9. MaRisk-Novelle: Neue Auslagerungssystematik

In der am 30. Juni 2026 veröffentlichten neuen Fassung der MaRisk (Rundschreiben 06/2026 (BA)) fällt die ausdrückliche Aussage in der Erläuterung zu AT 9 Tz. 1 ins Auge, wonach „ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28-30 DORA unterliegen“, nicht in den Anwendungsbereich des AT 9 fallen.

Die MaRisk enthalten seit Längerem Anforderungen an Kreditinstitute und Finanzdienstleistungsinstitute zum Management der Risiken, die sich aus der Auslagerung von Aktivitäten und Prozessen an andere Unternehmen ergeben, wie z.B. zu zwingend zu vereinbarende Vertragsklauseln bei wesentlichen Auslagerungen. Mit Kapitel V der im Jahr 2025 in Kraft getretenen Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor („DORA“) zum IKT-Drittparteienrisikomanagement kam eine weitere Rechtsquelle für das Management von fremdbezogenen Leistungen hinzu.

Anknüpfungspunkt für die Vorgaben der DORA, die u.a. ebenso Mindestvertragsinhalte vorsehen, ist der Begriff der „IKT-Dienstleistung“. Da die Definition der IKT-Dienstleistung nach DORA nicht auf der Definition der Auslagerung aufbaut und diese nicht schlicht eine „IT-Auslagerung“ darstellt, ist es möglich, dass ein Leistungsbezug begrifflich unter eine oder unter beide Definitionen fällt. Dass in vielen Fällen eine IKT-Dienstleistung auch eine Auslagerung darstellen kann, war bislang auch die Auffassung der Bafin (vgl. etwa Kapitel 6.1 der Aufsichtsmitteilung zu Umsetzungshinweisen zur DORA).

Diese potenzielle Doppelregulierung stellte für betroffene Institute eine Herausforderung dar: So mussten etwa zur Erfüllung der (vergleichbaren, aber nicht identischen) Vertragsvorgaben mit Inkrafttreten der DORA viele Vertragsbeziehungen (meist mit komplizierten Vertragskonstruktionen und „DORA-Annexen“) angepasst werden, um MaRisk und DORA gleichermaßen einzuhalten. Ebenso stellte die Erfassung der Vertragsbeziehungen sowohl im Informationsregister nach DORA als auch im Auslagerungsregister nach den MaRisk in Verbindung mit den EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) einen erheblichen Aufwand dar.

Mit der klaren Aussage, dass IKT-Dienstleistungen im Sinne der DORA nicht AT 9 MaRisk unterfallen, ermöglicht die Bafin den betroffenen Instituten nunmehr eine strikte Trennung zwischen Auslagerungen und IKT-Dienstleistungen, sodass nur die Anforderungen des jeweils anwendbaren und in sich geschlossenen Rechtsrahmens erfüllt werden müssen. Diese Trennung plant auch die Europäische Bankenaufsichtsbehörde („EBA“) mit ihrer Konsultation zur Aktualisierung der EBA-Leitlinien zu Auslagerungen (EBA/CP/2025/12), durch welche IKT-Dienstleistungen aus dem Anwendungsbereich genommen werden sollen. Insofern greift die Bafin den derzeit noch nicht finalen EBA-Leitlinien vor.

Das Konsultationspapier der EBA sieht jedoch auch eine Ausweitung der erfassten Sachverhalte vor: Statt des Anknüpfungspunkts der „Auslagerung“ wird nunmehr für die Anwendbarkeit der Leitlinien auf den neu eingeführten Oberbegriff des „third-party arrangements“ abgestellt. Es bleibt abzuwarten, wann und wie die Bafin diese Vorgabe nach Inkrafttreten der EBA-Leitlinien umsetzt. Auch ist derzeit noch unklar, wie eine solche Anpassung der MaRisk mit § 25b KWG in Einklang zu bringen ist, welcher derzeit noch von „Auslagerungen“ spricht und bisher durch die MaRisk konkretisiert wurde. Schließlich ist auch unklar, ob und wann die Änderungen an den MaRisk (soweit übertragbar) Eingang in andere Rundschreiben der Bafin finden, bspw. in die ZAG-MaRisk für Zahlungsinstitute, die ebenso der DORA und damit der potenziellen Doppelregulierung unterfallen. Betroffenen Instituten ist daher zu raten, diese Entwicklungen der Regulatorik zum Drittparteienrisikomanagement aufmerksam zu verfolgen.