Das Regelwerk für Auslagerungen, direkt neben Ihrem Dienstleisterregister.

EBA/GL/2026/09 sind die Leitlinien der EBA zum soliden Management des Drittparteienrisikos bei Nicht-IKT-Dienstleistungen, veröffentlicht in der endgültigen Fassung am 18. September 2026. Sie ersetzen die Leitlinien zu Auslagerungen von 2019 für jede Dienstleistung, die keine IKT-Dienstleistung ist, und erweitern den Gegenstand von der Auslagerung auf jede wiederkehrende oder laufende Vereinbarung mit Dritten. Ein Dienstleister, der etwas tut, das Sie selbst nie getan hätten, fällt also trotzdem in den Anwendungsbereich. Sie gelten für Kreditinstitute, Wertpapierfirmen, Zahlungsinstitute und E-Geld-Institute, mit weiteren Adressaten wie Emittenten wertreferenzierter Token, und sie wenden auf Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, ein strengeres Regime an. Das Leitungsorgan bleibt voll verantwortlich: Der Einsatz eines Dienstleisters delegiert nichts.

Der Abschlussbericht enthält den Geltungsbeginn, das Ende der zweijährigen Übergangsfrist und das Aufhebungsdatum von EBA/GL/2019/02 nur als Platzhalter; der Geltungsbeginn ist von der EBA noch zu bestätigen. Fest steht der Mechanismus: Die Leitlinien gelten für Vereinbarungen, die am oder nach dem Geltungsbeginn geschlossen, überprüft oder geändert werden; bestehende Vereinbarungen müssen innerhalb von zwei Jahren überprüft und angepasst werden; kann die Überprüfung und Dokumentation von Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, nicht rechtzeitig abgeschlossen werden, teilt das Unternehmen seiner zuständigen Behörde die geplanten Maßnahmen oder die mögliche Exit-Strategie mit; nicht kritische Vereinbarungen dürfen bei der nächsten Verlängerung überprüft werden. Die Leitlinien von 2019 werden mit Wirkung zum Geltungsbeginn aufgehoben. Venvera führt die Übergangsmeldung als ereignisgesteuerte Frist an der Registeranforderung, relativ zum Geltungsbeginn, und schreibt überall dort, wo sonst ein Datum stünde, „Geltungsbeginn von der EBA noch zu bestätigen“.

DORA regelt IKT-Dienstleistungen von Dritten in Kapitel V, Artikel 28 bis 30, für jedes Finanzunternehmen. Die Leitlinien von 2026 regeln alles andere, und sie wurden so geschrieben, dass sie mit DORA zusammenpassen: Das Register darf mit dem DORA-Informationsregister kombiniert werden, die Leitlinie darf mit der Leitlinie nach DORA Artikel 28 Absatz 10 zusammengeführt werden, solange sie IKT- von Nicht-IKT-Dienstleistungen unterscheidet, und der Katalog der Vertragsklauseln spiegelt Artikel 30. Deckt eine Vereinbarung beides ab oder stützt sich eine Nicht-IKT-Dienstleistung wesentlich auf eine IKT-Dienstleistung, entscheidet das Unternehmen für jede Funktion, welches Regime gilt, und hält es fest. In Venvera verfolgt das DORA-Modul die IKT-Pflichten und dieses Modul die Nicht-IKT-Pflichten, und beide lesen dasselbe Dienstleisterregister.

Eine Funktion, deren Mangel oder Ausfall die fortlaufende Einhaltung der Zulassungsbedingungen oder der sonstigen finanzaufsichtsrechtlichen Pflichten des Unternehmens, seine finanzielle Leistungsfähigkeit oder die Solidität oder Kontinuität seiner Dienstleistungen und Tätigkeiten wesentlich beeinträchtigen würde. Zwei Vermutungen kommen hinzu: Operative Aufgaben der internen Kontrollfunktionen sind kritisch oder wichtig, sofern die Bewertung nicht zeigt, dass ein Ausfall der Kontrollfunktion nicht schaden würde, und Funktionen von Bankgeschäften, Zahlungsdiensten oder der Token-Emission, die selbst eine Zulassung erfordern würden, sind immer kritisch oder wichtig. Die Einstufung wird mit Gründen und Datum festgehalten, vor der Unterzeichnung, bei planmäßigen Überprüfungen, bei einer Ausweitung der Dienstleistung und bei einem Eigentümerwechsel des Dienstleisters neu bewertet, und eine Funktion, die kritisch oder wichtig wird, löst eine Meldung an die Aufsicht aus.

Die Ziffern 58 bis 62 nennen die Felder. Für jede Vereinbarung: eine Referenznummer und die Art der Vereinbarung, Beginn, Verlängerung und Ende mit dem Grund der Beendigung, die Unternehmen, die den Dienstleister nutzen, ob der Dienstleister gruppenintern ist, eine Beschreibung der Funktion, das Kennzeichen „kritisch oder wichtig“ mit Begründung, die Kategorie der Funktion, Name, Kennung, Registernummer, Anschrift, Kontaktdaten und oberste Muttergesellschaft des Dienstleisters sowie die Länder, in denen eine kritische Funktion erbracht wird. Für kritische oder wichtige Vereinbarungen zusätzlich: das anwendbare Recht, die Daten der letzten Prüfungen, die Subunternehmer mit ihrem Rang in der Kette und ihrem Standort, das Ergebnis der Substituierbarkeitsbewertung auf einer vierstufigen Skala mit Datum, die Bewertung der Wiedereingliederung oder Einstellung mit Wiederanlauf- und Wiederherstellungszielen, ob ein Exit-Plan existiert, die Alternativanbieter und die geschätzten Jahreskosten. Die Central Bank of Ireland ergänzt Kündigungsfristen, den Datenstandort, die Aufsichtsbehörde des Dienstleisters, Cloud-Modelle, die Daten der Kontinuitäts- und Exit-Tests, die Zeitkritikalität und einen unternehmensweiten Block für ihre Meldung. Venvera hält all das im Dienstleisterregister und weist es aus der Anforderung heraus nach.

Die Cross-Industry Guidance on Outsourcing vom Dezember 2021 gilt verhältnismäßig für jedes von der Central Bank regulierte Unternehmen, das auslagert, als Darstellung der aufsichtlichen Erwartungen. Über die EBA-Pflichten hinaus erwartet sie eine dokumentierte Kritikalitätsmethodik mit Auslösern für die Neubewertung, gruppeninterne Auslagerungen mit gleicher Strenge bewertet, die Verantwortung des Boards für Auslagerungsstrategie und -leitlinie mit einer direkt dem Board gegenüber verantwortlichen Überwachungsfunktion, das Auslagerungsrisiko im unternehmensweiten Risikoregister, einen Risikoappetit für die Weiterverlagerung mit Vorbedingungen, eine Strategie für sensible Daten, Konzentration einschließlich sektoraler und Ketten-Exposition, Offshoring-Entscheidungen auf Board-Ebene mit Länderrisikobewertung, erweiterte Due-Diligence-Kriterien und eine jährliche Prüfung der finanziellen Gesundheit, Vertragsergänzungen wie Standorte auf Ortsebene und Kündigung auf Anweisung der Central Bank, drei Verteidigungslinien mit dokumentierter Frequenz, ein Prüfprogramm der internen Revision, mindestens jährliche Kontinuitätstests des Dienstleisters, vom Board hinterfragte Exit-Walkthroughs, die Vorabmeldung kritischer Auslagerungen, die Meldung nachteiliger Ereignisse und die Einreichung des Auslagerungsregisters. Venvera führt jede davon als CBIOUT-Anforderung; ein Unternehmen ohne irische Regulierung markiert sie mit einer einzigen Begründung als nicht anwendbar.

Jeder Vertrag braucht eine klare Beschreibung der Dienstleistungen mit der Position zur Weiterverlagerung, die Standorte und eine Pflicht zur Anzeige eines Standortwechsels, das anwendbare Recht, den Datenstandort, Bestimmungen zu Verfügbarkeit, Integrität und Vertraulichkeit der Daten, den Zugang zu den Daten des Unternehmens und deren Rückgabe bei Insolvenz oder Beendigung, Service-Levels, die volle Kooperation mit den zuständigen Behörden und den Abwicklungsbehörden, Kündigungsrechte und Kündigungsfristen sowie für CRD-Institute einen Verweis auf die Befugnisse der Abwicklungsbehörde. Verträge über kritische oder wichtige Funktionen ergänzen quantifizierte Leistungsziele, Berichtspflichten des Dienstleisters und die Anzeige wesentlicher Entwicklungen, die Versicherungsentscheidung, das Testen von Notfallplänen, uneingeschränkte Zugangs- und Prüfungsrechte für das Unternehmen und seine Behörden sowie eine Übergangsfrist für den Exit. Zur Weiterverlagerung muss der Vertrag festlegen, was nicht weiterverlagert werden darf, den Dienstleister verpflichten, Standortrisiken zu steuern und seine Subunternehmer zu überwachen, die Prüfungsrechte in der Kette weiterzugeben, das Unternehmen rechtzeitig über jeden neuen oder geänderten Subunternehmer zu informieren, mit einer angemessenen Frist, in der das Unternehmen zustimmen oder widersprechen kann, und eine Kündigung erlauben, wenn der Dienstleister ohne Erlaubnis weiterverlagert. Schweigen am Ende der Frist gilt als Nichtwiderspruch, weshalb das Eingangsverfahren genauso zählt wie die Klausel.

Eine dokumentierte Exit-Strategie für jede Dienstleistung, die eine kritische oder wichtige Funktion unterstützt, für die Beendigung, den Ausfall des Dienstleisters, Konzentration und einen schwierigen Exit, die Verschlechterung der Funktion, wesentliche Risiken für ihre Erbringung und einen erheblichen Verstoß des Dienstleisters. Die Pläne müssen realistisch, durchführbar, auf plausiblen Szenarien beruhend, umfassend, dokumentiert und, soweit angemessen, ausreichend getestet sein, mit Alternativlösungen und Übergangsplänen, Rollen und Ressourcen, Erfolgskriterien für die Dienstleistungen und die Daten sowie Überwachungsindikatoren, die den Exit auslösen. Die Central Bank geht für irische Unternehmen weiter: mindestens ein detaillierter Walkthrough, vom Board und der Geschäftsleitung hinterfragt und förmlich genehmigt, eine Überprüfung bei neuen Anbietern oder Portabilitätswerkzeugen, eine Bewertung des Step-in und das Datum des letzten Exit-Tests in der Registermeldung. Venvera hält die Exit-Anforderungen mit ihren Testdaten, und die Gap-Analyse stellt die Frage, die einen ungetesteten Plan entlarvt: Wer ist beim am schwersten ersetzbaren Dienstleister die Alternative, und wie lange würde die Migration dauern?

Nein, und das ist Absicht. IKT-Dienstleistungen unterliegen DORA Kapitel V und werden im DORA-Modul verfolgt, mit dem Informationsregister und der IKT-Drittparteienleitlinie. Dieses Modul trägt die Nicht-IKT-Pflichten nach den Leitlinien von 2026 und der Guidance der Central Bank. Beide teilen sich das Dienstleisterregister, die Fragebögen, die Weiterverlagerungskette und die Konzentrationsanalyse im Modul für Drittparteienrisiko, sodass ein Dienstleister, der sowohl eine IKT- als auch eine Nicht-IKT-Dienstleistung erbringt, einmal erfasst wird und die Scoping-Entscheidung festhält, welches Regime für welche Funktion gilt.

Das Rahmenwerk ist das Regelwerk, das Modul ist das Register. Venvera liefert die 53 EBA-Anforderungen nach Ziffer zitiert und die 19 Anforderungen der Central Bank nach Abschnitt in Teil B zitiert, jede mit Verantwortlichen, Status, eigenen Nachweisen und eigens verfassten Hinweisen dazu, was ein Prüfer der Aufsicht akzeptiert. Die Registerfelder, die Fragebögen, die Risikoeinstufung, das DORA-Informationsregister, die Weiterverlagerungskette und die Konzentrationsanalyse liegen im Modul für Drittparteienrisiko, das Ihr Team bereits nutzt, sodass nichts doppelt erfasst wird. Eine Gap-Analyse mit 39 Fragen bewertet, ob das Rahmenwerk funktioniert, statt ob ein Dokument existiert, neun Richtlinienvorlagen zitieren die Ziffern, die sie erfüllen, die zwölf wiederkehrenden Pflichten landen mit Verantwortlichen und Terminen im Compliance-Kalender, die acht ereignisgesteuerten Fristen bleiben an ihren Anforderungen, und ein Vorstandsbericht fasst die Lage für das Leitungsorgan zusammen, das die Leitlinien in die Verantwortung nehmen. Die EBA-Leitlinien decken Nicht-IKT-Vereinbarungen ab, DORA die IKT-Vereinbarungen, und eine Vereinbarung kann unter beide fallen; ein Dokument, das tatsächlich eine Anforderung in beiden Regelwerken beantwortet, kann an jede dieser Anforderungen angehängt werden.