Auslagerungscontrolling 2027: Zehn Trends nach MaRisk, DORA und EBA

Trend 1: Mehr Eigenverantwortung nach der 9. MaRisk-Novelle

Geltendes Recht Die 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA) vom 30.06.2026) ist nach Angabe der BaFin „noch stärker prinzipienbasiert“ und lässt mehr Spielraum für eine proportionale Anwendung. Für das Auslagerungscontrolling bedeutet das:

• Risikoanalyse: Sie ist regelmäßig zu überprüfen, bei kleinen Instituten alle drei Jahre, und bei wesentlichen Änderungen der Risikosituation (AT 9 Tz. 2 MaRisk).
• Steuerung: Wesentliche Auslagerungen steuern und überwachen Sie anhand von Kriterien wie KPIs und KRIs (AT 9 Tz. 9 MaRisk).
• Organisation: Ein zentraler Auslagerungsbeauftragter ist nicht mehr vorgeschrieben. Die Aufgaben liegen beim zentralen Auslagerungsmanagement (AT 9 Tz. 12 MaRisk).
• Bericht: Das zentrale Auslagerungsmanagement berichtet regelmäßig und anlassbezogen an die Geschäftsleitung (AT 9 Tz. 13 MaRisk).

Übergang Die zusätzlichen Anforderungen der Novelle sind bis zum 01.01.2027 umzusetzen.

Mehr dazu: Pflichten des Auslagerungsbeauftragten

Trend 2: Zwei Steuerungswelten – IKT nach DORA, Nicht-IKT nach AT 9

Geltendes Recht IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA fallen nicht mehr unter AT 9 MaRisk (Erläuterungen zu AT 9 Tz. 1 MaRisk). Für sie gelten Art. 28–30 DORA.

Übergang Die BAIT gelten nicht für DORA-Institute und werden mit Ablauf des 31.12.2026 vollständig aufgehoben. Verweise auf die BAIT in Richtlinien, Verträgen und Controlling-Berichten sind bis dahin zu bereinigen.

Was das 2027 heißt: Ihr Controlling arbeitet mit zwei Regelwerken, die auf dieselben Dienstleister treffen können. Ein Buchhaltungsdienstleister mit eigener Software kann gleichzeitig AT-9-Auslagerung und IKT-Drittdienstleister sein.

Trend 3: Vom Auslagerungs- zum Drittparteicontrolling

Künftiges Recht Die EBA hat im September 2026 den Final Report zu den Leitlinien EBA/GL/2026/09 zum Drittparteirisiko bei Nicht-IKT-Leistungen veröffentlicht. Sie ersetzen ab einem noch offenen Anwendungsdatum die Auslagerungsleitlinien EBA/GL/2019/02.

• Breiterer Umfang: Erfasst ist jede wiederkehrende oder laufende Leistung eines Drittdienstleisters, auch gruppenintern. Die Auslagerung ist nur noch eine Teilmenge.
• Fokus: Die strengeren Anforderungen gelten für Vereinbarungen zu kritischen oder wichtigen Funktionen.
• Laufende Überwachung (Rn. 110, 112): risikobasiert, mit Instrumenten wie KPIs, Key Control Indicators, Leistungsberichten, Selbstauskünften und unabhängigen Prüfungen; regelmäßiger Bericht an das Leitungsorgan.
• Dokumentation (Rn. 67): Bewertungen und Ergebnisse der laufenden Überwachung, etwa Leistungsniveau und Einhaltung der Service Levels.
• Zentrale Überwachung in Gruppen (Rn. 112 a): Jedes Institut erhält mindestens jährlich Berichte mit Risikobewertung und Leistungsüberwachung.

Übergang Bestehende Vereinbarungen zu kritischen oder wichtigen Funktionen sind innerhalb von zwei Jahren ab Anwendungsdatum zu prüfen (Rn. 20).

Trend 4: Datenqualität im Register wird Prüfungsschwerpunkt

Geltendes Recht Das DORA-Informationsregister nach Art. 28 Abs. 3 DORA ist jährlich über die Melde- und Veröffentlichungsplattform der BaFin einzureichen; Stichtag ist der 31.12. des Vorjahres. Für 2026 lief die Einreichung vom 09. bis 30.03.2026.

Was 2027 kommt Die EBA hat 2026 zusätzliche Prüfungen der Datenqualität eingeführt; viele Einreichungen mussten danach korrigiert werden. Für den Stichtag 31.12.2026 sollten Sie mit mindestens gleich strengen Prüfungen rechnen. Häufige Schwachstellen sind fehlende Kritikalitätsbewertungen, unvollständige Unterauftragsketten und fehlende LEI- oder EUID-Kennungen der Dienstleister.

Künftiges Recht Nach EBA/GL/2026/09 Rn. 61 darf das Nicht-IKT-Register mit dem DORA-Register zusammengeführt werden.

Trend 5: Konzentrationsrisiko und Cloud-Abhängigkeit

Aufsichtsfokus Die Bundesbank nennt die Konzentration von Auslagerungen auf Cloudanbieter als Schwerpunkt der Bankenaufsicht 2026–2028. Die BaFin führt die Konzentration bei IKT-Auslagerungen in „Risiken im Fokus 2026“ als Fokusrisiko.

Geltendes Recht Vor Verträgen über IKT-Dienstleistungen für kritische oder wichtige Funktionen prüfen Sie das Konzentrationsrisiko (Art. 29 Abs. 1 DORA). Die Europäischen Aufsichtsbehörden haben 19 kritische IKT-Drittdienstleister benannt; deren Überwachung läuft seit 01.01.2026.

Trend 6: Transparenz in der Lieferkette

Geltendes Recht Für IKT-Dienstleistungen zu kritischen oder wichtigen Funktionen regelt die Delegierte Verordnung (EU) 2025/532 die Untervergabe. Im DORA-Register erfassen Sie alle Unterauftragnehmer, die solche Leistungen wirksam unterstützen. Für Nicht-IKT-Auslagerungen gelten AT 9 Tz. 8 und 11 MaRisk zur Weiterverlagerung.

Künftiges Recht EBA/GL/2026/09 verlangt im Register Kennung, Rang in der Kette und weitergegebene Funktion jedes Unterauftragnehmers (Rn. 62 c). IKT-Unterauftragnehmer eines Nicht-IKT-Dienstleisters sind zu dokumentieren (Rn. 58).

Trend 7: ESG wird Pflicht im Dienstleistercontrolling

Geltendes Recht Die EBA-Leitlinien zum Management von ESG-Risiken (EBA/GL/2025/01) gelten seit 11.01.2026, für kleine und nicht komplexe Institute (SNCI) spätestens ab 11.01.2027. Für IKT-Dienstleister zu kritischen oder wichtigen Funktionen verlangt Art. 6 der Delegierten Verordnung (EU) 2024/1773 bereits heute die Prüfung von ethisch und sozial verantwortlichem Handeln, Menschenrechten und Umweltschutz.

Künftiges Recht EBA/GL/2026/09 Rn. 82 überträgt diesen Ansatz auf Nicht-IKT-Dienstleister, einschließlich der Prüfung von ESG-Risiken bei Drittstaatenbezug.

Trend 8: KI beim Dienstleister und im eigenen Controlling

Geltendes Recht Die BaFin hat am 18.12.2025 eine Orientierungshilfe zu IKT-Risiken beim Einsatz von KI veröffentlicht. Sie ist unverbindlich, ordnet KI-Systeme aber als Teil der Netzwerk- und Informationssysteme nach DORA ein. Das IKT-Drittparteienrisikomanagement ist dabei ein Schwerpunkt.

Künftiges Recht Nach dem KI-Omnibus gelten die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung ab dem 02.12.2027. Dazu kann zum Beispiel die Kreditwürdigkeitsprüfung natürlicher Personen gehören.

Was das für das Controlling heißt:

• Setzen Dienstleister KI in ausgelagerten Prozessen ein, gehört das in Due Diligence, Vertrag und Überwachung.
• Setzen Sie selbst KI im Controlling ein, etwa für Risikoscoring oder Vertragsanalyse, ist das ein IKT-Asset nach DORA. Die Verantwortung für die Bewertung bleibt bei Ihnen.

Trend 9: Ausgelagerte Geldwäsche-Aufgaben unter der AMLR

Geltendes Recht Interne Sicherungsmaßnahmen dürfen durch Dritte durchgeführt werden, wenn dies vorher der Aufsicht angezeigt wurde (§ 6 Abs. 7 GwG).

Künftiges Recht Ab dem 10.07.2027 gilt Art. 18 AMLR:

• Der Aufseher ist vor Aufnahme der Tätigkeit des Dienstleisters zu unterrichten.
• Das Institut haftet in vollem Umfang für den Dienstleister.
• Bestimmte Entscheidungen sind nicht auslagerbar, etwa die Billigung der Risikobewertung und die Aufnahme der Geschäftsbeziehung.
• Die Qualifikation des Dienstleisters ist vorab sicherzustellen.

Trend 10: Ausblick 2028 – Überprüfung und Vereinfachung von DORA

Künftiges Recht Die Kommission muss DORA bis zum 17.01.2028 überprüfen und gegebenenfalls einen Gesetzesvorschlag vorlegen (Art. 58 Abs. 1 DORA). Im laufenden Verfahren zum Digital Omnibus hat die EZB empfohlen, DORA zunächst auszuklammern.

Einordnung Vereinfachungen sind möglich, aber nicht beschlossen. Planen Sie 2027 auf Basis des geltenden Rechts.