Auslagerungen, DORA und Third Party Risk Management: Was gilt ab 2025 – und wo geht die Reise hin?

Praxis: Was bedeutet das für dein Institut?

• Strategische Einordnung:
  Stelle deine Prozesse so um, dass du künftig jede Dienstleisterbeziehung zuerst nach IKT- oder Non-IKT-Zuordnung steuerst. Was bisher oft nur für große Cloud-Projekte galt, betrifft jetzt jede kritische oder wichtige Drittparteienbeziehung – auch in zuvor wenig beachteten Bereichen. Die Identifikation und Priorisierung aller ausgelagerten und fremdbezogenen Aktivitäten ist der neue Maßstab für deine Compliance.

• Governance neu denken:
  Du brauchst eine robuste, funktionsbezogene Third-Party-Risikosteuerung. Zukünftig zählt für die Aufsicht nicht mehr nur, was im Vertrag steht, sondern vor allem, welche Funktion ein Dritter ausübt und welches Risiko dadurch für das Institut entsteht. Die Verantwortung für Risikosteuerung, Monitoring und Notfallmanagement bleibt beim Institut.bankenverband

• Laufendes, struktur- und risikoorientiertes Register:
  Für alle wesentlichen Drittparteienbeziehungen musst du fortlaufend dokumentieren können:

  • welche Risiken bestehen,

  • welche Überwachungs- und Testmaßnahmen laufen (zum Beispiel Bedrohungs- und Belastungstests bei IKT-Diensten),

  • welche Exit- und Substitutionsmöglichkeiten vorhanden sind.

• Dokumentationspflicht für alles:
  Künftig ist bei jedem Audit ein vollständiges und digitales Register vorzulegen: Risikoanalysen, Überprüfungsprotokolle, Verträge, Ausstiegspläne und Monitoringberichte müssen jederzeit abrufbar und aktuell sein.

• Kontrollverlust verhindern:
  Auch wenn bestimmte kritische IKT-Drittanbieter künftig direkt der EU-Aufsicht unterliegen, bleibt die operative Verantwortung bei deinem Institut. Laufendes Monitoring, Resilienztests sowie die Pflicht zur Sofortmeldung bei schwerwiegenden Incidents oder Abweichungen sind essenziell.

Wo geht die Reise hin? Die wichtigsten Trends

• Erweiterung des Anwendungsbereichs:
  In kurzer Zeit werden nicht nur Banken, sondern auch Kapitalverwaltungsgesellschaften, größere Investmentfirmen, Zahlungsinstitute, E-Geld-Emittenten und MiCAR-Institute sowie Gruppen- und Muttergesellschaften in den vollen regulatorischen Scope fallen.

• Konzentrations- und Systemrisiken im Fokus:
  Die Aufseher erwarten von dir, dass du Abhängigkeiten von einzelnen oder wenigen Anbietern früh erkennst, systematisch aufbereitest und regelmäßig berichtest. Insbesondere Cloud-Oligopole und Lieferkettenabhängigkeiten rücken in den Mittelpunkt.

• Funktionsbezogene Bewertung statt „Vertragsdenken“:
  Nicht mehr der Vertragsstatus zählt, sondern das tatsächliche Risiko und die jeweilige Bedeutung der ausgelagerten Funktion für dein Institut.

• Fortlaufende, automatisierte und KI-unterstützte Risikomessung:
  Echtzeitüberwachung, Risiko-Dashboards, Continuous Audits und KI-gestützte Frühwarnsysteme ersetzen die klassische, periodische Einzelprüfung.

• Gruppenweite Harmonisierung:
  Zukünftig muss das Third-Party Risk Management nicht nur je Einzelinstitut, sondern auch konsolidiert auf Gruppenebene ausgerollt werden.

• Neue Prüfungen und Meldepflichten:
  Sowohl nach DORA als auch nach EBA-Guidelines musst du schwerwiegende Vorkommnisse und erhebliche Abweichungen sofort melden, Notfallübungen regelmäßig nachweisen und Penetrationstests dokumentieren.