FAQ · Ausstieg, Notfall und Unterauftragnehmer
Für welche Dienstleistungen braucht Ihr Haus einen Ausstiegsplan und was verlangt die Aufsicht dafür?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Der Ausstiegsplan beginnt bei den Dienstleistungen, die kritische oder wichtige Funktionen tragen und für IKT-Dienstleistungen zur Unterstützung solcher Funktionen muss ein Haus eine Ausstiegsstrategie haben. Bei wesentlichen Auslagerungen trifft eine Bank für den Fall einer beabsichtigten oder erwarteten Beendigung Vorkehrungen, die Kontinuität und Qualität der ausgelagerten Aktivitäten auch danach sichern. Zur Risikoanalyse eines Versicherers gehören ausdrücklich Exit- oder Alternativstrategien.
Der Plan entsteht vor dem Vertrag. Tragfähig wird er, wenn er mehr als einen Weg kennt: den Wechsel zu einem Ersatzanbieter oder die Rückholung ins Haus. Dabei zählen jeweils Daten, Rechte und Überbrückung.
Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA); die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht und maßgeblich ist die jeweils geltende Fassung.
In der Praxis
Der Plan hält Auslöser, Zielzustand, Datenrückgabe, Zuständigkeiten und Zeitbedarf fest.
- Für jede Leistung ist geklärt, ob ein Ausstiegsplan verlangt wird.
- Alternative und Übergangszeit stehen vor Vertragsabschluss fest.
- Ausstiegsplan, Notfallplanung und Vertragsregelung sind aufeinander abgestimmt.
Nachweis: Als Nachweis liegt eine freigegebene Ausstiegsstrategie vor.
Belege
- IKT-Risikomanagement und IKT-Drittparteienrisikomanagement, Ausstiegsstrategie, BaFin
- BaFin, Rundschreiben 06/2024 (BA), Modul AT 9, Beendigung
- BaFin, Rundschreiben 09/2025 (VA), Geschäftsorganisation, Randnummer 212
- BaFin, Rundschreiben 06/2024 (BA), Titel der Veröffentlichung
- BaFin, neunte MaRisk-Novelle, Veröffentlichung im Juni 2026