# EBA-Leitlinien: Kritische Funktionen zuerst > Swiss GRC erklärt die am 18. September 2026 veröffentlichten EBA-Leitlinien EBA/GL/2026/09 zu Non-ICT-Drittparteirisiken. Der Beitrag richtet sich an Finanzinstitute und zeigt, dass Vereinbarungen mit kritischen oder wichtigen Funktionen zuerst geprüft werden. - URL: https://swissgrc.com/eba-leitlinien-kritische-funktionen-zuerst/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-09-18 - Zuletzt aktualisiert: 2026-09-20 ## Kernaussagen - Die EBA hat am 18. September 2026 den Final Report zu den Leitlinien EBA/GL/2026/09 über das Management von Drittparteirisiken bei Non-ICT-Diensten veröffentlicht. - Die Leitlinien ersetzen die EBA-Auslagerungsleitlinien vom 25. Februar 2019 und arbeiten mit dem weiter gefassten Begriff der Drittparteivereinbarung, deren Teilmenge die Auslagerung ist. - Vertiefte Anforderungen gelten nur für Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, für alle übrigen genügt ein risikobasiertes und verhältnismässiges Vorgehen. - Das Register der Drittparteivereinbarungen soll mit dem DORA-Informationsregister nach Artikel 28(3) konsistent sein und darf mit diesem zu einem einzigen Register zusammengeführt werden. - Zwei Jahre nach dem Anwendungsdatum müssen Institute die Aufsicht informieren, wenn Überprüfung und Dokumentation kritischer Vereinbarungen nicht abgeschlossen sind. - Die Konsultation zum Entwurf lief vom 8. Juli 2025 bis zum 8. Oktober 2025. Am 18. September 2026 hat die EBA den [Final Report](https://www.eba.europa.eu/sites/default/files/2026-09/6b826e13-fecc-4940-ae21-b741cf76eabc/Final%20report%20on%20GL%20on%20third-country%20risk%20management.pdf) zu den Leitlinien EBA/GL/2026/09 über das Management von Drittparteirisiken bei Non-ICT-Diensten veröffentlicht. Sie lösen die Auslagerungsleitlinien von 2019 ab und arbeiten nicht mehr mit dem Auslagerungsbegriff, sondern mit der weiter gefassten Drittparteivereinbarung, deren Teilmenge die Auslagerung ist. Damit wird mehr erfasst als bisher. Gleichzeitig staffelt die Endfassung den Aufwand: Die strengeren Vorgaben gelten für Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Für Institute stellt sich damit die Frage, welche Vereinbarungen bei der Umsetzung zuerst geprüft werden müssen. Kurz zusammengefasst Die EBA hat am 18. September 2026 die endgültigen Leitlinien EBA/GL/2026/09 veröffentlicht. Sie erfassen alle Drittparteivereinbarungen über Non-ICT-Dienstleistungen, verlangen die vertieften Anforderungen aber nur für jene, die kritische oder wichtige Funktionen unterstützen. Institute sollten deshalb zuerst diese Vereinbarungen identifizieren und dokumentieren und die übrigen risikobasiert mit einem schlankeren Verfahren führen. ## Was hat sich zwischen Entwurf und Endfassung verändert? Die Endfassung staffelt, was der Entwurf weitgehend gleich behandelt hatte: Die vertieften Vorgaben gelten für Drittparteivereinbarungen, die kritische oder wichtige Funktionen unterstützen, für alle übrigen genügt ein risikobasiertes und verhältnismässiges Vorgehen. Der grundlegende Begriffswechsel bleibt dagegen bestehen. Als Drittparteivereinbarung gilt jede Vereinbarung zwischen einem Finanzunternehmen und einem externen oder gruppeninternen Dienstleister, durch die dieser wiederkehrend oder dauerhaft eine oder mehrere Funktionen unterstützt. Auslagerungen sind ausdrücklich eine Teilmenge davon. Damit fallen auch Non-ICT-Dienstleistungen in den Anwendungsbereich, die bisher nicht als Auslagerung eingeordnet wurden. Wer die beiden Bewegungen zusammen liest, sieht das eigentliche Bild: Der Erfassungsbereich wird breiter, die Anforderungstiefe wird abgestuft. Während der [Konsultation](https://eba.europa.eu/publications-and-media/press-releases/eba-launches-consultation-its-draft-guidelines-third-party-risk-management-regard-non-ict-related) vom 8. Juli 2025 bis zum 8. Oktober 2025 äusserten Stakeholder Bedenken zu einer übermässigen Ausweitung des Anwendungsbereichs. Der Verband AMAFI kritisierte, dass der Entwurf für Drittparteien mit nicht-kritischen Funktionen ein Regime vorsah, das praktisch identisch mit jenem für kritische oder wichtige Funktionen war. Der Verband FIA wies zudem darauf hin, dass eine zu breite Fassung die Bewertung kritischer und wichtiger Funktionen erschweren und die Konsistenz mit der DORA stören könnte. ## Für welche Institute und Dienstleistungen gelten die Leitlinien? Die Leitlinien richten sich an die zuständigen Behörden der Mitgliedstaaten und betreffen Institute, Drittstaatenzweigstellen, bestimmte Wertpapierfirmen, Zahlungsinstitute, E-Geld-Institute, Emittenten von Asset-Referenced Tokens sowie bestimmte Kreditgeber gemäss Wohnimmobilienkreditrichtlinie, wenn diese für Non-ICT-Dienstleistungen auf Drittanbieter zurückgreifen. Kreditvermittler und reine Kontoinformationsdienstleister sind nicht adressiert. Ausgenommen sind Dienstleistungen, die unter Kapitel V der DORA fallen, da für ICT-Drittparteien bereits ein eigenes Regime besteht. Daneben nennen die Leitlinien einen ausdrücklichen Ausnahmekatalog: gesetzlich vorgeschriebene Leistungen wie die Abschlussprüfung, regulierte Finanzdienstleistungen anderer beaufsichtigter Unternehmen, Marktinformationsdienste, Geschäfte zwischen Finanzinstituten als Gegenparteien, Zahlungsnetzinfrastrukturen, Clearing und Settlement, beaufsichtigte globale Finanznachrichtendienste, Korrespondenzbankdienste sowie Bezüge ohne wesentlichen Einfluss auf Risikoexposition und operationelle Resilienz, etwa Druck, Reinigung, Catering oder Rechtsgutachten, ferner die Beschaffung von Waren und Versorgungsleistungen. Die Leitlinien ersetzen die EBA-Auslagerungsleitlinien vom 25. Februar 2019 und schaffen einen einheitlichen EU-Rahmen, der nach dem Prinzip ‚comply or explain‘ umzusetzen ist. Für Institute, deren [Third-Party Risk Governance](https://swissgrc.com/third-party-risk-governance-vom-lieferantenkataster-zur-steuerung/) bereits nach Kritikalität gestaffelt ist, dürfte die Anpassung geringer ausfallen als für jene, die Drittparteien bislang primär vertraglich verwalten. ![Ansichten aus der Lösung Third-Party Risk Management der SwissGRC Plattform: Risiko-Dashboard, Service-Katalog und Kritikalitätsbewertung](https://swissgrc.com/wp-content/uploads/2025/04/Isometric-screenshots-net-background-1024x572.png) Ansichten aus der Lösung Third-Party Risk Management der SwissGRC Plattform: Risiko-Dashboard, Service-Katalog und Kritikalitätsbewertung ## Welche Drittparteien-Beziehungen sollten zuerst überprüft werden? Priorität haben Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, also Funktionen, deren Störung die Finanzlage eines Finanzunternehmens wesentlich beeinträchtigen, die Solidität oder Kontinuität seiner Dienstleistungen gefährden oder die weitere Einhaltung seiner Zulassungsvoraussetzungen wesentlich erschweren würde. Die Definition ist mit Artikel 3(22) der DORA abgestimmt. Der Prüfpfad dazu ist dreistufig: Handelt es sich um eine Non-ICT-Dienstleistung, unterstützt der Anbieter damit wiederkehrend oder dauerhaft eine Funktion, und ist diese Funktion kritisch oder wichtig? Die Feststellung ‚keine Auslagerung‘ beendet die Prüfung damit nicht mehr. Operative Aufgaben interner Kontrollfunktionen sind grundsätzlich als kritisch oder wichtig einzustufen, sofern die Bewertung nichts anderes ergibt. Für diese Vereinbarungen verlangen die Leitlinien vertiefte Sorgfaltspflichten, klare vertragliche Regelungen, eine Prüfung der Unterauftragsvergabe, laufendes Monitoring, lückenlose Dokumentation und eine Exit-Planung für den Fall eines Anbieterwechsels. Diese Themen zeigen, dass [Risiko, Kontrolle und Vertrag](https://swissgrc.com/risiko-kontrolle-vertrag-uebergabe/) eng zusammenhängen und selten aus einem Guss entstehen. Für Vereinbarungen ausserhalb dieses Kreises reduziert die endgültige Fassung den operativen und aufsichtlichen Aufwand, verlangt aber weiterhin eine robuste, risikobasierte Steuerung. ## Wie viel Zeit bleibt für die Umsetzung? Ein genaues Anwendungsdatum steht noch nicht fest. Ab diesem Datum gelten die Leitlinien für alle Drittparteivereinbarungen, die neu abgeschlossen, überprüft oder geändert werden; bestehende Vereinbarungen sind entsprechend nachzuziehen. Die häufig zitierte Zweijahresfrist ist präziser gefasst, als sie klingt. Wer Überprüfung und Dokumentation jener Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, zwei Jahre nach dem Anwendungsdatum nicht abgeschlossen hat, muss die zuständige Behörde darüber informieren, einschliesslich der geplanten Massnahmen oder einer möglichen Exit-Strategie. Für Vereinbarungen ohne kritische oder wichtige Funktion genügt es, Überprüfung und Dokumentation im Zuge der Vertragserneuerung vorzunehmen. Die Frist ist also kein Stichtag für alles, sondern ein Meldepunkt für das Wesentliche. Institute, die ihre Drittparteirisiken bereits im Rahmen der [Operational Resilience](https://swissgrc.com/operational-resilience-software/) strukturiert erfassen, können auf dieser Grundlage aufbauen, da die Leitlinien ausdrücklich mit der DORA im Einklang stehen sollen. ## Wie sollten Institute jetzt vorgehen? Der erste Schritt ist die Sichtung des bestehenden Lieferantenkatasters mit dem Ziel, jede Vereinbarung danach zu markieren, ob sie eine kritische oder wichtige Funktion unterstützt. Der zweite Schritt betrifft das Register. Die Leitlinien verlangen ein aktuelles Register aller Drittparteivereinbarungen im Anwendungsbereich, das zwischen kritischen und übrigen Vereinbarungen unterscheidet. Es soll so weit wie möglich mit dem Informationsregister nach Artikel 28(3) der DORA konsistent sein, Abweichungen zwischen beiden sollen vermieden werden, und die EBA erlaubt ausdrücklich, beide zu einem einzigen Register zusammenzuführen. Dasselbe gilt für die Richtlinie zu Vertragsvereinbarungen, die mit jener nach Artikel 28(10) der DORA verschmolzen werden darf, und für die Überwachungsrolle, die mit der Rolle nach Artikel 5(3) der DORA kombinierbar ist. Wer DORA umgesetzt hat, erweitert also bestehende Strukturen, statt eine zweite Registerwelt aufzubauen. Für kritische Vereinbarungen verlangt das Register zusätzliche Angaben: anwendbares Recht, Datum der letzten Prüfungen, wesentliche Unterauftragnehmer samt Kette und Standort, Substituierbarkeit, Einschätzung zur Wiedereingliederung mit Recovery Time und Recovery Point Objective, Existenz eines Exit-Plans, alternative Anbieter und geschätzte Jahreskosten. Diese Angaben lassen sich nicht kurzfristig beschaffen. Wer früh beginnt, gewinnt Zeit für Verhandlungen mit Anbietern, deren Vertragswerk angepasst werden muss. Verantwortlich für die erste Sichtung ist typischerweise die Funktion, die das Lieferantenregister führt. Passend dazu ### Drittparteien nach Kritikalität steuern Die Lösung für Third-Party Risk Management bildet Sorgfaltspflichten, Vertragsdaten, Unterauftragnehmer und Monitoring je Anbieter ab. Sie unterstützt die Einstufung nach kritischer oder wichtiger Funktion und ein Register, das sich mit dem DORA-Informationsregister zusammenführen lässt. [Third-Party Risk Management](https://swissgrc.com/tprm-software/) Für die Praxis ## Das Wichtigste in Kürze - Der Prüfpfad endet nicht mehr bei ‚keine Auslagerung‘: massgeblich ist, ob eine Non-ICT-Dienstleistung wiederkehrend eine Funktion unterstützt und ob diese kritisch oder wichtig ist. - Drittparteivereinbarungen, die kritische oder wichtige Funktionen unterstützen, zuerst identifizieren, prüfen und dokumentieren. - Für weniger wesentliche Vereinbarungen genügt ein schlankeres, risikobasiertes Verfahren; Überprüfung und Dokumentation können bei der Vertragserneuerung erfolgen. - Register, Richtlinie und Überwachungsrolle dürfen mit den entsprechenden DORA-Strukturen zusammengeführt werden. - Zwei Jahre nach dem Anwendungsdatum ist ein Meldepunkt: Nicht abgeschlossene Überprüfungen kritischer Vereinbarungen sind der Aufsicht anzuzeigen. FAQ ## Häufige Fragen Wann wurden die EBA-Leitlinien zu Non-ICT-Drittparteirisiken veröffentlicht? Die EBA veröffentlichte den Final Report zu den Leitlinien EBA/GL/2026/09 am 18. September 2026. Damit liegt die endgültige Fassung vor, die gegenüber dem Konsultationsentwurf vom 8. Juli 2025 die vertieften Anforderungen auf Vereinbarungen konzentriert, die kritische oder wichtige Funktionen unterstützen. Was ist eine Drittparteivereinbarung und warum ist die Auslagerung nur eine Teilmenge? Eine Drittparteivereinbarung ist jede Vereinbarung zwischen einem Finanzunternehmen und einem externen oder gruppeninternen Dienstleister, durch die dieser wiederkehrend oder dauerhaft eine oder mehrere Funktionen unterstützt. Die Auslagerung, bei der der Dienstleister eine Funktion übernimmt, die das Unternehmen sonst selbst erbringen würde, ist darin als Teilmenge enthalten. Die Einstufung ‚keine Auslagerung‘ schliesst eine Vereinbarung deshalb nicht mehr aus dem Anwendungsbereich aus. Was gilt als kritische oder wichtige Funktion im Sinn der Leitlinien? Als kritische oder wichtige Funktion gilt eine Funktion, deren Störung die Finanzlage eines Finanzunternehmens wesentlich beeinträchtigen, die Solidität oder Kontinuität seiner Dienstleistungen gefährden oder die weitere Einhaltung seiner Zulassungsvoraussetzungen wesentlich erschweren würde. Für Drittparteivereinbarungen, die solche Funktionen unterstützen, verlangen die Leitlinien vertiefte Sorgfaltspflichten, klare Verträge, Monitoring, Dokumentation und eine Exit-Planung. Darf das neue Register mit dem DORA-Informationsregister zusammengeführt werden? Ja. Das Register für Non-ICT-Vereinbarungen soll so weit wie möglich mit dem Informationsregister nach Artikel 28(3) der DORA konsistent sein, Abweichungen sollen vermieden werden, und beide dürfen zu einem einzigen Register kombiniert werden. Auch die Richtlinie zu Vertragsvereinbarungen darf mit jener nach Artikel 28(10) der DORA zusammengelegt werden. Ersetzen die neuen Leitlinien die bisherigen EBA-Outsourcing-Leitlinien von 2019? Ja, die Leitlinien ersetzen die EBA-Auslagerungsleitlinien vom 25. Februar 2019 und schaffen einen einheitlichen EU-Rahmen. Die Umsetzung erfolgt nach dem Prinzip ‚comply or explain‘ durch die zuständigen Behörden der Mitgliedstaaten. Welche Institute sind von den EBA-Leitlinien betroffen? Betroffen sind Institute, Drittstaatenzweigstellen, bestimmte Wertpapierfirmen, Zahlungsinstitute, E-Geld-Institute, Emittenten von Asset-Referenced Tokens sowie bestimmte Kreditgeber gemäss Wohnimmobilienkreditrichtlinie, sofern sie für Non-ICT-Dienstleistungen auf Drittanbieter zurückgreifen. Kreditvermittler und reine Kontoinformationsdienstleister sind nicht adressiert. Welche Dienstleistungen sind ausgenommen? Ausgenommen sind Dienstleistungen unter Kapitel V der DORA sowie ein ausdrücklicher Katalog: gesetzlich vorgeschriebene Leistungen wie die Abschlussprüfung, regulierte Finanzdienstleistungen anderer beaufsichtigter Unternehmen, Marktinformationsdienste, Interbankgeschäfte, Zahlungsnetzinfrastrukturen, Clearing und Settlement, beaufsichtigte globale Finanznachrichtendienste, Korrespondenzbankdienste sowie Bezüge ohne wesentlichen Einfluss auf Risiko und Resilienz und die Beschaffung von Waren und Versorgungsleistungen. Quellen 1. [Final report on Guidelines on the sound management of third-party risk related to non-ICT services (EBA/GL/2026/09)](https://www.eba.europa.eu/sites/default/files/2026-09/6b826e13-fecc-4940-ae21-b741cf76eabc/Final%20report%20on%20GL%20on%20third-country%20risk%20management.pdf)European Banking Authority (EBA) 2. [The EBA publishes its final Guidelines on the management of third-party risk](https://www.eba.europa.eu/publications-and-media/press-releases/eba-publishes-its-final-guidelines-management-third-party-risk-delivering-more-proportionate-and)European Banking Authority (EBA) 3. [Final report: EBA guidelines on the sound management of third-party risk regarding non-ICT services](https://www.regulationtomorrow.com/2026/09/final-report-eba-guidelines-on-the-sound-management-of-third-party-risk-regarding-non-ict-services/)Global Regulation Tomorrow 4. [EBA launches consultation on its draft guidelines on third-party risk management](https://eba.europa.eu/publications-and-media/press-releases/eba-launches-consultation-its-draft-guidelines-third-party-risk-management-regard-non-ict-related)European Banking Authority (EBA) ## Häufige Fragen ### Wann wurden die EBA-Leitlinien zu Non-ICT-Drittparteirisiken veröffentlicht? Die EBA veröffentlichte den Final Report zu den Leitlinien EBA/GL/2026/09 am 18. September 2026. Ein genaues Anwendungsdatum steht laut Beitrag noch nicht fest. ### Was ist eine Drittparteivereinbarung im Sinn der EBA-Leitlinien? Eine Drittparteivereinbarung ist jede Vereinbarung zwischen einem Finanzunternehmen und einem externen oder gruppeninternen Dienstleister, durch die dieser wiederkehrend oder dauerhaft eine oder mehrere Funktionen unterstützt. Auslagerungen sind eine Teilmenge davon. ### Welche Drittparteivereinbarungen müssen Institute zuerst prüfen? Zuerst zu prüfen sind Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Für sie verlangen die Leitlinien vertiefte Sorgfaltspflichten, klare Verträge, Prüfung der Unterauftragsvergabe, Monitoring, Dokumentation und eine Exit-Planung. ### Darf das Register mit dem DORA-Informationsregister zusammengeführt werden? Ja. Die EBA erlaubt ausdrücklich, das Register mit dem Informationsregister nach Artikel 28(3) der DORA zu einem einzigen Register zu kombinieren. Auch die Richtlinie zu Vertragsvereinbarungen und die Überwachungsrolle dürfen mit den DORA-Pendants zusammengeführt werden. ### Welche Dienstleistungen sind von den Leitlinien ausgenommen? Ausgenommen sind Dienstleistungen unter Kapitel V der DORA sowie ein Katalog mit unter anderem Abschlussprüfung, Marktinformationsdiensten, Clearing und Settlement, Korrespondenzbankdiensten sowie Bezügen ohne wesentlichen Einfluss auf Risikoexposition und Resilienz.