Geschäftsleitung
- Die Geschäftsleiter bleiben für die Auslagerungen verantwortlich (§ 25b KWG).
- Sie erhalten den Bericht zur jährlichen Überprüfung der Klassifizierung.
- Ausstiegsstrategien und Handlungsoptionen werden verabschiedet.
Fachbeitrag Auslagerungscontrolling
Auslagerung kritische oder wesentliche Funktionen einstufen
Beim Thema Auslagerung kritische oder wesentliche Funktionen fällt die zentrale Weichenstellung im Auslagerungsmanagement: Die Einstufung entscheidet über fast alle weiteren Pflichten, nämlich Anzeige an die Aufsicht, Vertragsinhalte, Ausstiegsstrategien, Register und Prüfungsrechte.
Management Summary
Seit DORA gibt es zwei Begriffswelten. Für Nicht-IKT-Leistungen sprechen KWG und MaRisk von wesentlichen Auslagerungen, für IKT-Dienstleistungen gilt DORA mit dem Begriff „kritische oder wichtige Funktion“. Die neuen EBA-Leitlinien zum Drittparteirisiko (EBA/GL/2026/09) führen beide Begriffe zusammen. Der Prüfmaßstab ist in allen drei Fällen derselbe: Würde ein Ausfall die Zulassungspflichten, die finanzielle Leistungsfähigkeit oder die Kontinuität der Geschäftstätigkeit erheblich beeinträchtigen?
Zum Rechtsstand im Oktober 2026: Geltend sind § 25b KWG, AT 9 MaRisk in der Fassung 10.0 und für IKT-Dienstleistungen DORA. Die BAIT gelten bis 31.12.2026 nur noch für Institute, die nicht unter DORA fallen, und die Übergangsfrist der 9. MaRisk-Novelle läuft bis 01.01.2027.
Künftig wenden auch KWG-Institute außerhalb von Art. 2 DORA diese Verordnung an, und zwar ab 01.01.2027. Die EBA/GL/2026/09 ersetzen die EBA-Leitlinien zu Auslagerungen von 2019 für Nicht-IKT-Leistungen. Ihr Anwendungsdatum steht noch nicht fest.
Dieser Beitrag behandelt die Einstufung und ihre Rechtsfolgen. Ob überhaupt eine Auslagerung vorliegt, Register, Due Diligence, Weiterverlagerung und Exit sind Gegenstand eigener Beiträge. Er dient der Fachinformation und ersetzt keine Rechtsberatung.
Inhaltsverzeichnis
- Drei Begriffe, ein Prüfmaßstab
- Der Tatbestand nach DORA und MaRisk
- Wann eine Funktion zwingend kritisch oder wesentlich ist
- Die Bewertungsfaktoren
- Abgrenzung: Fremdbezug sowie IKT und Nicht-IKT
- Fristen und Zeitpunkte
- Die Rechtsfolgen der Einstufung
- Pflichten nach Funktion
- Pain Points mit Normbezug
- Quick-Check
- Lösungsansätze
- Fazit
- FAQ
- Quellenverzeichnis
- Verwandte Leistungen und Beiträge
Drei Begriffe, ein Prüfmaßstab
| Begriff | Anwendungsbereich | Fundstelle |
|---|---|---|
| wesentliche Auslagerung | Auslagerungen von Instituten, Nicht-IKT | § 25b Abs. 1 KWG; AT 9 Tz. 2 MaRisk |
| kritische oder wesentliche Funktion | Auslagerungen nach den EBA-Leitlinien von 2019 | EBA/GL/2019/02, Abschnitt 4 |
| kritische oder wichtige Funktion | IKT-Dienstleistungen nach DORA; künftig auch Nicht-IKT nach EBA/GL/2026/09 | Art. 3 Nr. 22 DORA; EBA/GL/2026/09 Rn. 34 |
Inhaltlich fragen alle drei dasselbe: Würde eine Störung oder ein Ausfall der Funktion die Einhaltung der Zulassungspflichten, die finanzielle Leistungsfähigkeit oder die Kontinuität der Geschäftstätigkeit erheblich beeinträchtigen? Die EBA stellt ausdrücklich fest, dass ihre neue Definition mit Art. 3 Nr. 22 DORA und mit dem MiFID-II-Maßstab der Delegierten Verordnung (EU) 2017/565 übereinstimmt.
Praxis-Tipp: Verwenden Sie für IKT und Nicht-IKT dieselbe Bewertungsmethode und dieselbe Liste kritischer oder wichtiger Funktionen. Unterschiedliche Einstufungen derselben Funktion im Auslagerungsregister und im DORA-Informationsregister fallen bei Prüfungen sofort auf.
Tatbestand: Auslagerung kritische oder wesentliche Funktionen
Geltendes Recht: DORA
Eine kritische oder wichtige Funktion ist eine Funktion, deren Ausfall, mangelhafte oder unterlassene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -pflichten, die finanzielle Leistungsfähigkeit oder die Solidität oder Fortführung der Geschäftstätigkeit erheblich beeinträchtigen würde (Art. 3 Nr. 22 DORA). Finanzunternehmen ermitteln diese Funktionen und überprüfen die Einstufung mindestens jährlich (Art. 8 Abs. 1 DORA).
Geltendes Recht: MaRisk
Das Institut muss anhand einer Risikoanalyse bewerten, welche Risiken mit einer Auslagerung verbunden sind. Ausgehend davon legt es fest, welche Auslagerungen unter Risikogesichtspunkten wesentlich sind (AT 9 Tz. 2 MaRisk). Dabei gilt:
- Die Analyse ist regelmäßig, bei kleinen Instituten alle drei Jahre, zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen.
- Die maßgeblichen Organisationseinheiten sind einzubeziehen.
- Die Intensität richtet sich nach Art, Umfang, Komplexität und Risikogehalt.
- Soweit sinnvoll und verhältnismäßig, wird die Analyse durch eine Szenarioanalyse mit internen und externen Verlustdaten ergänzt. Kleine Institute dürfen qualitativ vorgehen.
Die MaRisk führen die EBA-Leitlinien zu Auslagerungen weiterhin als umgesetzt (Erläuterung zu AT 1 Tz. 2 MaRisk). Deren Kriterien bleiben daher der Maßstab für die Wesentlichkeit.
Wann eine Funktion zwingend kritisch oder wesentlich ist
Nach den EBA-Leitlinien (EBA/GL/2019/02 Rn. 29–30; künftig EBA/GL/2026/09 Rn. 34–37) gilt eine Funktion stets als kritisch oder wesentlich, wenn ihre Störung erheblich beeinträchtigen würde:
- die fortdauernde Einhaltung der Zulassungsbedingungen oder sonstiger aufsichtsrechtlicher Pflichten,
- die finanzielle Leistungsfähigkeit,
- die Solidität oder Kontinuität der Bank- und Zahlungsdienste und sonstiger Tätigkeiten.
Hinzu kommen drei Regelvermutungen:
| Fallgruppe | Regel | Ausnahme |
|---|---|---|
| operative Aufgaben interner Kontrollfunktionen | stets kritisch oder wesentlich | Die Bewertung zeigt, dass ein Ausfall die Wirksamkeit der Kontrollfunktion nicht beeinträchtigt. |
| Funktionen in erlaubnispflichtigem Umfang (Bankgeschäfte, Zahlungsdienste, künftig auch Ausgabe vermögenswertereferenzierter Token) | automatisch kritisch oder wesentlich | keine |
| Funktionen für Kerngeschäftsbereiche und kritische Funktionen im Sinne der Abwicklungsrichtlinie (Art. 2 Abs. 1 Nr. 35 und 36 BRRD; Art. 6 und 7 Delegierte Verordnung (EU) 2016/778) | kritisch oder wesentlich | Ein Ausfall hätte keine wesentlichen Auswirkungen auf die Kontinuität. |
Für die Risikoanalyse nennt AT 9 MaRisk die besonderen Funktionen (Risikocontrolling, Compliance, Interne Revision) und Kernbankbereiche als Auslagerungen von erheblicher Tragweite. Diese sind besonders intensiv zu prüfen (Erläuterung zu AT 9 Tz. 2 MaRisk). Die Regelfälle vertieft der Beitrag Welche Auslagerungen sind zwingend als kritisch oder wesentlich einzustufen?.
Die Bewertungsfaktoren
Außerhalb der Regelfälle bewerten Sie die Kritikalität anhand der Risikoanalyse. Die EBA-Leitlinien nennen als Mindestfaktoren (EBA/GL/2019/02 Rn. 31):
- unmittelbare Verbindung zur Erbringung der zugelassenen Bankgeschäfte oder Zahlungsdienste
- Auswirkungen einer Störung auf die kurz- und langfristige finanzielle Widerstandsfähigkeit, auf Geschäftsfortführung und operationelle Widerstandsfähigkeit, auf das operationelle Risiko einschließlich Verhaltens-, IKT- und Rechtsrisiken sowie auf Reputationsrisiken
- Auswirkungen auf die Fähigkeit, Risiken zu ermitteln, zu überwachen und zu steuern sowie Rechtsvorschriften einzuhalten
- Auswirkungen auf die erbrachten Dienstleistungen gegenüber Kunden
- Umfang der Auslagerung, Ersetzbarkeit des Dienstleisters und Möglichkeit der Wiedereingliederung
- Schutz von Daten und Auswirkungen einer Verletzung der Vertraulichkeit
Praxis-Tipp: Nutzen Sie die Ergebnisse Ihrer Business Impact Analyse. Die dort ermittelte Kritikalität, die maximal tolerierbare Ausfallzeit und die Wiederanlaufziele sind die beste Grundlage für eine nachvollziehbare Einstufung.
Abgrenzung: Fremdbezug sowie IKT und Nicht-IKT
Was nicht als Auslagerung gilt
Geltendes Recht: Der sonstige Fremdbezug von Leistungen ist keine Auslagerung. Dazu zählen der einmalige oder gelegentliche Fremdbezug sowie Leistungen, die typischerweise von beaufsichtigten Unternehmen bezogen werden und vom Institut weder heute noch künftig selbst erbracht werden können. Auch hier darf die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG nicht leiden (Erläuterung zu AT 9 Tz. 1 MaRisk).
Künftiges Recht: EBA/GL/2026/09 Rn. 33 nennt ausdrücklich ausgenommene Leistungen, unter anderem:
- gesetzlich vorgeschriebene Leistungen Dritter, etwa die Abschlussprüfung
- regulierte Finanzdienstleistungen anderer Finanzunternehmen, etwa Verwahrung oder Handelsplätze
- Marktinformationsdienste
- Zahlungsnetzinfrastrukturen wie Visa, Mastercard oder Wero
- Clearing und Abwicklung
- Korrespondenzbankdienste
- Leistungen ohne wesentliche Auswirkung auf Risiken und operationelle Resilienz, etwa Rechtsgutachten, Reinigung, Kantine, Reise- und Postdienste, sowie der Erwerb von Waren und Versorgungsleistungen
Die Vorfrage, wann eine Auslagerung vorliegt, behandelt der Beitrag „Wann liegt eine Auslagerung vor?“. Sie wird hier nicht wiederholt.
IKT oder Nicht-IKT: welches Regelwerk gilt
Geltendes Recht: IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9 MaRisk (Erläuterung zu AT 9 Tz. 1 MaRisk).
Künftiges Recht: Umfasst eine Nicht-IKT-Leistung auch IKT-Dienstleistungen, entscheidet das Finanzunternehmen, ob die IKT-Komponente wesentlich für die Leistung ist und damit DORA auslöst (EBA/GL/2026/09 Rn. 32). Nutzt ein Dienstleister IKT-Unterauftragnehmer, die eine Nicht-IKT-Leistung für eine kritische oder wichtige Funktion tragen, sind diese im Register zu dokumentieren (EBA/GL/2026/09 Rn. 58 ff.).
Praxis-Tipp: Dokumentieren Sie bei gemischten Leistungen, etwa ausgelagerter Kreditbearbeitung mit Plattform, die Zuordnung und ihre Begründung. Eine doppelte Erfassung ist zulässig, eine Lücke nicht.
Fristen und Zeitpunkte
Rechtsstände im Überblick
| Rechtsstand | Inhalt | Fundstelle |
|---|---|---|
| Geltend | „Wesentliche Auslagerung“ nach § 25b KWG und AT 9 Tz. 2 MaRisk 10.0; Kriterien der EBA-Leitlinien zu Auslagerungen (gelten als umgesetzt); für IKT-Dienstleistungen „kritische oder wichtige Funktion“ nach Art. 3 Nr. 22 DORA mit eigenen Pflichten; Anzeige nach § 24 Abs. 1 Nr. 19 KWG in der Fassung des BRUBEG seit 01.04.2026 | KWG; Rundschreiben 06/2026 (BA); EBA/GL/2019/02; VO (EU) 2022/2554 |
| Übergang | BAIT bis 31.12.2026 nur für Nicht-DORA-Institute; Übergangsfrist der 9. MaRisk-Novelle bis 01.01.2027 | Bundesbank; BaFin |
| Künftig | DORA ab 01.01.2027 auch für KWG-Institute außerhalb von Art. 2 DORA (Kleinstunternehmen ohne Art. 28–30); EBA/GL/2026/09 ersetzen EBA/GL/2019/02 für Nicht-IKT, Begriff „kritische oder wichtige Funktion“, Anwendungsdatum noch offen; Art. 18 AMLR ab 10.07.2027 | § 1a Abs. 2a, § 65a Abs. 3 KWG; EBA/GL/2026/09; VO (EU) 2024/1624 |
Neubewertung: Einstufungen sind nicht statisch
- DORA: Überprüfung der Klassifizierung mindestens jährlich (Art. 8 Abs. 1 DORA); Information der Aufsicht, wenn eine Funktion kritisch oder wichtig geworden ist (Art. 28 Abs. 3 DORA).
- MaRisk: Überprüfung der Risikoanalyse regelmäßig, bei kleinen Instituten alle drei Jahre, und bei wesentlichen Änderungen (AT 9 Tz. 2 MaRisk).
- Künftig nach EBA: Neubewertung der Kritikalität, wenn sich Risiko, Art oder Umfang einer Funktion wesentlich geändert haben (EBA/GL/2026/09 Rn. 110).
Typische Auslöser sind die Ausweitung des Leistungsumfangs, neue Unterauftragnehmer, die Verlagerung in Drittstaaten, Vorfälle, der Wegfall von Ausweichlösungen und das Wachstum eines Geschäftsfelds.
Was sich 2027 ändert
Ab 01.01.2027 wenden KWG-Institute außerhalb von Art. 2 DORA, etwa Factoring- und Leasinginstitute, DORA an. Für Kleinstunternehmen gelten Art. 28–30 DORA nicht (§ 1a Abs. 2a, § 65a Abs. 3 KWG). Die BAIT entfallen mit Ablauf des 31.12.2026.
Die EBA/GL/2026/09 ersetzen für Nicht-IKT-Leistungen die EBA-Leitlinien zu Auslagerungen von 2019. Sie verwenden den DORA-Begriff „kritische oder wichtige Funktion“, erfassen auch Drittparteivereinbarungen, die keine Auslagerung sind, und sehen eine Übergangsfrist von zwei Jahren für bestehende Vereinbarungen zu kritischen oder wichtigen Funktionen vor. Das Anwendungsdatum steht noch nicht fest.
Ab 10.07.2027 gilt bei der Auslagerung geldwäscherechtlicher Aufgaben Art. 18 AMLR. Er verlangt die vorherige Unterrichtung der Aufsicht, regelt die volle Verantwortung des Verpflichteten und nennt nicht auslagerbare Aufgaben.
Fahrplan
| Zeitpunkt | Maßnahme |
|---|---|
| sofort | einheitliche Liste kritischer oder wichtiger Funktionen für IKT und Nicht-IKT festlegen; Begründungen dokumentieren |
| bis 31.12.2026 | Einstufungen in Auslagerungsregister und DORA-Informationsregister abgleichen; BAIT-Verweise entfernen |
| ab 01.01.2027 | Factoring-, Leasing- und andere KWG-Institute: DORA-Einstufung und Drittparteienrisikomanagement (außer Kleinstunternehmen) |
| nach Anwendungsbeginn EBA/GL/2026/09 | Richtlinien, Register und Verträge anpassen; Bestandsverträge zu kritischen oder wichtigen Funktionen innerhalb der Übergangsfrist |
| bis 10.07.2027 | GwG-Auslagerungen an Art. 18 AMLR ausrichten |
| jährlich | Klassifizierung überprüfen und der Geschäftsleitung berichten |
Die Rechtsfolgen der Einstufung
| Pflicht | Nicht-IKT (KWG, MaRisk) | IKT (DORA) |
|---|---|---|
| Anzeige an die Aufsicht | unverzüglich: Absicht und Vollzug einer wesentlichen Auslagerung, wesentliche Änderungen und schwerwiegende Vorfälle (§ 24 Abs. 1 Nr. 19 KWG) | zeitnahe Information über geplante Verträge zu kritischen oder wichtigen Funktionen und über Funktionen, die kritisch oder wichtig geworden sind (Art. 28 Abs. 3 DORA) |
| Vertrag | Mindestinhalte nach § 25b Abs. 3 KWG und AT 9 Tz. 7 MaRisk, in Textform | zusätzliche Inhalte nach Art. 30 Abs. 3 DORA; Vertragsrichtlinie nach der Delegierten Verordnung (EU) 2024/1773 |
| Ausstieg | Handlungsoptionen und, soweit sinnvoll, Ausstiegsstrategien (AT 9 Tz. 6 MaRisk) | dokumentierte Ausstiegsstrategien (Art. 28 Abs. 8 DORA) |
| Weiterverlagerung | Zustimmungsvorbehalte und Anforderungen in AT 9 MaRisk | Bedingungen für die Untervergabe (Delegierte Verordnung (EU) 2025/532) |
| Register | Kennzeichnung im Auslagerungsregister (§ 25b Abs. 1 Satz 4 KWG) | Kennzeichnung im Informationsregister (Durchführungsverordnung (EU) 2024/2956) |
| Revision | bei wesentlichen Auslagerungen keine alleinige Stützung auf Zertifikate (Erläuterung zu AT 9 Tz. 4 MaRisk) | Prüfungs- und Zugangsrechte (Art. 30 Abs. 3 DORA) |
| Konzentrationsrisiko | Berücksichtigung in der Risikoanalyse | Bewertung vor Vertragsschluss (Art. 29 DORA) |
Weg der Anzeige: Die BaFin bittet, IKT-Auslagerungen, die zugleich nach KWG anzeigepflichtig sind, weiter über das MVP-Fachverfahren „Anzeige von Auslagerungen“ anzuzeigen. Ohne Überschneidung ist das DORA-Excel-Formular per E-Mail einzureichen. Weiterführend: DORA, NIS-2 und CRA aus Governance-Sicht.
Pflichten nach Funktion
Die Einstufung berührt mehrere Funktionen im Haus. Die folgende Zuordnung fasst zusammen, welche der oben genannten Anforderungen bei welcher Rolle typischerweise ankommen. Die konkrete Zuständigkeit regelt Ihre Aufbauorganisation.
Auslagerungsbeauftragter und zentrales Auslagerungsmanagement
- Funktionsübersicht und Kritikalitätsbewertung pflegen.
- Kennzeichnung im Auslagerungsregister sicherstellen.
- Anzeigen nach § 24 Abs. 1 Nr. 19 KWG vorbereiten und Verträge auf § 25b Abs. 3 KWG und AT 9 Tz. 7 MaRisk prüfen.
Zur Rolle: Welche Pflichten hat ein Auslagerungsbeauftragter?
IKT-Drittparteienrisikomanagement
- Einstufung nach Art. 3 Nr. 22 DORA und Pflege des Informationsregisters.
- Konzentrationsrisiko vor Vertragsschluss bewerten (Art. 29 DORA).
- Vertragsinhalte nach Art. 30 Abs. 3 DORA und Zuordnung gemischter Leistungen begründen.
Compliance und Risikocontrolling
- Risikoanalyse nach AT 9 Tz. 2 MaRisk gemeinsam mit den maßgeblichen Organisationseinheiten erstellen.
- Szenarioanalyse einbeziehen, soweit sinnvoll und verhältnismäßig.
- Werden diese besonderen Funktionen selbst ausgelagert, liegt eine Auslagerung von erheblicher Tragweite vor.
Interne Revision
- Prüfungs- und Zugangsrechte bei kritischen oder wichtigen IKT-Funktionen nutzen (Art. 30 Abs. 3 DORA).
- Bei wesentlichen Auslagerungen nicht allein auf Zertifikate stützen (AT 9 Tz. 4 MaRisk).
- Einstufung und Dokumentation im Prüfungszyklus nachvollziehen.
Pain Points mit Normbezug
§ 25b Abs. 1 KWG · DORA
Zwei Einstufungen derselben Funktion
Auslagerungsregister und DORA-Informationsregister weichen voneinander ab.
EBA/GL/2019/02 Rn. 29–30
Regelfälle übersehen
Operative Aufgaben interner Kontrollfunktionen gelten ohne belegte Ausnahme stets als kritisch oder wesentlich.
AT 9 Tz. 1 · EBA/GL/2026/09 Rn. 32
Gemischte Leistungen ohne Begründung
Die Zuordnung von Plattform- und Prozessleistungen zu IKT oder Nicht-IKT ist nicht dokumentiert.
Art. 8 Abs. 1 DORA · AT 9 Tz. 2
Einstufung als einmalige Entscheidung
Auslöser für eine Neubewertung sind nicht definiert, die jährliche Überprüfung fehlt.
§ 24 Abs. 1 Nr. 19 KWG · Art. 28 Abs. 3 DORA
Anzeige zu spät
Die Absicht einer wesentlichen Auslagerung wird erst mit Vertragsschluss angezeigt.
Bundesbank · § 65a KWG
Veraltete Bezüge
Richtlinien verweisen noch auf die BAIT, die mit Ablauf des 31.12.2026 entfallen.
Quick-Check: Ist Ihre Einstufung belastbar?
| Prüffeld | Prüffrage | Normbezug | Mögliche Lücke |
|---|---|---|---|
| Funktionsübersicht | Gibt es eine Funktionsübersicht mit Kritikalitätsbewertung? | Art. 8 Abs. 1 DORA; AT 9 Tz. 2 MaRisk | Übersicht nur für IKT oder nur für Nicht-IKT |
| Regelfälle | Sind interne Kontrollfunktionen, erlaubnispflichtige Tätigkeiten und Kerngeschäftsbereiche geprüft? | EBA/GL/2019/02 Rn. 29–30 | Regelfall nicht gesondert dokumentiert |
| Risikoanalyse | Berücksichtigt sie alle Faktoren und, soweit sinnvoll, eine Szenarioanalyse? | AT 9 Tz. 2 MaRisk; EBA/GL/2019/02 Rn. 31 | Faktoren nur teilweise abgebildet |
| Zuordnung | Ist die Zuordnung gemischter Leistungen zu IKT oder Nicht-IKT begründet? | EBA/GL/2026/09 Rn. 32 | Begründung fehlt |
| Register | Ist die Einstufung in beiden Registern identisch? | § 25b Abs. 1 KWG; DORA | Abweichende Einstufung |
| Anzeigen | Sind Anzeigen nach KWG und DORA erstattet? | § 24 Abs. 1 Nr. 19 KWG; Art. 28 Abs. 3 DORA | Anzeige erst zum Vollzug |
| Verträge | Sind Verträge auf die Mindestinhalte geprüft? | § 25b Abs. 3 KWG; AT 9 Tz. 7 MaRisk; Art. 30 Abs. 3 DORA | Inhalte nur für einen Rechtskreis geprüft |
| Ausstieg | Sind Ausstiegsstrategien und Handlungsoptionen verabschiedet? | AT 9 Tz. 6 MaRisk; Art. 28 Abs. 8 DORA | Strategie nur für IKT vorhanden |
| Neubewertung | Sind Auslöser für die Neubewertung definiert? | AT 9 Tz. 2 MaRisk; EBA/GL/2026/09 Rn. 110 | keine definierten Auslöser |
| Berichtswesen | Ist die jährliche Überprüfung mit Bericht an die Geschäftsleitung dokumentiert? | Art. 8 Abs. 1 DORA | Bericht fehlt oder ist nicht datiert |
Lösungsansätze: No-Regret-Maßnahmen
Eine Liste, eine Methode
Führen Sie eine einheitliche Liste kritischer oder wichtiger Funktionen für IKT und Nicht-IKT und dokumentieren Sie die Begründungen.
Business Impact Analyse nutzen
Übernehmen Sie Kritikalität, maximal tolerierbare Ausfallzeit und Wiederanlaufziele als Grundlage der Einstufung.
Zuordnung gemischter Leistungen festhalten
Begründen Sie die Zuordnung zu IKT oder Nicht-IKT. Eine doppelte Erfassung ist zulässig.
Register bis Jahresende abgleichen
Gleichen Sie Auslagerungsregister und DORA-Informationsregister bis 31.12.2026 ab und entfernen Sie BAIT-Verweise.
Auslöser definieren
Legen Sie fest, bei welchen Änderungen die Einstufung neu bewertet wird, etwa bei neuen Unterauftragnehmern oder Drittstaatenbezug.
Jährlich berichten
Überprüfen Sie die Klassifizierung jährlich und berichten Sie der Geschäftsleitung.
Fazit: Kernbotschaften zur Einstufung
Bei Auslagerung kritische oder wesentliche Funktionen zu erkennen, ist keine einmalige Aufgabe, sondern ein laufender Prozess mit klarer Dokumentation.
- Wesentlich, kritisch oder wichtig: Der Prüfmaßstab ist derselbe, die Rechtsfolgen unterscheiden sich nach KWG, MaRisk und DORA.
- Beginnen Sie mit den Regelfällen und bewerten Sie den Rest anhand der Risikoanalyse.
- Eine einheitliche Einstufung in beiden Registern vermeidet Feststellungen.
- Planen Sie die Termine 31.12.2026, 01.01.2027 und 10.07.2027 ein und beobachten Sie das Anwendungsdatum der EBA/GL/2026/09.
FAQ zur Einstufung von Auslagerungen
Ist „wesentlich“ nach MaRisk dasselbe wie „kritisch oder wichtig“ nach DORA?
Der Prüfmaßstab ist inhaltlich gleich. Die Rechtsfolgen ergeben sich aber aus unterschiedlichen Regelwerken: KWG und MaRisk für Nicht-IKT-Leistungen, DORA für IKT-Dienstleistungen.
Ist die Auslagerung der Internen Revision immer wesentlich?
Operative Aufgaben interner Kontrollfunktionen gelten stets als kritisch oder wesentlich, sofern die Bewertung nicht zeigt, dass ein Ausfall die Wirksamkeit der Kontrollfunktion nicht beeinträchtigt.
Müssen Sie die BaFin vor Vertragsschluss informieren?
Ja. Nach § 24 Abs. 1 Nr. 19 KWG ist bereits die Absicht einer wesentlichen Auslagerung unverzüglich anzuzeigen. Nach Art. 28 Abs. 3 DORA sind geplante Verträge zu kritischen oder wichtigen Funktionen zeitnah mitzuteilen.
Wie oft müssen Sie die Einstufung überprüfen?
Nach DORA mindestens jährlich. Nach den MaRisk regelmäßig, bei kleinen Instituten alle drei Jahre, sowie bei wesentlichen Änderungen der Risikosituation.
Gelten die EBA-Leitlinien von 2019 noch?
Ja, bis die EBA/GL/2026/09 anwendbar werden. Das Anwendungsdatum steht noch nicht fest. Für IKT-Dienstleistungen gilt bereits DORA.
Wie hängt die Einstufung mit den Registern zusammen?
Wesentliche Auslagerungen sind im Auslagerungsregister zu kennzeichnen (§ 25b Abs. 1 Satz 4 KWG), kritische oder wichtige IKT-Funktionen im DORA-Informationsregister. Dieselbe Funktion sollte in beiden Registern identisch eingestuft sein.
Quellenverzeichnis
- Verordnung (EU) 2022/2554 (DORA)
Definition kritischer oder wichtiger Funktionen, Klassifizierung, Informationspflichten, Exit, Konzentrationsrisiko und Vertragsinhalte (Art. 3, 8, 28–30).
- Delegierte Verordnung (EU) 2024/1773
Vertragsrichtlinie für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen.
- Delegierte Verordnung (EU) 2025/532
Bedingungen für die Untervergabe bei kritischen oder wichtigen Funktionen.
- Verordnung (EU) 2024/1624 (AMLR)
Art. 18: Auslagerung geldwäscherechtlicher Aufgaben ab 10.07.2027.
- EBA/GL/2019/02: Leitlinien zu AuslagerungenPDF
Kriterien kritischer oder wesentlicher Funktionen, Regelfälle und Mindestfaktoren (Rn. 29–31).
- EBA/GL/2026/09: Leitlinien zum Management von Drittparteirisiken (Final Report)PDF
Künftiger Maßstab für Nicht-IKT-Leistungen, Ausnahmen, Neubewertung und Aufhebung der Leitlinien von 2019.
- BaFin: MaRisk, Rundschreiben 06/2026 (BA)
AT 9 und AT 1 Tz. 2 zu Risikoanalyse, Wesentlichkeit, Vertragsinhalten und Exit.
- BaFin: Register und Anzeigepflichten
Anzeigeweg über das MVP-Fachverfahren und DORA-Formular.
- Deutsche Bundesbank: BAIT und DORA
Wegfall der BAIT mit Ablauf des 31.12.2026.
Kreditwesengesetz (KWG): § 1a Abs. 2a, § 24 Abs. 1 Nr. 19, § 25a, § 25b, § 65a Abs. 3 in der jeweils geltenden Fassung. Gesetz des Bundes; Verlinkung auf den amtlichen Gesetzestext folgt.
Verwandte Leistungen und Beiträge
Wer Auslagerung kritische oder wesentliche Funktionen im eigenen Haus sicher einstufen will, findet im Programm von S+P Seminare die passende Qualifizierung.
Auslagerungscontrolling
Seminare für Auslagerungsbeauftragte und das zentrale Auslagerungsmanagement.
DORA und NIS-2
Qualifizierung zum IKT-Drittparteienrisikomanagement und zu den Registerpflichten.
Aufsichtsrecht
Grundlagen zu KWG und MaRisk für Geschäftsleitung und Fachbereiche.
Interne Revision
Prüfungsansätze für Auslagerungen und IKT-Drittparteien.
Risikomanagement
Risikoanalyse und Szenarioanalyse als Grundlage der Einstufung.
Fachbeitrag zur Rolle
Aufgaben und Pflichten des Auslagerungsbeauftragten im Überblick.
Fehlen im Haus die Kapazitäten, um die Einstufung und das Auslagerungscontrolling selbst zu tragen, kann ein externer Dienstleister unterstützen. Informationen dazu bietet S+P Compliance.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
