> ## Content Index > Fetch the complete content index at: https://www.waldvorlauternormen.com/llms.txt > Use this file to discover other available public pages before exploring further. # Neue EBA-Leitlinien zum Drittparteirisikomanagement bei Nicht-IKT-Dienstleistungen - URL: https://www.waldvorlauternormen.com/eba-leitlinien-drittparteirisikomanagement/ - Published: 2026-09-29T08:34:18.000Z - Updated: 2026-09-29T08:45:49.000Z - Description: Die EBA hat die Leitlinien zum Drittparteirisikomanagement bei Nicht-IKT-Dienstleistungen (EBA/GL/2026/09) veröffentlicht. Sie werden die bisherigen Outsourcing-Leitlinien ablösen und erweitern den Adressatenkreis sowie den Anwendungsbereich erheblich. - Author: Jens-Holger Petri - Tags: Bank- & Aufsichtsrecht, DORA, Outsourcing, Drittparteirisikomanagement Die EBA hat am 18\. September 2026 ihren Final Report on the Guidelines on Third-Party Risk Management (EBA/GL/2026/09) veröffentlicht. Die seit Inkrafttreten der DORA sehnlich erwarteten neuen [EBA-Leitlinien zum Drittparteirisikomanagement bei Nicht-IKT-Dienstleistungen](https://www.eba.europa.eu/sites/default/files/2026-09/dc9ccbb3-79b9-493d-b693-c21adeffbcc9/Final%20report%20on%20GL%20on%20third-party%20risk%20management.pdf?ref=waldvorlauternormen.com) werden mit dem (noch nicht feststehenden) Anwendungsdatum die bisherigen [EBA Guidelines on Outsourcing (EBA/GL/2019/02)](https://www.eba.europa.eu/documents/10180/2761380/5546a705-bff2-43eb-b382-e5c7bed3a2bc/EBA%20revised%20Guidelines%20on%20outsourcing%5FDE.pdf?ref=waldvorlauternormen.com) ersetzen. [DORA](https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022R2554&ref=waldvorlauternormen.com) harmonisierte das Risikomanagement bei Dritten für IKT-Dienstleistungen, überließ jedoch die Steuerung von Vertragsbeziehungen zu Dritten außerhalb des IKT-Bereichs den älteren EBA Guidelines on Outsourcing was im Detail zu ungleichen Anforderungen führte. ## Adressatenkreis Die neuen EBA-Leitlinien zum Drittparteirisikomanagement gelten für einen wesentlich größeren Adressatenkreis als die bisherigen EBA-Leitlinien zum Outsourcing. Zu den Adressaten gehören nun: Finanzinstitute im Sinne der CRD und deren Zweigniederlassungen aus Drittländern (third country branches), Wertpapierfirmen – mit Ausnahme kleiner und nicht vernetzter Firmen im Sinne der IFR –, Zahlungsinstitute (mit Ausnahme registrierter Kontoinformationsdienstleister), E-Geld-Institute, Emittenten von vermögensbezogenen Token im Sinne der MiCAR sowie Kreditgeber im Sinne der *MCD*, die als Finanzinstitute gelten, sowie gemäß der CRD zugelassene Finanz- oder gemischte Finanzholdinggesellschaften. ## Anwendungsbereich Der Anwendungsbereich der neuen EBA-Leitlinien zum Drittparteirisikomanagement umfasst nun nicht mehr nur Auslagerungsverträge, sondern Vereinbarungen mit Drittanbietern (*Third-party arrangements*), wobei Auslagerungsvereinbarungen (Outsourcing arrangements) ausdrücklich nur noch eine Untergruppe davon darstellen. Das Ziel ist es, dass Institute die Risiken durch Vereinbarungen mit Dritten ganzheitlich steuern. Die EBA-Leitlinien zum Drittparteirisikomanagement enthalten in Tz. 33 weiterhin eine Auflistung von Dienstleistungen die aus dem Anwendungsbereich der Leitlinien ausgeschlossen sind. Im Vergleich zu den EBA-Leitlinien zum Outsourcing wurde die Aufzählung präzisiert und erweitert. 💡 Für den Bezug von IKT-Dienstleistungen richten sich die Vorgaben nach DORA, für den Bezug von Nicht-IKT-Dienstleistungen nach den EBA-Leitlinien zum Drittparteirisikomanagement. Da manche Vereinbarungen sowohl IKT- als auch Nicht-IKT-Elemente kombinieren, legen die Leitlinien die Verantwortung für die Einstufung bei der Institution selbst: Wenn eine Nicht-IKT-Vereinbarung auch die Nutzung von IKT-Diensten beinhaltet, obliegt es dem Institut zu entscheiden, ob das IKT-Element „wesentlich genug“ ist, um die Anwendung der DORA auszulösen (Tz. 32). Siehe hierzu als Auslegungshilfe für die Abgrenzung in den [DORA Q&A](https://www.eiopa.europa.eu/qa-regulation/questions-and-answers-database/dora030-2999%5Fen?ref=waldvorlauternormen.com). Danach ist die Definition von IKT-Dienstleistungen nach DORA weit auszulegen. Es ist davon auszugehen, dass die Abgrenzung und deren Dokumentation in Einzelfällen dennoch eine praktische Herausforderung darstellen kann. ## Register aller Drittparteivereinbarungen Das bisherige Auslagerungsregister nach den EBA-Leitlinien zum Outsourcing wird zu einem Register aller Drittparteivereinbarungen (Tz. 58 ff.). Das Register soll so weit wie möglich mit dem Informationsregister nach DORA übereinstimmen. Jegliche Abweichungen zwischen den beiden Registern sind zu vermeiden. Es besteht zudem die Möglichkeit beide in einem Register zusammenzufassen (Tz. 61). Ein Beachtungspunkt hierbei: Wenn Drittanbieter von Nicht-IKT-Dienstleistungen ihrerseits IKT-Subunternehmer einsetzen, die solche Nicht-IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen im Sinne von DORA effektiv untermauern (*effectively underpinning*), sollen diese IKT-Subunternehmer im Register dokumentiert werden (Tz. 58). ## Angleich an vertragliche DORA-Anforderungen Die vertraglichen Mindestinhalte wurden erkennbar an die aus DORA bekannten Anforderungen angepasst (Tz. 83 ff.). Es wird weiterhin zwischen Mindestinhalten unterschieden, die in allen Drittparteivereinbarungen enthalten sein sollen und weitergehenden Inhalten für Drittparteivereinbarungen, die kritische oder wichtige Funktionen unterstützen. ## Keine „empty shells“ Bei all den umfangreichen Möglichkeiten der Auslagerung und des Leistungsbezugs von Drittparteien darf nicht vergessen werden, dass die Institute zu keinen Briefkastenfirmen / empty shells werden dürfen. Dies betonen die EBA-Leitlinien zum Drittparteirisikomanagement, wie schon bislang die EBA-Leitlinien zum Outsourcing (Tz. 45 f.). ## Umsetzung und Übergangszeitraum Die EBA-Leitlinien zum Drittparteirisikomanagement gelten für alle Vereinbarungen mit Drittanbietern, die am oder nach dem Anwendungsdatum geschlossen, überprüft oder geändert werden (Tz. 18). Bestehende Vereinbarungen mit Drittanbietern müssen überprüft und in Einklang mit den Vorschriften gebracht werden, soweit sie nicht unter die Ausnahmen nach Tz. 33 fallen. Der Konsultationsentwurf enthielt in Annex I noch einen nicht abschließenden Katalog an Beispielen von Dienstleistungen, die durch einen Drittanbieter erbracht werden können und in der Regel in den Anwendungsbereich der EBA-Leitlinien fallen. Dieser Annex I ist in den finalen Leitlinien zwar nun entfallen, veranschaulicht aber gut den leistungsbezogenen Umfang des Anwendungsbereichs der EBA-Leitlinien zum Drittparteirisikomanagement. Die Überprüfung und Dokumentation von Vereinbarungen, die **kritische oder wichtige Funktionen unterstützen**, muss innerhalb von zwei Jahren nach dem Anwendungsdatum abgeschlossen sein. Andernfalls muss das Institut ihre zuständige Aufsichtsbehörde informieren und dabei die geplanten Maßnahmen zur Vervollständigung oder die mögliche Ausstiegsstrategie mitteilen (Tz. 20). Bei Vereinbarungen, die **weder kritische noch wichtige Funktionen unterstützen**, kann die Überprüfung und Dokumentation bis zur nächsten Vertragsverlängerung aufgeschoben werden (Tz. 21). Ausgangspunkt ist somit die Aktualisierung der im Rahmen der bisherigen Outsourcing-Leitlinien bereits durchgeführten Risikoanalyse bzw. deren erstmalige Durchführung bei Nicht-Auslagerungsverträgen. Im Rahmen der Risikoanalyse ist zu ermitteln, ob die Leistung kritische oder wichtige Funktionen unterstützt oder nicht. Soweit nach den bisherigen EBA-Leitlinien zum Outsourcing eine Nicht-IKT-Auslagerung von kritischen oder wichtigen Funktionen vorlag, werden diese mit hoher Wahrscheinlichkeit auch weiterhin als Unterstützung kritischer oder wichtiger Funktionen zu werten sein. Es kommen gegebenenfalls weitere, bislang als „sonstiger Fremdbezug“ (Nicht-Auslagerung) gewertete Leistungsvereinbarungen hinzu, soweit sie kritische oder wichtige Funktionen unterstützen.