Ausblick auf das Aufsichtsrecht 2025: Was müssen Unternehmen der Finanzbranche beachten?
Die regulatorischen Neuerungen 2025 bringen erhebliche Änderungen für die Finanzbranche. Mit Regelungen wie dem Digital Operational Resilience Act (DORA), der Instant-Payment-Verordnung und den erweiterten Eigenkapitalanforderungen der CRR stehen Banken, Wertpapierinstitute und Zahlungsdienstleister sowie ihre Partner vor neuen Herausforderungen. Dieser Artikel bietet einen Überblick und zeigt konkrete Ansätze zur Bewältigung dieser Herausforderungen auf.
I. Digital Operational Resilience Act (DORA): Stärkung der Cybersicherheit
Ab dem 17. Januar 2025 verändert DORA die Anforderungen an die Cybersicherheit in der Finanzbranche grundlegend. Neben Unternehmen der Finanzbranche (u.a. Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen) sind erstmals auch deren IKT-Dienstleister direkt betroffen. IKT steht hierbei für Informations- und Kommunikationstechnologien.1. Kernanforderungen:
- IKT-Risikomanagement: Unternehmen der Finanzbranche müssen umfassende Strategien zur Identifizierung, Bewertung und Steuerung von IT- und Cyberrisiken umsetzen.
- Überwachung von IKT-Dienstleistern: Unternehmen der Finanzbranche müssen ihre IKT-Dienstleister überwachen, Audits durchführen und Vertragsklauseln entsprechend anpassen.
- Test der digitalen Resilienz: Regelmäßige Resilienz Tests (z. B. Penetrationstests) zur Überprüfung der IT-Systeme sind vorgeschrieben.
- Meldepflichten: Schwere IKT-Vorfälle müssen klassifiziert und gemeldet werden. Eine Registrierung im BaFin-Portal ist zwingend erforderlich.
2. Konkrete Maßnahmen:
- Beauftragen Sie entsprechend spezialisierte Mitarbeiter oder externe Berater, um die internen IT-Systeme und Dokumentation zu überprüfen, Schwachstellen zu ermitteln und zu beseitigen.
- Überprüfen Sie die bestehenden internen Arbeitsanweisungen und schriftliche Ordnung sowie Verträge mit IKT-Dienstleistern und passen Sie sie im erforderlichen Umfang an. Es bieten sich auch Schulungen für die Mitarbeiter an.
- Implementieren Sie automatisierte Überwachungstools und Testroutinen, um potenzielle Sicherheitsrisiken frühzeitig zu erkennen.
II. Instant-Payment-Verordnung: Echtzeitüberweisungen
Die Verordnung tritt 2025 in Kraft und erleichtert den Zugang zu Echtzeitüberweisungen in der EU. Sie fordert von Zahlungsdienstleistern signifikante Anpassungen ihrer Systeme.1. Kernanforderungen:
- Technische Umstellung: Bis Oktober 2025 müssen Zahlungsdienstleister sicherstellen, dass sowohl die Versendung als auch der Empfang von Echtzeitüberweisungen in Euro reibungslos funktionieren.
- IBAN-Name-Check: Dieser Sicherheitsmechanismus zur Überprüfung von Zahlungsempfängern vor Autorisierung der Überweisung muss bis Ende 2025 implementiert sein. Die Kontrollfunktionen sollten sicherstellen, dass die Implementierung datenschutzkonform erfolgt.
- Kosten: Die Gebühren für SEPA-Echtzeitüberweisungen (Instant Payments) dürfen nicht höher sein als die für reguläre SEPA-Überweisungen und diese Gebühren müssen fair und transparent sein.
2. Konkrete Maßnahmen:
- Arbeiten Sie mit entsprechend spezialisierten Mitarbeitern oder externen Beratern für Zahlungsverkehr zusammen, um technische und regulatorische Anforderungen effizient umzusetzen.
- Führen Sie interne Tests und Simulationen durch, um die Funktionsfähigkeit und Belastbarkeit der Echtzeitüberweisungen vor Go-Live sicherzustellen.
- Schaffen Sie Transparenz in den Gebührenstrukturen, um regulatorische Risiken zu minimieren.
III. CRR III und CRD VI: Neue Eigenkapitalanforderungen
Ab dem 1. Januar 2025 treten zum Teil schrittweise die neuen Eigenkapitalregelungen in Kraft, die eine Erhöhung der Mindestkapitalanforderungen für Banken mit sich bringen.1. Kernanforderungen:
- Neue Klassifikationen und Berechnung: Die Berechnung der Eigenkapitalanforderungen und Risikogewichtung der verschiedenen Risikofaktoren erfahren umfangreiche Änderungen. Etwa dürfen die Kapitalanforderungen aus internen Modellen die Berechnungen auf Basis des standardisierten Ansatzes nicht um mehr als 27,5 % unterschreiten (sog. Output-Floor). Darüber hinaus gibt es Änderungen bei den Kredit- und Marktrisiken sowie den operationellen Risiken.
- ESG-Risikomanagement: Banken müssen verstärkt ESG-Risiken in ihre Risikomanagementsysteme integrieren.
- Governance und Vergütung: Es gelten strengere Anforderungen an die Corporate Governance, insbesondere die Rolle des Risikomanagements und der Vergütungsstrukturen.
- Berichterstattung und Offenlegung: Es sind neue Anforderungen zur Offenlegung von Kapitalquoten, Risiken und Nachhaltigkeitsfaktoren umzusetzen.
2. Konkrete Maßnahmen:
- Nutzen Sie Szenario-Analysen und Gap-Analysen, um die Auswirkungen der neuen Anforderungen vor allem auf Ihre Eigenkapitalstruktur zu ermitteln.
- Lassen Sie sich im Hinblick auf die Integration von ESG-Risiken in ihre Risikomanagementsysteme, die Überarbeitung von Governance und Vergütungsstrukturen sowie die veränderte Berichterstattung und Offenlegung beraten. Zudem kann eine Abstimmung mit den externen Wirtschaftsprüfern sinnvoll sein.
- Führen Sie entsprechende Schulungen und Fortbildungen Ihrer Mitarbeiter durch.
IV. Fazit: Effiziente Umsetzung als Wettbewerbsvorteil
DMR Legal berät Mandanten zum (rechts-)sicheren Umgang mit den beschriebenen regulatorischen Neuerungen. Rechtliches Know-how ist auch notwendig, denn diese Neuerungen stellen hohe Anforderungen an Unternehmen der Finanzbranche. Sprechen Sie mit uns darüber. Wir freuen uns auf Ihren Anruf!
Die wichtigsten Erfolgsfaktoren sind:
- Spezialisierte Unterstützung: Ziehen Sie bei Bedarf externe Berater (vor allem Rechtsanwälte, Wirtschaftsprüfer und IT-Experten) hinzu, um die komplexen Anforderungen korrekt und effizient umzusetzen.
- Technologische Investitionen: Investieren Sie in Automatisierungstools und Sicherheitslösungen, um regulatorische Anforderungen langfristig zu erfüllen.
- Interne Schulungen: Qualifizieren Sie Mitarbeitende gezielt weiter, um die neuen Vorgaben sicher handhaben zu können.
Glossar – alle Fachbegriffe des Blogbeitrags einfach erklärt:
Ihre Ansprechpartner bei DMR:
Dr. Maximilian Degenhart
- M: maximilian.degenhart@dmr.legal
- T: +49 (0) 89 215 273 96
- F: +49 (0) 89 380 348 19
- W: www.dmr.legal
Dr. Alexis Darányi
- M: alexis.daranyi@dmr.legal
- T: +49 (0) 89 215 273 96
- F: +49 (0) 89 380 348 19
- W: www.dmr.legal
* Zur besseren Lesbarkeit verzichten wir auf die gleichzeitige Verwendung der Sprachformen männlich, weiblich und divers (m/w/d). Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter.
Glossar – alle Fachbegriffe des Blogbeitrags einfach erklärt:
Allgemeine Begriffe:
