EBA-Leitlinien Third-Party Risk 2026: Non-ICT-Drittdienstleister unter DORA-Logik steuern

Finanzunternehmen greifen immer stärker auf Drittdienstleister (TPSP) zurück — und erhöhen damit Risiken für sich, ihre Kunden und im Einzelfall das Finanzsystem (S. 4). Die EBA zieht zwei Konsequenzen: Outsourcing wird zur Teilmenge des breiteren Drittparteien-Arrangements (Tz. 17), und die Lücke zu DORA wird geschlossen — DORA regelt das IKT-, die Leitlinien das Non-ICT-Drittparteienrisiko, mit der Erwartung eines ganzheitlichen Ansatzes über beide Welten (Tz. 7; Hintergrundteil Tz. 11).

Die Rechtsgrundlage liegt in den Governance-Mandaten der Sektorrechtsakte: Art. 74(3) CRD, Art. 26 IFD, Art. 34 MiCAR und Art. 11 PSD2 (Hintergrundteil Tz. 15; Feedback S. 67). Formal sind es Leitlinien nach Art. 16 der Verordnung (EU) Nr. 1093/2010: Aufsichtsbehörden und Finanzunternehmen müssen alle Anstrengungen unternehmen, ihnen nachzukommen; jede Aufsichtsbehörde erklärt binnen zwei Monaten, ob sie die Leitlinien anwendet (Tz. 1–3; Feedback S. 68).

International knüpft die EBA an das FSB-Toolkit vom 4. Dezember 2023 und die BCBS Principles for the sound management of third-party risk vom 10. Dezember 2025 an, denen die Definition des Drittparteien-Arrangements folgt (S. 55, 59; Feedback S. 75); die ESMA Principles on third-party risks vom 12. Juni 2025 richten sich nur an nationale Aufsichtsbehörden (Feedback S. 66).

Die Konsultation zu EBA/CP/2025/12 lief vom 8. Juli bis 8. Oktober 2025 und brachte 72 Antworten (Feedback S. 65). Kritik am Mandat und Vorwürfe der Doppelregulierung wies die EBA zurück (S. 67–68); bei der Proportionalität gab sie nach — Fokus auf kritische oder wichtige Funktionen, schlankeres Register, Proportionalitätskriterien in Titel I (S. 68–69). Den Wunsch nach neun bis achtzehn Monaten Vorlauf beantwortete sie mit der zweijährigen Übergangsfrist; wer nicht fertig wird, informiert die Aufsicht (S. 78; Tz. 20).

Das Anwendungsdatum ist im Final Report ein Platzhalter: Die Leitlinien gelten ab einem mit der Veröffentlichung der Übersetzungen festgelegten Datum für alle Arrangements, die ab diesem Tag geschlossen, überprüft oder geändert werden (Tz. 18); bestehende Arrangements sind zu überprüfen und anzupassen (Tz. 19).

Gegenstand sind die Governance-Regelungen für den Fall, dass Drittdienstleister Non-ICT-Dienstleistungen zur Unterstützung von Funktionen erbringen — mit Fokus auf kritische oder wichtige Funktionen (Tz. 5); „Unterstützung“ schließt die vollständige Erbringung der Funktion ein (Fn. 20). IKT-Dienstleistungen nach Art. 3(21) DORA sind ausgenommen, weil sie unter Kapitel V DORA fallen (Tz. 7). Die Aufsicht prüft die Arrangements im SREP nach Art. 97 CRD und den Pendants in IFD, PSD2, EMD und MiCAR (Tz. 6).

Was nicht erfasst ist: die Ausschlüsse der Tz. 33

• Leistungen, die gesetzlich von einem Dritten zu erbringen sind — etwa die Abschlussprüfung
• Regulierte Finanzdienstleistungen, die gesetzlich von einem anderen unter EU-Recht regulierten Finanzunternehmen erbracht werden müssen, z. B. Verwahrung oder Handelsplätze
• Marktinformationsdienste — auf Wunsch der Konsultation ergänzt (Feedback S. 79)
• Finanzgeschäfte zwischen Finanzinstituten als Gegenparteien und mit Zentralbanken
• Zahlungsnetzwerk-Infrastrukturen wie Visa, Mastercard, Wero oder GIE CB sowie Clearing- und Settlement-Vereinbarungen zwischen Clearinghäusern, zentralen Gegenparteien, Abwicklungsstellen und ihren Mitgliedern
• Globale Finanznachrichten-Infrastrukturen unter behördlicher Oversight, etwa SWIFT, sowie Korrespondenzbankgeschäft
• Leistungen ohne wesentliche Auswirkung auf Risiko oder Resilienz: Architekten, Druck, Rechtsgutachten, Prozessvertretung, PR, Reinigung, Gebäudeinstandhaltung, medizinische Dienste, Fuhrpark, Catering, Kantine, Büro-, Reise-, Post- und Empfangsdienste
• Warenbezug (Plastikkarten, Kartenleser, Büromaterial, PCs, Möbel) und Versorgungsleistungen (Strom, Gas, Wasser, Telefon)

Ausgeschlossen ist die Leistung, nicht der Anbieter: Ein beaufsichtigtes Finanzunternehmen, das andere Leistungen erbringt, ist TPSP wie jeder andere; seine Beaufsichtigung fließt in Proportionalität und Risikoanalyse ein (S. 69–71). Und die Ausschlüsse entbinden nicht vom Risikomanagement — angemessene Schritte bleiben erwartet (Fn. 41).

Gruppeninterne Drittdienstleister und zentrale Dienstleister eines institutsbezogenen Sicherungssystems (IPS) sind TPSP — ohne Sonderregime, denn gruppeninterne Arrangements sind nicht per se risikoärmer (Hintergrundteil Tz. 19; Feedback S. 71); Flexibilität entsteht über zentrale Funktionen nach Tz. 26–30. Ein gruppeninterner TPSP im Drittland ist in der Risikoanalyse als Drittland-TPSP zu behandeln (Feedback S. 75).

Der Test gehört in das ganzheitliche Risikomanagement über alle Geschäftsbereiche und internen Einheiten (Tz. 31). Er wird vor jeder Beauftragung durchlaufen (Tz. 68 a) und ist in der Policy als Planungsschritt zu verankern (Tz. 48 d).

1. 1
   Stufe 1Handelt es sich um eine Non-ICT-Dienstleistung?

   Ist die Leistung eine IKT-Dienstleistung nach Art. 3(21) DORA oder ist ihr IKT-Anteil für die Erbringung wesentlich, gilt DORA (Tz. 31 a, 32). Alles andere bleibt im Test.

2. 2
   Stufe 2Wird eine Funktion wiederkehrend oder fortlaufend unterstützt?

   Eine Funktion ist jeder Prozess, jede Dienstleistung, jede Tätigkeit — oder ein Teil davon (Tz. 17). Einmalige Bezüge sind kein Drittparteien-Arrangement (Tz. 31 b). Anschließend die Ausschlüsse nach Tz. 33 prüfen.

3. 3
   Stufe 3Ist die Funktion kritisch oder wichtig?

   Nur dann greifen Policy (Tz. 47), Zusatzfelder im Register (Tz. 62), erweiterte Due Diligence (Tz. 79), erweiterte Vertragsklauseln (Tz. 85), uneingeschränkte Prüfrechte (Tz. 98) und Exit-Plan (Tz. 114). Für alle übrigen Arrangements gilt das Basisregime (Tz. 31 c).

Kritisch oder wichtig ist eine Funktion, deren Störung die finanzielle Leistung des Finanzunternehmens, die Solidität oder Kontinuität seiner Dienstleistungen und Tätigkeiten oder die fortlaufende Einhaltung der Zulassungsbedingungen und sonstiger finanzaufsichtsrechtlicher Pflichten wesentlich beeinträchtigen würde (Tz. 17). Der Wortlaut entspricht Art. 3(22) DORA (Hintergrundteil Tz. 13). Er ist nicht identisch mit den „kritischen Funktionen“ nach Art. 2(1) Nr. 35 BRRD, umfasst diese aber (Fn. 35; Hintergrundteil Tz. 13).

Ein Arrangement, das mehrere Funktionen abdeckt — etwa operative Aufgaben des Risikomanagements und das aufsichtliche Meldewesen — ist in allen Aspekten gemeinsam zu bewerten (Tz. 32).

Das Leitungsorgan definiert, genehmigt und überprüft regelmäßig eine Strategie für das Drittparteienrisiko, die die Policy nach Abschnitt 6 einschließt und das operationelle Risikomanagement sowie die operationelle Resilienz ergänzt; integrierte oder getrennte Strategien für IKT und Non-ICT sind zulässig (Tz. 38; Feedback S. 83). Die Nutzung von TPSP führt nie zur Delegation der Verantwortung (Tz. 41) und senkt weder die Eignungsanforderungen an Leitungsorgan und Geschäftsleitung noch den Bedarf an kompetenten Ressourcen (Tz. 43). Tz. 42 a–h zählt auf, wofür das Leitungsorgan jederzeit verantwortlich bleibt — von den Zulassungsbedingungen über Strategien, Risikoappetit und Interessenkonflikt-Policies bis zur Überwachung aller Drittparteienrisiken, der Business-Continuity-Policy und den Prüfungsplänen der Internen Revision.

Proportionalität und Gruppenstrukturen

Proportionalität heißt: Governance-Regelungen müssen zu Risikoprofil, Art, Geschäftsmodell, Umfang und Komplexität der Tätigkeiten passen (Tz. 23). Maßstab je Arrangement sind Komplexität der Funktion, Risiken, Kritikalität und Auswirkung auf die Kontinuität (Tz. 24); die Kriterien aus Titel I der EBA-Governance-Leitlinien unter CRD, IFD und MiCAR gelten entsprechend (Tz. 25).

Die Policy ist mindestens jährlich zu überprüfen und bei Bedarf zu aktualisieren; Änderungen sind zeitnah und so bald wie möglich in den Vertragsverhältnissen umzusetzen, und das Leitungsorgan stellt die Umsetzung auf Einzel-, teilkonsolidierter und konsolidierter Ebene sicher (Tz. 47). Den Wunsch, den Jahresrhythmus zu streichen, lehnte die EBA ab — er sei nicht belastend, wenn sich nichts geändert habe, und DORA-konsistent (Feedback S. 85). Ob die Outsourcing-Policy von 2019 und die neue Policy ein Dokument bilden, bleibt dem Finanzunternehmen überlassen.

Zusätzlich muss die Policy die Auswirkungen kritischer oder wichtiger Funktionen bei TPSP auf vier Bereiche erfassen und in die Entscheidungen einfließen lassen: Risikoprofil, Fähigkeit zur Überwachung des TPSP und zur Risikosteuerung, Business-Continuity-Maßnahmen und Leistung der Geschäftstätigkeit (Tz. 50).

Drei angrenzende Abschnitte gehören inhaltlich zur Policy. Interessenkonflikte sind zu identifizieren, zu bewerten und zu steuern; bei gruppeninternen TPSP müssen die Konditionen einschließlich des Preises objektiv sein, Synergien dürfen eingepreist werden, solange der TPSP eigenständig überlebensfähig bleibt — innerhalb einer Gruppe unabhängig vom Ausfall anderer Gruppeneinheiten (Tz. 51–53). Business Continuity verlangt regelmäßig getestete Pläne unter Einbeziehung des TPSP und eine Business Impact Analysis mit quantitativen und qualitativen Kriterien, Szenarioanalyse und Blick auf die Substituierbarkeit (Tz. 54–55). Die Interne Revision prüft risikobasiert, nimmt kritische Arrangements in den Prüfplan auf, bewertet Rahmen, Kritikalitäts- und Risikobewertung, Gremieneinbindung und Monitoring und betreibt einen formalen Follow-up-Prozess für Feststellungen (Tz. 56–57).

Das Register erfasst alle Drittparteien-Arrangements im Anwendungsbereich — einzeln, teilkonsolidiert und konsolidiert — und unterscheidet kritische oder wichtige Funktionen von den übrigen; IKT-Subunternehmer eines Non-ICT-TPSP, die eine kritische oder wichtige Leistung effektiv untermauern, gehören hinein (Tz. 58). Beendete Arrangements bleiben angemessen lange dokumentiert; die zunächst geplante Fünfjahresfrist wurde an DORA angeglichen (Tz. 59; Feedback S. 90). Gruppen und IPS dürfen das Register zentral führen, sofern jedes Institut sein individuelles Register unverzüglich erhält (Tz. 60, 28 d).

Bereitstellung und Meldungen an die Aufsicht

Auf Anfrage erhält die Aufsicht das Register ganz oder in Teilen in verarbeitbarer elektronischer Form — zulässig ist das Format des DORA-ITS, etwa Datenbankformat oder CSV (Tz. 63) — sowie alle nötigen Informationen bis hin zu Vertragskopien (Tz. 64). Geplante Arrangements zu kritischen oder wichtigen Funktionen und der Fall, dass eine Funktion kritisch oder wichtig wird, sind rechtzeitig mitzuteilen, wo angemessen im Aufsichtsdialog, mit mindestens den Angaben aus Tz. 61 und 62 (Tz. 65); wesentliche Änderungen und schwerwiegende Ereignisse ebenso (Tz. 66). Bewertungen und Monitoring-Ergebnisse sind zu dokumentieren (Tz. 67). Eine Frist nennen die Leitlinien nicht; zentrale Meldungen aus Gruppen sind möglich (Feedback S. 77–78, 92).

Zulassungspflichtige Funktionen — Bankgeschäfte, Zahlungsdienste, die Emission von ART oder Wertpapierdienstleistungen nach Art. 4 Nr. 2 MiFID II in einem Umfang, der eine Zulassung oder Registrierung erfordert — dürfen nur an einen TPSP vergeben werden, der dafür zugelassen oder registriert ist oder nach nationalem Recht anderweitig dazu befugt ist (Tz. 69; Abschnitt 11.1). Sitzt der TPSP in einem Drittland, gelten drei kumulative Bedingungen (Tz. 70):

1. 1
   Bedingung 1Zulassung und Beaufsichtigung im Drittland

   Der TPSP ist im Drittland für die Tätigkeit zugelassen oder registriert und wird dort von einer Aufsichtsbehörde beaufsichtigt (Tz. 70 a).

2. 2
   Bedingung 2Kooperationsvereinbarung der Behörden

   Zwischen der Aufsichtsbehörde des Finanzunternehmens und der Drittland-Aufsicht besteht eine geeignete Kooperationsvereinbarung, etwa ein Memorandum of Understanding oder ein College-Agreement (Tz. 70 b).

3. 3
   Bedingung 3Vier Mindestrechte der Aufsicht

   Die Vereinbarung sichert der EU-Aufsicht mindestens: Informationen auf Anfrage, Zugang zu Daten, Dokumenten, Räumlichkeiten und Personal im Drittland, schnellstmögliche Information über mutmaßliche Verstöße und Zusammenarbeit bei der Durchsetzung (Tz. 70 c).

Risikoanalyse (Abschnitt 11.2)

Due Diligence (Abschnitt 11.3)

• Die Tiefe der Prüfung ist proportional zur Kritikalität der Funktion (Tz. 77).
• Für jeden TPSP: Geschäftsmodell, Größe, Komplexität, Finanzkraft, Eigentümer- und Gruppenstruktur; operative und technische Fähigkeit und Track Record; Gruppenzugehörigkeit; Beaufsichtigung (Tz. 78).
• Für kritische oder wichtige Funktionen zusätzlich: Reputation, Expertise, Kapazität und Ressourcen; interne Kontrollen und Risikomanagement einschließlich Lieferkettenrisiken; geografische Abhängigkeiten; BCP-, Notfall- und Disaster-Recovery-Pläne; erforderliche Zulassungen über die Vertragslaufzeit; effektive Prüfbarkeit auch vor Ort durch Institut, Beauftragte und Aufsicht (Tz. 79).
• Der geplante Einsatz von Subunternehmern für wesentliche Teile ist einzubeziehen (Tz. 80); bei personenbezogenen oder vertraulichen Daten sind die technischen und organisatorischen Maßnahmen des TPSP zu prüfen (Tz. 81).

Der fünfte Prüfschritt — Interessenkonflikte — folgt Abschnitt 7 (Tz. 51–53) und ist bei gruppeninternen TPSP besonders sorgfältig zu dokumentieren.

Tz. 83 verlangt, Rechte und Pflichten von Finanzunternehmen und Drittdienstleister (TPSP) klar zuzuweisen und schriftlich festzuhalten. Die Konsequenz: Rahmenvertrag, Einzelabruf und Leistungsschein müssen zusammen den Mindestinhalt der Tz. 84 abdecken — für jedes Arrangement im Anwendungsbereich, unabhängig von der Kritikalität.

Zehn Pflichtelemente für jedes Arrangement (Tz. 84 a–j)

Sechs Zusatzklauseln für kritische oder wichtige Funktionen (Tz. 85 a–f)

Tz. 86 ergänzt für TPSP insbesondere in Drittländern: Unbeschadet der DSGVO (Verordnung (EU) 2016/679) sind Unterschiede im nationalen Datenschutzrecht zu berücksichtigen. Der Vertrag verpflichtet den TPSP, vertrauliche, personenbezogene und sonst sensible Informationen zu schützen und alle Datenschutzpflichten einzuhalten, die für das Finanzunternehmen selbst gelten — ausdrücklich einschließlich Bankgeheimnis und vergleichbarer Verschwiegenheitspflichten gegenüber Kunden.

Führen Sie die Elemente a–j und a–f als Klausel-Checkliste je Vertrag, verknüpft mit den Registerfeldern (Tz. 61–62). Fehlende Elemente in Altverträgen sind das, was in der zweijährigen Übergangsfrist nachzuverhandeln ist (Tz. 19–20).

Tz. 87 setzt den Rahmen: Das Arrangement legt fest, ob Weiterverlagerung zulässig ist und unter welchen Bedingungen. Subunternehmer mindern die Letztverantwortung des Leitungsorgans nicht. Finanzunternehmen brauchen eine „klare und ganzheitliche Sicht“ auf die Kette und konzentrieren sich auf Subunternehmer, die die Non-ICT-Leistung effektiv untermauern — wer das tut, wird nach Tz. 88 im Register erfasst (Tz. 62 c).

Was der Vertrag zur Weiterverlagerung regeln muss (Tz. 89 a–j)

• a — Tätigkeiten, die von der Weiterverlagerung ausgeschlossen sind
• b — Bedingungen, die bei einer Weiterverlagerung einzuhalten sind
• c — Pflicht des TPSP, Standortrisiken aktueller oder potenzieller Subunternehmer, ihrer Muttergesellschaft und des Leistungsorts zu bewerten und zu steuern
• d — Pflicht des TPSP, weiterverlagerte Funktionen zu überwachen, damit alle Vertragspflichten fortlaufend erfüllt bleiben
• e — Berichtspflichten des TPSP zu Subunternehmern kritischer oder wichtiger Funktionen
• f — Pflicht des TPSP, in seinen Subverträgen Monitoring- und Berichtspflichten der Subunternehmer gegenüber ihm und, soweit vereinbart, gegenüber dem Finanzunternehmen festzuschreiben
• g — Kontinuitätspflicht: Der TPSP sichert die Funktion über die gesamte Kette, auch wenn ein Subunternehmer seine Pflichten verletzt
• h — Kettenrechte: Der Subunternehmer räumt dem Finanzunternehmen sowie Aufsichts- und Abwicklungsbehörden dieselben Zugangs-, Inspektions- und Prüfrechte ein wie der TPSP
• i — Vertragsänderungen zur Einhaltung von EU-Recht und dieser Leitlinien setzt der Subunternehmer zeitnah um
• j — Das Finanzunternehmen dokumentiert und kommuniziert den Zeitplan für solche Änderungen

Der Verfahrensablauf: Anzeige, Frist, Entscheidung (Tz. 90–94)

1. 1
   Schritt 1Anzeige durch den TPSPTz. 90

   Der TPSP zeigt neue Subverträge und beabsichtigte wesentliche Änderungen so rechtzeitig an, dass das Finanzunternehmen die Auswirkungen auf seine Risiken und auf die Vertragserfüllung des TPSP bewerten kann.

2. 2
   Schritt 2Angemessene FristTz. 91

   Der Vertrag enthält eine angemessene Anzeigefrist, innerhalb derer das Finanzunternehmen zustimmen oder widersprechen kann.

3. 3
   Schritt 3Bewertung gegen die RisikotoleranzTz. 93

   Überschreitet die Weiterverlagerung oder die Änderung die Risikotoleranz, informiert das Finanzunternehmen den TPSP vor Fristablauf, widerspricht und verlangt Anpassungen — bevor der Subvertrag geschlossen oder die Änderung umgesetzt wird.

4. 4
   Schritt 4Umsetzung erst nach Zustimmung oder FristablaufTz. 92

   Der TPSP darf den Subvertrag erst schließen oder die Änderung erst umsetzen, wenn das Finanzunternehmen zugestimmt oder bis zum Fristende nicht widersprochen hat.

5. 5
   Schritt 5Laufende Identifikation und ÜberwachungTz. 94

   Der TPSP identifiziert alle Subunternehmer und überwacht jene, die kritische oder wichtige Funktionen oder wesentliche Teile erbringen.

Die Kette wird damit zum Prüfobjekt. Tz. 75 verlangt bereits in der Risikoanalyse, Subunternehmer im Drittland und lange, komplexe Ketten als eigenes Risiko zu bewerten, weil sie die Überwachbarkeit durch Finanzunternehmen und Aufsicht mindern. Im Register stehen die Subunternehmer wesentlicher Teile mit ihrem Rang in der Kette (Tz. 62 c; Felder siehe Kapitel 6). Wer diese Daten nicht erhält, hat kein Kettenproblem, sondern ein Vertragsproblem.

Grenzfall zu DORA: IKT-Subunternehmer eines Non-ICT-Dienstleisters, die dessen Leistung für eine kritische oder wichtige Funktion effektiv untermauern, gehören nach Tz. 58 ebenfalls in das Non-ICT-Register — die Grenze verläuft entlang der Hauptleistung, nicht entlang der Kette.

Tz. 96 beginnt bei der eigenen Organisation: Der Vertrag muss der Internen Revision ermöglichen, die vom TPSP erbrachte Funktion risikobasiert zu prüfen. Tz. 97 gilt für CRD-Institute unabhängig von der Kritikalität: Jeder Vertrag verweist auf die Informations- und Ermittlungsbefugnisse der Aufsichts- und Abwicklungsbehörden nach Art. 63(1)(a) BRRD und Art. 65(3) CRD — für TPSP im Mitgliedstaat ebenso wie im Drittland.

Nach Tz. 101 legen Finanzunternehmen Prüfhäufigkeit und Prüffelder risikobasiert fest und folgen anerkannten Prüfstandards. Um Prüfressourcen effizienter einzusetzen, erlaubt Tz. 102 zwei Hilfsmittel: Pooled Audits gemeinsam mit anderen Kunden desselben TPSP oder durch einen gemeinsam beauftragten Dritten sowie Zertifizierungen und Prüfberichte Dritter oder der internen Revision des TPSP.

Die acht Bedingungen für Zertifikate und Prüfberichte (Tz. 104 a–h)

Vor geplanten Vor-Ort-Prüfungen erhält der TPSP eine angemessene Vorankündigung, außer in Notfall- oder Krisensituationen oder wenn die Ankündigung die Prüfung wirkungslos machen würde (Tz. 105). In Multi-Client-Umgebungen sind Risiken für andere Kunden — Service-Levels, Datenverfügbarkeit, Vertraulichkeit — zu vermeiden oder zu mindern (Tz. 106). Bei hoher Komplexität muss das Finanzunternehmen prüfen, ob eigene Revision, Auditpool oder beauftragte Externe die nötigen Fähigkeiten haben; dasselbe gilt für die Mitarbeitenden, die Zertifikate und Fremdprüfungen auswerten (Tz. 107).

Kündigungsrechte müssen nach Tz. 108 im Einklang mit dem anwendbaren Recht unter anderem in fünf Situationen bestehen. Tz. 109 verlangt für kritische oder wichtige Funktionen, dass der Vertrag den Transfer zu einem anderen TPSP oder die Rückführung erleichtert: Pflichten des bisherigen TPSP im Transferfall einschließlich des Umgangs mit Daten, eine angemessene Übergangsphase, in der er nach der Kündigung weiterleistet, und eine Unterstützungspflicht für den geordneten Übergang.

• Tz. 108 a — erheblicher Verstoß des TPSP gegen Gesetze, Vorschriften oder Vertragsbestimmungen
• Tz. 108 b — im Monitoring erkannte Umstände, die die Leistungserbringung verändern können
• Tz. 108 c — wesentliche Änderungen wie Weiterverlagerung oder Wechsel von Subunternehmern
• Tz. 108 d — nachgewiesene Schwächen im Risikomanagement oder in der Sicherheit vertraulicher, personenbezogener, sonst sensibler oder nicht personenbezogener Daten
• Tz. 108 e — die Aufsichtsbehörde kann das Finanzunternehmen infolge der Vertragsbedingungen nicht mehr wirksam beaufsichtigen

Monitoring ist nach Tz. 110 risikobasiert und bei kritischen oder wichtigen Funktionen fortlaufend. Die Risikoanalyse nach Abschnitt 11.2 wird regelmäßig aktualisiert, das Leitungsorgan erhält periodische Risikoberichte, und bei wesentlicher Änderung von Risiko, Art oder Umfang einer Funktion wird ihre Kritikalität neu bewertet. Tz. 111 verlangt, interne Konzentrationsrisiken zu überwachen — einschließlich der Subunternehmer. Bei tatsächlichen oder potenziellen Mängeln sind Korrekturmaßnahmen zu ergreifen oder ist der Vertrag zu beenden (Tz. 113).

Exit-Strategien sind nach Tz. 114 für alle kritischen oder wichtigen Funktionen zu dokumentieren, im Einklang mit Strategie und Notfallplänen, und berücksichtigen mindestens sechs Szenarien. Tz. 115 verlangt einen Ausstieg ohne unangemessene Störung des Geschäfts, ohne Einschränkung der Compliance und ohne Nachteil für die Kunden: Exit-Pläne sind realistisch, umsetzbar, auf plausible Szenarien gestützt, dokumentiert und, soweit angemessen, ausreichend getestet — etwa durch eine Kosten-, Auswirkungs-, Ressourcen- und Zeitanalyse eines Wechsels. Alternativlösungen und Transitionspläne berücksichtigen den Datenstandort und sichern die Kontinuität während der Übergangsphase.

• Tz. 114 a — Beendigung des Drittparteien-Arrangements
• Tz. 114 b — Ausfall des TPSP
• Tz. 114 c — Konzentrationsrisiko auf Unternehmensebene und ein möglicherweise schwieriger Ausstieg
• Tz. 114 d — Qualitätsverfall und tatsächliche oder potenzielle Geschäftsunterbrechungen durch gescheiterte Leistungserbringung
• Tz. 114 e — wesentliche Risiken für die kontinuierliche Erbringung der Funktion
• Tz. 114 f — erheblicher Verstoß des TPSP gegen Gesetze, Vorschriften oder Vertragsbedingungen

Tz. 116 verlangt außerdem, die Szenarioanalyse nach Tz. 73 einzubeziehen, die Ziele der Exit-Strategie zu definieren, Rollen, Verantwortlichkeiten und ausreichende Ressourcen zuzuweisen sowie Erfolgskriterien für die Übertragung der Leistungen und der beim TPSP gehaltenen Daten festzulegen.

Drei Fragen stehen am Anfang: Bedeutet ein Arrangement eine wesentliche Änderung der Bedingungen der Erstzulassung (Tz. 117)? Kann die Behörde das Finanzunternehmen wirksam beaufsichtigen — insbesondere, weil die Verträge dem TPSP Zugangs- und Prüfrechte nach Abschnitt 12.2 abverlangen (Tz. 118)? Und wo findet die Analyse statt? Mindestens im SREP; bei Zahlungsinstituten in anderen Aufsichtsprozessen wie Ad-hoc-Anfragen oder Vor-Ort-Prüfungen (Tz. 119).

Erkannte Konzentrationsrisiken beobachtet die Aufsicht weiter und bewertet ihre Auswirkungen auf andere Finanzunternehmen und die Stabilität des Finanzsystems; neue potenziell kritische Funktionen im Sinne der BRRD meldet sie der Abwicklungsbehörde (Tz. 125). Werden kritische oder wichtige Funktionen außerhalb des EU/EWR erbracht, muss die Behörde von ihrer Fähigkeit zur wirksamen Aufsicht überzeugt sein (Tz. 127). Behörden kooperieren eng und tauschen Informationen zeitnah aus — gerade zur sektoralen Konzentration (Tz. 128).

Die Eingriffsbefugnisse sind gestuft (Tz. 126): Fehlt es an robuster Governance oder an Regelkonformität, kann die Aufsicht den Umfang der Non-ICT-Leistungen für kritische oder wichtige Funktionen beschränken oder den Ausstieg aus einem oder mehreren Arrangements verlangen. Lässt sich die Aufsicht nicht anders sicherstellen, kommen Kündigung oder vorübergehende Aussetzung von Verträgen in Betracht — unter Berücksichtigung des Bedarfs, den Betrieb fortzuführen.

Für den SREP-Dialog: Die EBA hat sich gegen eine Ex-ante-Genehmigung entschieden (Kosten-Nutzen-Analyse, Option B: High-level-Prinzipien). Stattdessen gelten rechtzeitige Information und gegebenenfalls Aufsichtsdialog über geplante kritische Arrangements (Tz. 65) sowie das Register in verarbeitbarer elektronischer Form auf Anfrage (Tz. 63).

Die Executive Summary formuliert das Ziel: die Lücke zu DORA schließen, einen ganzheitlichen Ansatz ermöglichen und beide Rahmen eng abstimmen — für gleiche Wettbewerbsbedingungen und aufsichtliche Konvergenz (S. 4). Die Definition der kritischen oder wichtigen Funktion ist „fully consistent“ mit DORA (S. 5, Tz. 17). Drei Stellen erlauben die Zusammenführung ausdrücklich (Rolle, Policy, Register); zwei weitere Bausteine folgen aus der Parallelität beider Regime.

Methodisch liefern ISO/IEC 27001:2022 mit den Controls A.5.19 bis A.5.23 (Lieferantenbeziehungen, Sicherheit in Lieferantenvereinbarungen, IKT-Lieferkette, Überwachung und Änderungsmanagement von Lieferantenleistungen, Cloud-Nutzung) und ISO/IEC 27036 (Informationssicherheit in Lieferantenbeziehungen) das Kontrollgerüst, um beide Regime in einem Managementsystem abzubilden — in Plattformen wie VamiGRC als ein Datenmodell mit zwei Sichten.

Die Zusammenführung ist eine Option, keine Pflicht (Tz. 49, 61). Wer zwei Register führt, soll Diskrepanzen vermeiden (Tz. 61) — praktisch heißt das: eine Datenbasis.

Ab Anwendungsbeginn gelten die Leitlinien für alle Arrangements, die ab diesem Datum geschlossen, überprüft oder geändert werden (Tz. 18); bestehende Arrangements sind zu überprüfen und anzupassen (Tz. 19). Für kritische oder wichtige Funktionen gilt eine Übergangsfrist von zwei Jahren — wer dann nicht fertig ist, informiert die Aufsicht über geplante Maßnahmen oder eine mögliche Exit-Strategie (Tz. 20). Nicht kritische Arrangements werden erst bei Verlängerung überprüft (Tz. 21). Die EBA wählte diese Option B2 bewusst, um Nachverhandlungsdruck zu senken (S. 58–59).

1. 1
   Phase 0Mobilisierung — vor AnwendungsbeginnTz. 38–44

   Mandat des Leitungsorgans, Rolle nach Tz. 44 c (kombiniert mit der DORA-Rolle), Inventur aller Non-ICT-Verträge, Gap-Analyse gegen Tz. 84–85, 61–62 und 48–49, Entscheidung über die Integrationsarchitektur.

2. 2
   Phase 1Die ersten 90 Tage ab AnwendungsbeginnTz. 31–37, 61

   Drei-Stufen-Test und Kritikalität für alle Arrangements, Basisfelder des Registers (Tz. 61), Priorisierung kritischer Verträge nach Verlängerungsdatum, genehmigte Policy (Tz. 47), Prozess für neue Arrangements — für sie gilt Tz. 18 sofort — und Meldeweg an die Aufsicht (Tz. 65).

3. 3
   Phase 2Monate 4–12: Vertrag und KetteTz. 84–95, 98

   Nachverhandlung kritischer Arrangements: Klauselsatz Tz. 84–85, Subcontracting-Regeln Tz. 89–95, Prüfrechte Tz. 98, Subunternehmerdaten Tz. 62 c, aktualisierte Due Diligence (Tz. 77–82), Zusatzfelder des Registers (Tz. 62), KPI-/KCI-Reporting (Tz. 112).

4. 4
   Phase 3Monate 13–24: Exit-Tests und NachweiseTz. 56, 101–104, 115

   Exit-Pläne testen, soweit angemessen (Tz. 115), Prüfplan der Internen Revision (Tz. 56), erste eigene oder gepoolte Audits (Tz. 101–104), Berichte ans Leitungsorgan (Tz. 110) — und wo die Überprüfung nicht rechtzeitig endet, Aufsichtsdialog vor Monat 24 (Tz. 20).

5. 5
   Phase 4Ab Monat 24: RegelbetriebTz. 21, 47, 110, 119

   Nicht kritische Arrangements bei Verlängerung nachziehen (Tz. 21), Policy jährlich prüfen (Tz. 47), Kritikalität bei wesentlichen Änderungen neu bewerten (Tz. 110), Register auf Anfrage elektronisch liefern (Tz. 63), SREP-Bereitschaft (Tz. 119).

Das Programm skaliert mit der Proportionalität: Weniger komplexe Finanzunternehmen können die Rolle einem Mitglied des Leitungsorgans zuweisen (Tz. 44 c), qualitative Risikoanalysen nutzen (Tz. 73) und das Register in Gruppe oder IPS zentral führen (Tz. 60).

Anwendungsdatum: Der Final Report enthält den Platzhalter „[date]“ (Tz. 18, 20, 22); die EBA führt die Leitlinien als „final and awaiting translation“. Bis die Übersetzungen veröffentlicht sind, ist Monat 0 unbekannt — planen Sie relativ zum Anwendungsbeginn und nutzen Sie die Zeit für Phase 0.