Új EBA-iránymutatás a külső szolgáltatókról: hol ér véget a DORA, és hol kezdődik a többi kockázat?

Végleges EBA-iránymutatás, de még nem alkalmazandó

Az Európai Bankhatóság (EBA) 2026. szeptember 18-án közzétette a külső szolgáltatói kockázatok megfelelő kezeléséről szóló végleges iránymutatását. Az új megközelítés elsősorban azokra a harmadik féllel kötött megállapodásokra összpontosít, amelyek kritikus vagy fontos funkciókat támogatnak. Ilyen funkció sérülése számottevően akadályozhatja egy pénzügyi intézmény szolgáltatását, megfelelését vagy működési stabilitását.

A döntés hátterében az áll, hogy a pénzügyi szolgáltatók ma már nem kizárólag saját alkalmazottaikra és rendszereikre támaszkodnak. Külső cégek gondoskodhatnak egyebek mellett ügyfél-azonosítási háttérfolyamatokról, dokumentumfeldolgozásról, működési támogatásról vagy egyéb fontos nem informatikai tevékenységekről. Egy partner kiesése, hibája vagy szerződéses problémája ugyanúgy veszteséget és szolgáltatáskimaradást okozhat, mint egy informatikai incidens.

Fontos időzítés: az EBA hivatalos szabályozási oldalán az iránymutatás 2026. októberében még „nem alkalmazandó” státusszal szerepel, és a végleges szöveg uniós hivatalos nyelvekre történő fordítására vár. Ezért a közlemény publikálása nem azonos az új iránymutatás már beállt alkalmazási határidejével. Az EBA két éves átmeneti időszakot is jelez a rendezett felkészülés támogatására.

Hol húzódik a határ a DORA és az új iránymutatás között?

A 2025. január 17-től alkalmazandó DORA (Digital Operational Resilience Act) a megfelelő körbe tartozó pénzügyi szervezetek digitális működési ellenálló képességét szabályozza, beleértve az információs és kommunikációs technológiai (IKT) harmadik felekből eredő kockázatokat. A DORA többek között az IKT-kockázatkezelés, az incidensjelentés, a tesztelés és az IKT-szolgáltatói szerződések területén ír elő feladatokat.

Az új EBA-iránymutatás központi tárgya ezzel szemben a nem IKT-jellegű külső szolgáltatói kockázat, különös tekintettel a kritikus vagy fontos funkciókra. A szabályozó azt szeretné elérni, hogy az intézmények az informatikai és nem informatikai partnerkockázatokat összhangban, arányosan és áttekinthetően kezeljék. Ebből azonban nem következik, hogy egy nem IKT-szolgáltató automatikusan DORA szerinti IKT-szolgáltatónak minősülne.

Egy szolgáltatás besorolása a tényleges tartalmától és a szerződéses szerepektől függ. Egy szoftverüzemeltetési szolgáltatás jellemzően más megközelítést követel, mint egy fizikai irattároló vagy manuális dokumentumellenőrzést végző partner. Vegyes szolgáltatásnál különösen fontos feltárni, hogy a szerződés mely részei IKT-funkciók, és milyen más tevékenységek tartozhatnak a nem IKT-szabályokhoz.

Miért fontos a kritikus vagy fontos funkció?

Az EBA a kockázatalapú arányosságra helyezi a hangsúlyt: az intenzív kontrollokat elsősorban azokhoz a szerződésekhez rendeli, amelyek megszakadása érdemben befolyásolhatja az intézmény működését. A kritikus vagy fontos minősítést nem kizárólag a szerződés pénzügyi értéke határozza meg. Számít a tevékenység jellege, az érintett ügyfelek és folyamatok köre, a szolgáltatás helyettesíthetősége és a kiesés következménye.

Például egy viszonylag alacsony díjú külső ellenőrzési folyamat is lehet nagyon fontos, ha nélküle nem lehet jogszerűen ügyfelet beléptetni. Fordítva: nem minden külső szolgáltatás igényel azonos mélységű átvilágítást, ha az adott szerződés nem hordoz számottevő működési kockázatot. A besorolást érdemes dokumentált, indokolható belső módszertan alapján elvégezni.

Melyik szakaszokban kell kezelni a partnerkockázatot?

Az iránymutatás a külső szolgáltatói kapcsolat teljes életciklusára tekint: előzetes kockázatértékelés, partnerátvilágítás, szerződéskötés, alvállalkozók bevonása, folyamatos ellenőrzés, dokumentáció, majd a szerződés megszüntetése vagy a feladat másik szolgáltatóhoz helyezése. A megközelítés célja, hogy a kockázatot ne egyszeri beszerzési vagy jogi ellenőrzésként kezeljék.

A partnerválasztáskor a pénzügyi és működési megbízhatóság, a földrajzi és szervezeti függőségek, a teljesítéshez szükséges erőforrások és az alvállalkozói lánc átláthatósága is releváns lehet. A szerződésben tisztázni kell a feladatokat, a szolgáltatási szinteket, az ellenőrzési és tájékoztatási lehetőségeket, valamint az együttműködés megszüntetésének feltételeit.

Mit jelent ez a gyakorlatban egy banknál vagy fintech cégnél?

Képzeljünk el egy pénzügyi szolgáltatót, amely külső céggel végezteti bizonyos ügyfél-dokumentumok feldolgozását. Elsőként azt kell megállapítania, hogy a tevékenység kritikus vagy fontos funkciót érint-e. Ha igen, a szolgáltató kiválasztása előtt részletesebb kockázatértékelésre, a szerződéses biztosítékok megvizsgálására és a függőségek feltárására lehet szükség.

Az együttműködés során a szerződésben rögzített minőségi és rendelkezésre állási mutatókat érdemes nyomon követni, és meg kell tervezni, hogyan lehet egy jelentős kiesést kezelni. Nem elegendő az az általános kijelentés, hogy „van másik szolgáltató”: a váltás feltételeit, időigényét, adatátadási lépéseit és felelőseit is fel kell mérni.

A magyar piaci szereplőknek különösen az lehet hasznos, ha az IKT- és nem IKT-szolgáltatói szerződéseik nyilvántartását egységes szempontok szerint áttekintik. Ettől még a különféle szerződésekre eltérő jogi követelmények vonatkozhatnak. Egy közös belső áttekintés nem helyettesíti a DORA szerinti IKT-nyilvántartás vagy más kötelező adatszolgáltatás szabályait.

Hogyan érinti az alvállalkozókat és a koncentrációs kockázatot?

Egy pénzügyi intézmény közvetlen szerződő partnere maga is támaszkodhat más szolgáltatókra. A hosszú alvállalkozói lánc csökkentheti a működés átláthatóságát. Lényeges kérdés, hogy a fontos funkciót ténylegesen ki végzi, hol végzi, milyen felhatalmazással, és az intézmény mennyire tud beavatkozni probléma esetén.

A koncentrációs kockázat akkor jelenik meg, amikor több kritikus folyamat függ egyetlen szolgáltatótól vagy ugyanattól az infrastruktúrától. Egy látszólag független második partner sem feltétlenül jelent valódi alternatívát, ha ugyanazt a háttérszolgáltatót használja. Emiatt a szerződések külön-külön elemzése mellett az összesített függőségeket is érdemes figyelni.

Milyen felkészülési lépések indokoltak?

Az első lépés egy áttekinthető szerződésállomány: melyik külső szolgáltató mit végez, mely üzleti folyamatot támogatja, és ki a belső felelős. A második a dokumentált besorolás: mi tekinthető kritikus vagy fontos funkciónak, és miért. A harmadik a kockázatalapú rés-elemzés, amely megmutatja, hol hiányzik átvilágítás, szerződéses védelem, rendszeres monitoring vagy valódi kilépési terv.

Az EBA két éves átmeneti időszakra utaló közleménye felkészülési lehetőséget ad, de nem indok a halogatásra. Közben a már alkalmazandó DORA-kötelezettségek, a jelenlegi kiszervezési iránymutatások és a nemzeti előírások továbbra is relevánsak lehetnek az adott intézményre. Az új szöveg végleges alkalmazási dátumát és esetleges felügyeleti pontosításait külön kell figyelni.

Kiket érint, és kiket nem?

Nem minden magyar fintech vállalkozásra automatikusan, azonos módon terjed ki az EBA új iránymutatása. A jogi besorolás, az engedélyezett tevékenység, a konkrét intézményi kör és az iránymutatás alkalmazandósága számít. Egy bank, egy fizetési intézmény, egy befektetési vállalkozás és egy kizárólag technológiai beszállító helyzete eltérhet. A beszállítót a pénzügyi partner szerződéses követelményekkel közvetetten akkor is érintheti, ha az EBA-iránymutatás közvetlen kötelezettje másik intézmény.

Ezért a legcélszerűbb nem általános „minden partner DORA-köteles” üzenetekkel kommunikálni, hanem feltárni a szerződés konkrét funkcióját és az alkalmazandó jogi kereteket. A besorolásban a megfelelési, jogi, kockázatkezelési és beszerzési területek együttműködése szükséges.