S+P Seminar A11 · Auslagerungsmanagement
Ein Tag. Drei Werkzeuge für dein Auslagerungsmanagement.
Dein Update zur 9. MaRisk-Novelle, zum IKT-Drittparteienrisiko nach DORA und zu den neuen EBA-Leitlinien für Drittparteirisiken. Du nimmst drei Werkzeuge mit: Risikoanalyse mit Wesentlichkeitsbewertung, DORA-Register-Check und Steuerungscockpit.
Auslagerungen nach AT 9 MaRisk steuern, IKT-Dienste nach DORA abgrenzen, Dienstleister laufend messen – mit Risikoanalyse, DORA-Register-Check und Steuerungscockpit.
Das ausführliche Programm
01
02
03
Für Auslagerungsbeauftragte sowie Fach- und Führungskräfte im zentralen Auslagerungsmanagement und in der Steuerung von IKT-Drittdienstleistern. Der MaRisk-Schwerpunkt richtet sich an Unternehmen im Anwendungsbereich des Rundschreibens 06/2026 (BA). Für Wertpapierinstitute und andere beaufsichtigte Unternehmen sind die jeweils geltenden Organisations- und DORA-Anforderungen gesondert einzuordnen. Bedeutende Kreditinstitute unter direkter EZB-Aufsicht sind vom Anwendungsbereich dieser MaRisk-Fassung ausgenommen. Wenn dein Unternehmen einem anderen Aufsichtsregime unterliegt, kläre vor der Buchung mit S+P, ob die behandelten Fälle zu deinen Aufgaben passen.
Deine offenen Fragen aus Auslagerungsregister, Verträgen und Prüfungen. Das Seminar ist als Update angelegt. Grundkenntnisse im Auslagerungsmanagement oder in der Steuerung von IKT-Drittdienstleistern erleichtern den Praxistransfer. Wenn du neu in der Rolle bist, kläre vorab mit S+P, ob das Update oder der vertiefende Lehrgang besser zu deinem Wissensstand passt. Nach jedem Block klären wir sie in einer Feedback-Runde, bevor der nächste Block beginnt.
Jeder Termin arbeitet mit dem am Seminartag geltenden Stand – die Anwendung der neuen EBA-Leitlinien und weitere DORA-Standards werden laufend fortgeschrieben.
Regulatorisches Update · Stand 02.10.2026
Sechs relevante Änderungen für Organisation, Risikoanalyse, Register und Verträge – im Seminar über alle drei Blöcke eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
| Bisherige Regelung | Neue Regelung |
|---|---|
| MaRisk: AuslagerungsbeauftragterNach AT 9 Tz. 12 MaRisk (8. Novelle, Rundschreiben 06/2024 (BA)) war abhängig von Art, Umfang und Komplexität der Auslagerungen ein zentrales Auslagerungsmanagement einzurichten und ein zentraler Auslagerungsbeauftragter zu benennen. | Seit 30.06.2026Mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA) vom 30.06.2026) ist die Pflicht zur Bestellung eines zentralen Auslagerungsbeauftragten in AT 9 Tz. 12 gestrichen. Ein zentrales Auslagerungsmanagement bleibt abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten erforderlich. Lege fest, wer es leitet, welche Aufgaben es behält und wie es an die Geschäftsleitung berichtet. |
| MaRisk und DORA: IKT-DienstleistungenViele IKT-Dienstleistungen galten zugleich als Auslagerung. Institute erfüllten MaRisk-Vertragsvorgaben und DORA-Anforderungen parallel und erfassten Verträge im Auslagerungsregister und im Informationsregister. | Seit 30.06.2026Nach der Erläuterung zu AT 9 Tz. 1 MaRisk fallen IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich von AT 9. Für diese Leistungen gelten die einschlägigen Anforderungen des IKT-Drittparteienrisikomanagements nach DORA. Andere einschlägige Pflichten, insbesondere zum IKT-Risikomanagement, Datenschutz und zu gesetzlichen Auslagerungsanzeigen, bleiben gesondert zu prüfen. Dokumentiere die Einordnung für die konkrete Leistung und das betroffene Unternehmen. |
| DORA: UnterauftragsvergabeArt. 30 Abs. 2 Buchst. a DORA verlangte im Vertrag die Angabe, ob und unter welchen Bedingungen eine Untervergabe zulässig ist. Die technischen Regulierungsstandards nach Art. 30 Abs. 5 DORA standen noch aus. | Seit 22.07.2025Die Delegierte Verordnung (EU) 2025/532 legt fest, was Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen bewerten müssen, die kritische oder wichtige Funktionen unterstützen: Sorgfaltsprüfung und Risikobewertung der Unterauftragnehmer (Art. 3), Bedingungen der Untervergabe (Art. 4), wesentliche Änderungen (Art. 5) und Kündigungsrechte (Art. 6). |
| ESG-Risiken im RisikomanagementESG-Risiken waren bereits vor EBA/GL/2025/01 in den MaRisk verankert. Die neuen Leitlinien entwickeln den europäischen Rahmen weiter; daraus folgt nicht, dass die Berücksichtigung von ESG-Risiken in Deutschland erst 2026 begonnen hätte. | EBA-Anwendung ab 11.01.2026 · Aufsichtsregime beachtenEBA/GL/2025/01 sieht den Anwendungsbeginn am 11.01.2026 vor, für kleine und nicht komplexe Institute spätestens am 11.01.2027. Für die konkrete Umsetzung sind der persönliche Anwendungsbereich und die Position der zuständigen Aufsicht maßgeblich: BaFin hat eine teilweise Nichtbefolgung erklärt und verfolgt eine prinzipienorientierte, proportionale Umsetzung über die MaRisk. Im Seminar prüfst du, welche wesentlichen ESG-Risikotreiber für deine Auslagerungen und Dienstleister relevant sind und wie du sie angemessen in Risikoanalyse und laufender Bewertung berücksichtigst. |
| EBA-Leitlinien zu AuslagerungenDie EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) erfassten Auslagerungen einschließlich IKT-Auslagerungen und verlangten ein Register aller Auslagerungsvereinbarungen. | Veröffentlicht 18.09.2026 · Anwendungsbeginn offenDie finalen EBA-Leitlinien zum Drittparteirisiko bei Nicht-IKT-Dienstleistungen (EBA/GL/2026/09) wurden am 18.09.2026 veröffentlicht. Der Anwendungsbeginn ist im Final Report noch nicht festgelegt; erst ab diesem Zeitpunkt ersetzen sie EBA/GL/2019/02. Sie erfassen Vereinbarungen in ihrem Anwendungsbereich mit abgestuften Anforderungen und besonderem Schwerpunkt auf kritischen oder wichtigen Funktionen. Für bestehende Vereinbarungen sind Überprüfung und gegebenenfalls Anpassung vorzubereiten. Ist die Überprüfung beziehungsweise erforderliche Dokumentation bei kritischen oder wichtigen Funktionen zwei Jahre nach Anwendungsbeginn nicht abgeschlossen, ist die zuständige Behörde einschließlich der geplanten Abhilfe zu informieren. Ein gemeinsames Register mit dem DORA-Informationsregister ist möglich, sofern die jeweiligen Anwendungsbereiche und Datenanforderungen gewahrt bleiben. |
| Kritische IKT-DrittdienstleisterVor der ersten Benennung kritischer IKT-Drittdienstleister bestand für diese Anbieter noch keine an diese Benennung anknüpfende direkte Überwachung nach dem DORA-Überwachungsrahmen. | Seit November 2025Die Europäischen Aufsichtsbehörden haben nach Art. 31 DORA erstmals 19 IKT-Drittdienstleister als kritisch benannt, die nun der direkten Überwachung durch einen federführenden Überwacher unterliegen. Die Verantwortung des Instituts nach Art. 28 Abs. 1 DORA bleibt unverändert; die Liste wird jährlich aktualisiert. |
Umsetzungsstand: Die MaRisk-Fassung vom 30.06.2026 trat mit Veröffentlichung in Kraft. Soweit sie zusätzliche Anforderungen schafft, gilt nach dem Veröffentlichungsschreiben eine Übergangsfrist bis zum 01.01.2027. Bereits bestehende Pflichten werden dadurch nicht aufgeschoben.
Rechtsgrundlagen: MaRisk · BaFin-Rundschreiben 06/2026 (BA), AT 9 · KWG · §§ 25a, 25b, 26c · DORA · VO (EU) 2022/2554, Art. 3, 28 bis 31 · Delegierte VO (EU) 2025/532 · EBA/GL/2025/01 · EBA/GL/2026/09. EBA-Leitlinien sind keine unmittelbar geltenden EU-Verordnungen. Ihr Adressatenkreis, Anwendungsbeginn und die Befolgungserklärung der zuständigen Aufsicht sind gesondert zu prüfen. Für die Seminarpraxis unterscheiden wir geltende gesetzliche Pflichten, die einschlägige Aufsichtspraxis und bereits final veröffentlichte Anforderungen mit künftigem oder noch offenem Anwendungsbeginn.
Dein Praxistransfer: Prüfe je Leistung und Institutsart, ob die Anforderungen an IKT-Drittdienstleistungen nach DORA, an Auslagerungen nach AT 9 MaRisk oder andere Vorgaben einschlägig sind. Unterscheide dabei auch sonstigen Fremdbezug und gemischte Leistungsbündel. Kläre Zuständigkeiten und Berichtswege und stimme die Register ab, ohne erforderliche Angaben oder Nachweise zu verlieren.
Praxiswerkstatt
Drei Auslagerungsfälle ziehen sich durch den Seminartag. An ihnen erarbeitest du Risikoanalyse, DORA-Register-Check und Steuerungscockpit.
Nach der 9. MaRisk-Novelle will die Geschäftsleitung die Stelle einsparen und die Aufgaben auf die Fachbereiche verteilen. Die nächste Prüfung steht bevor.
Deine Aufgabe: Leite aus AT 9 ab, welche Aufgaben das zentrale Auslagerungsmanagement weiter erfüllen muss, und halte die Entscheidung mit ihren Risiken in deiner Risikoanalyse fest.
Ein Cloud-Anbieter ist als wesentliche Auslagerung und zugleich im Informationsregister erfasst. Einen Teil des Betriebs hat er an einen Unterauftragnehmer vergeben.
Deine Aufgabe: Grenze die konkreten Leistungen nach DORA, AT 9 und sonstigen einschlägigen Pflichten ab. Bewerte die Unterauftragskette und stimme die Registerdaten mit deinem DORA-Register-Check nachvollziehbar ab. Eine doppelte Erfassung allein rechtfertigt keine Löschung; prüfe Datenzweck, gesetzliche Pflichten und erforderliche Nachweise.
Ein spezialisierter Dienstleister verfehlt wiederholt seine Service Levels. Ein Wechsel ist kurzfristig nicht möglich, der Vertrag läuft weiter.
Deine Aufgabe: Kläre zunächst, ob AT 9 MaRisk oder die Anforderungen für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen nach DORA einschlägig sind. Lege Abhilfemaßnahmen, Eskalation und Übergangsszenarien in deinem Steuerungscockpit fest. Unterscheide die MaRisk-Regel zur Notfallvorsorge bei fehlenden Handlungsoptionen von der Pflicht zu dokumentierten und ausreichend getesteten Ausstiegsplänen nach Art. 28 Abs. 8 DORA.
Dein Ergebnis
Du bewertest geplante und bestehende Auslagerungen nach Wesentlichkeit, Risiken und ESG-Faktoren und dokumentierst die Entscheidung nachvollziehbar.
Du unterscheidest IKT-Drittdienstleistungen, Auslagerungen und sonstigen Fremdbezug, prüfst die einschlägigen Anforderungen und gleichst die erforderlichen Registerinformationen ab.
Du nutzt SLAs, KPIs und KRIs, um Leistungsabweichungen und Risiken strukturiert auszuwerten und passende Eskalationsschritte festzulegen.
Du leitest aus den Seminarfällen ab, wie Zuständigkeiten, Aufgaben und Berichtswege gestaltet werden können, und identifizierst den Anpassungsbedarf für dein Institut.
Du beurteilst Ausstiegsstrategien und Notfallpläne nach dem einschlägigen Regelwerk und leitest bei fehlenden Alternativen dokumentierte Abhilfe-, Übergangs- und Eskalationsmaßnahmen ab.
Du erhältst das S+P Teilnahmezertifikat mit dokumentierten Inhalten und 6,0 Zeitstunden sowie das Digital Badge.
Selbsteinschätzung
Im Seminarpreis enthalten
Dein Seminar wirkt über den Veranstaltungstag hinaus: mit der S+P Tool Box für dein Auslagerungsmanagement und S+P C.O.R.E. für regelmäßige Updates zu den Themen, die Auslagerung und Drittparteienrisiko im Jahresverlauf treffen.
01 · Direkt anwenden
Dein Werkzeugkasten für das Auslagerungsmanagement.
Nutze die Seminarinhalte direkt in deinem Arbeitsalltag. Die Tool Box ist ohne Aufpreis im Seminarpreis enthalten und unterstützt deine drei Werkzeuge: Risikoanalyse mit Wesentlichkeitsbewertung, DORA-Register-Check und Steuerungscockpit.
Dein Vorteil Du beginnst mit konkreten Arbeitshilfen und passt sie an deine Dienstleister, Verträge und Berichtswege an.
S+P Tool Box entdecken02 · Aktuell bleiben
Dein Update. Dein Austausch. Dein nächster Impuls.
MaRisk, DORA und die EBA-Leitlinien zum Drittparteirisiko entwickeln sich laufend weiter. Mit S+P C.O.R.E. ordnest du aktuelle Entwicklungen ein und diskutierst praktische Umsetzungsfragen mit Fachverantwortlichen und Experten. Mit deiner Buchung bist du unbefristet und kostenfrei dabei – mit einem Update pro Quartal.
C.O.R.E. bietet quartalsweise Online-Updates für unterschiedliche Zielgruppen. Für deinen Praxistransfer wählst du aus dem veröffentlichten Programm die passenden Termine, beispielsweise zu KI und Dienstleistern, Kontrollnachweisen oder Kontrollplanung. Themen, Termine und Anmeldung findest du im aktuellen C.O.R.E.-Programm.
Dein Vorteil Du bleibst auch nach dem Seminar mit aktuellen Auslagerungsthemen und dem S+P Expertennetzwerk verbunden.
S+P C.O.R.E. entdeckenBei jeder Buchung enthalten: unbefristet und kostenfrei, ein Update pro Quartal. Zu jedem Update-Event meldest du dich kurz an – so können wir das Update auf Teilnehmerzahl und Branchen abstimmen.
S+P Certified
Nach dem Seminartag bekommst du deinen Nachweis digital – dort einsetzbar, wo er gesehen wird: im LinkedIn-Profil, im Lebenslauf und gegenüber Vorgesetzten.
Über den Referenten
Geschäftsführer der S+P Unternehmerforum & der S+P Compliance · Auslagerungsmanagement, TPRM & DORA
Achim Schulz ist selbst als Auslagerungsbeauftragter, als Compliance Officer und in der DORA-Funktion für das IKT-Risikocontrolling für Banken, Wertpapierinstitute und weitere BaFin-regulierte Institute bestellt. Über S+P Compliance verantwortet er als Auslagerungsdienstleister das Third-Party Risk Management (TPRM) und die IKT-Risikosteuerung in der Praxis. Dieses Praxis-, Audit- und Prüfungswissen fließt direkt in seine Seminare ein – aus der Praxis, für die Praxis.
Termine und Buchung
| Ort | S+P Seminare | Datum | |
|---|---|---|---|
| Online | A11 - Auslagerungsbeauftragter 2027: neue Pflichten im Griff | Jetzt buchen | |
| Online | A11 - Auslagerungsbeauftragter 2027: neue Pflichten im Griff | Jetzt buchen | |
| Online | A11 - Auslagerungsbeauftragter 2027: neue Pflichten im Griff | Jetzt buchen | |
| Online | A11 - Auslagerungsbeauftragter 2027: neue Pflichten im Griff | Jetzt buchen | |
| Online | A11 - Auslagerungsbeauftragter 2027: neue Pflichten im Griff | Jetzt buchen |
Frage zu Termin, Rechnung oder Anmeldung für mehrere Personen?
Schreib uns – die Antwort kommt in der Regel am nächsten Werktag. Meldest du dich mit mindestens zwei Personen aus einem Unternehmen an, erhalten alle Teilnehmenden 10 % Nachlass; für ein ganzes Team ist eine Inhouse-Schulung meist wirtschaftlicher.
Erfahrungen von Teilnehmenden
Unabhängige Bewertungen zu unseren Seminaren findest du auf zwei Bewertungsportalen.
Nächster Schritt
Melde dich jetzt an und nimm Risikoanalyse, DORA-Register-Check und Steuerungscockpit direkt in deinen Arbeitsalltag mit. Ein Tag live online, 6,0 Zeitstunden, S+P Teilnahmezertifikat und Digital Badge, Tool Box und unbefristet kostenfreies C.O.R.E. Update inklusive.
