Anforderungen an das Auslagerungsregister nach KWG, MaRisk und DORA

Management Summary

Das Auslagerungsregister ist die Grundlage jeder Auslagerungssteuerung und eines der ersten Dokumente, die Prüfer und Aufsicht anfordern. Mit der 9. MaRisk-Novelle vom Juni 2026 sind die detaillierten Registervorgaben aus den MaRisk weitgehend entfallen. Die Pflicht selbst bleibt unverändert im Gesetz: § 25b Abs. 1 Satz 4 KWG verlangt ein Register für sämtliche wesentlichen und nicht wesentlichen Auslagerungen.

Den Mindestinhalt bestimmen weiterhin die EBA-Auslagerungsleitlinien (EBA/GL/2019/02, Rn. 52 bis 55), weil die MaRisk sie als umgesetzte Leitlinien aufführen. Wer die Pflichtfelder jetzt streicht, schafft eine Prüfungslücke.

Parallel führen Sie für IKT-Dienstleistungen das DORA-Informationsregister nach Art. 28 Abs. 3 DORA, das jährlich an die BaFin zu melden ist. Die EBA-Leitlinien EBA/GL/2026/09 erlauben künftig ein gemeinsames Register für beide Bestände. Ihr Anwendungsdatum ist nach Stand Oktober 2026 noch offen.

Empfehlung: Bauen Sie jetzt einen gemeinsamen Datenbestand mit Pfadkennzeichnung auf, ergänzen Sie die neuen Felder frühzeitig und sichern Sie den Datenstand für den DORA-Stichtag 31.12.2026.

Die gesetzliche Pflicht: § 25b Abs. 1 Satz 4 KWG

Geltendes Recht Nach § 25b Abs. 1 Satz 4 KWG hat ein Institut „im Rahmen seines Risikomanagements ein Auslagerungsregister zu führen; darin sind sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen“. Die Pflicht wurde mit dem Finanzmarktintegritätsstärkungsgesetz (FISG) eingeführt und gilt seit dem 01.01.2022.

• Das Register ist gesetzliche Pflicht. Eine Streichung in den MaRisk ändert daran nichts.
• Es erfasst alle Auslagerungen, nicht nur die wesentlichen.
• Es ist Teil des Risikomanagements nach § 25a Abs. 1 KWG und damit prüfungsrelevant, auch für die BaFin nach § 44 Abs. 1 KWG.

Praxis-Tipp: Erfassen Sie auch Leistungen, die Sie als sonstigen Fremdbezug eingestuft haben, mit einem kurzen Vermerk zur Begründung, zumindest in einer Nebenliste. So können Sie Prüfern die Vollständigkeit des Registers belegen.

Anforderungen an das Auslagerungsregister heute: der Mindestinhalt

Geltendes Recht Das Register umfasst alle Auslagerungsvereinbarungen auf Einzel- und gegebenenfalls Gruppenebene. Beendete Vereinbarungen bleiben mit den Unterlagen für einen angemessenen Zeitraum erfasst (Rn. 52). Ein zentrales Register in Gruppen, Verbünden und Sicherungssystemen ist zulässig (Rn. 53).

Begriffsbrücke: Die MaRisk sprechen von wesentlichen Auslagerungen, die EBA-Leitlinien und DORA von kritischen oder wichtigen Funktionen. Führen Sie beide Merkmale als getrennte Felder, damit Sie gegenüber BaFin und EBA-Logik jeweils sauber berichten können.

Was künftig gilt: Register nach EBA/GL/2026/09

Künftiges Recht Die EBA hat im September 2026 die Leitlinien zum Management des Drittparteirisikos bei Nicht-IKT-Leistungen veröffentlicht. Nach Stand Oktober 2026 befinden sie sich im Status „Final and awaiting translation“; das Anwendungsdatum ist offen. Für das Register bedeuten sie:

• Breiterer Umfang (Rn. 58): Erfasst werden alle Drittparteivereinbarungen im Anwendungsbereich, also jede wiederkehrende oder laufende Leistung eines Drittdienstleisters, auch gruppenintern. Die Auslagerung ist nur noch eine Teilmenge (Rn. 17).
• IKT-Unterauftragnehmer: Nutzt ein Nicht-IKT-Dienstleister IKT-Unterauftragnehmer, die eine kritische oder wichtige Funktion wirksam unterstützen, sind diese im Nicht-IKT-Register zu dokumentieren (Rn. 58).
• Beendete Vereinbarungen bleiben mit Unterlagen erfasst (Rn. 59).
• Zentrales Register in Gruppen, Verbünden und Sicherungssystemen bleibt möglich (Rn. 60).
• Ein Register für alles: Das Register soll so weit wie möglich mit dem DORA-Informationsregister übereinstimmen. Beide Register dürfen in einem einzigen Register zusammengeführt werden (Rn. 61).
• Vorlage an die Aufsicht: nur auf Anforderung, in elektronisch verarbeitbarer Form; das DORA-Format darf verwendet werden (Rn. 63). Eine regelmäßige Einreichung sehen die Leitlinien nicht vor.
• Information der Aufsicht: zeitnah vor geplanten Vereinbarungen zu kritischen oder wichtigen Funktionen sowie bei wesentlichen Änderungen und schwerwiegenden Vorfällen (Rn. 65 und 66). Für Kreditinstitute bleibt daneben die Anzeigepflicht nach § 24 Abs. 1 Nr. 19 KWG bestehen.

Übergang nach den Leitlinien

Übergang Die Leitlinien gelten ab einem noch offenen Anwendungsdatum für alle neuen, überprüften oder geänderten Vereinbarungen (Rn. 18). Bestehende Vereinbarungen zu kritischen oder wichtigen Funktionen sind innerhalb von zwei Jahren zu prüfen und zu dokumentieren; sonst ist die Aufsicht zu informieren (Rn. 20). Andere Vereinbarungen können bei Verlängerung angepasst werden (Rn. 21). EBA/GL/2019/02 wird zum selben Datum aufgehoben.

Fristen und Zeitpunkte: Fahrplan 2026/2027

Die Zeitpunkte unterscheiden sich nach Rechtsstand. Der Fahrplan ordnet sie Ihrer Umsetzung zu.

Pain Points in der Praxis

Lösungsansätze: Ein Register oder zwei?

Bis die neuen EBA-Leitlinien gelten, führen Sie formal zwei Bestände. Bewährt hat sich ein gemeinsamer Datenbestand mit Pflichtfeldern für jeden Pfad. Aus ihm erzeugen Sie die DORA-Einreichung und das Auslagerungsregister als Auszüge. Der Bericht über wesentliche Auslagerungen an die Geschäftsleitung nach AT 9 Tz. 13 MaRisk greift auf dieselben Daten zu.

No-Regret-Maßnahmen

• Gemeinsamen Datenbestand mit Pfadkennzeichnung aufbauen.
• Neue Felder aus EBA/GL/2026/09 (Rn. 61 und 62) schon jetzt mit aufnehmen.
• LEI und EUID aller Dienstleister vor dem Stichtag 31.12.2026 nachpflegen.
• Nebenliste zum sonstigen Fremdbezug mit Begründung führen.
• Rollen und Vertretung im zentralen Auslagerungsmanagement festlegen.
• Gap-Analyse zu den neuen EBA-Leitlinien für 2027 einplanen.

Häufige Fragen zum Auslagerungsregister

Verwandte Leistungen und Programme

Wenn in Ihrem Haus die Kapazitäten für Aufbau und laufende Pflege des Registers fehlen, finden Sie bei S+P Compliance ein Angebot zur Unterstützung durch externe Fachleute.