1
Leistung beschreiben
Was erhält das Institut fachlich: eine Tätigkeit (etwa Kreditbearbeitung, Revision) oder einen digitalen Dienst (etwa Plattform, Hosting, Software as a Service)?
Fachbeitrag · Third-Party Risk Management
DORA vs Third-Party Guidelines: Wo die Grenze 2026 verläuft
Bei „DORA vs Third-Party Guidelines“ geht es um die Vorfrage jeder Dienstleistersteuerung: Welches Regelwerk gilt für welche Drittleistung? Für IKT-Dienstleistungen sind seit Januar 2025 die Art. 28–30 der Verordnung (EU) 2022/2554 (DORA) maßgeblich. Für alle übrigen Leistungen gelten heute § 25b KWG, AT 9 MaRisk 10.0 und die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02). Im September 2026 hat die EBA zusätzlich ihre neuen Leitlinien zum Drittparteirisiko bei Nicht-IKT-Dienstleistungen veröffentlicht (EBA/GL/2026/09, im Englischen „Third-Party Guidelines“). Sie lösen künftig die Auslagerungsleitlinien von 2019 ab.
Die Grenze klingt einfach, wird im Alltag aber unscharf: Ein Callcenter nutzt Software, ein Dienstleister für Kreditbearbeitung betreibt eine Plattform, ein Revisionsdienstleister arbeitet in der Cloud. Der Beitrag zeigt, wo die Grenze rechtlich verläuft, wie Sie gemischte Leistungen einordnen und warum ein gemeinsames Register zulässig ist.
Management Summary
Die Grenze folgt dem Begriff der IKT-Dienstleistung. Art. 3 Nr. 21 DORA erfasst digitale Dienste und Datendienste, die dauerhaft über IKT-Systeme bereitgestellt werden. Für sie gelten Art. 28–30 DORA, unabhängig davon, ob sie aufsichtsrechtlich eine Auslagerung wären. AT 9 MaRisk 10.0 nimmt diese Leistungen ausdrücklich aus; die EBA/GL/2026/09 schließen sie in Rn. 5 und 7 aus.
Alles Übrige ist Nicht-IKT. Die neuen EBA-Leitlinien erfassen nicht nur Auslagerungen, sondern alle wiederkehrenden oder laufenden Drittparteivereinbarungen zur Unterstützung von Funktionen (Rn. 17). Sie sind final, aber noch nicht anwendbar. Bis zum Anwendungsbeginn bleibt es bei § 25b KWG, AT 9 MaRisk 10.0 und EBA/GL/2019/02.
Gemischte Leistungen verlangen eine begründete Entscheidung. Setzt eine Nicht-IKT-Leistung IKT-Dienstleistungen voraus, entscheidet das Institut, ob der IKT-Anteil für die Leistung wesentlich ist (Rn. 32). Eine pauschale Regel „im Zweifel DORA“ gibt es nicht. Ein gemeinsames Register für beide Bereiche ist ausdrücklich zulässig (Rn. 61).
Was jetzt zu tun ist. Verankern Sie ein einheitliches Abgrenzungskriterium, dokumentieren Sie die Einordnung je Vertrag, erfassen Sie Nicht-IKT-Verträge außerhalb Ihres heutigen Auslagerungsregisters und beobachten Sie Anwendungsdatum und BaFin-Erklärung. Der Beitrag ersetzt keine Rechtsberatung.
Inhaltsverzeichnis
- Sachverhalt: der Begriff der IKT-Dienstleistung
- Wer unter welches Regelwerk fällt
- Ausnahmen vom Anwendungsbereich
- Gemischte Leistungen: das Prüfschema
- Register: ein gemeinsames Register ist zulässig
- Gleiche Logik, unterschiedliche Fundstellen
- Fristen und Zeitpunkte
- Aufgaben nach Funktion
- Typische Stolpersteine mit Normbezug
- Quick-Check
- No-Regret-Maßnahmen
- Fazit
- FAQ
- Quellenverzeichnis
- Verwandte Leistungen und Programme
Sachverhalt: DORA vs Third-Party Guidelines und der Begriff der IKT-Dienstleistung
Geltendes Recht
Art. 3 Nr. 21 DORA definiert IKT-Dienstleistungen als digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern dauerhaft bereitgestellt werden. Eingeschlossen sind Hardware als Dienstleistung und technische Unterstützung über Software- oder Firmware-Updates; herkömmliche analoge Telefondienste sind ausgenommen. Für diese Leistungen gelten Art. 28–30 DORA, unabhängig davon, ob sie aufsichtsrechtlich eine Auslagerung wären.
AT 9 MaRisk 10.0 zieht die Gegenlinie: „Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28-30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9.“
Künftiges Recht (EBA/GL/2026/09)
Nach Rn. 5 gelten die Leitlinien für Nicht-IKT-Dienstleistungen von Drittdienstleistern, „other than those within the scope of Chapter V of Regulation (EU) 2022/2554 (DORA)“. Rn. 7 schließt IKT-Risiken und IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA aus. Zugleich verlangt die EBA einen ganzheitlichen Ansatz für IKT- und Nicht-IKT-Drittparteirisiken. Die Grenze trennt also die Rechtsgrundlagen, nicht die Steuerung.
Wer unter welches Regelwerk fällt
DORA verpflichtet Finanzunternehmen; IKT-Dienstleister werden über die Verträge eingebunden. Direkt beaufsichtigt werden nur die als kritisch benannten IKT-Drittdienstleister. Die folgende Übersicht stellt beide Regelwerke gegenüber.
| Merkmal | DORA (Art. 28–30) | EBA/GL/2026/09 |
|---|---|---|
| Rechtsnatur | EU-Verordnung, unmittelbar geltend | Leitlinien nach Art. 16 EBA-Verordnung; die Aufsichten erklären Comply or explain; in Deutschland ist eine Umsetzung über die MaRisk zu erwarten |
| Adressaten | Finanzunternehmen nach Art. 2 DORA; ab Januar 2027 auch KWG-Institute nach § 1a Abs. 2a KWG | CRR-Institute, Drittstaatszweigstellen, Wertpapierfirmen (außer kleinen und nicht verflochtenen), Zahlungs- und E-Geld-Institute, Emittenten vermögenswertereferenzierter Token, Kreditgeber nach der Wohnimmobilienkredit-Richtlinie (Rn. 5, 9) |
| Nicht erfasst | IKT-Drittdienstleister selbst, außer den als kritisch benannten (CTPP) | Kryptowerte-Dienstleister (für sie gilt Art. 73 MiCAR); reine Kontoinformationsdienste (Rn. 11) |
| Gegenstand | Alle IKT-Dienstleistungen, mit Zusatzpflichten bei kritischen oder wichtigen Funktionen | Alle Drittparteivereinbarungen über Nicht-IKT-Leistungen, mit Schwerpunkt auf kritischen oder wichtigen Funktionen; Auslagerungen sind eine Teilmenge (Rn. 17) |
| Register | Informationsregister, jährliche Einreichung bei der BaFin (Art. 28 Abs. 3 DORA; DVO (EU) 2024/2956) | Register aller Nicht-IKT-Drittparteivereinbarungen; Vorlage auf Anforderung (Rn. 58–63) |
| Direkte EU-Aufsicht über Dienstleister | Ja, für benannte kritische IKT-Drittdienstleister (Art. 31 ff. DORA; 19 Anbieter benannt im November 2025) | Nein |
Praxis-Hinweis
Die EBA-Leitlinien erfassen nicht mehr nur Auslagerungen, sondern alle wiederkehrenden oder laufenden Drittparteivereinbarungen zur Unterstützung von Funktionen (Rn. 17). Der deutsche „sonstige Fremdbezug“ nach AT 9 MaRisk wird damit nicht automatisch regelfrei. Prüfen Sie bei der Bestandsaufnahme, welche Nicht-IKT-Verträge heute außerhalb Ihres Auslagerungsregisters liegen. Zum Fremdbezug nach MaRisk: Auslagerungen und Fremdbezug nach MaRisk.
Ausnahmen vom Anwendungsbereich der EBA-Leitlinien
Künftiges Recht (EBA/GL/2026/09 Rn. 33)
Grundsätzlich nicht erfasst sind unter anderem:
- gesetzlich einem Dritten zugewiesene Leistungen (zum Beispiel die Abschlussprüfung)
- regulierte Finanzdienstleistungen anderer Finanzunternehmen (zum Beispiel Verwahrung, Handelsplätze)
- Marktinformationsdienste
- Zahlungsnetzinfrastrukturen (zum Beispiel Visa, Mastercard, Wero)
- Clearing und Abwicklung
- beaufsichtigte Nachrichteninfrastrukturen (zum Beispiel SWIFT)
- Korrespondenzbankdienste
- Leistungen ohne wesentlichen Einfluss auf Risiken oder Resilienz (zum Beispiel Rechtsgutachten, Reinigung, Kantine, Reisebüro) sowie der Erwerb von Waren und Versorgungsleistungen
Die EBA betont: Auch für diese Leistungen sind angemessene Maßnahmen zum Risikomanagement zu treffen. Ausgenommen vom Anwendungsbereich heißt nicht ausgenommen von der Sorgfalt.
Gemischte Leistungen: das Prüfschema
Künftiges Recht (EBA/GL/2026/09 Rn. 32)
Umfasst eine Vereinbarung mehrere Funktionen, sind alle Aspekte gemeinsam zu bewerten. Setzt eine Nicht-IKT-Leistung auch IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA voraus, entscheidet das Finanzunternehmen, „whether the use of an ICT service is material for the provision of the services under the third-party arrangement and thus triggers the application of DORA framework“. Die EBA verweist dazu auf die Q&A Nr. 30 der ESAs.
Nutzt ein Nicht-IKT-Dienstleister IKT-Subunternehmer, die eine kritische oder wichtige Funktion tatsächlich tragen, sind diese im Register nach den EBA-Leitlinien zu erfassen (Rn. 58).
Prüfschema in vier Schritten
2
IKT-Anteil bestimmen
Wird ein digitaler oder Datendienst dauerhaft über IKT-Systeme bereitgestellt (Art. 3 Nr. 21 DORA)?
3
Wesentlichkeit prüfen
Ist der IKT-Anteil für die Leistung prägend oder nur Hilfsmittel des Dienstleisters? Ist er prägend, gilt DORA (EBA/GL/2026/09 Rn. 32).
4
Dokumentieren und erfassen
Halten Sie die Entscheidung mit Begründung im Register fest. Bei Aufteilung des Vertrags erfassen Sie beide Teile mit gemeinsamer Referenz.
Beispiele zur Orientierung
| Beispiel | Einordnung (Orientierung) |
|---|---|
| Cloud-Hosting, Rechenzentrum, Software as a Service für das Kernbanksystem | DORA |
| Ausgelagerte Interne Revision, Compliance- oder Geldwäschebeauftragter, der mit eigenen Office-Tools arbeitet | EBA-Leitlinien und AT 9 MaRisk |
| Kreditbearbeitung durch einen Dienstleister auf dessen eigener Plattform, auf die das Institut zugreift | Einzelfall: Ist die Plattformnutzung durch das Institut prägend, gilt DORA für diesen Teil; die Bearbeitungstätigkeit richtet sich nach EBA und AT 9 |
| Callcenter mit eigenem Ticketsystem des Dienstleisters | In der Regel EBA und AT 9; das Ticketsystem als IKT-Subunternehmerleistung erfassen, wenn es die kritische Funktion trägt |
| Druck- und Versanddienst für Kontoauszüge mit Datenübertragung | Einzelfall; die Datenübermittlung nach Datenschutz- und Vertragsrecht absichern |
Die Beispiele sind eine fachliche Orientierung und keine Auslegung der Aufsicht. Maßgeblich ist die begründete Entscheidung im Einzelfall.
Praxis-Hinweis
Eine pauschale Regel „im Zweifel DORA“ gibt es nicht. Die EBA verlangt eine begründete Entscheidung des Instituts. Halten Sie Ihre Abgrenzungskriterien in der Drittparteien-Leitlinie fest und wenden Sie sie einheitlich an.
Register: ein gemeinsames Register ist zulässig
Geltendes Recht
DORA verlangt ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen auf Einzel-, teilkonsolidierter und konsolidierter Ebene (Art. 28 Abs. 3 DORA; Vorlagen nach DVO (EU) 2024/2956).
Künftiges Recht (EBA/GL/2026/09)
Das Register für Nicht-IKT-Leistungen soll „soweit möglich“ mit dem DORA-Informationsregister konsistent sein. Finanzunternehmen „also have the possibility to combine both in one single register“ (Rn. 61). Die Rn. 61 und 62 legen die Mindestangaben fest, mit Zusatzangaben für kritische oder wichtige Funktionen, darunter Substituierbarkeit, RTO/RPO, Bestehen eines Ausstiegsplans und Jahresbudget. Nach Rn. 63 ist das Register auf Anforderung in elektronisch verarbeitbarer Form vorzulegen; das Format der DORA-Vorlagen darf verwendet werden.
Praxis-Hinweis
Führen Sie ein Register mit einem Pflichtfeld „Regelwerk (DORA / EBA)“ und der Begründung nach Ihrem Prüfschema. So vermeiden Sie Lücken und widersprüchliche Angaben zwischen zwei Systemen. Die jährliche Einreichung an die BaFin betrifft nur den DORA-Teil.
Gleiche Logik, unterschiedliche Fundstellen
Die Regelwerke folgen im Kern derselben Logik: Verantwortung, Strategie, Kritikalität, Risikoanalyse, Vertrag, Untervergabe, Exit. Die Übersicht zeigt die jeweiligen Fundstellen. Die Randnummern der EBA/GL/2026/09 beziehen sich auf die englische Endfassung; eine deutsche Fassung lag im Oktober 2026 noch nicht vor.
| Thema | DORA (IKT) | EBA/GL/2026/09 (Nicht-IKT) | Heute in Deutschland (Nicht-IKT) |
|---|---|---|---|
| Verantwortung | Art. 28 Abs. 1 a) DORA | Rn. 42–46 (keine „Empty Shells“, Rn. 45) | § 25b KWG; AT 9 Tz. 4 MaRisk |
| Strategie und Leitlinie | Art. 28 Abs. 2 DORA; Del. VO (EU) 2024/1773 | Abschnitt 6 (Leitlinie zum Drittparteirisiko) | AT 9 MaRisk |
| Kritikalität | Art. 3 Nr. 22 DORA | Rn. 17, 34–37 | AT 9 Tz. 2 MaRisk |
| Risikoanalyse, Due Diligence | Art. 28 Abs. 4 DORA | Abschnitte 11.2 und 11.3 | AT 9 Tz. 2 MaRisk |
| Vertrag | Art. 30 DORA | Rn. 83–85 | § 25b Abs. 3 KWG; AT 9 Tz. 7 MaRisk |
| Untervergabe | Del. VO (EU) 2025/532 | Abschnitt 12.1 | AT 9 Tz. 8 und 11 MaRisk |
| Exit | Art. 28 Abs. 8 DORA; Art. 10 Del. VO (EU) 2024/1773 | Abschnitt 14 | AT 9 Tz. 6 MaRisk |
| ESG | Kein ausdrücklicher Bezug | Rn. 82 (insbesondere bei Dienstleistern in Drittstaaten) | EBA/GL/2025/01 über die MaRisk |
| Information der Aufsicht | Rechtzeitige Information über geplante Verträge zu kritischen oder wichtigen Funktionen (Art. 28 Abs. 3 UAbs. 4 DORA); jährliches Informationsregister | Rn. 65–66 | Anzeige nach § 24 Abs. 1 Nr. 19 KWG |
Vertiefung zu Einstufung und Vertragsklauseln: Kritische oder wesentliche Funktionen.
Fristen und Zeitpunkte
Die Zeitachse trennt, was heute gilt, was bereits beschlossen ist und was noch offen bleibt.
| Zeitpunkt | Ereignis | Quelle |
|---|---|---|
| Januar 2025 | DORA gilt; Art. 28–30 DORA für IKT-Dienstleistungen | DORA |
| November 2025 | ESAs benennen 19 kritische IKT-Drittdienstleister (CTPP) | ESAs |
| Juni 2026 | AT 9 MaRisk 10.0 (RS 06/2026 (BA)); AT 9 gilt nicht für IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA | BaFin |
| September 2026 | EBA/GL/2026/09 final veröffentlicht; noch nicht anwendbar | EBA |
| Ende 2026 | Die BAIT entfallen mit Ablauf des Jahres 2026 | BaFin |
| Januar 2027 | DORA gilt auch für KWG-Institute nach § 1a Abs. 2a KWG; Kleinstunternehmen sind von Art. 28–30 DORA ausgenommen | § 1a KWG |
| Offen | Anwendungsdatum und Frist für die Comply-or-explain-Meldung der EBA/GL/2026/09; Anpassung der MaRisk an die Leitlinien (noch nicht konsultiert) | EBA; BaFin |
Übergang nach EBA/GL/2026/09
- Rn. 18: Die Leitlinien gelten ab Anwendungsbeginn für alle neu geschlossenen, überprüften oder geänderten Vereinbarungen.
- Rn. 19–21: Bestandsverträge sind anzupassen. Ist die Überprüfung von Verträgen zu kritischen oder wichtigen Funktionen zwei Jahre nach Anwendungsbeginn nicht abgeschlossen, ist die Aufsicht mit einem Maßnahmenplan oder einer Ausstiegsstrategie zu informieren. Sonstige Verträge können bei Verlängerung angepasst werden.
- Rn. 22: Die EBA-Leitlinien zu Auslagerungen von 2019 (EBA/GL/2019/02) werden mit Anwendungsbeginn aufgehoben.
Aufgaben nach Funktion
Die Abgrenzung betrifft mehrere Funktionen im Haus. Die folgenden Aufgaben ergeben sich aus den zitierten Normen oder sind als Praxis-Hinweis gekennzeichnet.
Geschäftsleitung
Die Verantwortung für Drittparteivereinbarungen bleibt beim Institut. Die EBA schließt „Empty Shells“ aus, also Institute ohne eigene Steuerungskompetenz. Praxis-Hinweis: Die Geschäftsleitung sollte das Abgrenzungskriterium kennen, das im Haus angewendet wird.
Art. 28 Abs. 1 a) DORA; Rn. 42–46, 45; § 25b KWG
Auslagerungsbeauftragte und zentrales Drittparteienmanagement
Sie halten das Abgrenzungskriterium in der Leitlinie fest, stufen die Kritikalität ein und führen das gemeinsame Register. Die Bestandsaufnahme der Nicht-IKT-Verträge außerhalb des Auslagerungsregisters liegt typischerweise hier.
Rn. 17, 34–37, 58–63; AT 9 Tz. 2 MaRisk
IKT-Drittparteienmanagement, CISO und ISB
Sie verantworten den DORA-Teil: Informationsregister, Untervergabe bei IKT-Dienstleistungen und die Erfassung von IKT-Subunternehmern, die eine kritische oder wichtige Funktion von Nicht-IKT-Dienstleistern tragen.
Art. 28 Abs. 3 DORA; Del. VO (EU) 2025/532; Rn. 58
Compliance
Auch für ausgenommene Leistungen sind angemessene Risikomanagementmaßnahmen zu treffen. Compliance begleitet die Dokumentation der Einordnungen und die Information der Aufsicht über geplante Verträge zu kritischen oder wichtigen Funktionen.
Rn. 33, 65–66; Art. 28 Abs. 3 UAbs. 4 DORA; § 24 Abs. 1 Nr. 19 KWG
Interne Revision
Praxis-Hinweis: Die Revision kann prüfen, ob das Abgrenzungskriterium einheitlich angewendet wird, die Begründungen nachvollziehbar sind und beide Register-Teile zueinander konsistent bleiben.
Praxis-Hinweis; Rn. 61
Typische Stolpersteine mit Normbezug
Die Plattform des Dienstleisters
Der Dienstleister erbringt eine fachliche Leistung über eine eigene Plattform, auf die das Institut zugreift. Ob der IKT-Anteil prägend ist, entscheidet das Institut und muss es begründen. Ohne Kriterium entstehen je Fachbereich unterschiedliche Antworten.
Art. 3 Nr. 21 DORA; Rn. 32
Der sonstige Fremdbezug
Bisher fiel der sonstige Fremdbezug nach AT 9 MaRisk nicht in das Auslagerungsregister. Die EBA-Leitlinien erfassen künftig alle laufenden Drittparteivereinbarungen. Verträge außerhalb des Registers werden zur Lücke.
Rn. 17; AT 9 Tz. 1 MaRisk
Zwei Register, zwei Wahrheiten
Werden DORA- und Nicht-IKT-Register getrennt gepflegt, drohen widersprüchliche Angaben zum selben Dienstleister. Ein gemeinsames Register mit Pflichtfeld „Regelwerk“ beugt vor.
Rn. 61; Art. 28 Abs. 3 DORA
IKT-Subunternehmer im Nicht-IKT-Vertrag
Setzt ein Callcenter oder Verarbeiter ein eigenes Ticket- oder Bearbeitungssystem ein, kann dieses eine kritische Funktion tragen. Dann ist es im Register zu erfassen.
Rn. 58
Die Pauschalregel „im Zweifel DORA“
Sie vermeidet Entscheidungen, entspricht aber nicht Rn. 32. Die EBA verlangt eine begründete Entscheidung des Instituts, keine Vorabzuordnung.
Rn. 32
Veraltete interne Verweise
Interne Leitlinien verweisen noch auf EBA/GL/2019/02 und die BAIT. Die Leitlinien von 2019 werden mit Anwendungsbeginn aufgehoben, die BAIT entfallen mit Ablauf des Jahres 2026.
Rn. 22
Quick-Check: Ist Ihre Abgrenzung belastbar?
Die Tabelle fasst die Prüffelder zusammen. Die Spalte „Mögliche Lücke“ beschreibt, woran die Abgrenzung in der Praxis scheitern kann; sie ist keine Statistik.
| Prüffeld | Prüffrage | Normbezug | Mögliche Lücke |
|---|---|---|---|
| Abgrenzung | Ist das Kriterium IKT / Nicht-IKT in der Leitlinie verankert? | Art. 3 Nr. 21 DORA; Rn. 32 | Kriterium nur mündlich oder je Fachbereich unterschiedlich |
| Gemischte Verträge | Sind gemischte Verträge identifiziert und die Einordnung begründet? | Rn. 32 | Einordnung ohne Begründung oder nach Pauschalregel |
| IKT-Subunternehmer | Sind IKT-Subunternehmer von Nicht-IKT-Dienstleistern, die kritische oder wichtige Funktionen tragen, erfasst? | Rn. 58 | Subunternehmer nur im Vertrag, nicht im Register |
| Register | Gibt es ein gemeinsames Register mit Feld „Regelwerk“ oder zwei konsistente Register? | Rn. 61; Art. 28 Abs. 3 DORA | Abweichende Angaben zum selben Dienstleister |
| Bestand | Wurden Nicht-IKT-Drittvereinbarungen außerhalb der Auslagerungen erfasst? | Rn. 17 | Sonstiger Fremdbezug ohne Register |
| Neue Verträge | Sind neue Nicht-IKT-Verträge an Rn. 84–85 ausgerichtet? | Rn. 83–85 | Vertragsvorlagen auf Stand 2019 |
| Exit | Gibt es Ausstiegspläne für kritische oder wichtige Funktionen in beiden Bereichen? | Art. 28 Abs. 8 DORA; Abschnitt 14 | Ausstiegsplan nur für den IKT-Teil |
| Verweise und Beobachtung | Sind interne Verweise auf EBA/GL/2019/02 und BAIT markiert, Anwendungsdatum und BaFin-Erklärung beobachtet? | Rn. 22 | Verweise unmarkiert, kein Verantwortlicher für die Beobachtung |
No-Regret-Maßnahmen bis zum Anwendungsbeginn
Diese Schritte lohnen sich unabhängig davon, wann die EBA/GL/2026/09 anwendbar werden.
1
Abgrenzungskriterium festlegen
Verankern Sie das Kriterium nach Art. 3 Nr. 21 DORA und Rn. 32 in der Drittparteien-Leitlinie und wenden Sie es einheitlich an.
2
Bestandsaufnahme durchführen
Erfassen Sie Nicht-IKT-Drittverträge, die heute außerhalb Ihres Auslagerungsregisters liegen, und identifizieren Sie gemischte Verträge.
3
Register um das Feld „Regelwerk“ erweitern
Ergänzen Sie ein Pflichtfeld mit Begründung, damit der DORA-Teil filterbar bleibt.
4
Neue Verträge vorbereiten
Gestalten Sie neue Nicht-IKT-Verträge schon jetzt so, dass sie Rn. 84 und 85 entsprechen.
5
Verweise markieren
Kennzeichnen Sie interne Verweise auf EBA/GL/2019/02 und die BAIT zur späteren Ablösung.
6
Entwicklung beobachten
Verfolgen Sie Anwendungsdatum, Erklärung der BaFin und eine mögliche MaRisk-Anpassung, die noch nicht konsultiert ist.
Fazit: Kernbotschaften zu DORA vs Third-Party Guidelines
Die Kernbotschaften zu DORA vs Third-Party Guidelines im Überblick:
- Die Grenze verläuft entlang Art. 3 Nr. 21 DORA: IKT-Dienstleistungen fallen unter Art. 28–30 DORA, alle übrigen Drittleistungen unter § 25b KWG, AT 9 MaRisk und künftig EBA/GL/2026/09.
- Die EBA/GL/2026/09 sind final, aber noch nicht anwendbar. Anwendungsdatum und Erklärung der BaFin stehen aus.
- Gemischte Leistungen erfordern eine begründete Einzelfallentscheidung zur Wesentlichkeit des IKT-Anteils (Rn. 32). Eine Pauschalregel gibt es nicht.
- Ein gemeinsames Register für IKT- und Nicht-IKT-Leistungen ist zulässig (Rn. 61), solange der DORA-Teil für die Einreichung filterbar bleibt.
- Die EBA-Leitlinien erfassen mehr als Auslagerungen. Der sonstige Fremdbezug wird damit nicht automatisch regelfrei.
Wer DORA vs Third-Party Guidelines sauber trennt, gewinnt vor allem eines: ein Kriterium, das im Haus einheitlich angewendet und gegenüber Prüfern begründet werden kann. Das ist der Teil der Arbeit, der sich schon heute erledigen lässt, ohne auf ein Anwendungsdatum zu warten.
Häufige Fragen (FAQ)
Gelten die neuen EBA-Leitlinien schon?+−
Nein. Sie sind seit September 2026 final veröffentlicht, aber noch nicht anwendbar. Übersetzungen, Anwendungsdatum und die Erklärung der BaFin stehen aus. Bis dahin gelten für Nicht-IKT-Auslagerungen § 25b KWG, AT 9 MaRisk 10.0 und EBA/GL/2019/02.
Müssen wir zwei Register führen?+−
Nein. Die EBA erlaubt ausdrücklich, das DORA-Informationsregister und das Register für Nicht-IKT-Leistungen in einem Register zu kombinieren (Rn. 61). Wichtig ist, dass der DORA-Teil für die jährliche Einreichung bei der BaFin sauber filterbar ist.
Was gilt, wenn ein Dienstleister fachliche Leistungen über eine eigene Plattform erbringt?+−
Das Institut entscheidet, ob der IKT-Anteil für die Leistung wesentlich ist. Wenn ja, greift DORA (EBA/GL/2026/09 Rn. 32). Diese Entscheidung ist zu begründen und zu dokumentieren.
Fallen Kryptowerte-Dienstleister unter die EBA-Leitlinien?+−
Nein. Für sie regelt Art. 73 MiCAR die Auslagerung; DORA gilt für sie trotzdem.
Sind ESG-Prüfungen bei Dienstleistern Pflicht?+−
Die Leitlinien verlangen, dass Dienstleister in Drittstaaten ethisch und sozial verantwortlich handeln, einschließlich ESG-Risiken, Menschenrechten und Umweltschutz (Rn. 82). Für ESG-Risiken im Risikomanagement gelten zudem die EBA-Leitlinien EBA/GL/2025/01.
Gilt DORA ab 2027 auch für Leasing- und Factoringunternehmen?+−
Ab Januar 2027 gilt DORA auch für KWG-Institute nach § 1a Abs. 2a KWG, zum Beispiel im Leasing und Factoring. Kleinstunternehmen sind von Art. 28–30 DORA ausgenommen. Ob eine MaRisk-Anpassung an EBA/GL/2026/09 diese Institute mittelbar erfasst, ist offen.
Quellenverzeichnis
Primärquellen zuerst, dann Aufsichtsbehörden. Alle Quellen wurden im Oktober 2026 abgerufen.
EU-Rechtsakte
- Verordnung (EU) 2022/2554 (DORA) – Art. 3 Nr. 21 (IKT-Dienstleistung), Art. 28–30 (IKT-Drittparteirisiko), Art. 31 ff. (kritische Drittdienstleister)
- Durchführungsverordnung (EU) 2024/2956 – Vorlagen für das Informationsregister nach Art. 28 Abs. 3 DORA
- Delegierte Verordnung (EU) 2025/532 – Untervergabe von IKT-Dienstleistungen
Europäische Aufsichtsbehörden
- EBA: Final Report zu den Leitlinien zum Drittparteirisiko (EBA/GL/2026/09) (PDF) – Randnummern 5, 7, 9, 11, 17–22, 32, 33, 58–66, 82–85; englische Endfassung
- EBA: Themenseite Guidelines on third-party risk management – Status der Leitlinien, Übersetzungen, Anwendungsdatum
- EBA: Pressemitteilung zur Veröffentlichung der Leitlinien – Übergangsfrist von zwei Jahren, Fokus auf kritische oder wichtige Funktionen
- ESAs: Benennung kritischer IKT-Drittdienstleister – 19 benannte Anbieter, November 2025
Nationale Aufsicht
- BaFin: MaRisk-Rundschreiben 06/2026 (BA) – AT 1 Tz. 2 und AT 9 MaRisk 10.0, Abgrenzung zu IKT-Dienstleistungen nach DORA
- BaFin: Register und Anzeigepflichten – Einreichung des DORA-Informationsregisters
Ohne Link zitiert: § 1a, § 24 und § 25b KWG, Delegierte Verordnung (EU) 2024/1773 sowie EBA/GL/2019/02 und EBA/GL/2025/01. Dieser Beitrag ersetzt keine Rechtsberatung.
Verwandte Leistungen und Programme
Third-Party Risk Management Hub
Der Gesamtrahmen: Alle Beiträge zur Steuerung von Drittparteirisiken an einem Ort.
Auslagerungen und Fremdbezug nach MaRisk
Vertiefung zum sonstigen Fremdbezug, der künftig stärker in den Fokus rückt.
DORA Outsourcing
Die IKT-Seite der Abgrenzung: Drittanbieter nach DORA.
Kritische oder wesentliche Funktionen
Die Einstufung entscheidet über die Zusatzpflichten in beiden Regelwerken.
Pflichten des Auslagerungsbeauftragten
Die Rolle, bei der Abgrenzung und Register zusammenlaufen.
Update-Seminar für Auslagerungsbeauftragte
Qualifizierung zu MaRisk 10.0, DORA und den neuen EBA-Leitlinien, damit Ihr Team die Abgrenzung selbst tragen kann.
Lehrgang Auslagerungsbeauftragter
Der strukturierte Einstieg in die Rolle, wenn die Funktion neu besetzt wird.
DORA und NIS-2 Seminare
Das Seminarangebot zu DORA für IKT-Verantwortliche und Compliance.
Seminare & Lehrgänge
Plattform & Methodik
Über S+P
