Regeln für Nicht-IKT-Drittparteirisiken harmonisiert
Die Europäische Bankenaufsichtsbehörde hat finale Leitlinien zum Management von Drittparteirisiken bei Nicht-IKT-Dienstleistungen vorgelegt. Das Rahmenwerk ersetzt die Outsourcing-Leitlinien von 2019, schließt die Lücke zu DORA und gewährt Instituten eine zweijährige Übergangsfrist.
Lückenschluss zur DORA-Verordnung
Die Leitlinien (EBA/GL/2026/09) regeln das Risikomanagement für externe Dienstleister außerhalb des IKT-Sektors und ergänzen den Digital Operational Resilience Act (DORA).
Der Geltungsbereich erfasst Institute unter CRD, Wertpapierfirmen unter IFD, Zahlungsinstitute sowie Token-Emittenten unter MiCAR.
Für Auslagerungen und Verträge, die kritische oder wichtige Funktionen betreffen, gelten strenge Auflagen: Institute müssen umfassende Due-Diligence-Prüfungen durchführen, Ausstiegsstrategien dokumentieren sowie uneingeschränkte Prüf- und Zugriffsrechte für Aufsichtsbehörden vertraglich festschreiben.
Das Leitungsorgan bleibt voll verantwortlich; die Entstehung substanzloser „Briefkastenfirmen“ ist untersagt.
Registerpflicht und Flexibilität im Konzern
Institute müssen ein Informationsregister aller Drittparteivereinbarungen führen, das wahlweise mit dem DORA-Register kombiniert werden darf.
Nach der öffentlichen Konsultation mit 72 Stellungnahmen strich die EBA den zuvor kritisierten Beispielkatalog und stärkte das Proportionalitätsprinzip.
Für Verträge zu nicht-kritischen Funktionen greifen Anpassungen erst bei der nächsten Vertragsverlängerung.
Für Vereinbarungen über kritische Funktionen gilt eine zweijährige Übergangsfrist, um Verträge und Notfallpläne anzugleichen.
Pragmatischer Lückenschluss mit Umsetzungsaufwand
Die EBA schließt mit dem Rahmenwerk die verbliebene regulatorische Lücke zum DORA-Regime konsequent.
Der Verzicht auf starre Beispielkataloge zeigt aufsichtlichen Pragmatismus und dämpft unnötige Compliance-Kosten.
Dennoch bürdet die detaillierte Erfassung verschachtelter Subunternehmerketten den Häusern spürbare operative Lasten auf.