Die European Banking Authority (EBA) hat ihre finalen Leitlinien für das Management von Drittparteirisiken veröffentlicht. Ziel ist ein einheitlicher und gleichzeitig verhältnismäßiger Rahmen für den Umgang mit Risiken, die durch den Einsatz externer Dienstleister (Third-Party Service Provider, TPSP) entstehen.
Mit den neuen Guidelines überträgt die EBA zentrale Anforderungen des Third-Party Risk Management (TPRM) nun auch auf relevante Non-IKT-Dienstleistungen. Während DORA bereits Anforderungen an das Management von IKT-Dienstleistungen definiert, adressieren die neuen Leitlinien nun Drittparteienbeziehungen außerhalb des IKT-Bereichs. Finanzunternehmen müssen somit künftig auch für diese Dienstleistungsbeziehungen ein strukturiertes TPRM etablieren.
Betroffen sind unter anderem:
- Kreditinstitute
- Wertpapierfirmen
- Zahlungs- und E-Geld-Institute
- sowie bestimmte Anbieter von Krypto-Asset-Dienstleistungen
Damit gelten die Guidelines für weite Teile des regulierten Finanzsektors.
Fokus auf kritische oder wichtige Funktionen
Im Fokus stehen insbesondere Dienstleistungsbeziehungen, die kritische oder wichtige Funktionen unterstützen. Für diese gelten besondere Anforderungen an das Risikomanagement über den gesamten Lebenszyklus eines Dienstleistervertrags hinweg. Gleichzeitig verfolgt die EBA konsequent den Proportionalitätsgedanken und nimmt zahlreiche Dienstleistungsarten mit geringer Relevanz für die operationelle Resilienz ausdrücklich vom Anwendungsbereich aus. Finanzunternehmen sollen ihren Aufwand damit auf risikorelevante Dienstleister konzentrieren können.
Die Guidelines betrachten Drittparteienrisiken nicht nur auf Ebene einzelner Institute, sondern auch im Kontext von Unternehmensgruppen. Muttergesellschaften sollen sicherstellen, dass Governance-Strukturen und Prozesse gruppenweit konsistent ausgestaltet sind.
Informationsregister für Non-IKT-Dienstleistungen als zentrale Herausforderung
Besonders relevant dürfte in der Praxis das geforderte Informationsregister für Non-IKT-Dienstleistungen werden. Dies soll möglichst konsistent zum bereits bekannten DORA-Informationsregister geführt werden. Viele Institute kennen die damit verbundenen Herausforderungen aus der DORA-Umsetzung: Informationen zu Dienstleistern liegen oft in unterschiedlichen Systemen, Vertragsdaten sind nicht immer aktuell und ein vollständiger Überblick über bestehende Dienstleisterbeziehungen fehlt häufig. Die neuen Guidelines erweitern diese Transparenzanforderungen nun auf den Non-IKT-Bereich.
„Gleichzeitig eröffnet die enge Verzahnung mit DORA Chancen für die Umsetzung. Die EBA ermutigt Finanzunternehmen ausdrücklich dazu, bestehende Governance-Strukturen, Prozesse und Richtlinien für IKT- und Non-IKT-Dienstleistungen integriert zu betrachten. Institute müssen daher nicht zwingend parallele Strukturen aufbauen, sondern können bestehende DORA-Prozesse als Grundlage nutzen und weiterentwickeln. Dieser integrierte Ansatz hilft dabei, Risiken konsistent zu steuern, Doppelaufwände zu vermeiden und bestehende Erfahrungen aus der DORA-Umsetzung für die neuen Anforderungen nutzbar zu machen.“
Victoria Kunde, Senior Consultant der usd AG
Übergangsphase für bestehende, direkte Anwendung für neue Beziehungen
Die Leitlinien wurden am 18. September 2026 veröffentlicht, sind jedoch noch nicht anwendbar. Für die Umsetzung sieht die EBA grundsätzlich eine Übergangsfrist von zwei Jahren vor. Während neue Dienstleisterbeziehungen künftig sofort den Anforderungen der Guidelines entsprechen müssen, werden bestehende Beziehungen geknüpft an die Aktualisierung der Dienstleistungsverträge schrittweise in den Anwendungsbereich überführt.
Sie möchten einschätzen, welche Auswirkungen die neuen EBA Guidelines auf Ihr Third-Party Risk Management haben? Unsere Expert*innen unterstützen Sie bei der Prüfung und Umsetzung. Kontaktieren Sie uns.
Zu den Guidelines: Guidelines on the sound management of third-party risk regarding non-ICT services
