MaRisk AT 9 und DORA: Auslagerung oder IKT-Dienstleistung?

MaRisk AT 9 und DORA: Auslagerung oder IKT-Dienstleistung?

Aktualisiert am 11. Oktober 2026: Mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 vom 30. Juni 2026) fallen IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach DORA unterliegen, nicht mehr unter AT 9. Dieser Beitrag ist entsprechend angepasst. Die Änderungen im Detail stehen im Beitrag 9. MaRisk-Novelle: Was sich in AT 9 ändert.

Lange war die zentrale Frage im Auslagerungsmanagement: Ist dieser Leistungsbezug eine Auslagerung im Sinne von MaRisk AT 9 oder sonstiger Fremdbezug? Davon hingen Risikoanalyse, Vertragsinhalte und Überwachung ab. Mit DORA kommt eine zweite, unabhängige Frage hinzu: Handelt es sich um eine IKT-Dienstleistung?

Zwei Regelwerke, zwei Perspektiven

MaRisk AT 9 fragt, ob ein Dritter Aktivitäten und Prozesse übernimmt, die das Institut im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen sonst selbst erbringen würde. Die Perspektive ist die Aufgabe, die das Haus aus der Hand gibt.

DORA fragt, ob digitale Dienste oder Datendienste über IKT-Systeme dauerhaft bereitgestellt werden. Die Perspektive ist die technische Abhängigkeit, unabhängig davon, ob eine Auslagerung vorliegt.

Daraus folgt der Punkt, der in der Praxis oft übersehen wird: Auch ein Leistungsbezug, der nach MaRisk als sonstiger Fremdbezug gilt, kann eine IKT-Dienstleistung im Sinne von DORA sein. Das hat Folgen für Informationsregister, Vertragsinhalte und Risikomanagement.

Eine einfache Klassifizierungslogik

Für jeden Leistungsbezug lohnt sich eine Einordnung in drei Schritten:

1. Handelt es sich um eine IKT-Dienstleistung nach DORA, die dem IKT-Drittparteienrisikomanagement unterliegt? Dann wird sie nach DORA gesteuert. AT 9 ist seit der 9. MaRisk-Novelle nicht anwendbar.
2. Wenn ja: Unterstützt die Leistung eine kritische oder wichtige Funktion? Davon hängen Vertragsinhalte nach Art. 30 DORA, Informationsregister und Unterrichtung der Aufsicht ab.
3. Wenn nein: Liegt eine Auslagerung nach MaRisk AT 9 vor, und ist sie wesentlich?

Für die Steuerung schließen sich die beiden Regime damit aus: Eine IKT-Dienstleistung unter DORA wird nicht zusätzlich nach AT 9 gesteuert, auch wenn sie eine wesentliche Auslagerung ist. Die gesetzliche Anzeigepflicht für wesentliche Auslagerungen nach § 24 KWG bleibt davon allerdings unberührt. Und ein Software-Abonnement ohne Auslagerungscharakter kann trotzdem ins Informationsregister gehören und bestimmte Vertragsinhalte nach Art. 30 DORA erfordern.

Was das für die Organisation bedeutet

• Ein Inventar aller Leistungsbezüge. Die Klassifizierung setzt voraus, dass alle Bezüge bekannt sind, auch die, von denen das Auslagerungsmanagement bisher nichts weiß. In Projekten ist der Abbau dieses Backlogs oft der erste und größte Schritt.
• Ein gemeinsamer Erfassungsprozess statt zwei Parallelwelten. Neue Leistungsbezüge sollten einmal erfasst und dann eindeutig DORA oder AT 9 zugeordnet werden.
• Ein Regelwerk, das die Abgrenzung erklärt. Die schriftlich fixierte Ordnung muss nachvollziehbar machen, wie das Haus einordnet. Prüfer fragen genau das.

Fazit

Seit der 9. MaRisk-Novelle trennt die Aufsicht die Steuerung klar: IKT-Dienstleistungen unter DORA, übrige Auslagerungen nach AT 9. Umso wichtiger wird die Einordnung am Anfang. Wer sie sauber trifft und in einem gemeinsamen Erfassungsprozess verankert, vermeidet Doppelarbeit und Lücken, die erst in der Prüfung auffallen.

Zum Auslagerungsmanagement