EBA-Leitlinien ohne Rundschreiben: Wie Institute die BaFin-Übernahme verfolgen

EBA-Leitlinien und Leitlinien der anderen europäischen Aufsichtsbehörden erreichen Institute in Deutschland seit dem 1. Oktober 2026 auf einem anderen Weg. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zeigt in einer tabellarischen Übersicht, welche Leitlinien der Europäischen Aufsichtsbehörden (European Supervisory Authorities, ESAs) und der Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung (Anti-Money Laundering Authority, AMLA) sie in ihre Verwaltungspraxis übernommen hat. Rundschreiben, die lediglich diese Übernahme mitteilen, konsultiert und veröffentlicht sie nicht mehr (BaFin, Meldung vom 1. Oktober 2026).

Für die Praxis klingt das zunächst nach weniger Lesestoff. Tatsächlich verschiebt sich Arbeit in die Institute. Bisher war ein Übernahme-Rundschreiben ein deutlich sichtbarer Auslöser für die Gap-Analyse. Künftig gibt es eine kurze Meldung, einen Newsletter-Hinweis und eine Excel-Übersicht, deren Einträge sich ohne Ankündigung ändern können. Wer das regulatorische Monitoring noch an Rundschreiben ausrichtet, übersieht neue Leitlinien oder bemerkt sie zu spät.

Der Zeitpunkt ist nicht zufällig kritisch. Mit den EBA-Leitlinien zum Management von Drittparteirisiken bei Nicht-IKT-Dienstleistungen steht die Ablösung der Auslagerungsleitlinien von 2019 bevor, und die AMLA bereitet ihre ersten eigenen Leitlinien zur Anwendung der Verordnung (EU) 2024/1624 (Anti-Money-Laundering-Regulation, AMLR) vor. Beide Entwicklungen werden in Deutschland voraussichtlich ohne eigenes Übernahme-Rundschreiben wirksam.

Welche Bindungswirkung EBA-Leitlinien nach Comply or Explain haben

Rechtsgrundlage der Leitlinien ist jeweils Art. 16 der Gründungsverordnungen der ESAs, also der Verordnung (EU) Nr. 1093/2010 für die Europäische Bankenaufsichtsbehörde (European Banking Authority, EBA), der Verordnung (EU) Nr. 1094/2010 für die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) und der Verordnung (EU) Nr. 1095/2010 für die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA). Nach Art. 16 Abs. 3 dieser Verordnungen unternehmen die zuständigen Behörden und die Finanzinstitute alle erforderlichen Anstrengungen, um den Leitlinien nachzukommen. Die zuständige Behörde bestätigt innerhalb von zwei Monaten, ob sie der Leitlinie nachkommt oder nachzukommen beabsichtigt, oder begründet, warum nicht. Dieses Verfahren wird als Comply or Explain bezeichnet.

Für die AMLA gilt eine parallele Regelung. Nach Art. 54 Abs. 3 der Verordnung (EU) 2024/1620 (AMLA-Verordnung) unternehmen Aufsichtsbehörden, zentrale Meldestellen und Verpflichtete alle Anstrengungen, um AMLA-Leitlinien zu befolgen; die Behörden erklären binnen zwei Monaten, ob sie ihnen nachkommen. Bemerkenswert ist, dass die Verpflichteten hier ausdrücklich Adressaten sind. Art. 54 AMLA-Verordnung gilt bereits seit dem 26. Juni 2024. Bis die AMLA eigene Instrumente erlassen hat, gelten bestimmte Geldwäsche-Leitlinien der EBA weiter, etwa die Leitlinien zu Risikofaktoren nach Art. 17 und 18 Abs. 4 der Richtlinie (EU) 2015/849 (Art. 54 Abs. 5 AMLA-Verordnung; AMLA, Regulatory Instruments).

Auf nationaler Ebene ordnet die BaFin die Wirkung selbst ein. Leitlinien nach Art. 16 ESA-Verordnungen und Art. 54 AMLA-Verordnung sowie Fragen und Antworten (Q&As) nach Art. 16b ESA-Verordnungen sind zunächst rechtlich unverbindlich. Erst die Übernahme in die Verwaltungspraxis entfaltet Wirkung für die Anwendung des Aufsichtsrechts im Zuständigkeitsbereich der BaFin. Im Einzelfall kann dafür ein Rechtsakt erforderlich sein, etwa die Anpassung einer Verordnung (BaFin, Leitlinien und Q&As der ESAs und der AMLA). Die BaFin erklärt zudem, sie werde auch künftig grundsätzlich alle Leitlinien und Q&As übernehmen.

Was sich an der Verwaltungspraxis der BaFin ändert und was bleibt

Neu ist allein das Veröffentlichungsformat für die Übernahmeentscheidung. Die Comply-Erklärung gibt die BaFin weiterhin gegenüber der jeweiligen EU-Behörde ab; über Q&As entscheidet sie formlos, ohne dass eine deutsche Übersetzung erforderlich ist. Nicht übernommene oder nur teilweise übernommene Q&As führt sie in einer Negativliste, die nach eigener Angabe spätestens vier Monate nach Veröffentlichung durch die jeweilige ESA aktualisiert wird.

Unverändert bleiben Rundschreiben, die eigene inhaltliche Verwaltungspraxis enthalten. Ein Beispiel ist das Rundschreiben 11/2025 (BA) zu Geschäftsleitern sowie Mitgliedern von Verwaltungs- und Aufsichtsorganen, mit dem die BaFin die gemeinsamen Leitlinien von EBA und ESMA zur Eignungsbeurteilung und die EBA-Leitlinien zur internen Governance übernimmt, jeweils mit eingeschränkter Compliance-Erklärung. Seit November 2025 nutzt die BaFin als formelle Veröffentlichungsformen ihrer Verwaltungspraxis Rundschreiben und Aufsichtsmitteilungen; ältere Merkblätter und Auslegungsentscheidungen bleiben bis zu ihrer Überarbeitung gültig (BaFin, Verwaltungspraxis).

Für Institute bedeutet das eine Zweiteilung. Wo die BaFin Leitlinien mit eigener Auslegung verbindet, etwa in den Mindestanforderungen an das Risikomanagement (MaRisk), bleibt das Rundschreiben die maßgebliche Quelle. Wo die BaFin eine Leitlinie unverändert übernimmt, ist künftig die englische Originalfassung zusammen mit dem Eintrag in der Übersicht maßgeblich.

Wie oft die BaFin EBA-Leitlinien nur teilweise übernimmt

Die BaFin-Übersicht in ihrer Fassung mit Ständen zwischen dem 2. und 28. September 2026 enthält nach Auszählung von S+P Compliance 293 Einträge, einschließlich bereits ersetzter Leitlinien. Davon sind 263 als „compliant“ gekennzeichnet, 22 als „partially non-compliant“, 7 als „intend to comply“ und einer als „non-compliant“. Auf die EBA entfallen 155 Einträge, auf die EIOPA 47, auf die ESMA 79 und auf gemeinsame Leitlinien der ESAs 12. Das Tabellenblatt für die AMLA enthält zum Stand 2. September 2026 noch keinen Eintrag (BaFin, Übersicht übernommener und nicht übernommener Leitlinien).

Die Abweichungen betreffen häufig Kernbereiche der Geschäftsorganisation. Bei den EBA-Leitlinien zur internen Governance und zur Eignungsbeurteilung setzt die BaFin die Anforderungen an die formale Unabhängigkeit nicht um. Die EBA-Leitlinien zum Management von Umwelt-, Sozial- und Governance-Risiken (ESG-Risiken, EBA/GL/2025/01) überträgt sie nach eigener Angabe proportional und stärker prinzipienbasiert in die MaRisk. Bei den EBA-Leitlinien zu internen Verfahren für die Umsetzung restriktiver Maßnahmen (EBA/GL/2024/14 und EBA/GL/2024/15, anwendbar seit 30. Dezember 2025) übernimmt sie die Teile nicht, die etwa untertägiges Screening inländischer Übertragungen betreffen oder die Überwachung der BaFin zuweisen würden, weil hierfür die Deutsche Bundesbank zuständig ist. Für die Sanktions-Compliance ist diese Differenzierung unmittelbar praxisrelevant.

Belastbare amtliche Daten dazu, wie Institute selbst Leitlinien umsetzen oder wie häufig Prüfungsfeststellungen auf nicht umgesetzte EBA-Leitlinien zurückgehen, liegen nicht vor. Die Übersicht zeigt nur die Entscheidung der Aufsicht, nicht den Umsetzungsstand im Markt. Auffällig ist aber: Rund 7,5 Prozent der Einträge sind nur teilweise übernommen. Bei diesen Leitlinien ergibt erst die Kombination aus Leitlinientext und Hinweis der BaFin den in Deutschland maßgeblichen Prüfungsmaßstab.

Warum die EBA-Leitlinien zur Auslagerung jetzt Vorrang haben

Am 18. September 2026 hat die EBA die Leitlinien zum soliden Management von Drittparteirisiken bei Nicht-IKT-Dienstleistungen (EBA/GL/2026/09) veröffentlicht. Sie ersetzen nach ihrem Anwendungsbeginn die Leitlinien zu Auslagerungen von 2019 (EBA/GL/2019/02) und konzentrieren sich auf Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Für bestehende Vereinbarungen sieht die EBA eine Übergangsfrist von zwei Jahren vor (EBA, Pressemitteilung vom 18. September 2026). Der Anwendungsbeginn steht noch nicht fest, weil die Übersetzungen in die Amtssprachen ausstehen; nach deren Veröffentlichung läuft die zweimonatige Frist für die Comply-Erklärung der BaFin.

IKT-Dienstleistungen fallen weiterhin unter die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act, DORA). Die neuen EBA-Leitlinien verlangen aber einen ganzheitlichen Ansatz für IKT- und Nicht-IKT-Drittparteirisiken. Für deutsche Institute ist das relevant, weil die Anforderungen an Auslagerungen in AT 9 MaRisk auf den EBA-Leitlinien von 2019 aufbauen. Ob und wie die BaFin AT 9 an die neuen Leitlinien anpasst, ist noch offen. Die Übernahmeentscheidung selbst wird sie voraussichtlich nur über die Übersicht mitteilen.

Für Auslagerungsbeauftragte empfiehlt sich deshalb schon jetzt eine Vorab-Gap-Analyse auf Basis des englischen Abschlussberichts: Abgrenzung von IKT- und Nicht-IKT-Leistungen, Einstufung kritischer oder wichtiger Funktionen, Register für Nicht-IKT-Vereinbarungen und Exit-Strategien. Ein zentrales Auslagerungsmanagement mit abgestimmtem Auslagerungs- und DORA-Informationsregister erleichtert den Abgleich erheblich.

Parallel arbeitet die AMLA an Leitlinien zur kontinuierlichen Überwachung von Geschäftsbeziehungen nach Art. 26 Abs. 5 AMLR. Die Konsultation lief bis zum 3. September 2026, die endgültigen Leitlinien sind für das vierte Quartal 2026 angekündigt. Für die Geldwäscheprävention heißt das: Die ersten AMLA-Leitlinien dürften vor dem Geltungsbeginn der AMLR am 10. Juli 2027 vorliegen und ohne Übernahme-Rundschreiben wirksam werden.

Leitlinien-Monitoring als Aufgabe der Compliance-Funktion

Nach § 25a Abs. 1 des Kreditwesengesetzes (KWG) erfordert eine ordnungsgemäße Geschäftsorganisation ein angemessenes und wirksames Risikomanagement. Die MaRisk weisen der Compliance-Funktion in AT 4.4.2 die Aufgabe zu, auf die Einhaltung der für das Institut wesentlichen rechtlichen Regelungen und Vorgaben hinzuwirken. Zu diesen Vorgaben gehören übernommene Leitlinien. Nach Einschätzung von S+P Compliance sollte das Leitlinien-Monitoring daher ausdrücklich in der Compliance-Planung verankert und nicht nur informell über Newsletter organisiert werden.

Ein belastbarer Prozess umfasst vier Schritte:

• Quellen festlegen: BaFin-Übersicht, BaFin-Meldungen und Newsletter, Negativliste der Q&As sowie die Veröffentlichungsseiten von EBA, ESMA, EIOPA und AMLA, jeweils mit Verantwortlichen und Turnus.
• Relevanz bewerten: Für jede neue oder geänderte Leitlinie dokumentieren, ob sie für Geschäftsmodell, Lizenz und Größe des Instituts einschlägig ist, und den Übernahmestatus der BaFin einschließlich Hinweistext festhalten.
• Gap-Analyse durchführen: Anforderungen der Leitlinie mit internen Richtlinien, Prozessen und Kontrollen abgleichen, Maßnahmen mit Fristen und Zuständigen festlegen und den Anwendungsbeginn als Zieltermin führen.
• Berichten und nachhalten: Ergebnisse in den Compliance-Bericht an die Geschäftsleitung aufnehmen und offene Maßnahmen bis zur Umsetzung verfolgen.

Als Kennzahlen eignen sich die Zeit zwischen Veröffentlichung und abgeschlossener Relevanzbewertung, die Zahl offener Gap-Maßnahmen je Leitlinie und der Anteil umgesetzter Maßnahmen zum Anwendungsbeginn. Da die Übersicht laufend aktualisiert wird, empfiehlt sich eine datierte Ablage jeder genutzten Fassung. So lässt sich im Prüfungsfall belegen, welcher Übernahmestand zu welchem Zeitpunkt bekannt war.

Die Tiefe richtet sich nach Proportionalität. Ein kleines Wertpapierinstitut kann sich auf die ESMA- und die einschlägigen EBA-Leitlinien beschränken und quartalsweise prüfen. Eine Bank mit Auslagerungen, Kreditgeschäft und grenzüberschreitendem Zahlungsverkehr braucht einen monatlichen Turnus und klare Schnittstellen zu Auslagerungsmanagement, Geldwäscheprävention und Informationssicherheit.

Prüfliste für das Monitoring von EBA-Leitlinien

• Ist das Leitlinien-Monitoring in der Compliance-Planung mit Verantwortlichen, Quellen und Turnus festgelegt?
• Werden BaFin-Übersicht, BaFin-Meldungen und die Negativliste der Q&As regelmäßig ausgewertet und die genutzte Fassung datiert abgelegt?
• Ist für jede einschlägige Leitlinie der Übernahmestatus einschließlich Hinweistext der BaFin dokumentiert?
• Werden teilweise übernommene Leitlinien, etwa zu interner Governance, ESG-Risiken oder restriktiven Maßnahmen, nur im übernommenen Umfang als Prüfungsmaßstab angesetzt?
• Liegt für EBA/GL/2026/09 eine Vorab-Gap-Analyse zu AT 9 MaRisk und zum DORA-Informationsregister vor?
• Sind die angekündigten AMLA-Leitlinien zur laufenden Überwachung im AMLR-Umsetzungsplan berücksichtigt?
• Fließen Ergebnisse und offene Maßnahmen in den Bericht an die Geschäftsleitung ein?

Weniger Rundschreiben verlangen ein besseres Monitoring der EBA-Leitlinien

Die Entscheidung der BaFin baut Bürokratie ab, verlagert aber Aufmerksamkeit in die Institute. Der Prüfungsmaßstab ändert sich nicht: Eine übernommene Leitlinie ist zu beachten, unabhängig davon, ob ein Rundschreiben auf sie hinweist. Wer Quellen, Zuständigkeiten und Dokumentation jetzt klar regelt, kann den Übernahmestand jeder Leitlinie nachvollziehbar belegen.

In den kommenden Monaten stehen mit den Drittparteirisiko-Leitlinien der EBA und den ersten AMLA-Leitlinien zwei Prüfsteine an. Hinzu kommen überarbeitete Leitlinien zum aufsichtlichen Überprüfungs- und Bewertungsprozess, die ab dem 1. Januar 2027 gelten sollen. Für die Compliance-Funktion lohnt es sich, den eigenen Monitoring-Prozess noch vor diesen Stichtagen zu überprüfen.

Häufige Fragen zu EBA-Leitlinien

Sind EBA-Leitlinien für Institute rechtlich verbindlich?

EBA-Leitlinien sind kein unmittelbar verbindliches Recht. Nach Art. 16 Abs. 3 der EBA-Verordnung müssen Behörden und Finanzinstitute aber alle erforderlichen Anstrengungen unternehmen, ihnen nachzukommen. Übernimmt die BaFin eine Leitlinie in ihre Verwaltungspraxis, wird sie zum Maßstab der Aufsicht und von Prüfungen. Abweichungen sollten deshalb begründet und dokumentiert werden.

Was bedeutet Comply or Explain bei EBA-Leitlinien?

Die zuständige nationale Behörde muss innerhalb von zwei Monaten erklären, ob sie einer Leitlinie nachkommt oder nachzukommen beabsichtigt. Andernfalls begründet sie, warum sie das nicht tut. Die BaFin gibt diese Erklärung gegenüber der EU-Behörde ab und veröffentlicht den Status seit dem 1. Oktober 2026 in einer tabellarischen Übersicht.

Gibt es künftig keine BaFin-Rundschreiben zu Leitlinien mehr?

Entfallen sind nur Rundschreiben, die lediglich die Übernahme einer Leitlinie mitteilen. Rundschreiben mit eigener Verwaltungspraxis bleiben bestehen, etwa die MaRisk oder das Rundschreiben 11/2025 (BA) zur Eignung von Geschäftsleitern. Neue Übernahmeentscheidungen erfahren Institute über die Übersicht, eine kurze Meldung und den Newsletter der BaFin.

Wo erkennen Institute, ob die BaFin eine EBA-Leitlinie nur teilweise übernimmt?

In der Übersicht der BaFin steht je Leitlinie der Status, etwa „compliant“ oder „partially non-compliant“, zusammen mit einem Hinweistext. Dieser benennt die nicht übernommenen Teile, zum Beispiel die formale Unabhängigkeit bei der internen Governance. Für nicht übernommene Q&As führt die BaFin eine eigene Negativliste.

Wann gelten die neuen EBA-Leitlinien zu Drittparteirisiken?

Die EBA hat die Leitlinien EBA/GL/2026/09 am 18. September 2026 veröffentlicht. Der Anwendungsbeginn wird erst nach Vorliegen der Übersetzungen festgelegt; für bestehende Vereinbarungen gilt dann eine Übergangsfrist von zwei Jahren. Die Leitlinien ersetzen die Auslagerungsleitlinien von 2019 und gelten für Nicht-IKT-Dienstleistungen neben DORA.

Welche Rolle spielen Leitlinien der AMLA?

AMLA-Leitlinien nach Art. 54 AMLA-Verordnung richten sich auch unmittelbar an Verpflichtete, die alle Anstrengungen zu ihrer Befolgung unternehmen müssen. Bis eigene AMLA-Instrumente vorliegen, gelten bestimmte Geldwäsche-Leitlinien der EBA weiter. Erste AMLA-Leitlinien zur laufenden Überwachung von Geschäftsbeziehungen sind für das vierte Quartal 2026 angekündigt.

Quellen

Leitlinien der ESAs und der AMLA: Bafin reduziert Rundschreiben, Meldung, Bundesanstalt für Finanzdienstleistungsaufsicht, 1. Oktober 2026: BaFin-Meldung zum Wegfall der Übernahme-Rundschreiben.

Leitlinien und Q&As der ESAs und der AMLA, Bundesanstalt für Finanzdienstleistungsaufsicht, abgerufen am 30. Oktober 2026: Verwaltungspraxis der BaFin zu Leitlinien und Q&As.

Übernommene und nicht übernommene Leitlinien der ESAs und der AMLA, Excel-Übersicht, Bundesanstalt für Finanzdienstleistungsaufsicht, Stände 2. bis 28. September 2026, abgerufen am 30. Oktober 2026: BaFin-Übersicht zum Übernahmestatus.

Nicht übernommene Q&As der ESAs, Bundesanstalt für Finanzdienstleistungsaufsicht, abgerufen am 30. Oktober 2026: Negativliste der BaFin zu Q&As.

Verwaltungspraxis, Bundesanstalt für Finanzdienstleistungsaufsicht, abgerufen am 30. Oktober 2026: Veröffentlichungsformen der BaFin-Verwaltungspraxis.

Rundschreiben 11/2025 (BA) zu den Mitgliedern der Geschäftsleitung sowie von Verwaltungs- und Aufsichtsorganen gemäß KWG, Bundesanstalt für Finanzdienstleistungsaufsicht, 22. Oktober 2025, geändert am 1. Oktober 2026: Fit-and-proper-Rundschreiben der BaFin.

Verordnung (EU) Nr. 1093/2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), Art. 16 und 16b in der jeweils geltenden Fassung, Amtsblatt der Europäischen Union L 331 vom 15. Dezember 2010: EBA-Verordnung bei EUR-Lex.

Verordnung (EU) 2024/1620 zur Errichtung der Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung, Art. 54, Amtsblatt der Europäischen Union L vom 19. Juni 2024: AMLA-Verordnung bei EUR-Lex.

Regulatory Instruments, Anti-Money Laundering Authority, Stand 7. Oktober 2026: Übersicht der AMLA zu Mandaten und fortgeltenden EBA-Instrumenten.

Consultation Paper: Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624, Anti-Money Laundering Authority, abgerufen am 30. Oktober 2026: AMLA-Konsultation zur laufenden Überwachung.

The EBA publishes its final Guidelines on the management of third-party risk, Pressemitteilung, European Banking Authority, 18. September 2026: EBA-Pressemitteilung zu EBA/GL/2026/09.

Final Report on Guidelines on the sound management of third-party risk related to non-ICT services (EBA/GL/2026/09), European Banking Authority, 18. September 2026: Abschlussbericht der EBA zu Drittparteirisiken.

The EBA reaches another important milestone in enhancing supervisory efficiency with its revised SREP Guidelines, Pressemitteilung, European Banking Authority, 26. Juni 2026: EBA-Pressemitteilung zu den SREP-Leitlinien.

Über S+P Compliance

S+P Compliance ist eine Compliance-Beratung mit Sitz in München und unterstützt von der BaFin beaufsichtigte Institute bei regulatorischen und organisatorischen Aufgaben. Das Haus übernimmt ausgelagerte Kontrollfunktionen, darunter Geldwäscheprävention, MaRisk-Compliance und Interne Revision. S+P Compliance betreibt ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheitsmanagementsystem. Zum fachlichen Weiterbildungsangebot des S+P Unternehmerforums gehören Seminare zum Aufsichtsrecht nach MaRisk, zum Auslagerungsmanagement und zur Geldwäscheprävention. Die Angebote richten sich an Geschäftsleitungen sowie Fach- und Führungskräfte regulierter Unternehmen.