Finanzunternehmen steuern Drittparteienbeziehungen selten in klar getrennten Welten. Ein Gebäudeservice kann etwa digitale Zutrittssysteme, technische Fernüberwachung oder Plattformzugänge einschließen. Ein fachlicher Dienstleister kann seinerseits ICT-Unterauftragnehmer einsetzen. Für die Steuerung ist deshalb nicht allein die Bezeichnung eines Vertrags oder Lieferanten maßgeblich, sondern die konkrete Leistungskette und ihre Bedeutung für die unterstützte Funktion.
DORA und die finalen EBA-Leitlinien für Non-ICT-Drittparteienrisiken setzen dabei unterschiedliche regulatorische Rahmen. Die operative Konsequenz sollte jedoch nicht in zwei isolierten Lieferantenwelten bestehen. Erforderlich ist eine dokumentierte Klassifikation einzelner Leistungen, ein konsistenter Datenbestand und ein Kontrollmodell, das regulatorische Unterschiede abbildet, ohne Abhängigkeiten zu zerlegen.
Regulatorischer Status und unterschiedliche Anwendungsbereiche
Die Verordnung (EU) 2022/2554 ist seit dem 17. Januar 2025 anwendbares EU-Recht. Sie verpflichtet Finanzunternehmen unter anderem, ein aktuelles Register aller vertraglichen Vereinbarungen über ICT-Dienstleistungen von ICT-Drittdienstleistern zu führen. Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen sind darin von anderen ICT-Vereinbarungen zu unterscheiden. Für ICT-Leistungen zur Unterstützung solcher Funktionen verlangt DORA zudem eine ICT-Drittrisiko-Strategie einschließlich einer entsprechenden Policy. Die Verantwortung des Finanzunternehmens für regulatorische Pflichten verbleibt auch bei Fremdbezug beim Finanzunternehmen.
Die finalen EBA/GL/2026/09 betreffen demgegenüber Non-ICT-Dienstleistungen von Drittparteien, insbesondere zur Unterstützung kritischer oder wichtiger Funktionen. ICT-Dienstleistungen im Sinne von DORA und damit verbundene ICT-Risiken sind vom sachlichen Anwendungsbereich ausdrücklich ausgenommen. Am 15. Oktober 2026 waren die Leitlinien nach Angaben der EBA final, aber noch nicht anwendbar; vorgesehen ist eine zweijährige Übergangszeit. Sie ersetzen die EBA-Leitlinien zu Auslagerungsvereinbarungen von 2019 erst mit Eintritt ihrer Anwendbarkeit.
Die Leitlinien verlangen dennoch einen ganzheitlichen Blick auf Drittparteirisiken über ICT- und Non-ICT-Beziehungen hinweg. Das ist kein Grund, die getrennten Rechtsregime oder ihre Registerpflichten gleichzusetzen. Es ist jedoch ein belastbares Signal für ein integriertes Governance- und Datenmodell.
Gemischte Leistungsbeziehungen richtig klassifizieren
Die Klassifikation darf nicht auf Ebene des Lieferantennamens stehen bleiben. Ein Anbieter kann mehrere Leistungen erbringen, die unterschiedlichen Steuerungslogiken unterliegen. Ausgangspunkt sollte deshalb das einzelne Leistungsobjekt sein: Welche Geschäfts-, Kontroll- oder Unterstützungsfunktion wird erbracht? Welche Vertrags- und Leistungsbestandteile bestehen? Welche ICT-Komponenten sind enthalten? Und welche Bedeutung haben diese Komponenten für die Gesamtleistung?
Für eine Non-ICT-Drittparteienleistung, die zugleich ICT-Dienstleistungen im Sinne von DORA umfasst, verlangen die EBA-Leitlinien eine Bewertung, ob die ICT-Nutzung für die Erbringung der Drittparteienleistung wesentlich ist. Ist sie wesentlich, greift der DORA-Rahmen anstelle der EBA-Leitlinien. Ein Gebäudeservice ist somit nicht schon wegen seiner Bezeichnung zwingend als Non-ICT einzuordnen. Entscheidend sind die tatsächlich unterstützte Funktion, die eingebetteten Leistungen und deren Wesentlichkeit.
Praktisch empfiehlt sich eine nachvollziehbar dokumentierte Scoping-Entscheidung je Leistungsbeziehung. Sie sollte mindestens die unterstützte Funktion, die Leistungsbestandteile, eine enthaltene ICT-Komponente, deren Wesentlichkeit sowie die daraus folgende regulatorische Zuordnung enthalten. Bei heterogenen Beziehungen können getrennte Leistungsobjekte und Kontrollpakete notwendig sein, auch wenn sie wirtschaftlich in einem Rahmenvertrag gebündelt sind.
Ein Datenmodell statt paralleler Lieferantenstämme
DORA konkretisiert die Registerpflicht durch standardisierte Templates in der Durchführungsverordnung (EU) 2024/2956. Die EBA-Leitlinien sehen für die in ihren Anwendungsbereich fallenden Non-ICT-Beziehungen ebenfalls ein aktuelles Register vor. Bei kritischen oder wichtigen Funktionen umfasst dieses unter anderem Angaben zu Audits, wesentlichen Unterauftragnehmern, Substituierbarkeit, Reintegrationsmöglichkeit, Exit-Plan und alternativen Drittparteien.
Regulatorisch getrennte Register lassen sich durch einen gemeinsamen Third-Party-Master-Record speisen. Sinnvolle gemeinsame Kernfelder sind Vertragspartei und Konzernbezug, eindeutige Unternehmenskennung, Leistung und unterstützte Funktion, Leistungs- und Datenstandort, fachlich verantwortliche Stelle, Laufzeit, Kritikalitätsentscheidung, Risiko- und Konzentrationsbewertung, Unterauftragnehmerkette, Kontroll- und Auditnachweise sowie Exit-Status und Überprüfungstermine.
Entscheidend ist die Trennschärfe der Bewertungen: Kritikalität der unterstützten Funktion, Wesentlichkeit einer eingebetteten ICT-Komponente und Konzentrationsrisiko beantworten unterschiedliche Fragen. Das Datenmodell sollte sie daher getrennt führen – einschließlich Begründung, Genehmigung, Neubewertungsauslösern und Wechselwirkungen. So bleibt nachvollziehbar, warum eine Leistung in ein bestimmtes Register aufgenommen wurde und welche Kontrollen hierfür gelten.
Konzentration und Unterbeauftragung über die Kette betrachten
Vor bestimmten ICT-Verträgen verlangt DORA unter anderem Bewertungen zur Kritikalität oder Wichtigkeit der unterstützten Funktion, zu Risiken der Vereinbarung, zur Due Diligence des Anbieters und zum ICT-Konzentrationsrisiko. Dieses umfasst insbesondere schwer substituierbare Anbieter sowie Abhängigkeiten von einzelnen oder verbundenen Anbietern. Die Risikobetrachtung sollte deshalb nicht beim Einzelvertrag enden.
Für die operative Steuerung ist es zweckmäßig, Abhängigkeiten über Anbietergruppen, verbundene Unternehmen, gemeinsame Unterauftragnehmer, regionale Standorte, zentrale Plattformen und mehrere kritische oder wichtige Funktionen hinweg auszuwerten. Dies ist eine fachliche Umsetzungsempfehlung, die Abhängigkeitsmuster sichtbar macht, welche in dezentralen Vertragsakten leicht verborgen bleiben.
Unterbeauftragungen sind in beiden Welten ein zentraler Transparenzpunkt. Bei zulässiger Unterbeauftragung von ICT-Leistungen für kritische oder wichtige Funktionen muss der Vertrag festlegen, welche Leistungen oder wesentlichen Teile unterbeauftragt werden dürfen und unter welchen Bedingungen. Wesentliche Änderungen müssen so früh mitgeteilt werden, dass das Finanzunternehmen die Risikoauswirkungen bewerten kann. Die einschlägigen Anforderungen werden durch die Delegierte Verordnung (EU) 2025/532 konkretisiert.
Die EBA-Leitlinien erfassen zudem den Fall, dass ein direkter Non-ICT-Dienstleister ICT-Unterauftragnehmer nutzt, die eine Non-ICT-Leistung für eine kritische oder wichtige Funktion tatsächlich untermauern. Diese Abhängigkeit soll im Non-ICT-Register dokumentiert werden. Damit wird deutlich: Auch wenn der unmittelbare Vertrag Non-ICT bleibt, darf die zugrunde liegende technische Abhängigkeit nicht unsichtbar werden.
Kontrollrechte und Exit als funktionales Resilienzthema
Kontrollrechte sind erst wirksam, wenn sie operativ nutzbar sind. Verträge und Kontrollkataloge können daher modular aufgebaut werden: mit allgemeinen Anforderungen für risikorelevante Drittparteien sowie leistungs- und regimebezogenen Zusatzmodulen für DORA-ICT-Leistungen, Non-ICT-Leistungen, kritische oder wichtige Funktionen und Unterbeauftragungen. Audit-, Informations- und gegebenenfalls Zutrittsrechte benötigen ergänzend definierte Verantwortlichkeiten, Evidenzarten, Berichtszyklen, Eskalationsregeln und einen Prozess für nicht erfüllte Rechte.
Für ICT-Leistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt die Delegierte Verordnung (EU) 2024/1773 je Vereinbarung einen dokumentierten, regelmäßig überprüften und erprobten Exit-Plan. Dieser muss realistisch, durchführbar und szenariobasiert sein sowie zu den vertraglichen Kündigungs- und Exit-Bedingungen passen.
Bei gemischten Beziehungen sollte die Exit-Planung nicht nur auf den Lieferanten, sondern auf die kritische oder wichtige Funktion ausgerichtet sein. Sinnvoll sind abgestimmte Szenarien für den Verlust der Non-ICT-Leistung, den Ausfall der eingebetteten ICT-Komponente, einen Wechsel wesentlicher Unterauftragnehmer und eine mögliche Reintegrationslösung. So lässt sich prüfen, ob Alternativen, Datenzugang, Übergabeprozesse und interne Kapazitäten im Zusammenspiel tatsächlich tragfähig sind.
Governance schrittweise auf das Zielbild ausrichten
Ein konsistentes Modell verlangt eine abgestimmte Rollenverteilung. Einkauf und Fachbereiche erfassen die Leistung und Vertragsbeziehung. Auslagerungsmanagement und Third-Party-Risk-Management koordinieren Klassifikation und Registerführung. Informationssicherheit bewertet ICT-Aspekte, BCM die funktionale Wiederanlauf- und Exit-Fähigkeit. Compliance, Risikomanagement und gegebenenfalls Rechtsfunktion sichern die Nachvollziehbarkeit der Entscheidungen und Eskalationen.
Da die finalen EBA-Leitlinien noch nicht anwendbar waren, bietet sich eine gestufte Vorbereitung an: Zunächst Datenlücken, Klassifikationslogik und Vertragsmuster gegen die finalen Leitlinien prüfen. Danach lassen sich Kontrollrechte, Unterauftragnehmertransparenz und funktionale Exit-Szenarien priorisieren. Anwendungstermine, Übersetzungen und nationale Aufsichtspositionen sollten anschließend nachgesteuert werden. DORA-Pflichten bleiben dabei bereits heute eigenständig zu erfüllen.