Cloud, Zahlungsverkehr, Rechenzentrum, Dokumentenarchiv: Kaum eine Bank betreibt heute noch alles selbst. Externe Dienstleister sind aus dem Bankensektor nicht mehr wegzudenken. Umso wichtiger ist ein wirksames Auslagerungsmanagement unter DORA, das regulatorische Anforderungen erfüllt und Risiken aus der Zusammenarbeit mit IKT-Drittdienstleistern gezielt steuert.
Mit dem Digital Operational Resilience Act (DORA) haben sich die Anforderungen an das Auslagerungsmanagement von Banken verändert. Hinzu kommen die 9. MaRisk-Novelle und die neuen EBA-Leitlinien zum Drittparteienrisikomanagement. Für Banken stellt sich damit die Frage, wie sich die unterschiedlichen Regelwerke voneinander abgrenzen und in bestehende Prozesse integrieren lassen.
In diesem Beitrag erfährst du, welche Anforderungen DORA an das Auslagerungsmanagement von Banken stellt, wie DORA, MaRisk und EBA-Leitlinien ineinandergreifen und worauf es bei der praktischen Umsetzung ankommt.
Das Wichtigste zum DORA-Auslagerungsmanagement in Kürze
Definition: Auslagerungsmanagement umfasst die Einstufung, Risikoanalyse, Steuerung und Überwachung von Dienstleistern sowie das zugehörige Berichtswesen. Mit DORA kommt das IKT-Drittparteienrisikomanagement als eigenes Regime hinzu.
Vorteile eines sauberen Setups: weniger Feststellungen in Prüfungen, mehr Transparenz über Abhängigkeiten, klare Verantwortlichkeiten und eine belastbare Argumentation gegenüber Geschäftsleitung und Aufsicht.
Key Takeaways:
- DORA gilt seit dem 17. Januar 2025 und regelt unter anderem das IKT-Drittparteienrisikomanagement.
- Die ESAs haben im November 2025 erstmals 19 kritische IKT-Drittdienstleister benannt; sie stehen unter direkter EU-Aufsicht.
- Die MaRisk-Novelle (30. Juni 2026) nimmt DORA-relevante IKT-Dienstleistungen aus AT 9 aus.
- Die finalen EBA-Leitlinien (18. September 2026) lösen die Auslagerungsleitlinien von 2019 ab und erfassen Nicht-IKT-Drittparteienbeziehungen.
- Ziel ist ein konsistentes Zielbild ohne Doppelsteuerung.
Warum das Auslagerungsmanagement unter DORA für Banken relevant ist
Drei Entwicklungen treffen aufeinander. Jede für sich ist beherrschbar, zusammen ergeben sie ein anspruchsvolles Gesamtbild.
DORA: Vom Projekt zum Aufsichtsalltag
Der Digital Operational Resilience Act (DORA) findet seit dem 17. Januar 2025 Anwendung. Banken müssen alle IKT-Dienstleister in einem Informationsregister führen und Konzentrationsrisiken aktiv steuern.
Neu ist auch die Perspektive auf die Lieferkette: Im November 2025 haben die europäischen Aufsichtsbehörden erstmals 19 Technologieunternehmen als kritische IKT-Drittdienstleister eingestuft, darunter große Cloud-Anbieter. Seit 2026 beginnt die operative Aufsicht über diese Anbieter.
MaRisk-Novelle: Klarere Grenze zu DORA
Die BaFin hat die 9. MaRisk-Novelle am 30. Juni 2026 veröffentlicht (Rundschreiben 06/2026). Für zusätzliche Anforderungen gilt eine Übergangsfrist bis zum 1. Januar 2027.
Für das Auslagerungsmanagement sind zwei Punkte entscheidend:
- AT 9 nimmt IKT-Dienstleistungen aus, die unter DORA fallen. Bank und Prüfer müssen also sauber zwischen Auslagerung und IKT-Dienstleistung unterscheiden.
- Ein zentraler Auslagerungsbeauftragter ist nicht mehr ausdrücklich vorgeschrieben. Ein angemessenes zentrales Auslagerungsmanagement samt Auslagerungsregister bleibt aber erforderlich.
Hinweis: Bedeutende Institute unter direkter EZB-Aufsicht fallen aus dem Anwendungsbereich der MaRisk heraus. Wie du als Institut eingestuft bist, solltest du zuerst klären.
EBA-Leitlinien: Von der Auslagerung zur Drittparteienbeziehung
Am 18. September 2026 hat die EBA ihre finalen Leitlinien zum Management von Drittparteienrisiken bei Nicht-IKT-Dienstleistungen veröffentlicht (EBA/GL/2026/09). Sie ersetzen die EBA-Auslagerungsleitlinien von 2019.
Der Blick weitet sich damit vom klassischen Auslagerungsbegriff auf sämtliche Drittparteienbeziehungen außerhalb des IKT-Bereichs. Der Fokus liegt auf Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Für Altverträge ist eine Übergangszeit von zwei Jahren ab Anwendungsbeginn vorgesehen.
Hinweis zum Stand der Regulierung: Das Anwendungsdatum der EBA-Leitlinien war im Oktober 2026 noch nicht festgelegt. Sinnvoll ist es, die Zeit bis dahin für Bestandsaufnahme und Gap-Analyse zu nutzen.
DORA, MaRisk und EBA: Welche Anforderungen gelten für welche Dienstleister?
Das praktische Problem: Dieselbe Dienstleistung kann je nach Art in ein anderes Regelwerk fallen. Ohne klare Abgrenzung drohen Doppelarbeit und Lücken.
| Regime | Gegenstand | Regelwerk | Stand (04.11.2026) |
|---|---|---|---|
| IKT-Drittparteienrisikomanagement | IKT-Dienstleistungen von Drittanbietern | DORA (Art. 28–30) | gilt seit 17.01.2025 |
| Auslagerung | Auslagerungen ohne DORA-relevante IKT-Dienstleistungen | MaRisk AT 9 | Neufassung seit 30.06.2026, Übergangsfrist bis 01.01.2027 |
| Drittparteienrisiko (Non-ICT) | Nicht-IKT-Drittparteienbeziehungen, Fokus auf kritische oder wichtige Funktionen | EBA/GL/2026/09 | final, Anwendungsdatum offen |
Wie die Einstufung von Dienstleistern in der Praxis aussieht
Ein vereinfachtes Beispiel macht die Abgrenzung greifbar:
- Ein Cloud-Anbieter betreibt Teile des Kernbankensystems: Das ist in der Regel eine IKT-Dienstleistung nach DORA.
- Ein externer Dienstleister übernimmt Teile eines Fachprozesses wie der Kreditbearbeitung: Hier liegt typischerweise eine Auslagerung
- Ein Dienstleister liefert Leistungen, die weder IKT noch Auslagerung sind: Das kann ein sonstiger Fremdbezug sein, der je nach Kritikalität trotzdem Aufmerksamkeit braucht.
Die Einordnung hängt immer von Funktion, Kritikalität und Vertragsgestaltung ab. Ein Entscheidungsbaum hilft, Leistungsbezüge schnell, einheitlich und prüfungsfest einzustufen.
Typische Stolpersteine im DORA-Auslagerungsmanagement
In der Praxis scheitert es selten am Willen, sondern an Details:
- Unklare Einstufung: Leistungsbezugstypen werden uneinheitlich beurteilt, je nach Fachbereich.
- Lückenhafte Register: Auslagerungsregister und DORA-Informationsregister laufen parallel und werden nicht konsistent gepflegt.
- Doppelsteuerung: Drei Regime führen zu drei Prozessen, obwohl ein integrierter Ansatz möglich wäre.
- Unklare Rollen: Zuständigkeiten zwischen Fachbereich, Auslagerungsmanagement, Kontrollfunktionen und Revision sind nicht sauber nach dem Three-Lines-of-Defense-Modell verteilt.
- Schwache Dienstleistersteuerung: Das dienstleistungsbezogene interne Kontrollsystem existiert nur auf dem Papier.
Genau solche Punkte tauchen regelmäßig in internen und externen Prüfungsfeststellungen auf, etwa bei Sonderprüfungen nach § 44 KWG.
DORA-Auslagerungsmanagement in Banken umsetzen: Das solltest du konkret tun
- Bestand erfassen und einstufen: Alle Leistungsbezüge identifizieren und einem der drei Regime zuordnen.
- Register konsolidieren: Datenqualität und Konsistenz zwischen Auslagerungsregister und Informationsregister prüfen.
- Schriftlich fixierte Ordnung anpassen: Richtlinienhierarchie auf die MaRisk-Neufassung ausrichten und geltende Übergangsfristen beachten.
- Gap-Analyse zu den EBA-Leitlinien starten: Verträge und Prozesse für kritische oder wichtige Funktionen zuerst betrachten.
- Rollen und Verantwortlichkeiten klären: Auch ohne verpflichtenden zentralen Auslagerungsbeauftragten braucht es klare Zuständigkeiten.
Fazit: DORA-Auslagerungsmanagement als dauerhaftes Steuerungsthema
Das Auslagerungsmanagement unter DORA ist kein Einzelprojekt mehr, sondern ein dauerhaftes Steuerungsthema. DORA, MaRisk-Novelle und EBA-Leitlinien greifen ineinander. Wer sie getrennt umsetzt, zahlt mit Doppelaufwand; wer sie von Anfang an als ein Zielbild denkt, spart Zeit und gewinnt Prüfungssicherheit.
Entscheidend ist, die unterschiedlichen regulatorischen Anforderungen klar voneinander abzugrenzen und gleichzeitig die Prozesse zur Einstufung, Risikoanalyse und Steuerung externer Dienstleister sinnvoll aufeinander abzustimmen.
FAQ: Häufige Fragen zum DORA-Auslagerungsmanagement
Was unterscheidet eine Auslagerung von einem IKT-Drittdienstleister?
Entscheidend ist die Art der Leistung. IKT-Dienstleistungen, die unter DORA fallen, werden nach DORA gesteuert und sind aus MaRisk AT 9 ausgenommen. Andere Auslagerungen bleiben im Bereich der MaRisk.
Gilt DORA für alle Banken?
DORA richtet sich an Finanzunternehmen, darunter Banken, Versicherungen und Pensionskassen. Die Anforderungen werden dabei proportional zu Größe und Risikoprofil angewendet.
Muss es weiterhin einen zentralen Auslagerungsbeauftragten geben?
Die Funktion ist in der 9. MaRisk-Novelle nicht mehr ausdrücklich vorgeschrieben. Ein der Auslagerungstätigkeit angemessenes zentrales Auslagerungsmanagement mit Register bleibt jedoch Pflicht.
Wann gelten die neuen EBA-Leitlinien zum Drittparteienrisiko?
Veröffentlicht sind sie seit dem 18. September 2026. Das Anwendungsdatum war zum Stand der Beitragsfassung noch offen. Ab diesem Anwendungsbeginn gilt für bestehende Vereinbarungen eine zweijährige Übergangsfrist.
Was ist das DORA-Informationsregister?
Das DORA-Informationsregister dokumentiert die vertraglichen Vereinbarungen eines Finanzunternehmens über die Nutzung von IKT-Dienstleistungen durch Drittanbieter. Es schafft Transparenz über Dienstleisterbeziehungen und unterstützt die aufsichtsrechtliche Überwachung von IKT-Drittparteienrisiken.