu IT-Auslagerungen in AT 9. Über die Folgen wollte die Bafin erst nach Abschluss der Analyse informieren. Nach demselben Schreiben decken die MaRisk die EBA-Leitlinien für die weniger bedeutenden Institute ab, für bedeutende Institute finden sie nach der Verwaltungspraxis der EZB unmittelbar Anwendung. Bis zu einer Frist, die im Bericht noch ein Platzhalter ist, muss die Bafin der EBA mitteilen, ob sie den neuen Leitlinien nachkommt oder nachkommen will, oder begründen, warum nicht (Tz. 3).

   Umsetzung durch die Bafin offen

   Quellen: Rundschreiben 06/2026· Anschreiben 06/2024· EBA/GL/2026/09

Stand 3. November 2026. Die Übersicht fasst ausgewählte Änderungen zusammen und ersetzt weder die Prüfung der vollständigen Leitlinien für Ihr Institut noch eine Rechtsberatung. Maßgeblich ist der englische Wortlaut der EBA, eine amtliche deutsche Fassung liegt noch nicht vor. Begriffe wie Drittparteienvereinbarung oder Drittdienstleister sind unsere Übersetzung.

Wir zeigen Ihnen, wie Sie die neuen EBA-Leitlinien mit Taidalos RADAR bewerten, Aufgaben zuweisen und die Umsetzung nachweisen.

Demo buchen 30 Minuten, unverbindlich

Konform mit MaRisk AT 4.4.2 · DSGVO · DORA · Hosting in Frankfurt

Julius MöllerFounder

[email protected] +49 171 777 9668 LinkedIn-Profil www.taidalos.com