EBA-Leitlinien zu TPRM
So erreicht ihr Compliance im Drittparteien-Risikomanagement
+++ finale Fassung voraussichtlich im vierten Quartal 2026 +++
+++ Umsetzungsfrist von zwei Jahren für Bestandsverträge und Register +++
Die EBA-Leitlinien zum soliden Drittparteien-Risikomanagement lösen die bisherigen Leitlinien zu Auslagerungen ab und verschieben den Anknüpfungspunkt: Nur noch Non-IT-Dienstleistungen sind Gegenstand der Leitlinien. Und nicht mehr die Frage “Ist das eine Auslagerung?” entscheidet, sondern die, ob die durch eine Drittpartei erbrachte Funktion kritisch oder wichtig ist.
Wir begleiten euch dabei, euer bestehendes Auslagerungsmanagement auf diesen Perspektivwechsel auszurichten. Jetzt den Vorsprung sichern!
Warum die neuen EBA-Leitlinien euer Auslagerungsmanagement im Kern treffen
Die EBA hebt das Drittparteien-Risikomanagement für alle Non-IKT-Dienstleistungen auf ein Niveau, das ihr aus DORA kennt. Sechs Punkte verändern die Arbeit spürbar, doch wir zeigen euch Synergien zu bestehenden Prozessen, die euch binnen kurzer Zeit eine Anpassung ermöglichen:
- Der Auslagerungsbegriff verliert seine Alleinstellung: Kritikalität und Wichtigkeit eurer Funktionen entscheiden jetzt über eure und die Pflichten der Drittdienstleister
- Die unterstützte Funktion entscheidet - nicht der Vertrag: Bei der Festlegung sind Risiken umfassend mit einzubeziehen
- Governance wird Chefsache: Das Leitungsorgan wird zum Dreh- und Angelpunkt im Drittparteien-Risikomanagement
- Das Register rückt an das DORA-Informationsregister heran: Wir zeigen euch, wie ihr eure Listen konsolidiert.
- Vertragspflichten gelten für alle Drittparteien: … und deutlich mehr für kritische Funktionen
- Exit-Konzepte müssen der Realität standhalten: Testen mit unserer Unterstützung? Ja, das geht!
EBA-konformes Drittparteien-Risikomanagement - unsere Beratungsleistungen
Wir setzen dort an, wo die Umsetzung in der Praxis entschieden wird: entlang der Bausteine eures Drittparteien-Regimes. Ihr wählt die Module, die zu eurem Reifegrad passen.
Impact-Analyse und Handlungsbedarf
Wissen, was euch wirklich trifft
Euer Nutzen:
Ihr kennt das Delta zu eurem heutigen Auslagerungsmanagement - und investiert nur dort, wo tatsächlich Handlungsbedarf besteht.
Was wir für euch tun:
- Gap-Analyse der EBA-Anforderungen gegen euer bestehendes Auslagerungs- und Drittparteienmanagement
- Bewertung der Neuerungen entlang eures Geschäftsmodells und eures Dienstleisterportfolios
- Abgrenzung zu DORA und MaRisk AT 9, um Synergien zu schöpfen
- Priorisierung der Maßnahmen nach Risiko und Aufwand entlang der erwarteten Übergangsfristen
Eure zentralen Teilergebnisse:
- Institutsindividuelle Gap-Analyse mit klarer Handlungsempfehlung
- Priorisierte Maßnahmen-Roadmap über die Übergangsfrist
- Belastbare Entscheidungsgrundlage für Vorstand und Gremien
Scoping und Taxonomie
Eindeutige Sortierlogik für alle Drittbeziehungen
Euer Nutzen:
Ihr habt eine Sortierlogik, die IKT- und Non-IKT-Drittparteien-Vereinbarungen und echte Ausnahmen trennscharf auseinanderhält.
Was wir für euch tun:
- Überprüfung eures Drittparteien-Portfolios gegen den erweiterten Drittparteienbegriff
- Systematische Nachbewertung bisheriger “sonstiger Fremdbezüge"
- Ableitung kritischer oder wichtiger Funktionen aus eurem Geschäftsmodell statt aus der Vertragslandschaft
- Verankerung der Abgrenzungslogik als wiederverwendbare Entscheidungshilfe für Neubeziehungen
Eure zentralen Teilergebnisse:
- Konsistente Taxonomie über DORA, MaRisk und EBA-TPRM hinweg
- Dokumentierte Funktionslandkarte mit Kritikalitätseinstufung
- Wiederverwendbare Entscheidungslogik für Neueinstufungen
Governance, Strategie und TPRM-Richtlinie
Verantwortung sichtbar verankern
Euer Nutzen:
Euer Leitungsorgan kann seine neue Rolle tatsächlich ausfüllen - mit Strategie, Richtlinie und Berichtswegen, die zusammenpassen.
Was wir für euch tun:
- Entwicklung bzw. Anpassung der verpflichtenden Strategie für das Management von Drittparteienrisiken
- Überführung eurer Auslagerungsrichtlinie in eine TPRM-Richtlinie über den gesamten Lebenszyklus
- Ausgestaltung der geforderten Differenzierungen (IKT/Non-IKT, kritisch/nicht kritisch, wichtig/nicht wichtig, gruppenintern/extern, mit/ohne Zulassung, EU/Drittland)
- Zuschnitt der Überwachungsfunktion und der Berichtswege an das Leitungsorgan, inklusive Zusammenspiel mit den internen Kontrollfunktionen
- Integration in Gruppen- und Verbundstrukturen einschließlich zentraler Überwachung
Eure zentralen Teilergebnisse:
- Verabschiedungsfähige TPRM-Strategie und -Richtlinie
- Klares Rollen- und Verantwortungsmodell mit definierten Berichtswegen
- Anschlussfähige Regelungen für Gruppen und institutsbezogene Sicherungssysteme
Register und Risikoanalyse
Ein Datenmodell für alle Drittparteien
Euer Nutzen:
Auslagerungsregister, DORA-Informationsregister und TPRM-Register stehen nicht mehr nebeneinander – ihr pflegt einmal und wertet mehrfach aus.
Was wir für euch tun:
- Abgleich eurer Registerlogik mit den zusätzlichen Datenfeldern der EBA-Leitlinien
- Verzahnung mit dem DORA-Informationsregister über ein gemeinsames Datenmodell und definierte Pflegeprozesse
- Erweiterung der Risikoanalyse auf alle relevanten Risiken einschließlich Konzentrations-, ESG- und AML/CFT-Aspekten
- Aufsetzen von Szenarioanalysen und Bewertung aggregierter Risiken auf Unternehmensebene
- Tool-Unterstützung mit der SaaS-Lösung CloudGate, wenn ihr Pflege und Auswertung automatisieren wollt
Eure zentralen Teilergebnisse:
- Verzahntes Registermodell mit klaren Verantwortlichkeiten
- Erweiterte, prüfungsfeste Risikomethodik mit nachvollziehbarer Begründungslogik
- Auswertbare Register als aktive Steuerungsinstrumente
Vertragswerk und Weiterverlagerung
Klauseln, die der Prüfung standhalten
Euer Nutzen:
Ihr wisst, welche eurer Verträge nachverhandelt werden müssen - und geht mit klaren und marktüblichen Vorschlägen für Vertragsklauseln in das Gespräch mit euren Dienstleistern.
Was wir für euch tun:
- Gap-Analyse eurer Bestandsverträge gegen die Mindestinhalte für alle Drittparteienvereinbarungen und die Zusatzanforderungen für kritische oder wichtige Funktionen
- Aktualisierung eurer Musterverträge, Klauselbibliotheken und Servicekataloge
- Ausgestaltung von Musterklauseln für Weiterverlagerung inklusive Informations-, Widerspruchs- und Kündigungsrechten entlang der gesamten Kette
- Absicherung von Prüfungs-, Zugangs- und Informationsrechten einschließlich der Nutzung von Pooled Audits und Zertifizierungen
- Priorisierung und Begleitung der Nachverhandlung nach Kritikalität und Vertragslaufzeit
Eure zentralen Teilergebnisse:
- Gap-Analyse mit priorisierter Nachverhandlungsliste
- Aktualisierte Musterverträge und Verhandlungsleitfäden
- Belastbare Regelungen zu Weiterverlagerung und Prüfungsrechten
Module auswählen
Umsetzung der Bausteine eures Drittparteien-Regimes
Lass uns euer Drittparteien-Risikomanagement gemeinsam in Form bringen!
Nutze ein unverbindliches Erstgespräch, um deine Ausgangssituation einzuordnen und den Handlungsbedarf aus den neuen EBA-Leitlinien sichtbar zu machen.
Im Gespräch klären wir:
- Status-Check: Wo steht euer heutiges Auslagerungsmanagement gemessen an den neuen Anforderungen?
- Scope: Welche eurer Drittbeziehungen kommen durch den erweiterten Drittparteienbegriff neu hinzu?
- Reihenfolge: Welche Schritte lohnen sich jetzt – und welche warten sinnvoll auf die finale Fassung?
- Übersicht: Welche Anpassungen sind erforderlich, um die Register aneinander anzugleichen.
Vom Auslagerungsmanagement zum Third Party Risk Management
Die EBA-Leitlinien tauschen nicht nur Vokabeln aus. Sie verschieben den Anknüpfungspunkt: weg von der Frage, ob eine Leistung eine Auslagerung ist, hin zu der Frage, welche Funktion eine Drittpartei erbringt und welches Risiko daraus entsteht. Genau darin liegt die Nähe zu DORA – und genau daraus entsteht der Aufwand für Häuser, deren Prozesse noch auf der Wesentlichkeitsprüfung aufsetzen.
Bausteine eures Drittparteien-Risikomanagements
Scope und Taxonomie
Sortierlogik für IKT, Non-IKT und Ausnahmen
Funktionslandkarte
Ableitung kritischer und wichtiger Funktionen
Register und Risikoanalyse
Ein Datenmodell - mehrere Auswertungen
Vertragswerk
Mindestinhalte, Weiterverlagerung, Prüfungsrechte
Resilienz
Laufende Überwachung, Notfall- und Exit-Management
Klärt euren Handlungsbedarf aus den neuen EBA-Leitlinien
Jetzt Kontakt aufnehmen!
Zeitplan und Übergangsfristen
Wir behalten die Entwicklung rund um die TPRM-Leitlinien der EBA für euch im Blick und aktualisieren die Darstellung, sobald sich am Zeitplan oder an den Inhalten etwas Wesentliches ändert.
FAQ zu den EBA-Leitlinien für das Drittparteien-Risikomanagement
Die Fragen, die uns in Projekten am häufigsten begegnen
Zitate und Fundstellen beziehen sich auf den Entwurf der EBA-Leitlinien zum soliden Management von Risiken durch Dritte (EBA/CP/2025/12 vom 08.07.2025).
Gelten die neuen Leitlinien auch für IKT-Dienstleistungen?
Nein. Für IKT-Dienstleistungen gelten die DORA-Anforderungen. Der EBA-Entwurf ist ausschließlich auf Nicht-IKT-Dienstleistungen ausgerichtet. Aus diesem Grund müsst ihr in eurer TPRM-Richtlinie ausdrücklich zwischen IKT- und Non-IKT-Dienstleistungen unterscheiden. Die Schnittstelle ist die eigentliche Arbeit: Mischleistungen und Bündelverträge lassen sich nicht schematisch zuordnen.
Fällt jetzt jeder Dienstleistervertrag unter die Leitlinien?
Nein, aber der Kreis wird deutlich größer. Ausgenommen bleiben unter anderem der reine Warenkauf, gesetzlich vorgeschriebene Leistungen wie die Abschlussprüfung, globale Netzwerkinfrastrukturen, Clearing- und Abwicklungsvereinbarungen sowie globale Finanznachrichten-Infrastrukturen, etwa SWIFT sowie Dienstleistungen ohne wesentliche Auswirkung auf eure Risikoposition oder operative Resilienz. Letzteres ist eine eigenständige Bewertung, die ihr begründen müsst.
Was bedeutet die Einstufung einer Funktion als kritisch oder wichtig?
Brauchen wir ein zweites Register neben dem DORA-Informationsregister?
Das Register für Nicht-IKT-Drittparteien soll dem DORA-Informationsregister so weit wie möglich entsprechen. Die EBA empfiehlt, Abweichungen zu vermeiden. Eine Zusammenführung in einem gemeinsamen Register ist möglich. Sinnvoll ist daher ein gemeinsames Datenmodell mit einer Sicht für IKT-Drittdienstleistungen nach DORA und einer Sicht für die Non-IKT-Drittparteien.
Welche Vertragsklauseln müssen wir nachverhandeln?
Der in den EBA-Leitlinien formulierte Mindestkatalog gilt künftig für alle Drittparteien-Vereinbarungen. Für kritische oder wichtige Funktionen kommen quantitative und qualitative Leistungsziele, Berichts- und Kündigungsfristen, Versicherungspflichten, Notfallpläne, uneingeschränkte Prüfungsrechte und eine Ausstiegsstrategie mit Übergangsfrist hinzu. Wir unterstützen euch beim Priorisieren nach Kritikalität und Restlaufzeit - nicht jeder Vertrag muss sofort geöffnet werden. Es gibt auch Übergangsfristen.
Wie streng sind die neuen Anforderungen an Weiterverlagerungen?
Deutlich strenger als bisher. Der Dienstleister muss über wesentliche Änderungen seiner Unterauftragsvereinbarungen rechtzeitig informieren, ihr müsst innerhalb einer Frist widersprechen können, und bei nicht genehmigten Änderungen sollt ihr ein Kündigungsrecht haben. Verlangt wird zudem die Kontinuität der Funktion entlang der gesamten Kette.
Was gilt für Pooled Audits und Zertifizierungen?
Beide bleiben zulässig, tragen aber nicht allein. Ihr sollt bewerten, ob Zertifikate und Prüfberichte für eure aufsichtsrechtlichen Pflichten ausreichen, und euch nicht dauerhaft ausschließlich darauf verlassen. Bei gebündelten Prüfungen müsst ihr zusätzlich beurteilen, ob ihr ausreichend in Prüfungsumfang, Planung, Durchführung und Berichterstattung eingebunden seid.
Reicht unsere bestehende Exit-Strategie aus?
Nur, wenn sie realistisch und durchführbar ist und auf plausiblen Szenarien sowie angemessenen Annahmen beruht. Zusätzlich sind Konzentrationsrisiken auf Unternehmensebene und die Möglichkeit eines erschwerten Ausstiegs zu berücksichtigen .Die zugrunde liegende Business-Impact-Analyse ist regelmäßig zu überprüfen.
Sollen wir jetzt starten oder auf die finale Fassung warten?
Startet mit dem, was sich nicht mehr grundlegend ändern wird: Scope, Taxonomie, Funktionslandkarte und Registerdatenmodell. Formulierungsarbeit an Richtlinien und Klauselwerken lohnt sich, sobald die finale Fassung vorliegt - aber dann habt ihr schon den entscheidenden Vorsprung. So nutzt ihr die Vorlaufzeit, ohne zweimal zu arbeiten.
Was bedeutet das für unser MaRisk-Auslagerungsmanagement?
Die MaRisk werden nach Veröffentlichung der Leitlinien voraussichtlich erneut angepasst. Bis dahin bleibt AT 9 für Non-IKT-Auslagerungen maßgeblich. Wer seine Taxonomie schon jetzt sauber aufsetzt, muss später nur noch anschließen statt umbauen.
Jetzt Kontakt aufnehmen!
Ihr wollt wissen, wie ihr die EBA-Guidelines in eurem Haus auf das bestehende Risikomanagement abstimmt? Sichert euch ein kostenloses Erstgespräch.
Auch interessant für dich
CloudGate - Compliance & Risks
Kennst du CloudGate, unser TPRM-Tool für Compliance und Risk Management? Hier erfährst du mehr und kannst es 30 Tage kostenlos testen.
TPRM-Advisory
Erhalte einen Rahmen, um alle Risiken deiner Drittparteien zuverlässig zu bewerten, zu überwachen und zu steuern. Mehr Infos hier!
GRC-Seminare
Du willst mit deinem Team Innovationen vorantreiben, wenn es um GRC geht? Dann buche für euch eines unserer Seminare!
die EBA-Guidelines
Sebastian Dosch
Enabler und Principal Consultant
Du hast Fragen zu den EBA-Guidelines oder einem anderen Regulatorik-Thema? Sebastian Dosch hat die Antworten und freut sich über deine Kontaktaufnahme.
Tel +49 6172 177 630