Question 1

Wie behält Ihr Haus die Kette im Blick, wenn ein Anbieter weitere Dienstleister einsetzt?

Accepted Answer

Eine Untervergabekette bleibt steuerbar, wenn Ihr Haus für jeden Unterauftragnehmer Leistungsteil, Standort, Datenzugriff und Bedeutung für die unterstützte Funktion kennt. Unterstützen die IKT-Dienstleistungen kritische oder wichtige Funktionen, verlangt die Aufsicht von Finanzunternehmen, die Risiken aus der Untervergabe zu überwachen und zu steuern und dabei den entsprechenden RTS zu beachten. Die Delegierte Verordnung (EU) 2025/532 regelt diese Unterauftragsvergabe.

Das Informationsregister soll für solche Dienstleistungen sämtliche Unterauftragnehmer enthalten, die die Erbringung wirksam unterstützen; nach dem Rundschreiben 09/2025 (VA) der BaFin muss bei Versicherern zumindest das zuständige Mitglied der Geschäftsleitung die Sub-Delegation einer wichtigen Funktion vorab genehmigen.

Question 2

Für welche Dienstleistungen braucht Ihr Haus einen Ausstiegsplan und was verlangt die Aufsicht dafür?

Accepted Answer

Der Ausstiegsplan beginnt bei den Dienstleistungen, die kritische oder wichtige Funktionen tragen und für IKT-Dienstleistungen zur Unterstützung solcher Funktionen muss ein Haus eine Ausstiegsstrategie haben. Bei wesentlichen Auslagerungen trifft eine Bank für den Fall einer beabsichtigten oder erwarteten Beendigung Vorkehrungen, die Kontinuität und Qualität der ausgelagerten Aktivitäten auch danach sichern. Zur Risikoanalyse eines Versicherers gehören ausdrücklich Exit- oder Alternativstrategien.

Der Plan entsteht vor dem Vertrag. Tragfähig wird er, wenn er mehr als einen Weg kennt: den Wechsel zu einem Ersatzanbieter oder die Rückholung ins Haus. Dabei zählen jeweils Daten, Rechte und Überbrückung.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA); die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht und maßgeblich ist die jeweils geltende Fassung.

Question 3

Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?

Accepted Answer

Ein erster Exit-Test beginnt am Schreibtisch und liefert schon dort ein belastbares Protokoll. Wir beginnen mit einem von uns moderierten Schreibtischtest für ein konkretes Szenario, etwa einen ungeplanten Ausfall. Die fachlich verantwortliche Person erklärt die Schritte in ihrer Reihenfolge und wir prüfen dabei Zuständigkeiten, Entscheidungswege, verfügbare Daten, Vertragsrechte und Zeitbedarf. Annahmen und Lücken halten wir in einem freigegebenen Protokoll fest.

So gehen wir vor: Danach ergänzen wir gezielt technische Nachweise, etwa einen Datenexport oder eine Lesbarkeitsprüfung. Bei Bedarf ergänzen wir einen Wechseltest. Der Tischtest ist der erste Schritt, der technische Nachweis der zweite und erst beide zusammen zeigen mehr als die bloße Existenz eines Plans.

Question 4

Was gehört zur geordneten Beendigung einer Dienstleistung?

Accepted Answer

Eine geordnete Beendigung beginnt mit einer Entscheidung, die vor der Kündigungsfrist fällt. Bei wesentlichen Auslagerungen enthält der Vertrag einer Bank Kündigungsrechte und angemessene Kündigungsfristen und das Haus trifft für die beabsichtigte Beendigung Vorkehrungen, damit Kontinuität und Qualität erhalten bleiben. Ein Versicherer legt in den Ausgliederungsleitlinien dar, wie Kontinuität und ungeminderte Qualität auch nach dem Ende der Vertragsbeziehung sichergestellt werden.

Zur Beendigung gehören Übergabe oder Rückführung, Datenrückgabe und Löschung, Zugangsabbau, offene Vorfälle, die Prüfung erforderlicher Anzeigen und die Pflege des Registers. Der Registereintrag bleibt bestehen, bis die Leistung tatsächlich geschlossen ist.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA); die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht und maßgeblich ist die jeweils geltende Fassung.

Question 5

Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?

Accepted Answer

Ein Ausstiegsplan ist umsetzbar, wenn er als Ablauf mit Dauer, Ressourcen und Pufferzeit durchgerechnet ist. Für unerwartete Beendigungen wesentlicher Auslagerungen, die die Geschäftstätigkeit erheblich beeinträchtigen können, prüft und verabschiedet eine Bank etwaige Handlungsoptionen auf ihre Durchführbarkeit und überprüft sie regelmäßig und anlassbezogen. Ein Versicherer berücksichtigt in den Notfallplänen, wie wichtige Funktionen auf einen anderen Dienstleister übertragen oder in den Geschäftsbetrieb wieder eingegliedert werden können.

Das Planspiel legt ein realistisches Worst-Case-Szenario fest und vergleicht die Rückholung ins Haus mit dem Wechsel zu einem Ersatzanbieter. Je Schritt stehen Dauer, Ressourcen, Daten, Zugänge und Abhängigkeiten fest. Die gesamte Umstellungsdauer wird der tolerierbaren Unterbrechung gegenübergestellt. Eine negative oder nur theoretische Pufferzeit ist eine konkrete Maßnahme und kein grüner Plan.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA); die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht und maßgeblich ist die jeweils geltende Fassung.

Question 6

Wie dokumentiert Ihr Haus Weiterverlagerungen über mehrere Stufen so, dass die Kette steuerbar bleibt?

Accepted Answer

Eine steuerbare Kette entsteht, wenn jede Stufe mit Auftraggeber, Unterauftragnehmer, Leistungsanteil, Standort und Datenzugang erfasst ist. Bei IKT-Dienstleistungen für kritische oder wichtige Funktionen soll das Register alle Unterauftragnehmer enthalten, die die Leistung wirksam unterstützen. Maßgeblich ist die wirksame Unterstützung, nicht der Name im Direktvertrag.

Nach dem MaRisk-Rundschreiben 06/2024 (BA) legt eine Bank bei der Weiterverlagerung wesentlicher Auslagerungen fest, ob der weiter verlagerte Teil wesentlich ist und ob dieser Teil im Auslagerungsregister zu erfassen ist. Vertraglich stellt sie zumindest sicher, dass die Vereinbarungen mit Subunternehmen zum Auslagerungsvertrag passen; nach dem Rundschreiben 09/2025 (VA) der BaFin genehmigt bei einem Versicherer zumindest das zuständige Mitglied der Geschäftsleitung die Sub-Delegation einer wichtigen Funktion vorab.

Namen allein steuern nichts. Erst der Leistungsanteil je Stufe, zusammen mit den weitergegebenen Prüf-, Informations-, Sicherheits- und Exit-Rechten, macht die Kette lenkbar.

Stand: MaRisk in der Fassung des Rundschreibens 06/2024 (BA); die BaFin hat im Juni 2026 die neunte Novelle veröffentlicht und maßgeblich ist die jeweils geltende Fassung.

Question 7

Was gilt, wenn ein Dienstleister einen wesentlichen Unterauftragnehmer austauschen will?

Accepted Answer

Der Austausch läuft geordnet, wenn Ihr Haus die angekündigte Änderung mit dem genehmigten Leistungs- und Weiterverlagerungsmodell vergleicht und zugleich die Anzeigepflichten prüft. Bei einer Bank ist eine wesentliche Änderung einer bestehenden wesentlichen Auslagerung anzuzeigen, die wesentlichen Einfluss auf die Geschäftstätigkeit haben kann; das Regelbeispiel der Aufsicht geht dabei von neuen Subauslagerungen aus. Ein Versicherer zeigt nach Vertragsschluss eingetretene wesentliche Umstände in Bezug auf wichtige ausgegliederte Funktionen an und nach dem Rundschreiben 09/2025 (VA) der BaFin genehmigt das zuständige Mitglied der Geschäftsleitung die Sub-Delegation vorab.

Erfährt ein Haus erst später von der Weiterverlagerung, ist sie als wesentliche Änderung anzuzeigen, sobald es Kenntnis erlangt; nach der BaFin müssen bei einer Aktualisierung der Subdienstleister alle Subauslagerungen erneut angegeben werden.

Question 8

Wird ein Unterauftragnehmer automatisch kritisch, weil die bezogene Leistung eine kritische oder wichtige Funktion unterstützt?

Accepted Answer

Nein. Jeder Unterauftragnehmer wird für sich bewertet, ausgehend von der Funktion, die das empfangende Haus einstuft. Welche Funktionen kritisch oder wichtig sind, bewertet das Finanzunternehmen selbst; die Kriterien aus Artikel 3 Nr. 22 DORA sind so zu konkretisieren, dass sie zum Unternehmen passen. Beim Unterauftragnehmer zählen der übernommene Leistungsanteil und die Folgen seines Ausfalls.

Bei Banken legt das Haus für die Weiterverlagerung wesentlicher Auslagerungen fest, ob der weiter verlagerte Teil wesentlich ist. Bei Versicherern kommt es bei Teilausgliederungen darauf an, ob der für die Ausgliederung vorgesehene Teilbereich auch für sich gesehen wichtig ist und dieser Maßstab gilt für jede Stufe der Kette. Die Bewertung des Unterauftragnehmers ergänzt die Einstufung der Funktion und ersetzt sie nicht.

FAQ: Ausstieg, Notfall und Unterauftragnehmer

Ausstieg, Notfall und Unterauftragnehmer

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

FAQ: Ausstieg, Notfall und Unter­auf­trag­neh­mer

Ausstieg, Notfall und Unter­auf­trag­neh­mer

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

FAQ: Ausstieg, Notfall und Unterauftragnehmer

Ausstieg, Notfall und Unterauftragnehmer