Was sich geändert hat
- Konzentriert die Überwachung des Drittparteienrisikos auf kritische oder wichtige Funktionen (CIFs) über IKT- und Nicht-IKT-Dienstleistungen hinweg.
- Sieht eine zweijährige Übergangsfrist vor, um eine verhältnismässige Umsetzung durch Finanzunternehmen zu gewährleisten.
- Harmonisiert die Governance-Regeln gemäss der Richtlinie 2013/36/EU zusammen mit PSD2, IFD, MiFID II, MiCAR und den BCBS-Grundsätzen.
Die Europäische Bankenaufsichtsbehörde (EBA) hat ihre endgültigen Leitlinien für das Management des Drittparteienrisikos veröffentlicht und führt damit einen gestrafften, verhältnismässigen und harmonisierten Regulierungsrahmen ein, der am Digital Operational Resilience Act (DORA) ausgerichtet ist. Die aktualisierten Leitlinien konzentrieren sich speziell auf Drittparteienvereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen (CIFs), definiert als Vereinbarungen, deren Unterbrechung die Leistungsfähigkeit eines Finanzunternehmens erheblich beeinträchtigen würde.
Durch die Konzentration der aufsichtsrechtlichen Überwachung auf CIF-Vereinbarungen mit höherem Risiko zielt die EBA darauf ab, unnötige operative und aufsichtsrechtliche Belastungen für weniger wesentliche Drittpartei-Dienstleistungsbeziehungen zu verringern und gleichzeitig solide Risikomanagementpraktiken aufrechtzuerhalten. Die Leitlinien fördern einen ganzheitlichen Ansatz, der sowohl Informations- und Kommunikationstechnologie- (IKT) als auch Nicht-IKT-Dienstleister über den gesamten Lebenszyklus von Drittparteienvereinbarungen hinweg abdeckt. Dieser Lebenszyklus umfasst Risikobeurteilung, Due Diligence, Vertragsabschluss, Unterbeauftragung, laufende Überwachung, Dokumentation und Ausstiegsstrategien.
Der endgültige Text spiegelt das Feedback der Interessenträger wider, das im Rahmen der öffentlichen Konsultation und gezielter Kontaktaktivitäten eingegangen ist. Er berücksichtigt auch internationale Standards, einschliesslich der Grundsätze des Basler Ausschusses für Bankenaufsicht (BCBS) für ein solides Management des Drittparteienrisikos.
Um die Umsetzung zu erleichtern, hat die EBA eine zweijährige Übergangsfrist vorgesehen. Die endgültigen Leitlinien wurden gemäss Artikel 74 der Richtlinie 2013/36/EU ausgearbeitet, der die EBA beauftragt, die internen Governance-Arrangements, -Prozesse und -Mechanismen der Institute in der Europäischen Union weiter zu harmonisieren. Bei der Ausarbeitung der Leitlinien berücksichtigte die EBA auch die Bestimmungen von Artikel 11 der Richtlinie (EU) 2015/2366 (PSD2), Artikel 26 der Richtlinie 2019/2034/EU (IFD), Artikel 16 der Richtlinie (EU) 2014/65 (MiFID II), Artikel 34 der Verordnung (EU) 2023/1114 (MiCAR) und Artikel 16 der Verordnung (EU) Nr. 1093/2010.
Finanzinstitute, die dem EU-Finanzrecht unterliegen, sowie grenzüberschreitende Anbieter, die kritische Dienstleistungen für EU-Finanzunternehmen erbringen, sollten ihre Governance-, Vertrags- und Risikomanagement-Rahmenwerke überprüfen, um sie während der Übergangsfrist an die neuen Leitlinien anzupassen.
Wer betroffen sein kann
EU-Finanzinstitute (Banken, Wertpapierfirmen, Zahlungsdienstleister, Anbieter von Kryptowerte-Dienstleistungen) und ihre IKT- und Nicht-IKT-Drittpartei-Dienstleister.
Grenzüberschreitender Kontext
Gilt für EU-regulierte Finanzunternehmen und betrifft internationale Drittanbieter, die IKT- oder Nicht-IKT-Dienstleistungen in die Europäische Union erbringen.
Was als Nächstes zu prüfen ist
- Der Volltext der endgültigen EBA-Leitlinien für das Management des Drittparteienrisikos, sobald verfügbar
- Aufsichtsrechtliche Erwartungen und Mitteilungen der zuständigen nationalen Behörden bezüglich des zweijährigen Übergangs
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.