Strengere Anforderungen gelten, wenn Drittanbieter kritische oder wichtige Funktionen unterstützen. Dann sind Kritikalität, Risiko, Konzentration, Eignung, Subunternehmerketten, Vertragsrechte, Überwachung und Exit-Fähigkeit nachvollziehbar zu steuern.
1. Normativer Rahmen
Erweiterter Regelungsgegenstand
Eine Drittparteivereinbarung liegt vor, wenn ein Third-Party Service Provider (TPSP) eine oder mehrere Funktionen eines Finanzunternehmens wiederkehrend oder fortlaufend unterstützt. Eine Auslagerung ist die Untergruppe, bei der der TPSP eine Funktion übernimmt, die das Unternehmen sonst selbst wahrnehmen würde. EBA/GL/2026/09, Rn. 17.
Prüfungsfrage: Liegt eine Nicht-IKT-Leistung vor?
Regulatorische Konsequenz: IKT-Dienstleistungen unterfallen grundsätzlich DORA; die EBA-Leitlinien betreffen Nicht-IKT-Dienstleistungen. EBA/GL/2026/09, Rn. 5 und 7
Prüfungsfrage: Ist die Leistung wiederkehrend oder fortlaufend?
Regulatorische Konsequenz: Sie kann als Drittparteivereinbarung einzuordnen sein. EBA/GL/2026/09, Rn. 17.
Prüfungsfrage: Wird eine kritische oder wichtige Funktion unterstützt?
Regulatorische Konsequenz:
Es gelten erhöhte Anforderungen an Risikosteuerung, Vertrag, Register, Monitoring und Exit. EBA/GL/2026/09, Rn. 34–37.
DORA und die EBA-Leitlinien sind rechtlich getrennte Regime: DORA betrifft IKT-Drittparteirisiken, die Leitlinien Nicht-IKT-Drittparteirisiken. Die EBA erwartet dennoch einen ganzheitlichen Ansatz. Eine gemeinsame Governance- und Datenarchitektur kann daher sinnvoll sein. EBA/GL/2026/09, Rn. 7, 38 und 49. Letzteres ist eine Praxisempfehlung, keine ausdrückliche Einzelvorgabe.
Kritische oder wichtige Funktionen
Eine Funktion ist kritisch oder wichtig, wenn ihr Ausfall, ihre Unterbrechung oder mangelhafte Erbringung die finanzielle Leistungsfähigkeit, die Kontinuität der Dienstleistungen oder Tätigkeiten oder die Einhaltung von Zulassungs- und sonstigen Finanzmarktrechtspflichten wesentlich beeinträchtigen würde. EBA/GL/2026/09, Rn. 17 und 34.
Operative Tätigkeiten interner Kontrollfunktionen sind grundsätzlich kritisch oder wichtig, wenn ihre fehlerhafte Erbringung deren Wirksamkeit beeinträchtigen könnte. Gleiches gilt grundsätzlich für Funktionen, deren Erbringung eine aufsichtsrechtliche Zulassung oder Registrierung voraussetzt. EBA/GL/2026/09, Rn. 35–36.
Die Kritikalitätsentscheidung ist fortlaufend zu überprüfen. Finanzunternehmen müssen dafür Kriterien oder eine Methodik definieren; veränderte Leistungsumfänge, Volumina, Geschäftsrelevanz oder Abhängigkeiten können eine Neubewertung auslösen. EBA/GL/2026/09, Rn. 16 und 34–37.
Verantwortung und Substanz
Der Management Body bleibt für Compliance, interne Organisation, Risikomanagement, Kontinuität und die Überwachung der Dienstleisterleistung verantwortlich. Drittparteien dürfen weder die Verantwortung des Leitungsorgans noch dessen Fähigkeit zur eigenständigen Beurteilung und kritischen Hinterfragung ersetzen. EBA/GL/2026/09, Rn. 41–43.
Das Finanzunternehmen darf zugleich nicht zur „empty shell“ werden. Es muss ausreichende personelle, fachliche und organisatorische Ressourcen behalten, um Zulassungsvoraussetzungen zu erfüllen, Risiken selbst zu steuern und beaufsichtigbar zu bleiben. EBA/GL/2026/09, Rn. 45–46.
2. Risikologik und empirische Indizien
Die EBA begründet den erweiterten Ansatz mit dem verstärkten Rückgriff auf spezialisierte Dienstleister zur Nutzung von Expertise, Skalierung, Kostenoptimierung und Zentralisierung. Diese Vorteile können operationelle Risiken, Kontrollverluste, Konzentration und im Extremfall systemische Auswirkungen erzeugen. EBA/GL/2026/09, Executive Summary sowie Background and Rationale, Rn. 2–6 und 15–18.
Risiko Wirkungsmechanismus EBA-Bezug Leistungs- und Kontrollrisiko Ausfall oder Qualitätsmangel beim Dienstleister beeinträchtigt eine Unternehmensfunktion Risikobasierte Risikoanalyse vor Vertragsschluss und laufend, Rn. 71–76KonzentrationsrisikoMehrere kritische Leistungen hängen von einem Anbieter, einer Gruppe oder wenigen Marktteilnehmern abEinzel- und Aggregatrisiken bewerten, Rn. 17–18 und 74SubstitutionsrisikoWechsel zu einem Alternativanbieter ist rechtlich oder tatsächlich nicht rechtzeitig möglich Substituierbarkeit einschließlich Kosten, Hindernisse und Zeitrahmen analysieren, Rn. 72 Buchst. E Reintegrationsrisiko Die Funktion kann nicht rechtzeitig intern übernommen werden Reintegrationsfähigkeit bewerten, Rn. 72 Buchst. F Lieferketten- und Drittstaatenrisiko Subunternehmer, Standort und Rechtsraum reduzieren Transparenz, Kontrolle oder Aufsichtszugang Rn. 22, 70, 75–76 und 87–95
Öffentliche Aufsichtsdaten belegen Konzentration in ausgewählten Drittanbietersegmenten: In einer gemeinsamen Bank-of-England-/FCA-Erhebung zu KI in britischen Finanzdienstleistungen entfielen auf die jeweils drei meistgenannten Anbieter 73 Prozent der Cloud-, 44 Prozent der Modell- und 33 Prozent der Datenanbieter-Nennungen. Die Erhebung betrifft Technologie- und KI-nahe Leistungen, nicht den gesamten Nicht-IKT-Anwendungsbereich der EBA-Leitlinien. Sie stützt aber die Risikohypothese, dass hohe Anbieter- oder Lieferkettenkonzentration die Substituierbarkeit begrenzen und gleichgerichtete Störungen bei mehreren Unternehmen auslösen kann.
Der Financial Stability Board behandelt Drittanbieterabhängigkeiten, Konzentration und geringe Substituierbarkeit ebenfalls als potenziell systemrelevante Verwundbarkeiten. Diese Quellen belegen Risikomechanismen und Konzentrationsindikatoren, jedoch nicht Eintrittswahrscheinlichkeit oder Schadenshöhe einzelner Nicht-IKT-Ausfälle im EU-Finanzsektor. Für diesen Bereich fehlt bislang eine öffentlich verfügbare, harmonisierte Incident- und Verlustdatenbasis.
Illustratives Fallbeispiel
Ein Zahlungsinstitut beauftragt einen Dienstleister mit der laufenden Qualitätssicherung von KYC-Akten, der Zweitprüfung komplexer Kundenfälle und der Unterstützung periodischer Reviews. Teile der Leistung erbringen Subunternehmer außerhalb der EU; intern verbleibt ein kleines Steuerungsteam.
Prüfaspekt: Drittparteistatus
Schlussfolgerung: Die fortlaufende Unterstützung erfüllt grundsätzlich die Definition einer Drittparteivereinbarung. EBA/GL/2026/09, Rn. 17.
Prüfaspekt: Kritikalität
Schlussfolgerung: Bei wesentlicher Beeinträchtigung von Compliance-Pflichten oder der Kontrollfunktion ist eine Einstufung als kritisch oder wichtig naheliegend. EBA/GL/2026/09, Rn. 34–35.
Prüfaspekt: Drittstaat und Subunternehmer
Schlussfolgerung: Standort-, Daten-, Kontroll- und Lieferkettenrisiken sind in Risikoanalyse, Due Diligence und Vertrag einzubeziehen. EBA/GL/2026/09, Rn. 75–76 und 87–95.
Prüfaspekt: Exit und Substanz
Schlussfolgerung: Lange Einarbeitung eines Ersatzanbieters sowie fehlende interne Kapazitäten erhöhen Exit-Risiko und können die eigene Steuerungsfähigkeit gefährden. EBA/GL/2026/09, Rn. 41–46, 72 Buchst. e–f und 114–116.
Das Beispiel ist konstruiert und veranschaulicht nur die Anwendung der normativen Risikokriterien; es ist keine empirische Tatsachenbehauptung.
3. Steuerungsinstrumente
Steuerung über den Lebenszyklus
1. Phase: Klassifikation
EBA-Anforderung: Nicht-IKT-Leistung, Drittparteistatus und Kritikalität bestimmen. Rn. 31–37
Praxistaugliche Umsetzung: Dokumentierte Klassifizierung mit Begründung und Freigabe
2. Phase: Vorvertragliche Prüfung
EBA-Anforderung: Kritikalität, regulatorische Voraussetzungen, Risiken, Due Diligence und Interessenkonflikte bewerten. Rn. 68–82
Praxistaugliche Umsetzung: Entscheidungsvorlage mit Risikoakzeptanz, Konzentrations- und Exit-Bewertung
3. Phase: Vertrag
EBA-Anforderung: Rechte und Pflichten schriftlich festlegen; bei kritischen bzw. wichtigen Funktionen erweiterte Inhalte. Rn. 83–109
Praxistaugliche Umsetzung: SLA, Informations- und Auditrechte, Subunternehmersteuerung, Datenrückgabe und Übergangsregeln
4. Phase: Überwachung
EBA-Anforderung: Leistung und Risiken fortlaufend überwachen; Mängel abstellen. Rn. 110–113
Praxistaugliche Umsetzung: KPI/KRI-Berichte, Service Reviews, Incident- und Maßnahmenmanagement
5. Phase: Exit
EBA-Anforderung: Dokumentierte, realistische und gegebenenfalls getestete Exit-Strategie. Rn. 114–116
Praxistaugliche Umsetzung: Alternativanbieter-, Migrations- und Reintegrationsplan mit Eskalationsauslösern
Risikoanalyse und Due Diligence
Die Risikoanalyse hat mindestens operationelle, rechtliche, Reputations- und Konzentrationsrisiken zu erfassen. Zu bewerten sind zudem Kundenwirkungen, Skalierbarkeit, Substituierbarkeit, Reintegrationsfähigkeit sowie Vertraulichkeit, Verfügbarkeit und Integrität von Daten. EBA/GL/2026/09, Rn. 71–76.
Bei komplexen Instituten soll die Analyse, soweit verfügbar, Szenarien sowie interne und externe Verlustdaten einbeziehen. Weniger komplexe Unternehmen können qualitativ vorgehen, müssen Vorgehen und Ergebnis jedoch dokumentieren. EBA/GL/2026/09, Rn. 73.
Die Due Diligence ist nach Kritikalität auszurichten. Bei kritischen oder wichtigen Funktionen nennt die EBA insbesondere Reputation, Kompetenz, Ressourcen, interne Kontrollen, Risikomanagement, geographische Abhängigkeiten, Business Continuity, erforderliche Zulassungen und tatsächliche Auditierbarkeit. EBA/GL/2026/09, Rn. 77–82.
Vertrag, Register und Exit
Der Vertrag muss Leistungsgegenstand, Leistungsorte, Datenverarbeitung, Schutz von Vertraulichkeit, Verfügbarkeit und Integrität, Datenzugriff und -rückgabe, Service Levels, Behördenkooperation und Kündigungsrechte regeln. EBA/GL/2026/09, Rn. 83–86.
Bei kritischen oder wichtigen Funktionen müssen insbesondere präzise Service Levels, Meldungen wesentlicher Entwicklungen, Zugangs-, Informations- und Auditrechte sowie eine ausreichende Übergangszeit für Migration oder Reintegrationslösung gesichert sein. EBA/GL/2026/09, Rn. 85, 98–105 und 109.
Finanzunternehmen sollen ein aktuelles Register aller erfassten Drittparteivereinbarungen führen. Für kritische oder wichtige Funktionen umfasst es zusätzlich insbesondere Subunternehmer, letzte Audits, Substituierbarkeit, Reintegrationsoptionen, RTO/RPO, Exit-Plan, Alternativanbieter und jährliche Kosten. EBA/GL/2026/09, Rn. 58–67.
Für kritische oder wichtige Funktionen ist eine dokumentierte Exit-Strategie erforderlich. Sie muss plausible Szenarien, klare Verantwortlichkeiten, Ressourcen, Erfolgskriterien, Alternativlösungen und Auslöseindikatoren definieren. Der Ausstieg muss ohne unangemessene Betriebsunterbrechung, ohne Verlust der Compliance und ohne Nachteil für die Kundenleistung möglich sein. EBA/GL/2026/09, Rn. 114–116.
4. Umsetzung und Prüfbarkeit
Ein wirksames Programm beginnt mit Transparenz über tatsächliche Abhängigkeiten, nicht mit einer bloßen Vertragsrevision.
- Drittparteienbestand einschließlich gruppeninterner Leistungen und relevanter Subunternehmerketten erfassen.
- Nicht-IKT-/IKT-Abgrenzung, Drittparteistatus und Kritikalität anhand einer einheitlichen Methodik dokumentieren.
- Konzentrationen nach Anbieter, Anbietergruppe, Standort, Funktion und Geschäftsbereich aggregiert bewerten.
- Verantwortlichkeiten für Register, Monitoring, Eskalation und Berichterstattung zuordnen; das Leitungsorgan regelmäßig informieren. EBA/GL/2026/09, Rn. 38–50.
- DORA- und Nicht-IKT-Policy aufeinander abstimmen und die unterschiedlichen Rechtsregime transparent ausweisen. EBA/GL/2026/09, Rn. 47–50.
- Exit-Fähigkeit anhand von Datenportabilität, Alternativanbietern, internen Ressourcen, Übergangszeit und Tests plausibilisieren.
- Drittparteirisiken in die risikoorientierte Revisionsplanung aufnehmen; Governance, Kritikalität, Risikoanalyse, Monitoring und Maßnahmenverfolgung prüfen. EBA/GL/2026/09, Rn. 56–57.
Fazit
Die EBA-Leitlinien verlagern den Maßstab von der formalen Auslagerungsprüfung auf die Steuerung realer Abhängigkeiten. Aufsichtsfest ist ein Finanzunternehmen, wenn es für jede relevante Drittparteibeziehung belegen kann, welche Funktion unterstützt wird, wie kritisch sie ist, welche Risiken und Konzentrationen bestehen, wie Leistung und Compliance überwacht werden und wie ein geordneter Exit gelingt.
Drittparteirisiken bleiben damit kein delegiertes Dienstleisterproblem, sondern ein Governance-, Resilienz- und Verantwortungsproblem des beaufsichtigten Unternehmens. EBA/GL/2026/09, Rn. 38–46 und 114–116.
Quellenverzeichnis
EBA-Leitlinien zu Drittparteirisiken
European Banking Authority (EBA), Guidelines on the sound management of third-party risk regarding non-ICT services, EBA/GL/2026/09, 18. September 2026. Final Report. Insbesondere Executive Summary, Background and Rationale, Rn. 1–31, sowie Leitlinien-Rn. 5–116. Abrufbar über die European Banking Authority, abgerufen am 29.09.2026.
Empirische Indizien und internationale Aufsicht
Bank of England und Financial Conduct Authority (FCA), Artificial intelligence in UK financial services – 2024. Gemeinsame Befragung zum Einsatz von KI in britischen Finanzdienstleistungen; zur Konzentration bei Drittanbietern insbesondere die Angaben zu den drei meistgenannten Cloud-, Modell- und Datenanbietern. Abrufbar über die Bank of England, abgerufen am 29.09.2026.
Financial Stability Board (FSB), Enhancing Third-Party Risk Management and Oversight: A Toolkit for Financial Institutions and Financial Authorities, 4. Dezember 2023. Toolkit zu Identifikation, Überwachung und Steuerung von Drittparteirisiken, insbesondere kritischen Dienstleistungen, Konzentration und Substituierbarkeit. Abrufbar über den FSB, abgerufen am 29.09.2026.
Bank of England, Operational resilience in a macroprudential framework, Financial Stability Paper, 27. August 2024. Analyse zur Bedeutung von Drittanbieterabhängigkeiten und Konzentration für operationelle Resilienz und Finanzstabilität. Abrufbar über die Bank of England, abgerufen am 29.09.2026.
DORA
Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (DORA). ABl. L 333 vom 27. Dezember 2022, S. 1–79. Insbesondere Art. 3 Nr. 21 und 22, Art. 5 Abs. 3 und Art. 28–30. Abrufbar über EUR-Lex, abgerufen am 29.09.2026.
CRD
Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen (CRD). ABl. L 176 vom 27. Juni 2013, S. 338–436, in der jeweils geltenden Fassung. Insbesondere Art. 74, 85, 97 und 109. Abrufbar über EUR-Lex, abgerufen am 29.09.2026.
EBA-Verordnung
Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde) (EBA-Verordnung). Insbesondere Art. 16 zu Leitlinien und Empfehlungen sowie Art. 16 Abs. 3 zum „comply or explain“-Verfahren. Abrufbar über EUR-Lex, abgerufen am 29.09.2026.
S+P Unternehmerforum GmbH mit Sitz in München ist ein führender Anbieter für praxisnahe, rollenbasierte Weiterbildung im deutschsprachigen Raum. Seit der Gründung im Jahr 2004 unterstützt S+P Fach- und Führungskräfte sowie C-Level-Manager:innen aus der Finanzwirtschaft und Industrie dabei, sich gezielt weiterzuentwickeln und regulatorisch sowie strategisch sicher zu handeln.
S+P bietet ein breites Portfolio an Online-Seminaren, E-Learnings, Zertifikatslehrgängen und Executive Education Programmen. Themenschwerpunkte sind unter anderem Compliance, Geldwäscheprävention, Risikomanagement, Projektmanagement, Finance, Leadership und digitale Transformation.
Ein Alleinstellungsmerkmal ist die S+P Tool Box – mit sofort einsetzbaren Arbeitshilfen wie Leitfäden, Checklisten, Gantt-Plänen und Risikochecks. Zusätzlich steht allen Teilnehmer:innen die digitale Lernplattform S+P Lounge zur Verfügung.
Mit dem Zertifikat S+P Certified und dem digitalen Karriere-Badge dokumentieren Absolvent:innen ihre Kompetenz sichtbar – für Arbeitgeber, Kunden und Netzwerke.
Teilnehmer bewerten S+P Seminare auf ProvenExpert mit 4,65 von 5 Sternen. Für jedes gebuchte Seminar pflanzt S+P im Rahmen des ESG-Projekts „Dein Seminar, dein Baum, deine Zukunft“ einen Baum in Deutschland.
Mehr Informationen unter: www.sp-unternehmerforum.de
S&P Unternehmerforum GmbH
Feringastr. 12 A
85774 Unterföhring bei München
Telefon: +49 (89) 45242970100
Telefax: +49 (89) 45242970299
http://www.sp-unternehmerforum.de
E-Mail: cb@sp-unternehmerforum.de
Online Marketing Managerin
Telefon: +49 (89) 45242970-113
E-Mail: at@sp-unternehmerforum.de
