Blog
October 1, 2025
Am 8. Juli 2025 hat die Europäische Bankenaufsichtsbehörde (EBA) den Entwurf ihrer neuen Leitlinie zum Management von Drittanbieterrisiken zur Konsultation veröffentlicht. Was auf den ersten Blick wie eine technische Überarbeitung der bisherigen Outsourcing-Regelungen wirkt, markiert tatsächlich einen fundamentalen Wandel: Institute müssen künftig nicht nur klassische Auslagerungen, sondern sämtliche Non-IKT-Drittparteibeziehungen nach einheitlichen, verschärften Standards steuern.
Die bisherige EBA-Leitlinie von 2019 konzentrierte sich primär auf Outsourcing-Vereinbarungen im engeren Sinne. Der neue Entwurf erweitert den Anwendungsbereich erheblich und führt den umfassenden Begriff "Third-Party Arrangement" ein. Outsourcing wird damit zur Unterkategorie einer deutlich breiteren Risikobetrachtung.
Konkret bedeutet das: Alle Vereinbarungen mit externen Dienstleistern – unabhängig von ihrer formalen Ausgestaltung – fallen unter die Leitlinie, sofern es sich nicht um IKT-Services handelt. Diese sind seit Januar 2025 durch DORA (Digital Operational Resilience Act) geregelt. Damit entsteht erstmals eine lückenlose regulatorische Architektur für das gesamte Drittanbieterrisikomanagement.
Neben Kreditinstituten und Wertpapierfirmen erfasst die Leitlinie nun auch Emittenten von Asset-Referenced Tokens (ARTs) gemäß MiCAR sowie Kreditgeber nach Mortgage Credit Directive. Der Kreis der regulierten Institute wird damit deutlich ausgeweitet.
Institute müssen künftig ein vollständiges Register aller Non-IKT-Drittparteibeziehungen führen – konsistent mit dem DORA-Register für IKT-Services. Gefordert werden detaillierte Angaben zu:
Die Anforderungen orientieren sich explizit am DORA-Standard.
Das Managementorgan bleibt – wie bereits in der Leitlinie von 2019 – in der uneingeschränkten, nicht delegierbaren Verantwortung für das Drittparteirisikomanagement. Neu hinzu kommt jedoch die explizite Pflicht zur Definition, Genehmigung und regelmäßigen Überprüfung einer umfassenden Strategie für alle Non-IKT-Drittparteibeziehungen. Damit wird die bereits unter DORA für IKT-Dienstleistungen bestehende Strategiepflicht konsequent auf alle übrigen Drittparteien ausgeweitet. Das bewährte Prinzip bleibt bestehen: Institute dürfen nicht zu „leeren Hüllen" werden – ausreichende eigene Substanz und Steuerungsfähigkeit müssen jederzeit gewährleistet sein.
Die bereits 2019 geforderte Prüfung von operationellen, rechtlichen und Reputationsrisiken wird substanziell erweitert. Neu hinzu kommen explizit:
Aspekte, die in der bisherigen Leitlinie nicht ausdrücklich adressiert wurden. Zudem müssen Institute künftig komplexe Subcontracting-Ketten und deren spezifische Lieferkettenrisiken detailliert analysieren sowie die Business-Continuity- und Notfallpläne der Dienstleister prüfen. Die bereits 2019 bestehenden Anforderungen an die Bewertung von Drittland-Anbietern werden präzisiert und um konkrete Prüfpunkte zur politischen Stabilität und zu lokalen Insolvenzregelungen ergänzt.
Verträge müssen künftig folgende Elemente enthalten:
Subcontracting ist nur unter strengen Auflagen zulässig, und der Hauptdienstleister muss sicherstellen, dass sämtliche Pflichten auch auf Subunternehmer durchgreifen.
Drittanbieterrisikomanagement entwickelt sich vom Compliance-Thema zum strategischen Steuerungsinstrument. Institute, die nicht rechtzeitig handeln, riskieren nicht nur aufsichtsrechtliche Maßnahmen, sondern auch operative Störungen und Wettbewerbsnachteile. Die Übergangsfrist bis 2028 mag lang erscheinen – angesichts der erforderlichen organisatorischen, prozessualen und vertraglichen Anpassungen ist sie jedoch ambitioniert.
Gleichzeitig bietet die Harmonisierung mit DORA erhebliche Chancen: Institute, die beide Frameworks integriert umsetzen, schaffen einheitliche Governance-Strukturen, erhöhen ihre Transparenz und stärken nachhaltig ihre operationelle Resilienz.
In den kommenden Beiträgen dieser Serie werden wir die Anforderungen im Detail beleuchten: von der Abgrenzung zu DORA über konkrete Registerpflichten bis hin zu praktischen Umsetzungsempfehlungen. Ziel ist es, Compliance- und Auslagerungsverantwortlichen sowie der Geschäftsleitung einen praxisnahen Leitfaden für die anstehende Transformation an die Hand zu geben.
Sie möchten wissen, wo Ihr Institut steht? Sprechen Sie uns an für eine unverbindliche Ersteinschätzung Ihres Handlungsbedarfs – auf Basis Ihrer bestehenden Strukturen und individuellen Herausforderungen.
Am 8. Juli 2025 hat die Europäische Bankenaufsichtsbehörde (EBA) den Entwurf ihrer neuen Leitlinie zum Management von Drittanbieterrisiken zur Konsultation veröffentlicht. Was auf den ersten Blick wie eine technische Überarbeitung der bisherigen Outsourcing-Regelungen wirkt, markiert tatsächlich einen fundamentalen Wandel: Institute müssen künftig nicht nur klassische Auslagerungen, sondern sämtliche Non-IKT-Drittparteibeziehungen nach einheitlichen, verschärften Standards steuern.
Die bisherige EBA-Leitlinie von 2019 konzentrierte sich primär auf Outsourcing-Vereinbarungen im engeren Sinne. Der neue Entwurf erweitert den Anwendungsbereich erheblich und führt den umfassenden Begriff "Third-Party Arrangement" ein. Outsourcing wird damit zur Unterkategorie einer deutlich breiteren Risikobetrachtung.
Konkret bedeutet das: Alle Vereinbarungen mit externen Dienstleistern – unabhängig von ihrer formalen Ausgestaltung – fallen unter die Leitlinie, sofern es sich nicht um IKT-Services handelt. Diese sind seit Januar 2025 durch DORA (Digital Operational Resilience Act) geregelt. Damit entsteht erstmals eine lückenlose regulatorische Architektur für das gesamte Drittanbieterrisikomanagement.
Neben Kreditinstituten und Wertpapierfirmen erfasst die Leitlinie nun auch Emittenten von Asset-Referenced Tokens (ARTs) gemäß MiCAR sowie Kreditgeber nach Mortgage Credit Directive. Der Kreis der regulierten Institute wird damit deutlich ausgeweitet.
Institute müssen künftig ein vollständiges Register aller Non-IKT-Drittparteibeziehungen führen – konsistent mit dem DORA-Register für IKT-Services. Gefordert werden detaillierte Angaben zu:
Die Anforderungen orientieren sich explizit am DORA-Standard.
Das Managementorgan bleibt – wie bereits in der Leitlinie von 2019 – in der uneingeschränkten, nicht delegierbaren Verantwortung für das Drittparteirisikomanagement. Neu hinzu kommt jedoch die explizite Pflicht zur Definition, Genehmigung und regelmäßigen Überprüfung einer umfassenden Strategie für alle Non-IKT-Drittparteibeziehungen. Damit wird die bereits unter DORA für IKT-Dienstleistungen bestehende Strategiepflicht konsequent auf alle übrigen Drittparteien ausgeweitet. Das bewährte Prinzip bleibt bestehen: Institute dürfen nicht zu „leeren Hüllen" werden – ausreichende eigene Substanz und Steuerungsfähigkeit müssen jederzeit gewährleistet sein.
Die bereits 2019 geforderte Prüfung von operationellen, rechtlichen und Reputationsrisiken wird substanziell erweitert. Neu hinzu kommen explizit:
Aspekte, die in der bisherigen Leitlinie nicht ausdrücklich adressiert wurden. Zudem müssen Institute künftig komplexe Subcontracting-Ketten und deren spezifische Lieferkettenrisiken detailliert analysieren sowie die Business-Continuity- und Notfallpläne der Dienstleister prüfen. Die bereits 2019 bestehenden Anforderungen an die Bewertung von Drittland-Anbietern werden präzisiert und um konkrete Prüfpunkte zur politischen Stabilität und zu lokalen Insolvenzregelungen ergänzt.
Verträge müssen künftig folgende Elemente enthalten:
Subcontracting ist nur unter strengen Auflagen zulässig, und der Hauptdienstleister muss sicherstellen, dass sämtliche Pflichten auch auf Subunternehmer durchgreifen.
Drittanbieterrisikomanagement entwickelt sich vom Compliance-Thema zum strategischen Steuerungsinstrument. Institute, die nicht rechtzeitig handeln, riskieren nicht nur aufsichtsrechtliche Maßnahmen, sondern auch operative Störungen und Wettbewerbsnachteile. Die Übergangsfrist bis 2028 mag lang erscheinen – angesichts der erforderlichen organisatorischen, prozessualen und vertraglichen Anpassungen ist sie jedoch ambitioniert.
Gleichzeitig bietet die Harmonisierung mit DORA erhebliche Chancen: Institute, die beide Frameworks integriert umsetzen, schaffen einheitliche Governance-Strukturen, erhöhen ihre Transparenz und stärken nachhaltig ihre operationelle Resilienz.
In den kommenden Beiträgen dieser Serie werden wir die Anforderungen im Detail beleuchten: von der Abgrenzung zu DORA über konkrete Registerpflichten bis hin zu praktischen Umsetzungsempfehlungen. Ziel ist es, Compliance- und Auslagerungsverantwortlichen sowie der Geschäftsleitung einen praxisnahen Leitfaden für die anstehende Transformation an die Hand zu geben.
Sie möchten wissen, wo Ihr Institut steht? Sprechen Sie uns an für eine unverbindliche Ersteinschätzung Ihres Handlungsbedarfs – auf Basis Ihrer bestehenden Strukturen und individuellen Herausforderungen.
Am 8. Juli 2025 hat die Europäische Bankenaufsichtsbehörde (EBA) den Entwurf ihrer neuen Leitlinie zum Management von Drittanbieterrisiken zur Konsultation veröffentlicht. Was auf den ersten Blick wie eine technische Überarbeitung der bisherigen Outsourcing-Regelungen wirkt, markiert tatsächlich einen fundamentalen Wandel: Institute müssen künftig nicht nur klassische Auslagerungen, sondern sämtliche Non-IKT-Drittparteibeziehungen nach einheitlichen, verschärften Standards steuern.
