Auslagerungs­beauftragter & Chief Outsourcing Officer:
Auslagerungen und IKT-Dienstleister nach MaRisk und DORA steuern

Tag 1 · Auslagerungs­management nach MaRisk AT 9 und EBA-Leitlinien

1. 01

   Rolle, Organisation und Governance des Auslagerungs­managements

   Das zentrale Auslagerungsmanagement hält die Fäden zusammen – vom Register bis zum Bericht an die Geschäftsleitung. Klare Zuständigkeiten entscheiden darüber, ob es in der Prüfung trägt. Dein Werkzeug: das Kompakt-Toolkit für Governance-Regelungen.

   • Zentrales Auslagerungsmanagement und Auslagerungsbeauftragter nach MaRisk AT 9 Tz. 12
   • Rechtsgrundlagen: § 25b KWG, für Wertpapierinstitute § 40 WpIG, für Zahlungsinstitute § 26 ZAG
   • EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02)
   • Auslagerung, sonstiger Fremdbezug und IKT-Dienstleistung nach DORA abgrenzen
   • Auslagerungsregister und Informationsregister nach Art. 28 Abs. 3 DORA aufeinander abstimmen
   • Berichte an die Geschäftsleitung und Schnittstellen zu Compliance, Informationssicherheit und Risikocontrolling

   Seit 30.06.2026 (MaRisk): Mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) fallen IKT-Dienstleistungen, die dem IKT-Drittparteirisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht mehr unter AT 9; für zusätzliche Anforderungen gilt eine Übergangsfrist bis 01.01.2027.

2. 02

   Pre-Outsourcing-Analyse und Wesentlichkeit

   Die wichtigsten Weichen stellst du vor der Unterschrift. Eine sauber begründete Risikoanalyse entscheidet über Wesentlichkeit, Vertragsinhalte und Anzeigepflichten. Dein Werkzeug: der Schnellstart-Guide zur Pre-Outsourcing-Analyse.

   • Wesentliche Auslagerungen und kritische oder wichtige Funktionen nach Art. 3 Nr. 22 DORA erkennen
   • Risikoanalyse vor der Auslagerung mit Szenarien und Scoring-Kriterien
   • Due Diligence beim Dienstleister: Eignung, Zuverlässigkeit und Finanzkraft
   • Konzentrationsrisiken und Weiterverlagerungen bewerten
   • Anzeige beabsichtigter wesentlicher Auslagerungen nach § 24 Abs. 1 Nr. 19 KWG
   • Entscheidung und Begründung nachvollziehbar dokumentieren

3. 03

   ESG, Lieferkette und laufende Überwachung

   Mit der Auslagerung wandern auch Nachhaltigkeits- und Reputationsrisiken zum Dienstleister. Du überwachst sie mit Kennzahlen und klaren Eskalationswegen. Dein Werkzeug: der Quick-Check für Auslagerungscontrolling.

   • ESG-Risiken bei Dienstleistern im Rahmen von § 26d KWG und EBA/GL/2025/01 berücksichtigen
   • Sorgfaltspflichten nach dem LkSG und Ausblick auf die CSDDD
   • Laufende Überwachung: Berichte, Kennzahlen und Vor-Ort-Prüfungen
   • Kontrollplan mit KPIs und KRIs für die Dienstleistersteuerung
   • Eskalation bei Schlechtleistung und Verstößen

   Seit 01.04.2026 · seit 11.01.2026: ESG-Risikoplan nach § 26d KWG (für kleine und nicht komplexe Institute ab Januar 2027) und Leitlinien EBA/GL/2025/01 zum Management von ESG-Risiken, die auch Risiken bei Dienstleistern erfassen.

Tag 2 · IKT-Dritt­dienstleister nach DORA: Register, Verträge und Controlling

1. 04

   IKT-Drittpartei­risiko nach DORA

   DORA macht das IKT-Drittparteirisiko zum festen Teil des IKT-Risikomanagements. Du verzahnst Auslagerungsmanagement und Informationssicherheit, statt zwei Welten nebeneinander zu pflegen. Dein Werkzeug: der S+P Guide für IT-Compliance im Auslagerungsmanagement.

   • Strategie für das IKT-Drittparteirisiko nach Art. 28 Abs. 2 DORA
   • Verzahnung mit dem IKT-Risikomanagementrahmen und der Informationssicherheit
   • IKT-Risikoanalyse für Software und IT-Dienstleistungen
   • Due Diligence bei Cloud-Anbietern
   • Unterauftragsvergabe bei kritischen oder wichtigen Funktionen
   • Kritische IKT-Drittdienstleister und ihre Überwachung durch die ESAs

   Seit 17.01.2025 (DORA): Art. 28 bis 30 DORA regeln das IKT-Drittparteirisiko unmittelbar; die ESAs haben im November 2025 erstmals kritische IKT-Drittdienstleister benannt, die sie direkt überwachen.

2. 05

   Informations­register, Verträge und Exit-Strategien

   Was nicht im Vertrag steht, lässt sich später kaum durchsetzen. Du prüfst Verträge auf die Pflichtinhalte und testest, ob der Ausstieg im Ernstfall funktioniert. Dein Werkzeug: die Vertragsbausteine und SLA-Vorlagen.

   • Informationsregister nach Art. 28 Abs. 3 DORA pflegen und der Aufsicht zur Verfügung stellen
   • Mindestinhalte von Verträgen über IKT-Dienstleistungen nach Art. 30 DORA
   • Prüfungs-, Zugangs- und Kündigungsrechte durchsetzbar regeln
   • Exit-Strategien nach Art. 28 Abs. 8 DORA entwickeln und testen
   • Service Level und Leistungskennzahlen festlegen
   • Bestandsverträge auf DORA-Anforderungen anpassen

3. 06

   Auslagerungs­controlling, Notfallpläne und Prüfungs­vorbereitung

   Prüfer fragen nicht nur nach Regeln, sondern nach Belegen. Ein Kontrollplan mit klaren Kennzahlen zeigt, dass du Dienstleister tatsächlich steuerst. Dein Werkzeug: die Kontrollpläne und Risikomatrizen.

   • Überwachungs- und Kontrollhandlungen im Kontrollplan festlegen
   • Risiko-Performance-Messung mit KPIs und KRIs
   • Notfallpläne und Ausstiegsstrategien prüffest bewerten
   • Prüfungen durch Interne Revision, Wirtschaftsprüfer und BaFin vorbereiten
   • Berichte an Geschäftsleitung und Aufsichtsorgan
   • Erkenntnisse in Auslagerungsrichtlinie und Prozesse überführen