DORA – ein inhaltlicher Überblick

Nachdem wir uns im ersten Teil der Beitragsreihe mit dem Anwendungsbereich von DORA beschäftigt haben, betrachten wir in diesem zweiten Teil nun die inhaltlichen Regelungen der neuen europäischen Verordnung etwas genauer. Dieser Blogbeitrag beleuchtet fünf Handlungsfelder von DORA, die entsprechenden Anpassungsaufwand auf Seiten der betroffenen Finanzunternehmen nach sich ziehen werden.

Am 27. Dezember 2022 wurde die Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors (DORA) im Amtsblatt der Europäischen Union veröffentlicht. DORA tritt am zwanzigsten Tag nach der Veröffentlichung im Amtsblatt der Europäischen Union – und damit am 16. Januar 2023 – in Kraft und muss von den betroffenen Unternehmen nach einer Umsetzungsfrist von 24 Monaten nach der Veröffentlichung, folglich ab dem 17. Januar 2025 angewendet werden (Art. 64 DORA). Die Anforderungen der DORA sind damit in allen EU-Mitgliedstaaten einheitlich. Hieran anknüpfend werden die Europäischen Aufsichtsbehörden (ESAs), die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) und die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) zur Konkretisierung des Rechtsakts technische Standards (sog. Regulatory Technical Standards – RTS) ausarbeiten, die von den jeweiligen Unternehmen erfüllt werden müssen.

Betroffenen Unternehmen ist zu raten, den persönlichen Anwendungsbereich von DORA zu prüfen und sich mit den gesetzlichen Verpflichtungen bereits frühzeitig vertraut zu machen. DORA enthält fünf Themenbereiche, die im Folgenden zusammenfassend dargestellt und eingeordnet werden.

1. IKT-Risikomanagement

Wenig überraschend muss das Risikomanagement von regulierten Finanzmarktteilnehmern auch nach DORA künftig das IKT-Risiko umfassen. Das ist nach der MaRisk und den aufsichtsrechtlichen Vorgaben an die IT in BAIT, KAIT, ZAIT und VAIT keine neue Vorgabe. Allerdings sind die Vorgaben in DORA konkreter und nun auf Gesetzesebene verankert und nicht mehr nur in Verwaltungsvorschriften der BaFin.

Kapitel II von DORA enthält Vorschriften zum IKT-Risikomanagement von Finanzunternehmen. Ein Einsatz von IKT muss durch das Finanzunternehmen in die Unternehmensstrategie integriert werden. Die Gesamtverantwortung für das Risikomanagement liegt dabei grundsätzlich bei der Geschäftsleitung des jeweiligen Finanzunternehmens. Zudem werden mit DORA Verpflichtungen eingeführt, die sicherstellen sollen, dass IKT-Systeme kontinuierlich überwacht und kontrolliert werden, sowie durch regelmäßige Updates auf dem aktuellsten Stand gehalten werden. Um Ausfallzeiten von IKT-Systemen zu minimieren, müssen betroffene Unternehmen auch Strategien für Datensicherung und Wiederherstellungsverfahren einrichten. Sämtliche interne Risikodokumente müssen verschriftlicht sein, um entsprechend intern und extern überprüfbar zu sein.

2. Berichterstattung / Meldepflichten

DORA enthält zudem eine Verpflichtung zur Meldung von IKT-bezogenen Vorfällen. Nach Kapitel III von DORA werden Finanzunternehmen künftig verpflichtet sein, einen Managementprozess zur Überwachung und Protokollierung von IKT-bezogenen Vorfällen zu implementieren. Einen derartigen IKT-bezogenen Vorfall definiert die Verordnung als ein unvorhergesehenes in den Netz- und Informationssystemen festgestelltes Ereignis, das von böswilligen Handlungen herrühren kann und die Sicherheit von Netz- und Informationssystemen und der von diesen Systemen verarbeiteten, gespeicherten oder übertragenen Informationen beeinträchtigt oder nachteilige Auswirkungen auf die Verfügbarkeit, Vertraulichkeit, Kontinuität oder Authentizität der vom Finanzunternehmen erbrachten Finanzdienstleistungen hat (vgl. Art. 3 Nr. 6 DORA).

Finanzunternehmen müssen nach Art. 15 DORA Frühwarnindikatoren einrichten, um Cyberangriffe zu erkennen und zu bewältigen. Weiterhin schafft DORA einheitliche und standardisierte Vorgaben zum Vorgehen bei IT-Sicherheitsvorfällen. So beschreibt beispielsweise Art. 16 DORA ein Verfahren zur Klassifizierung, basierend auf Faktoren wie Dauer und Schwere des IKT-bezogenen Vorfalls auf die IKT-Systeme des Finanzunternehmens.

Schwerwiegende IKT-bezogene Vorfälle (vgl. Art. 3 Nr. 7 DORA) müssen durch das jeweilige Finanzunternehmen gemäß Art. 17 DORA der zuständigen Aufsichtsbehörde (vgl. Art. 41 DORA) gemeldet werden.

Bereits unter der derzeit geltenden Rechtslage bestehen Berichts- und Meldepflichten etwa durch die Zweite Zahlungsdiensterichtlinie (PSD II-Richtlinie) für Zahlungsdienstleister oder die Richtlinie zur Netz- und Informationssicherheit (NIS-Richtlinie). Die DORA-Verordnung baut dabei auf der NIS-Richtlinie auf und beseitigt mögliche Überschneidungen durch eine Ausnahme mittels des lex specialis Prinzips, sodass die Regelungen der DORA grundsätzlich Vorrang genießen sollten.

3. Prüfung der digitalen Betriebsstabilität durch Test-Verfahren

DORA schreibt weiterhin auch umfassende Verfahren zur Feststellung und Überprüfung der IT-Sicherheit mittels geeigneter Tests vor (Kapitel IV DORA). Dabei sind diese Prüfungen anhand des bereits erwähnen risikobasierten Ansatzes unter Berücksichtigung der Größe und Geschäfts- und Risikoprofile der jeweiligen Finanzunternehmen durchzuführen. Die DORA-Verordnung listet in Art. 22 Abs. 1 Beispiele geeigneter Tests auf, darunter Bewertungen und Überprüfungen der Anfälligkeit, Analysen von OpenSource-Software, Bewertungen der Netzsicherheit, Lückenanalysen, Analysen der physischen Sicherheit, Überprüfungen der physischen Sicherheit, Fragebögen und Scansoftwarelösungen, Quellcodeprüfungen, szenariobasierte Tests, Kompatibilitätstests, Leistungstests, End-to-End-Tests oder Penetrationstests.

Finanzunternehmen müssen mindestens einmal jährlich alle kritischen IKT-Systeme und IKT-Anwendungen prüfen. Diese Prüfungen können dabei sowohl durch externe als auch durch interne Prüfer durchgeführt werden (vgl. Art. 21 Abs. 4, 6 DORA).

Systemrelevante Institute hingegen werden höheren Anforderungen mit Blick auf die Prüfung ihrer IKT-Systeme unterworfen. DORA sieht für diese Institute erweiterte Prüfungen durch die Durchführung sog. bedrohungsorientierter Penetrationstests vor, wobei diese Tests in regelmäßigen Abständen mindestens alle drei Jahre durchzuführen sind.

4. IKT-Risiken Dritter / Outsourcing

Da Institute ihre IT häufig an große Technologieanbieter auslagern oder solche Anbieter für einzelne Dienstleistungen verwenden, werden Finanzinstitute deshalb im Rahmen ihres Risikomanagements verpflichtet, auch IKT-Drittparteienrisiken zu betrachten (Kapitel V DORA). So legt etwa Art. 27 DORA wesentliche Vertragsbestimmungen für Auslagerungsverträge fest. Derartige Verträge müssen z.B. eine Beschreibung aller Funktionen und Dienstleistungen des IKT-Drittanbieters, fortlaufende Überwachungsrechte des Finanzunternehmens oder auch Kündigungsrechte und Ausstiegsstrategien enthalten. Diese Vorgaben knüpfen nahtlos an das bestehende Auslagerungsregime für regulierte Finanzmarktteilnehmer an.

5. Europäisches Überwachungsrahmenwerk für kritische IKT Drittdienstleister

Besonders hervorzuheben ist der Aufbau eines europäischen Überwachungsregimes für kritische Technologieanbieter, die im Finanzsektor genutzt werden. Das ist auf europäischer Ebene neu, in Deutschland wurde eine entsprechende Kompetenz der BaFin bereits durch das Gesetz zur Stärkung der Finanzmarktintegrität (FISG) in § 25b Abs. 4a KWG eingeführt. Allerdings gehen die Befugnisse der BaFin beim Durchgriff auf das IT-Auslagerungsunternehmen nicht so weit, wie es DORA vorsieht. Nach § 25b KWG kann die BaFin im Einzelfall geeignete Anordnungen gegenüber IT-Auslagerungsunternehmen erlassen. Die aufsichtlichen Befugnisse bei der Überwachung der IKT-Drittanbieter nach Art. 33 DORA sind wesentlich detaillierter und weitgehender. Sie umfassen beispielsweise die Anforderung von Informationen und Unterlagen, Vor-Ort-Prüfungen oder auch die Verhängung von Zwangsgeldern, um den jeweiligen kritischen IKT-Drittanbieter zur Einhaltung der gesetzlichen Regelungen zu zwingen. Die neuen Befugnisse ermöglichen der BaFin eine umfassende Aufsicht der kritischen IKT-Drittanbieter.

Die Einstufung eines Technologieanbieters als kritischer IKT-Drittdienstleister und dessen Überwachung obliegt den ESAs. Dabei basiert die Ernennung auf festgelegten Kriterien, wie etwa:

  • Systemische Auswirkungen auf die Finanzdienstleistungen bei Defiziten der Stabilität, Kontinuität und Qualität der IKT-Leistungen
  • Abhängigkeit von Finanzunternehmen von den Dienstleistungen des betreffenden IKT-Drittdienstleisters
  • Grad der Substituierbarkeit des IKT-Drittanbieters
  • Zahl der Mitgliedstaaten, welche die IKT-Leistungen nutzen

Zusammenfassung und Ausblick

Durch den umfassenden Anwendungsbereich von DORA werden Unternehmen aus zahlreichen Bereichen des Finanzsektors erfasst. Mit DORA wird ein Rechtsrahmen entstehen, der bestehende regulatorische Anforderungen an die IT-Sicherheit für die gesamte Finanzbranche zusammenfasst und einen europäisch einheitlichen Aufsichtsrahmen schafft.

Erstmals sind nun auch kritische IKT-Dienstleister, die als Auslagerungsunternehmen für regulierte Finanzmarktteilnehmer agieren, von der Regulierung umfasst.

 

Update Nachhaltigkeitsregulierung – Was gibt es Neues?

In der Nachhaltigkeitsregulierung steckt derzeit selbst für das die Schnelllebigkeit gewohnte Finanzaufsichtsrecht viel Dynamik. In der Vergangenheit hatten wir bspw. schon über das Lieferkettensorgfaltspflichtengesetz, die Richtlinie der Bundesanstalt für Finanzdienstleistungsaufsicht („BaFin“) für nachhaltige Investmentvermögen und die technischen Regulierungsstandards zur EU-Transparenzverordnung (Sustainable Finance Disclosure Regulation – „SFDR“) berichtet. Doch was hat sich in der Zwischenzeit getan? Nachfolgend gibt es ein Update über ausgewählte aktuelle Entwicklungen der Nachhaltigkeitsregulierung.

1. Finale RTS zur SFDR

Die durch mehrere „Entwurfsrunden“ gegangenen technischen Regulierungsstandards (Regulatory Technical Standards – „RTS“) liegen mittlerweile als Delegierte Verordnung (EU) 2022/1288 in finaler Fassung vor (abrufbar hier). Die RTS zur SFDR konkretisieren insbesondere die Anforderungen an die Transparenzpflichten in vorvertraglichen Informationen, auf der Internetseite und in Jahresberichten. Die dazu in der Delegierte Verordnung (EU) 2022/1288 enthaltenen Vorlagen gelten ab dem 1. Januar 2023.

2. ESMA Sustainable Finance Timeline

Wer sich einen aktuellen Überblick über den zeitlichen Fahrplan der Nachhaltigkeitsregulierung verschaffen möchte, ist bei der Sustainable Finance Timeline der Europäischen Wertpapier- und Marktaufsichtsbehörde (European Securities and Markets Authority – „ESMA“) vom 26. September 2022 gut aufgehoben.

3. BaFin Q&A zur SFDR

Zudem hat die BaFin am 5. September Q&A zur SFDR veröffentlicht. Ausgewählte Fragen und Antworten werden nachfolgen näher vorgestellt.

Die BaFin stellt nochmal ausdrücklich klar, dass Finanzanlagenvermittler nach § 34f GewO nicht nach der SFDR verpflichtet sind. Sie qualifizieren aufgrund der Bereichsausnahme des KWG (§ 2 Abs. 6 S. 1 Nr. 8 KWG) nicht als Finanzdienstleistungsinstitut und damit auch nicht als MiFID II-Wertpapierfirma; (nur) an diese richtet sich aber die SFDR.

Zudem wird zunehmend klarer, was genau unter „bewerben“ im Sinne des Art. 8 SFDR zu verstehen ist. Nach Art. 8 SFDR sind für Finanzprodukte, die ökologische oder soziale Merkmale bewerben, bestimmte vorvertragliche Transparenzpflichten zu erfüllen. Die BaFin legt „bewerben“ als „fördern“ aus. Das führt dazu, dass es für die Anwendbarkeit der Transparenzpflichten nach Art. 8 SFDR nicht erforderlich ist, dass für ein Finanzprodukt Werbung betreiben wird, z.B. in Form von Marketingmitteilungen. Umgekehrt wird Art. 8 SFDR nicht schon dadurch „ausgelöst“, dass lediglich angegeben wird, wie Nachhaltigkeitsrisiken bei Investitionsentscheidungen einbezogen werden (das ist vielmehr Grundinformation in vorvertraglichen Informationen für sämtliche Finanzprodukte, vgl. Art. 6 SFDR). Vielmehr muss das Finanzprodukt ökologische oder soziale Merkmale zielgerichtet fördern und dies nach außen kommunizieren. Dem Fördern können aktive oder passive Anlagestrategien zugrunde liegen. Ein zielgerichtetes Fördern von ökologischen Merkmalen könnte etwa bei einem Immobilienfonds vorliegen, der bei der Auswahl der Immobilien deren CO2-Fußabdruck berücksichtigt und dies entsprechend in der Fondsdokumentation verschriftlich ist.

4. Siebte MaRisk-Novelle

Bereits am 20.Dezember 2019 hat die BaFin ein Merkblatt zum Umgang mit Nachhaltigkeitsrisiken veröffentlicht. Darin empfiehlt die BaFin eine strategische Befassung mit Nachhaltigkeitsrisiken und eine Anpassung des Risikomanagements. Das Merkblatt enthält jedoch lediglich eine Zusammenstellung von unverbindlichen Verfahrensweisen (Good-Practice).

Mit der Konsultation zu den geplanten Änderungen der Mindestanforderungen an das Risikomanagement („MaRisk“) sollen die Leitplanken des Merkblatts nunmehr in den Regelungstext der MaRisk aufgenommen. Die Anforderungen an die Berücksichtigung von Nachhaltigkeitsrisiken im Risikomanagement werden damit zu prüfungsrelevanten Anforderungen. Im Ergebnis sollen beaufsichtigte Unternehmen auch im Umgang mit Nachhaltigkeitsrisiken einen ihrem Geschäftsmodell und Risikoprofil angemessenen Ansatz entwickeln. Dazu sind bisherige Prozesse anzupassen und neue Mess-, Steuerungs- und Risikominderungsinstrumente zu entwickeln. Auch hier gilt aber der Proportionalitätsgrundsatz, sodass bei einem schwächer ausgeprägtem Risikoprofil einfacherer Prozesse ausreichen werden.

Und sonst?

Derzeit arbeitet der europäische Gesetzgeber an der Erweiterung der Taxonomie-Verordnung zur Definition von sozialer Wirtschaftstätigkeit sowie Vorgaben zur guten Unternehmensführung; bisher deckt die Taxonomie-Verordnung nur die ökologische Nachhaltigkeit und damit nur das „E“ aus „ESG“ ab. Die EU Platform for Sustainable Finance hat dazu bereits im Februar diesen Jahres einen Final Report veröffentlicht.

Der Entwurf des BaFin-Richtlinie für nachhaltige Investmentvermögen ist hingegen erstmal wieder zurückgestellt, zu dynamisch schien das derzeitige regulatorische Umfeld für eine finale Regelung. Gleichzeitig wird die BaFin aber ihre Verwaltungspraxis an dort genannten Grundsätzen ausrichten, sodass sich der Markt faktisch an der Richtlinie orientieren wird.

Es ist also Bewegung in der Nachhaltigkeitsregulierung und längst sind noch nicht alle Fragen der Praxis geklärt. Es bleibt daher, wie immer im Aufsichtsrecht, spannend.

Neue BaFin Richtlinie: Wann darf ein Fonds als nachhaltig bezeichnet werden?

Nachhaltigkeit verkauft sich gut. Das gilt auch für Fondsprodukte. Damit steigt aber auch die Gefahr des sog. Greenwashing. Hierbei werden Fonds dem Anleger als nachhaltig angeboten, ohne dass sie aber tatsächlich eine entsprechende Anlagepolitik verfolgen. Um das zu verhindern, hat die BaFin Anfang August eine Richtlinie zur Konsultation vorgelegt, mit der sie festlegen will, wie Kapitalverwaltungsgesellschaften Fonds künftig ausgestalten müssen, die sie als nachhaltig bezeichnen oder als explizit nachhaltig vertreiben. Sie können dabei zwischen drei Varianten wählen: Mindestinvestitionsquote, nachhaltige Anlagestrategie oder nachhaltiger Index. Die Konsultation läuft bis Anfang September 2021. Da sich aus dem Konsultationsprozess erfahrungsgemäß aber eher weniger Änderungen ergeben, lohnt sich bereits jetzt ein Blick auf die neue Richtlinie.

Für welche Fonds gilt die Richtlinie?

Die Vorgaben der BaFin Richtlinie gelten nur für inländische Publikumsfonds, also Fonds, die auch an Privatanleger vertrieben werden dürfen. Nicht erfasst sind Spezial-Fonds, die vor allem professionellen Anlegern wie z.B. Versicherungen vorbehalten sind. Hier besteht generell ein geringeres Schutzbedürfnis des Anlegers.

Die Richtlinie zielt zum einen auf solche Publikumsfonds ab, die bereits in ihrem Namen einen Nachhaltigkeitsbezug aufweisen, wie zum Beispiel „ESG“, „sustainable“ oder „green“. Sie erfasst zum anderen Publikumsfonds, die als nachhaltig vertrieben werden, indem zum Beispiel in den Verkaufsunterlagen der Fonds als nachhaltig dargestellt wird. Die Nachhaltigkeit muss sich nicht nur in den Verkaufsunterlagen, sondern auch ganz konkret in den Anlagebedingungen des Fondsproduktes widerspiegeln. Dazu gibt die BaFin drei Möglichkeiten vor:

1. Nachhaltig durch eine Mindestinvestitionsquote

Bei einer Mindestinvestitionsquote muss im Rahmen der Anlagegrenzen eine Regelung aufgenommen werden, wonach der Fonds zu mindestens 75 Prozent in nachhaltige Vermögensgegenstände investiert sein muss. Die Anlagebedingungen müssen Angaben dazu enthalten, welche Vermögensgegenstände als nachhaltig angesehen werden. Dazu sind die Vorgaben der EU-Offenlegungsverordnung heranzuziehen. Nachhaltig ist danach z.B. eine Investition in eine wirtschaftliche Tätigkeit, die zur Erreichung eines Umweltziels beiträgt (z.B. Reduzierung von Treibhausgasen) und gleichzeitig kein Umweltziel beeinträchtig.

Soweit der Fonds in Finanzinstrumente oder Unternehmensbeteiligungen investieren darf, muss gewährleistet sein, dass die Emittenten der Finanzinstrumente bzw. die Portfolio-Unternehmen (i) einen wesentlichen Beitrag zur Verwirklichung eines Umwelt- oder Sozialziels im Sinne der EU-Offenlegungsverordnung bzw. EU-Taxonomieverordnung leisten und (ii) diese Umweltziele nicht beeinträchtigen. Bzgl. letzterem stellt die Richtlinie konkrete Vorgaben für den Umsatz der Emittenten bzw. Portfolio-Unternehmen auf. Damit Umweltziele nicht beeinträchtigt sind, dürfen sie ihren Umsatz z.B. zu max. 5% aus der Förderung von Kohle und Erdöl generieren.

Entsprechendes gilt auch für Immobilien-Fonds. Auch hier ist durch klare Vorgaben und Ausschlusskriterien in den Anlagebedingungen zu gewährleisten, dass alle Immobilien etwa in Bezug auf die Bewirtschaftung und die Sanierung (i) einen wesentlichen Beitrag zur Verwirklichung eines Umwelt- oder Sozialziels im Sinne der EU-Offenlegungsverordnung bzw. der EU-Taxonomieverordnung leisten und (ii) diese Umweltziele nicht beeinträchtigen.

2. Nachhaltig durch die Anlagestrategie

Wenn keine feste Mindestinvestitionsquote geregelt werden soll, können die Anlagebedingungen vorsehen, dass bei mindestens 75 Prozent des Fonds die Nachhaltigkeitsgesichtspunkte bei der Auswahl der Vermögensgegenstände von entscheidender Bedeutung sind oder dass bei der Verwaltung des gesamten Fonds eine nachhaltige Anlagestrategie verfolgt wird.  Die besondere Rolle der Nachhaltigkeitsgesichtspunkte ist dann in der Anlagestrategie näher darzustellen. Es ist sicherzustellen, dass keines der in der EU-Offenlegungsverordnung oder EU-Taxonomieverordnung genannten Umwelt- bzw. Sozialziele beeinträchtigt werden, indem etwa entsprechende Ausschlüsse in der Anlagestrategie vorgesehen werden.

3. Nachbildung eines nachhaltigen Index

Nachhaltigkeitsziele können auch im Rahmen einer passiven Anlagestrategie durch die Nachbildung eines nachhaltigen Index erreicht werden. Die Anlagebedingungen müssen dann nähere Ausführungen darf zum Nachhaltigkeitscharakter dieses Index enthalten. Durch die Zusammensetzung des Index darf keines der in der EU-Offenlegungsverordnung oder EU-Taxonomieverordnung genannten Umwelt- bzw. Sozialziele beeinträchtigt werden; auch hier können dazu entsprechende Ausschlüsse vorgesehen werden.

Verhältnis zur EU-Offenlegungsverordnung

Die EU-Offenlegungsverordnung wird durch die BaFin Richtlinie nicht berührt. Erstere verpflichtet Finanzmarktteilnehmer „lediglich“ zu Transparenzpflichten über Nachhaltigkeitsaspekte. Über die Bezeichnung eines Fonds als nachhaltig und die Ausgestaltung von Anlagebedingungen enthält sie hingegen keine Aussage. Sie dient aber als Auslegungs- und Definitionshilfe dazu, was unter dem Begriff Nachhaltigkeit zu verstehen ist.

Fazit

Die Aufsicht bemüht sich sichtlich, Rechtsklarheit und –sicherheit beim Thema Nachhaltigkeit zu schaffen. Es gibt immer mehr Guidance, sowohl auf EU als auch auf nationaler Ebene. Gerade weil nachhaltige Produkte bei den Anlegern gut ankommen, ist das zu begrüßen. Damit kann Greenwashing effektiver verhindert werden und der Anleger kann sicher sein, dass dort, wo Nachhaltigkeit draufsteht, auch Nachhaltigkeit drin ist.

Langsam wird es ernst: Die neue Mantelverordnung zum Wertpapierinstitutsgesetz

In wenigen Wochen, nämlich am 26. Juni 2021, wird das neue Wertpapierinstitutsgesetz („WpIG“) in Kraft treten. Durch das WpIG wurde ein eigenes Aufsichtsregime für Wertpapierfirmen geschaffen und sog. kleine und mittlere Wertpapierinstitute aus dem Aufsichtsregime des Kreditwesengesetzes („KWG“) herausgelöst. Letzteres wird in Zukunft nur noch für bankenähnliche, sog. große Wertpapierfirmen, gelten. Das neue WpIG haben wir bereits hier und hier ausführlich vorgestellt.

Anfang Mai diesen Jahres hat die Bundesanstalt für Finanzdienstleistungsaufsicht („BaFin“) ihre Konsultation zur Mantelverordnung zum WpIG veröffentlicht. Darin hat sie Entwürfe der

  • Wertpapierinstituts-Prüfungsberichtsverordnung („WpI-PrüfbV),
  • Wertpapierinstituts-Vergütungsverordnung („WpI-VergV“),
  • Wertpapierinstituts-Inhaberkontrollverordnung („WpI-IKV“) und der
  • Wertpapierinstituts-Anzeigenverordnung („WpI-AnzV“)

zur Ergänzung und Vervollständigung des neuen Aufsichtsregimes des WpIG veröffentlicht. Bis Ende Mai konnten Stellungnahmen dazu abgegeben werden. Im Folgenden stellen wir die einzelnen Verordnungen im Überblick vor.

Die Wertpapierinstituts-Prüfungsberichtsverordnung

Die WpI-PrüfbV regelt den Gegenstand und den Zeitpunkt der Prüfung des externen Wirtschaftsprüfers, denen sich die verpflichteten Wertpapierinstitute unterziehen müssen, sowie den Inhalt und die Form der vom externen Prüfer anzufertigenden Prüfungsberichte. Damit werden die §§ 77 ff WpIG konkretisiert. Die WpI-PrüfbV wird nur für kleine und mittlere Wertpapierinstitute gelten. Große Wertpapierinstitute werden weiterhin der nach dem KWG ergangenen Prüfungsverordnung (PrüfbV) unterliegen.

Die Wertpapierinstituts-Vergütungsverordnung

Die WpI-VergV wird die Artikel 30 bis 34 der Richtlinie EU 2019/2034 über die Beaufsichtigung von Wertpapierfirmen („IFD“) umsetzen. Inhaltlich orientiert sie sich an der nach dem KWG erlassenen Instituts-Vergütungsverordnung, ist aber in ihrem Umfang deutlich schlanker.

Nach § 3 der WpI-VergV trägt die Geschäftsleitung die Verantwortung für die angemessene Ausgestaltung der Vergütungssysteme. Es werden Kriterien vorgegeben, wann von einer angemessenen Ausgestaltung des Vergütungssystems auszugehen ist (§ 5 WpI-VergV). Die Vergütungsstrategie und die Vergütungssysteme des Wertpapierinstituts müssen auf die Erreichung der Ziele ausgerichtet sein, die in den Geschäfts-und Risikostrategien des Instituts niedergelegt sind (§ 4 WpI-VergV). Damit sollen Fehlanreize verhindert werden. Entsprechend der Instituts-Vergütungsverordnung sind insbesondere auch die Anforderungen an die variable Vergütung detailliert geregelt (§ 6 WpI-VergV). Die Grundsätze zum Vergütungssystem sind vom Institut schriftlich niederzulegen und zu dokumentieren (§ 9 WpI-VergV).

Zudem sieht die WpI-VergV vor, dass das Wertpapierinstitut darauf hinwirkt, dass bestehende Verträge mit den Mitarbeiterinnen und Mitarbeitern, die mit den Vorgaben der WpI-VergV nicht vereinbar sind, angepasst werden (§ 12 WpI-VergV). Schließlich werden auch die Aufgaben des Vergütungskontrollausschusses und die Offenlegungspflichten in Bezug auf die Vergütung geregelt (§§ 13, 14 WpI-VergV).

Die WpI-VergV wird nur für mittlere Wertpapierinstitute gelten. Für kleine Wertpapierinstitute sieht das WpIG eine entsprechende Befreiung vor. Große Wertpapierinstitute unterliegen weiterhin der Instituts-Vergütungsverordnung nach dem KWG.

Die Wertpapierinstituts-Inhaberkontrollverordnung

Die WpI-IKV regelt, welche Informationen und Unterlagen bei einer im Rahmen des Erlaubnisverfahrens bzw. sonstigen Inhaberkontrolle eines Wertpapierinstituts bei der BaFin einzureichen sind. Inhaltlich orientiert sie sich an der Inhaberkontrollverordnung des KWG, ist aber wesentlich schlanker, da die Inhaberkontrolle bei Wertpapierfirmen seit einiger Zeit EU-weit einheitlich (Delegierte Verordnung (EU) 2017/1946) geregelt ist; so konkretisiert die WpI-IKV zum Teil (lediglich) die Vorgaben der Delegierten Verordnung (§ 6 WpI-IKV). Die WpI-IKV gilt für kleine, mittlere und große Wertpapierinstitute.

Die Wertpapierinstituts-Anzeigenverordnung

Die WpI-AnzV orientiert sich inhaltlich an der Anzeigeverordnung nach dem KWG (AnzV). Sie konkretisiert die Anzeigepflichten nach §§ 64 ff WpIG und verweist auf entsprechend zu verwendende Formulare, die sich im Anhang der WpI-AnzV befinden. Je nach konkreter Anzeigepflicht ist danach zu unterscheiden, ob z.B. alle Wertpapierinstitute verpflichtet sind (§ 64 WpIG), nur große Wertpapierinstitute (§ 65 WpIG), nur kleine und mittlere Wertpapierinstitute (§ 66 WpIG) oder die Geschäftsleiter eines Wertpapierinstituts (§ 67 WpIG). Die WpI-AnzV gilt deshalb, je noch konkreter Anzeigepflicht, für kleine, mittlere und große Wertpapierinstitute.

Fazit Die Mantelverordnung soll zusammen mit dem WpIG, also am 26. Juni 2021 in Kraft treten. Das neue Aufsichtsregime für Wertpapierfirmen nimmt damit nun endgültig konkrete Gestalt an. Durch die Mantelverordnung kann das WpIG nunmehr auch gut in der Praxis umgesetzt werden und den Besonderheiten der Wertpapierinstitute bzw. der von ihnen ausgehenden Risiken wird passgenau Rechnung getragen.

Finanzmarktteilnehmer und Finanzberater aufgepasst! Seit dem 10. März ist die Transparenzverordnung umzusetzen

Sie ist, für neue Finanzmarktregulierung ungewöhnlich leise und unscheinbar, dahergekommen: die sog. Transparenzverordnung (Sustainable Finance Disclosure Regulation – SFDR). Bereits Ende 2019 in Kraft getreten, ist die SFDR nun in wesentlichen Teilen ab 10. März 2021 anzuwenden.

Die SFDR ist Teil des EU Aktionsplans für eine nachhaltige Finanzwirtschaft und verfolgt den Zweck, dem Anleger eine fundierte Informationsgrundlage über die Berücksichtigung von Nachhaltigkeitsrisiken (Environmental, Social and Governance – ESG)  im Rahmen der ihm gegenüber erbrachten Finanzdienstleistung und der ihm angebotenen Produkte zur Verfügung zu stellen, damit er diese in seiner Anlageentscheidung besser und gezielter berücksichtigen kann. Dazu legt sie Finanzmarkteilnehmer und Finanzberatern vielfältige Transparenzpflichten auf, die v.a. durch zahlreiche Veröffentlichungen auf der Homepage, im Rahmen vorvertraglicher Informationen und in regelmäßigen Berichten zu erfüllen sind. Über das neue Pflichtenregime der SFDR haben wir hier und hier bereit ausführlich gebloggt.

Die Erfüllung aller Transparenzpflichten erfordert einen hohen internen Umsetzungs- und Anpassungsaufwand. Manch einer wird überrascht sein – aber ein Vergleich zur MiFID II lässt sich durchaus ziehen.

Besonders herausfordernd ist die praktische Umsetzung der SFDR auch deshalb, weil bislang noch viele der Daten fehlen, die zur Erfüllung der Transparenzpflichten benötigt werden. Ein anschauliches Beispiel: Zukünftig ist der Anleger z.B. für jedes ihm angebotene Fondsprodukt darüber zu informieren, ob und wie in dem Fonds ESG-Risiken berücksichtigt werden. Diese Informationen muss der Portfolioverwalter bzw. Anlageberater im Wege der vorvertraglichen Information zur Verfügung zu stellen. Portfolioverwalter und Anlageberater erstellen diese Informationen aber nicht selbst, sondern sind dafür auf Input der KVGen angewiesen. Und diese benötigen wiederum eine entsprechende Datenbasis, um die erforderlichen Informationen überhaupt bereitstellen zu können. Der Markt wird sich anpassen und entsprechende Daten werden bald verfügbar sein – bis dahin gilt es, die SFDR so gut umsetzen, wie es derzeit eben geht.

Aber da nach der Regulierung vor der Regulierung ist, sind neue Vorgaben dem Thema ESG bereits unterwegs. So hat die EBA etwa Anfang März ihre Implementing Technical Standards on Pillar 3 disclosures of ESG risks zur Konsultation gestellt: große Institute sollen zukünftig Informationen über ihr ESG Exposure und ihre ESG Strategien veröffentlichen – stay tuned!

Update zur Transparenzverordnung: Level 2-Maßnahmen zu nachhaltigkeitsbezogenen Offenlegungspflichten veröffentlicht

Ab dem 10. März diesen Jahres muss die neue Transparenzverordnung (Sustainable Finance Disclosure Regulation – SFDR) von Finanzmarktteilnehmern und Finanzberatern umgesetzt werden. Anleger, die in nachhaltige Finanzprodukte investieren, sollen zukünftig besser informiert werden. Die SFDR beinhaltet die Pflicht zur Offenlegung der wichtigsten nachteiligen Nachhaltigkeitsauswirkungen von Anlageentscheidungen sowie Transparenzpflichten bzgl. nachhaltigkeitsbezogener Finanzprodukte, die von Finanzmarktteilnehmern und Finanzberatern vertrieben werden. Über das Pflichtenprogramm der SFDR haben wir bereits hier ausführlich berichtet. Für einen schnellen Überblick ist auch die von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) jüngst veröffentlichte Übersichtstabelle zur SFDR nützlich.

Anfang Februar diesen Jahres haben die Europäischen Aufsichtsbehörden (European Supervisory Authorities – ESAs, also ESMA EBA und EIOPA) nun ihren finalen Bericht zu den von ihnen erarbeiteten technischen Regulierungsstandards (Regulatory Technical Standards – RTS) veröffentlicht. Darin werden die Anforderungen der SFDR konkretisiert und definiert, welche Inhalte zu ESG-Standards offengelegt werden müssen, mit welcher Methodik dies geschehen soll und wie sie dargestellt werden. Zudem werden zahlreiche Templates bereitgestellt, die von den Marktteilnehmern zur Erfüllung ihrer Transparenzpflichten genutzt werden können; dies sollte die Umsetzung zumindest in Teilen erleichtern.

Die RTS sollen voraussichtlich ab 01. Januar 2022 gelten. Bereits ab dem 10. März sind aber die Transparenzpflichten der SFDR von Finanzmarkteilnehmern und -beratern umzusetzen. Bis zum Inkrafttreten der RTS sollten sich die Unternehmen nach Ansicht der BaFin daher bei der Umsetzung an den RTS orientieren. Zur Ergänzung der Level 2- RTS wird erwartet, dass es von den ESAs wahrscheinlich in Q3/Q4 2021 Level 3-Guidance geben wird. 

Die RTS werden bei der Umsetzung sicher helfen, doch zeigen sie auch deutlich, welche Informationen zu jedem Finanzprodukt in Zukunft zur Verfügung stehen muss. Und das geht weit über die bisherigen Informationen hinaus und erfordert einen hohen Umsetzungsbedarf. In der Praxis wird eine reine Orientierung an den RTS auch alles sein, was die Institute derzeit leisten können.

Passend dazu hat die BaFin Anfang Februar auch einen aktuellen Überblick zum Thema nachhaltige Finanzwirtschaft veröffentlicht Darin beleuchtet sie die aktuellen Entwicklungen beim Thema Nachhaltigkeit auch außerhalb des Finanzsektors und bezieht aktuelle Entwicklungen wie die Coronakrise mit ein.  

Final ESMA Guidelines on cloud outsourcing

At the end of December 2020, the European Securities and Markets Authority (ESMA) published its final report on its guidelines on outsourcing to cloud service providers (CSP). The purpose of the guidelines is to help firms identify, address and monitor the risks that may arise from their cloud outsourcing arrangements. Since the main risks associated with cloud outsourcing are similar across financial sectors, ESMA has considered the European Banking Authority (EBA) Guidelines on outsourcing arrangements, which have incorporated the EBA Recommendations on outsourcing to cloud services providers and the European Insurance and Occupational Pensions Authority (EIOPA) Guidelines on outsourcing to cloud service providers. This ensures consistency between the three sets of guidelines. The ESMA Guidelines on cloud outscoring apply to MiFID II firms such as investment firms and other financial services providers indirectly but they describe the market standard and set the supervisory framework for the National Competent Authorities (NCAs) in Europe such as the German Federal Financial Supervisory Authority (Bundesanstalt für Finanzdienstleistungsaufsicht – BaFin).

For the German jurisdiction, BaFin published guidance on outsourcing to cloud providers back in 2018. Please note that the amended MaRisk include outsourcing requirements for investment firms and other financial services providers and already reflect the EBA Guidelines on outsourcing, including cloud outsourcing. For more information on the MaRisk amendment, please see our previous Blogpost.

The guidelines in more detail

The following gives a brief overview of the main content of the ESMA cloud outsourcing guidelines.

  • Guideline 1: Governance, oversight and documentation

Firms should have a defined and up-to date cloud outsourcing strategy which should include, inter alia, a clear assignment of the responsibility for the documentation, management and control of cloud outsourcing arrangements, sufficient resources to ensure compliance with all legal requirements applicable to the firm’s outsourcing arrangements, a cloud outsourcing oversight function directly accountable to the management body and responsible for managing and overseeing the risk of cloud outsourcing arrangements, a (re)assessment of whether the cloud outsourcing arrangements concern critical or important functions as well as an updated register of information on all cloud outsourcing arrangements. For the outsourcing of critical or important functions, the ESMA guidelines include a detailed list of information which should be included in the register.

  • Guideline 2: Pre-outsourcing analysis and due diligence

ESMA provides information on what is required for the pre-outsourcing analysis (e.g. an assessment if the cloud outsourcing concerns a critical or important function). In the case of outsourcing of critical or important function, firms should conduct a comprehensive risk analysis and take into account benefits and costs of the cloud outsourcing and perform an evaluation of the suitability of the CSP.

  • Guideline 3: Key contractual elements

The guidelines provide a detailed list of what a written cloud outsourcing agreement should include in case of outsourcing of critical or important functions. Such agreements should include, inter alia, provisions regarding data protection, agreed service levels incident management, business continuity plans, termination rights and access and audit rights for the firm and its competent supervisory authority.

  • Guideline 4: Information security

Firms should set information security requirements in its internal policies and procedures and within the cloud outsourcing written agreement and monitor compliance with these requirements on an ongoing basis. In case of outsourcing of critical or important functions, additional requirements apply regarding information security organization, identity and access management, encryption and key management, operations and network security, application programming interfaces, business continuity and data location.

  • Guideline 5: Exit strategies

In case of outsourcing of critical or important functions, firms should develop and maintain exit strategies that ensure that the firm is able to exit the cloud outsourcing arrangement without undue disruption to its business activities and services to its client. Exit strategies should include comprehensive and documented exit plans, the identification of alternative solutions and provisions in the written outsourcing agreements that oblige the CSP to support orderly transfer of the outsourced function from the CSP to another CSP.

  • Guideline 6: Access and audit rights

Firms should ensure that the cloud outsourcing written agreement does not limit the firm´s and competent authority´s effective exercise of the access and audit rights on the CSP (see also Guideline 3). However, the Guideline also includes provisions aimed at reducing the organizational burden on the CSP and its clients when exercising access and audit rights: firm may use e.g. third-party certifications and external or internal audit reports made available by the CSP. However, in case of outsourcing of critical or important functions, the guidelines stipulate additional requirements that must be met in order to be able to rely on third party certifications or assessments.

  • Guideline 7: Sub-outsourcing

In case of sub-outsourcing, the firm should ensure that the CSP appropriately oversees the sub-outsourcer. In addition, ESMA provides information on the provisions that should be included in the written outsourcing agreement between the firm and the CSP in the case of sub-outsourcing critical or important function. This includes the remaining accountability of the CSP, a notification requirement for the CSP in case of any intended sub-outsourcing allowing the firm sufficient time to carry out a risk assessment of the proposed sub-outsourcer, the firm´s right to object to the intended sub-outsourcing and termination rights in case of such objection.

  • Guideline 8: Written notification to competent authorities

Firms should notify in writing its competent authority in a timely manner of planned cloud outsourcing arrangement that concern critical or important functions. The notification should include, inter alia, a description of the outsourced functions, a brief summary of the reasons why the outsourced function is considered critical or important and the individual or decision-making body in the firm that approved the cloud outsourcing arrangement.

What´s next?

In a next step, the guidelines will be translated in the official EU languages and published on the ESMA´s website. The publication of the translation will trigger a two-month period during which the national competent authorities must notify ESMA whether they comply or intend to comply with the guidelines (comply or explain mechanism). For the German jurisdiction, it is to be expected that BaFin will comply with the ESMA guidelines.

Ein Update zur Auslagerung – Teil 2: Neue BaFin-Befugnisse gegenüber Auslagerungsunternehmen

In Teil 1 der Beitragsreihe haben wir das Gesetz zur Stärkung der Finanzmarktintegrität (FISG), auch bekannt als Wirecard-Gesetz, bereits vorgestellt. Mit dem FISG sollen, neben einer stärkeren Regulierung der Abschlussprüfung, auch die Befugnisse der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) gestärkt werden. Verbesserungsbedarf wird im Bereich der Prüfung von Auslagerungen gesehen. Zukünftig soll die BaFin direkte Einwirkungsmöglichkeiten auf die externen Dienstleister haben.

Neue BaFin-Befugnisse im Überblick

Das FISG sieht dazu Anpassungen in verschiedenen Aufsichtsgesetzen vor: dem Kreditwesengesetz (KWG), dem Zahlungsdiensteaufsichtsgesetz (ZAG), dem Kapitalanlagegesetzbuch (KAGB) sowie dem Wertpapierhandelsgesetz (WpHG). Die derzeit bestehenden Regelungen richten sich in aller Regel an unmittelbar von der BaFin beaufsichtigte Unternehmen. Durch die Änderungen des FISG soll die BaFin nun unmittelbare Einwirkungsmöglichkeiten auch auf externe Dienstleister erhalten, die nicht ihrer Aufsicht unterliegen. Diese Unternehmen werden der BaFin gegenüber pflichtig, weil sie einen Auslagerungsvertrag mit einem beaufsichtigen Unternehmen schließen wollen oder geschlossen haben oder Aufgaben und Prozesse tatsächlich erbringen. Diese Regelungen gehen über den derzeitigen Auslagerungsstandard der EBA Outsourcing Guidelines hinaus. Gänzlich fremd sind sie dem Aufsichtsrecht allerdings nicht; das Versicherungsaufsichtsgesetz (VAG) sieht entsprechende Kompetenzen der BaFin bereits vor.

Im Einzelnen sieht das FISG vor:

  • Unmittelbares Anordnungsrecht gegenüber Auslagerungsunternehmen

Zukünftig soll die BaFin ein allgemeines unmittelbares Anordnungsrecht gegenüber Auslagerungsunternehmen haben, um die Einhaltung aufsichtsrechtlicher Regelungen sicherzustellen. Entsprechende Regelungen werden sich in § 25b Abs. 4a KWG, § 88 Abs. 2a WpHG, § 26 Abs. 3a ZAG und § 36 Abs. 5a KAGB finden. Zudem sind spezielle unmittelbare Anordnungsrechte zur Sicherstellung der Einhaltung interner Sicherungsmaßnahmen (§ 25h Abs. 1 bis Abs. 3, Abs. 5 KWG) und der ordnungsgemäßen Geschäftsorganisation (§ 45b Abs. 3 KWG und § 27 Abs. 3 ZAG) vorgesehen.

  • Auskunfts- und Prüfungsrecht gegenüber Auslagerungsunternehmen

Auskunftsrechte über alle Geschäftsangelegenheiten sowie die Vorlage entsprechender Unterlagen bestehen zukünftig auch unmittelbar gegenüber Auslagerungsunternehmen. Zudem sind künftig auch anlasslose Prüfungen gegenüber Auslagerungsunternehmen möglich; dies gilt mit der Einschränkung, dass es sich um eine wesentliche Auslagerung bzw. einer Auslagerung interner Sicherungsmaßnahmen handeln muss. Dazu wird § 44 KWG entsprechend angepasst werden. Das KAGB verweist hinsichtlich der Auskunfts- und Prüfungsrechte der BaFin auf die KWG Regelungen, sodass eine Anpassung des KAGB insoweit nicht erforderlich wird (§ 14 KAGB). Im ZAG ist eine entsprechende Regelung bereits enthalten (§ 19 ZAG).

  • Bußgeldvorschriften

Damit unmittelbar gegenüber Auslagerungsunternehmen erlassene Anordnung auch durchsetzbar sind, sind Zuwiderhandlungen bußgeldbewehrt; entsprechende Ergänzungen werden in § 56 KWG, § 64 ZAG und § 340 KAGB vorgenommen werden.

Die Befugnisse der BaFin gegenüber Auslagerungsunternehmen werden durch eine Reihe weiterer Regelungen flankiert, die auch der Umsetzung der EBA Outsourcing Guidelines dienen. So wird eine einheitliche Definition eines Auslagerungsunternehmens eingeführt. Zudem wird z.B. die Verpflichtung zur Anzeige der Absicht einer wesentlichen Auslagerung, des Vollzug einer nicht wesentlichen Auslagerung sowie von wesentlichen Änderungen im Rahmen bestehender Auslagerungsvereinbarungen geregelt. Auch die Führung eines Auslagerungsregisters sowie die  Anforderungen, die bei einer Auslagerung auf ein Unternehmen in einem Drittstaat einzuhalten sind, werden umgesetzt. 

Fazit

Auslagerungsfragen sind in der Praxis stets ein relevantes Thema. Durch die geplanten Änderungen des FISG werden einerseits die Gesetzesänderungen vorgenommen, die zur Umsetzung der EBA Outsourcing Guidelines erforderlich sind. Darüber hinaus wird die BaFin durch die unmittelbaren Einwirkungsmöglichkeiten auf Auslagerungsunternehmen, die selbst nicht ihrer Aufsicht unterliegen, gestärkt.  Umgehungen aufsichtsrechtlicher Anforderungen soll damit ein Riegel vorgeschoben werden.

Ein Update zur Auslagerung – Teil 1: Wirecard-Gesetz, MaRisk und WpFG

Das Jahr 2020 war und ist reich an Ereignissen; eines davon ist sicherlich auch der Fall Wirecard. Dieser hat den Gesetzgeber dazu veranlasst, einige Verbesserungen im Finanzaufsichtsrecht vorzunehmen und die Integrität des Finanzmarktes weiter zu stärken. Dazu wurde Ende Oktober der Entwurf das Gesetzes zur Stärkung der Finanzmarktintegrität (FISG), auch bekannt als Wirecard-Gesetz, veröffentlicht. Zukünftig soll die Bilanzkontrolle und die Abschlussprüfung weiter reguliert werden, um die Richtigkeit der Rechnungslegungsunterlagen von am Kapitalmarkt tätigen Unternehmen sicherzustellen. Daneben sollen die Aufsichtsstrukturen und die Befugnisse der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) gestärkt werden. Verbesserungsbedarf wird u.a. bei den BaFin-Befugnissen im Bereich der Prüfung von Auslagerungen gesehen. Zukünftig soll die BaFin bspw. Einwirkungsmöglichkeiten auf die externen Dienstleister haben.

Die geplanten Änderungen des FISG gehen zum Teil auf den derzeitigen Auslagerungsstandard der EBA Guidelines zurück, teilweise aber darüber hinaus. Vor dem Hintergrund der neuen Regulierung kleiner und mittlerer Wertpapierfirmen nach dem Gesetz über die Beaufsichtigung von Wertpapierfirmen (WpFG) stellt sich zudem die Frage, ob die derzeitigen Regelungen zur Auslagerung eigentlich auf diese Wertpapierfirmen weiter Anwendung finden werden. Dies wird Teil 1 näher beleuchten. In Teil 2 werden wir dann die geplanten Änderungen des FISG zur Auslagerungen vorstellen.

Der aktuelle Auslagerungsstandard der MaRisk

Die Anforderungen der EBA Outsourcing Guidelines sind in der aktuellen MaRisk Novelle umgesetzt. Da das bisherige deutsche Auslagerungsrecht (anders als in anderen europäischen Mitgliedstaaten) bereits in weiten Teilen den Vorgaben der EBA Outsourcing Guidelines entspricht, werden vorwiegend Änderungen oder Ergänzungen auf Detailsebene vorgenommen. Neu sind z.B. die Regelungen zum Auslagerungsregister, die Benennung eines zentralen Auslagerungsbeauftragten und konkrete Vorgaben zur vertraglichen Regelung von Zugangs- und Kündigungsrechten. Über die MaRisk Novelle und die Umsetzung der EBA Outsourcing Guidelines haben wir bereits ausführlich gebloggt.

Anwendbarkeit des MaRisk Vorgaben zur Auslagerun auf WpFG-Wertpapierfirmen

Ab Mitte 2021 wird mit dem WpFG, in Umsetzung der neuen EU-Richtlinie über die Beaufsichtigung von Wertpapierfirmen (IFD), für kleine und mittlere Wertpapierfirmen ein neues, eigenes Aufsichtsregime gelten. Über dessen Inhalt haben wir bereits hier und hier ausführlich berichtet. Große Wertpapierfirmen sind grundsätzlich nicht erfasst, für sie werden weiterhin die Regelungen des KWG gelten, da sie aufgrund ihrer Größe und Risiken wie Banken behandelt werden. Auch die Auslagerungsregelungen des KWG und ihre Konkretisierung durch die MaRisk werden auf diese Wertpapierfirmen also Anwendung finden.

Gilt das auch für kleine und mittlere Wertpapierfirmen? Das neue WpFG stellt ein eigenes Regelungsregime vor allem im Hinblick auf die Zulassung und die Eigenkapitalanforderungen kleiner und mittlerer Wertpapierfirmen auf. Insoweit werden die Regelungen der zweiten EU-Finanzmarktrichtlinie (MiFID II) bzw. des Kreditwesengesetzes (KWG) ersetzt. Nicht ersetzt werden hingegen die Organisations- und Wohlverhaltensregelungen der MiFID II, wozu u.a. auch die Auslagerungsregelungen gehören (Art. 16 MiFID II). Diese gelten also weiterhin für alle Wertpapierfirmen.

Umgesetzt sind sie im Wertpapierhandelsgesetz (WpHG). Die WpHG-Regelungen zur Auslagerung (§ 80 Abs. 6) werden wiederum von den Mindestanforderungen an die Compliance-Funktion und weitere Verhaltens-, Organisations- und Transparenzpflichten (MaComp) konkretisiert. Inhaltlich wird insoweit allerdings sowohl vom WpHG als auch von den MaComp auf die KWG-Regelungen zur Auslagerung verwiesen (§ 25b KWG bzw. die Konkretisierung durch die MaRisk). Über diesen Verweis des WpHG/MaComp auf das KWG/MaRisk gilt also auch für kleine und mittlere Wertpapierfirmen unverändert der gleiche aufsichtliche Standard bei Auslagerungen. Zusätzlich verweisen die MaComp auf die Auslagerungsregelungen der Delegierten Verordnung zur MiFID II, die die Anforderungen an wesentliche Auslagerungen konkretisiert (Art. 30 bis 32). Auf diese Regelungen verweist auch das WpFG (§ 40 WpFG), ohne damit aber ein eigenes Auslagerungsregime neben dem WpHG aufzustellen.

Auch kleine und mittlere Wertpapierfirmen, die zukünftig insbesondere hinsichtlich ihrer Zulassung und der Eigenkapitalanforderungen nicht mehr vom Kreditwesengesetz (KWG), sondern vom WpFG reguliert werden, müssen also weiterhin die Anforderungen des WpHG umsetzen; hinsichtlich der Auslagerung bedeutet das aufgrund des Verweises auf das KWG/die MaRisk die Erfüllung des entsprechenden bankaufsichtsrechtlichen Standards.

Ausblick auf Teil 2

Im zweiten Teil unseres Updates zur Auslagerung werden wir die neuen Regelungen des FISG näher betrachten.

Bis dahin wünschen wir unseren Leserinnen und Lesern einen schönen zweiten Advent!

Konsultation zur neuen BAIT veröffentlicht

Am 26. Oktober 2020 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) den Entwurf einer Neufassung des Rundschreibens 10/2017 (BA) – Bankaufsichtliche Anforderungen an die IT (BAIT) zur Konsultation veröffentlicht. Stellungnahmen zur Konsultation können bis Ende November bei der BaFin und der Deutschen Bundesbank abgegeben werden.

Der Entwurf der neuen BAIT setzt aktuelle Vorgaben der Europäischen Bankaufsichtsbehörde (European Banking Authority – EBA) um.  Konkret werden die Leitlinien der EBA zu ICT Risk (Guidelines on Information and Communication Technology and Security Risk Management ICT Guidelines) umgesetzt. Dieser Beitrag stellt die wesentlichen Neuerungen der BAIT aufgrund der Umsetzung der ICT Guidelines im Überblick vor.

Kurz erklärt: die BAIT und ihr Zusammenspiel mit der MaRisk

In der europäischen Bankenrichtlinie (CRD IV) sind allgemeine Regelungen zur Unternehmensführung und Organisationsstruktur von Instituten festlegt. Diese Regelungen werden in Deutschland insbesondere durch § 25a des Kreditwesengesetz (KWG) umgesetzt. Die MaRisk konkretisiert die Anforderungen des KWG an die Ausgestaltung des Riskmanagements und gibt somit einen qualitativen Rahmen für die praktische Umsetzung der genannten Regelungen vor. Auch die MaRisk wurde jüngst überarbeitet und an aktuelle europäische Vorgaben angepasst; darüber haben wir bereits hier berichtet. Die BAIT ergänzen und konkretisieren die Vorgaben der MaRisk und geben einen praxisnahen Rahmen für die technisch-organisatorische Ausstattung der Institute, insbesondere für das Management der IT-Ressourcen und das IT-Risikomanagement vor. Durch die Umsetzung der ICT Guidelines wurden die BAIT um zwei neue Kapital zu der operativen Informationssicherheit und zum IT-Notfallmanagement ergänzt, deren wesentlichen Inhalt wir nachfolgend näher betrachten.

Operative Informationssicherheit

Institute müssen für IT-Risiken angemessene Überwachungs- und Steuerungsprozesse einrichten, die insbesondere die Festlegung von IT-Risikokriterien, die Identifikation von IT-Risiken, die Festlegung des Schutzbedarfs, daraus abgeleitete Schutzmaßnahmen für den IT-Betrieb sowie die Festlegung entsprechender Maßnahmen zur Risikobehandlung und -minderung umfassen. Damit soll der operative Geschäftsbetrieb jederzeit sicher und reibungslos aufrecht erhalten werden können. Nach der BAIT müssen Institute deshalb

  • operative Informationssicherheitsmaßnahmen und Prozesse implementieren; diese müssen z.B. ein Schwachstellenmanagement und die Verschlüsselung von Daten berücksichtigen,
  • Regeln zur Identifizierung sicherheitsrelevanter Ereignisse definieren, z.B. die Erkennung vermehrter nicht autorisierter Zugriffsversuche,
  • sicherheitsrelevante Ereignisse zeitnah analysieren und auf diese angemessen reagieren; dazu kann die Einrichtung einer ständig besetzten zentralen Stelle, z.B. in Form eines Security Operation Centers, erforderlich sein,
  • IT-Sicherheitssysteme regelmäßig überprüfen, wobei sich Turnus, Art und Umfang der Überprüfung am Schutzbedarf und der möglichen Angriffsflächen des IT-Systems orientieren müssen.

IT-Notfallmanagement

Allgemeine Anforderungen an das Notfallmanagement von Instituten finden sich in der MaRisk (AT 7.3.). Die Vorgaben der BAIT konkretisieren diese und formulieren spezielle Vorgaben für das IT-Notfallmanagement. In diesem Zusammenhang müssen Institute

  • auf Basis der Ziele des allgemeinen Notfallmanagements auch die Ziele und Rahmenbedingungen des IT-Notfallmanagements festlegen,
  • IT-Notfallpläne erstellen, die Wiederanlauf-, Notbetriebs-, und Wiederherstellungspläne sowie zu berücksichtigende Abhängigkeiten z.B. von externen IT-Dienstleistern, berücksichtigen,
  • ihre IT-Notfallpläne durch mindestens jährliche IT-Notfalltests überprüfen; zu diesem Zweck ist ein IT-Testkonzept zu entwickeln,
  • nachweisen können, dass bei Ausfall eines Rechenzentrums die zeitkritischen Aktivitäten und Prozesse von einem anderen Rechenzentrum für eine angemessene Zeit erbracht werden können.

Ausblick ZAIT und Fazit

Die BAIT soll zukünftig zudem um ein Kapitel „Kundenbeziehungen mit Zahlungsdienstnutzern“ ergänzt werden, das sich eigens an Institute richten wird, die Zahlungsdienste im Sinne des Zahlungsdiensteaufsichtsgesetz (ZAG) erbringen. Die Inhalte dieses Kapitels werden im Rahmen der Konsultation des Rundschreibens „Zahlungsdiensteaufsichtliche Anforderungen an die IT“ (ZAIT) konsultiert und anschließend in die finale Fassung der BAIT einfließen.

Mit der nun zur Konsultation gestellten BAIT Novelle finden die europäische Vorgaben der ICT Guidelines nun auch endlich Einzug in die nationalen aufsichtsrechtlichen Vorgaben zum (IT-) Risikomanagement. Institute erhalten damit wertvolle Guidance zur praktischen Umsetzung der europäischen Vorgaben und der Erwartungshaltung der BaFin. Erfahrungsgemäß ergeben sich im Rahmen der Konsultation kaum wesentliche Änderungen, sodass Institute sich bereits jetzt auf die neuen aufsichtsrechtlichen Anforderungen einstellen können.