DORA – ein inhaltlicher Überblick

Nachdem wir uns im ersten Teil der Beitragsreihe mit dem Anwendungsbereich von DORA beschäftigt haben, betrachten wir in diesem zweiten Teil nun die inhaltlichen Regelungen der neuen europäischen Verordnung etwas genauer. Dieser Blogbeitrag beleuchtet fünf Handlungsfelder von DORA, die entsprechenden Anpassungsaufwand auf Seiten der betroffenen Finanzunternehmen nach sich ziehen werden.

Am 27. Dezember 2022 wurde die Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors (DORA) im Amtsblatt der Europäischen Union veröffentlicht. DORA tritt am zwanzigsten Tag nach der Veröffentlichung im Amtsblatt der Europäischen Union – und damit am 16. Januar 2023 – in Kraft und muss von den betroffenen Unternehmen nach einer Umsetzungsfrist von 24 Monaten nach der Veröffentlichung, folglich ab dem 17. Januar 2025 angewendet werden (Art. 64 DORA). Die Anforderungen der DORA sind damit in allen EU-Mitgliedstaaten einheitlich. Hieran anknüpfend werden die Europäischen Aufsichtsbehörden (ESAs), die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) und die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) zur Konkretisierung des Rechtsakts technische Standards (sog. Regulatory Technical Standards – RTS) ausarbeiten, die von den jeweiligen Unternehmen erfüllt werden müssen.

Betroffenen Unternehmen ist zu raten, den persönlichen Anwendungsbereich von DORA zu prüfen und sich mit den gesetzlichen Verpflichtungen bereits frühzeitig vertraut zu machen. DORA enthält fünf Themenbereiche, die im Folgenden zusammenfassend dargestellt und eingeordnet werden.

1. IKT-Risikomanagement

Wenig überraschend muss das Risikomanagement von regulierten Finanzmarktteilnehmern auch nach DORA künftig das IKT-Risiko umfassen. Das ist nach der MaRisk und den aufsichtsrechtlichen Vorgaben an die IT in BAIT, KAIT, ZAIT und VAIT keine neue Vorgabe. Allerdings sind die Vorgaben in DORA konkreter und nun auf Gesetzesebene verankert und nicht mehr nur in Verwaltungsvorschriften der BaFin.

Kapitel II von DORA enthält Vorschriften zum IKT-Risikomanagement von Finanzunternehmen. Ein Einsatz von IKT muss durch das Finanzunternehmen in die Unternehmensstrategie integriert werden. Die Gesamtverantwortung für das Risikomanagement liegt dabei grundsätzlich bei der Geschäftsleitung des jeweiligen Finanzunternehmens. Zudem werden mit DORA Verpflichtungen eingeführt, die sicherstellen sollen, dass IKT-Systeme kontinuierlich überwacht und kontrolliert werden, sowie durch regelmäßige Updates auf dem aktuellsten Stand gehalten werden. Um Ausfallzeiten von IKT-Systemen zu minimieren, müssen betroffene Unternehmen auch Strategien für Datensicherung und Wiederherstellungsverfahren einrichten. Sämtliche interne Risikodokumente müssen verschriftlicht sein, um entsprechend intern und extern überprüfbar zu sein.

2. Berichterstattung / Meldepflichten

DORA enthält zudem eine Verpflichtung zur Meldung von IKT-bezogenen Vorfällen. Nach Kapitel III von DORA werden Finanzunternehmen künftig verpflichtet sein, einen Managementprozess zur Überwachung und Protokollierung von IKT-bezogenen Vorfällen zu implementieren. Einen derartigen IKT-bezogenen Vorfall definiert die Verordnung als ein unvorhergesehenes in den Netz- und Informationssystemen festgestelltes Ereignis, das von böswilligen Handlungen herrühren kann und die Sicherheit von Netz- und Informationssystemen und der von diesen Systemen verarbeiteten, gespeicherten oder übertragenen Informationen beeinträchtigt oder nachteilige Auswirkungen auf die Verfügbarkeit, Vertraulichkeit, Kontinuität oder Authentizität der vom Finanzunternehmen erbrachten Finanzdienstleistungen hat (vgl. Art. 3 Nr. 6 DORA).

Finanzunternehmen müssen nach Art. 15 DORA Frühwarnindikatoren einrichten, um Cyberangriffe zu erkennen und zu bewältigen. Weiterhin schafft DORA einheitliche und standardisierte Vorgaben zum Vorgehen bei IT-Sicherheitsvorfällen. So beschreibt beispielsweise Art. 16 DORA ein Verfahren zur Klassifizierung, basierend auf Faktoren wie Dauer und Schwere des IKT-bezogenen Vorfalls auf die IKT-Systeme des Finanzunternehmens.

Schwerwiegende IKT-bezogene Vorfälle (vgl. Art. 3 Nr. 7 DORA) müssen durch das jeweilige Finanzunternehmen gemäß Art. 17 DORA der zuständigen Aufsichtsbehörde (vgl. Art. 41 DORA) gemeldet werden.

Bereits unter der derzeit geltenden Rechtslage bestehen Berichts- und Meldepflichten etwa durch die Zweite Zahlungsdiensterichtlinie (PSD II-Richtlinie) für Zahlungsdienstleister oder die Richtlinie zur Netz- und Informationssicherheit (NIS-Richtlinie). Die DORA-Verordnung baut dabei auf der NIS-Richtlinie auf und beseitigt mögliche Überschneidungen durch eine Ausnahme mittels des lex specialis Prinzips, sodass die Regelungen der DORA grundsätzlich Vorrang genießen sollten.

3. Prüfung der digitalen Betriebsstabilität durch Test-Verfahren

DORA schreibt weiterhin auch umfassende Verfahren zur Feststellung und Überprüfung der IT-Sicherheit mittels geeigneter Tests vor (Kapitel IV DORA). Dabei sind diese Prüfungen anhand des bereits erwähnen risikobasierten Ansatzes unter Berücksichtigung der Größe und Geschäfts- und Risikoprofile der jeweiligen Finanzunternehmen durchzuführen. Die DORA-Verordnung listet in Art. 22 Abs. 1 Beispiele geeigneter Tests auf, darunter Bewertungen und Überprüfungen der Anfälligkeit, Analysen von OpenSource-Software, Bewertungen der Netzsicherheit, Lückenanalysen, Analysen der physischen Sicherheit, Überprüfungen der physischen Sicherheit, Fragebögen und Scansoftwarelösungen, Quellcodeprüfungen, szenariobasierte Tests, Kompatibilitätstests, Leistungstests, End-to-End-Tests oder Penetrationstests.

Finanzunternehmen müssen mindestens einmal jährlich alle kritischen IKT-Systeme und IKT-Anwendungen prüfen. Diese Prüfungen können dabei sowohl durch externe als auch durch interne Prüfer durchgeführt werden (vgl. Art. 21 Abs. 4, 6 DORA).

Systemrelevante Institute hingegen werden höheren Anforderungen mit Blick auf die Prüfung ihrer IKT-Systeme unterworfen. DORA sieht für diese Institute erweiterte Prüfungen durch die Durchführung sog. bedrohungsorientierter Penetrationstests vor, wobei diese Tests in regelmäßigen Abständen mindestens alle drei Jahre durchzuführen sind.

4. IKT-Risiken Dritter / Outsourcing

Da Institute ihre IT häufig an große Technologieanbieter auslagern oder solche Anbieter für einzelne Dienstleistungen verwenden, werden Finanzinstitute deshalb im Rahmen ihres Risikomanagements verpflichtet, auch IKT-Drittparteienrisiken zu betrachten (Kapitel V DORA). So legt etwa Art. 27 DORA wesentliche Vertragsbestimmungen für Auslagerungsverträge fest. Derartige Verträge müssen z.B. eine Beschreibung aller Funktionen und Dienstleistungen des IKT-Drittanbieters, fortlaufende Überwachungsrechte des Finanzunternehmens oder auch Kündigungsrechte und Ausstiegsstrategien enthalten. Diese Vorgaben knüpfen nahtlos an das bestehende Auslagerungsregime für regulierte Finanzmarktteilnehmer an.

5. Europäisches Überwachungsrahmenwerk für kritische IKT Drittdienstleister

Besonders hervorzuheben ist der Aufbau eines europäischen Überwachungsregimes für kritische Technologieanbieter, die im Finanzsektor genutzt werden. Das ist auf europäischer Ebene neu, in Deutschland wurde eine entsprechende Kompetenz der BaFin bereits durch das Gesetz zur Stärkung der Finanzmarktintegrität (FISG) in § 25b Abs. 4a KWG eingeführt. Allerdings gehen die Befugnisse der BaFin beim Durchgriff auf das IT-Auslagerungsunternehmen nicht so weit, wie es DORA vorsieht. Nach § 25b KWG kann die BaFin im Einzelfall geeignete Anordnungen gegenüber IT-Auslagerungsunternehmen erlassen. Die aufsichtlichen Befugnisse bei der Überwachung der IKT-Drittanbieter nach Art. 33 DORA sind wesentlich detaillierter und weitgehender. Sie umfassen beispielsweise die Anforderung von Informationen und Unterlagen, Vor-Ort-Prüfungen oder auch die Verhängung von Zwangsgeldern, um den jeweiligen kritischen IKT-Drittanbieter zur Einhaltung der gesetzlichen Regelungen zu zwingen. Die neuen Befugnisse ermöglichen der BaFin eine umfassende Aufsicht der kritischen IKT-Drittanbieter.

Die Einstufung eines Technologieanbieters als kritischer IKT-Drittdienstleister und dessen Überwachung obliegt den ESAs. Dabei basiert die Ernennung auf festgelegten Kriterien, wie etwa:

  • Systemische Auswirkungen auf die Finanzdienstleistungen bei Defiziten der Stabilität, Kontinuität und Qualität der IKT-Leistungen
  • Abhängigkeit von Finanzunternehmen von den Dienstleistungen des betreffenden IKT-Drittdienstleisters
  • Grad der Substituierbarkeit des IKT-Drittanbieters
  • Zahl der Mitgliedstaaten, welche die IKT-Leistungen nutzen

Zusammenfassung und Ausblick

Durch den umfassenden Anwendungsbereich von DORA werden Unternehmen aus zahlreichen Bereichen des Finanzsektors erfasst. Mit DORA wird ein Rechtsrahmen entstehen, der bestehende regulatorische Anforderungen an die IT-Sicherheit für die gesamte Finanzbranche zusammenfasst und einen europäisch einheitlichen Aufsichtsrahmen schafft.

Erstmals sind nun auch kritische IKT-Dienstleister, die als Auslagerungsunternehmen für regulierte Finanzmarktteilnehmer agieren, von der Regulierung umfasst.

 

Die Verordnung des europäischen Parlamentes und des Rates über die Betriebsstabilität digitaler Systeme des Finanzsektors (Digital Operational Resilience Act – DORA) – ab 16.1.2023 in Kraft

Die Digitalisierung des Finanzsektors durch den Einsatz von Informationstechnik (IT) schafft für Anbieter von Bank- und Finanzdienstleistungen zahlreiche neue Möglichkeiten, birgt für die Branche jedoch, angesichts der wachsenden Gefahr von Cyberangriffen, auch zahlreiche Risiken. In Zukunft wird mit dem sog. Digital Operational Resilience Act – („DORA“) ein EU-weiter Rechtsrahmen für die digitale Widerstandsfähigkeit und Cybersicherheit im Finanzdienstleistungssektor zu beachten sein.

Was ist DORA?

Um die Stabilität des Finanzmarktes auch im Falle einer schwerwiegenden Störung zu gewährleisten und dessen Marktteilnehmer zu schützen, hat die EU-Kommission am 24. September 2020 den DORA-Regulationsentwurf im Rahmen eines umfassenden Pakets zur Digitalisierung des Finanzsektors (Digital Finance Package) vorgelegt, der auch die Digital Finance Strategy, die Retail Payment Strategy, einen Vorschlag zur Distributed-Ledger-Technologie (DLT) sowie den Act on Markets in Crypto Assets (MiCA) enthält.

Derzeit müssen sich Unternehmen des Finanz- und Versicherungssektors bei einem Einsatz von IT oder der Einbeziehung von IT-Dienstleistungen auf nationaler Ebene an eine Vielzahl aufsichtsrechtlicher Anforderungen mit Blick auf Cybersicherheit halten. In Deutschland zeigt sich dies etwa an den Vorgaben der BaFin-Rundschreiben BAIT, KAIT, ZAIT und VAIT, die für jede Branche des Finanz- und Versicherungsmarktes individuelle Regelungen aufstellen. Wir fangen hier in Deutschland also nicht bei Null an, sondern bauen auf einem Standard auf, der bereits seit Jahren im Fokus der Aufsicht steht und bereits eine gewisse Resilienz bewiesen hat.

Ziel von DORA ist die Harmonisierung der nationalen Vorschriften für die Sicherheit von IT-Systemen im Finanzsektor. Innerhalb der Europäischen Union soll so ein einheitlicher Rechtsakt über die digitale Betriebsstabilität von Finanzdienstleistungen entstehen. Bezweckt ist die Schaffung eines umfassenden Rahmens auf Ebene der Europäischen Union mit einheitlichen Vorschriften, die den Anforderungen an die digitale Betriebsstabilität von regulierten Unternehmen auf dem Finanzmarkt Rechnung tragen sowie die Schaffung eines gemeinsamen Aufsichtsrahmens für Drittanbieter von Informations- und Kommunikationstechnologien (IKT).

Wer ist von DORA betroffen?

DORA wird auf Finanzunternehmen und sog. IKT-Drittanbieter anwendbar sein. Unter einem IKT-Drittanbieter ist ein Unternehmen zu verstehen, welches digitale Dienste und Datendienste erbringt und schließt auch Anbieter von Cloud-Computing-Diensten, Software, Datenanalysediensten und Rechenzentren ein.  

Welche Unternehmen unter die Sammelbezeichnung der Finanzunternehmen zu fassen sind, wird in Art. 2 Abs. 1 a) bis t) DORA aufgelistet. Demnach sind nicht nur Kreditinstitute, Zahlungsdienstleister, E-Geld-Institute und Wertpapierfirmen vom Anwendungsbereich von DORA umfasst, sondern beispielsweise auch Datenbereitstellungsdienste, Versicherungs- und Rückversicherungsunternehmen, Crowdfunding-Dienstleister, Ratingagenturen und Anbieter von Krypto-Dienstleistungen.

Der insgesamt sehr weite Anwendungsbereich von DORA soll nach dem Willen des europäischen Gesetzgebers für eine möglichst einheitliche Anwendung der gesetzlichen Verpflichtungen im Hinblick auf IKT-Risiken sorgen und letztlich gleiche Wettbewerbsbedingungen für die betroffenen Unternehmen schaffen.

Was sind die zentralen Verpflichtungen unter DORA?

Die neue Verordnung berücksichtigt, dass zwischen Finanzunternehmen in Bezug auf Größe, Unternehmensprofile oder das Ausmaß digitaler Risiken erhebliche Unterschiede bestehen. Aus diesem Grund verfolgt DORA einen risikobasierten Regulierungsansatz unter Beachtung der Verhältnismäßigkeit (sog. Proportionalitätsprinzip). Dies dient dazu, den weiten Anwendungsbereich von DORA zu korrigieren und sorgt dafür, dass je nach Größe des Unternehmens unterschiedliche Anforderungen gelten. Dadurch fallen auch Kleinstunternehmen nahezu gänzlich aus dem Anwendungsbereich von DORA heraus. DORA wurde zudem technologieneutral ausgestaltet, wodurch auch künftige technologische Entwicklungen auf dem Finanzmarkt erfasst werden sollen.

DORA sieht dabei eine Reihe von Handlungsfeldern vor, die entsprechenden Anpassungsaufwand auf Seiten der Finanzunternehmen nach sich ziehen. Diese sollen in einem Teil 2 zu diesem Beitrag näher beleuchtet werden.

Gegen Greenwashing: Neue Regulierung von Fondsnamen

ESG, green, sustainable, impact investing…der Name eines Fondsprodukt ist oft das, was ein potentieller Investor als Erstes sieht. Auch wenn für die Rendite letztlich maßgeblich ist, welche Assets im Fonds enthalten sind, ist der Name des Fonds doch häufig das, was das Interesse weckt. Hier ist die Gefahr von Greenwashing, sprich der Verwendung von ESG-Begriffen, ohne dass aber entsprechendes Commitment besteht, also besonders groß.

Die gesamte Nachhaltigkeitsregulierung im Finanzmarkt dient deshalb dem übergeordneten Ziel, Transparenz zu schaffen, Anlegervertrauen zu fördern und damit Kapital hin zu einer nachhaltigeren Wirtschaft bereitzustellen. Dazu legt z.B. die Taxonomie-Verordnung als Grundlage eine einheitliche Definition nachhaltiger Wirtschaftstätigkeit fest. Die EU-Offenlegungsverordnung (Sustainable Finance Disclosure Regulation – „SFDR“) regelt z.B. nachhaltigkeitsbezogene vorvertragliche Informationspflichten. Ein weiterer Baustein gegen Greenwashing ist nun die Schaffung von EU-Vorgaben zu Fondsnamen.

Die BaFin-Richtlinie für nachhaltige Investmentvermögen

Bereits im August 2021 hat die BaFin den Entwurf einer Richtlinie für nachhaltige Investmentvermögen zur Konsultation gestellt, die in ihrem Anwendungsbereich allerdings auf Publikumsfonds beschränkt ist. Sie zielt auf solche Publikumsfonds ab, die in ihrem Namen einen Nachhaltigkeitsbezug aufweisen. Drei Möglichkeiten sind vorgesehen, unter denen ein Fonds als nachhaltig aufgelegt werden kann: (i) aufgrund der Investition in nachhaltige Vermögensgegenstände, (ii) aufgrund einer nachhaltigen Anlagestrategie und (iii) durch die Nachbildung eines nachhaltigen Index. Eine Investition in nachhaltige Vermögensgegenstände kann durch die Aufnahme einer Regelung in die Anlagegrenzen erfolgen, wonach der Fonds zu mind. 75% in Taxonomie-konforme Vermögensgegenstände investiert sein muss. Ausführlich haben wir bereits hier darüber berichtet. Vor dem Hintergrund der dynamischen regulatorischen Lage hat die BaFin sich allerdings dazu entschlossen, die Richtlinie zurückzustellen, gleichzeitig ihre Verwaltungspraxis aber an den dort genannten Grundsätzen auszurichten.

Der Vorschlag der ESMA

Mitte November 2022 hat die ESMA ihren Entwurf für Guidelines für Fondsnamen mit ESG-Bezug veröffentlicht. Diese sind bereits deutlich konkreter als das vorangegangene Supervisory Briefing vom Mai 2022.

…gilt für…

Die Guidelines sollen für sämtliche Fondsverwaltungsgesellschaften gelten, erfassen also v.a. OGAW und AIF und sind insbesondere nicht auf Publikumsfonds beschränkt. Durch die Guidelines werden die in der OGAW-Richtlinie, der AIFMD und der Verordnung zum grenzüberschreitenden Fondsvertrieb enthaltenen Grundsätze des redlichen Verhaltens von Fondsverwaltungsgesellschaften sowie die Verpflichtung zu fairer, klarer und nicht irreführender Werbung konkretisiert.

Relevant werden die Guidelines für sämtliche Fondsdokumentation wie den Prospekt, die vorvertraglichen Informationen, die Halbjahres- und Jahresberichte und die Gründungsdokumente sowie für sämtliche Marketingkommunikation, geäußert z.B. durch Pressemitteilungen, auf Webseiten, mittels Präsentationen, auf Social Media oder im Rahmen von Diskussionsforen. Sie sollen nicht nur die Fondsverwaltungsgesellschaften selbst, sondern auch für ihre Vertriebspartner gelten.

…und regelt

Unter der SFDR sind Fonds bereits jetzt verpflichtet, z.B. in vorvertraglichen Informationen offenzulegen, wie die geförderten sozialen oder ökologischen Merkmale (Art. 8 SFDR) bzw. die nachhaltigen Anlageziele (Art. 9 SFDR) erreicht werden. Ab 2023 sind dazu verbindliche Vorlagen des EU-Gesetzgebers zu verwenden. Dabei ist auch offenzulegen, welcher Anteil der dem Fonds zugrunde liegenden Vermögensgegenstände verwendet wird, um die geförderten Merkmale bzw. die nachhaltige Anlagestrategie zu erreichen.

Hier setzt der Vorschlag der ESMA an:

  • Bei Fonds, die einen ESG- oder impact-Bezug im Namen aufweisen, müssen mindestens 80% der Vermögenswerte dazu verwendet werden, die geförderten ökologischen oder sozialen Merkmale bzw. die nachhaltigen Anlageziele zu erreichen.
  • Bei Fonds, die einen Nachhaltigkeitsbezug im Namen aufweisen, müssen von diesen 80% mindestens 50% die Voraussetzungen von Art. 2 Nr. 17 SFDR erfüllen, also letztlich Taxonomie-konform sein.
  • Für die verbleibenden Vermögenswerte sowie als grundsätzliche Mindestanforderung an alle Vermögenswerte schlägt die ESMA die Anwendung der Mindestanforderungen vor, die bereits im Zusammenhang mit Klimabenchmarks geregelt sind. Ausgeschlossen wären danach z.B. Investments in Unternehmen, die an umstrittenen Waffen beteiligt sind.
  • Die Wörter „Impact“ oder „Impact Investing“ dürfen von Fonds nur verwendet werden, wenn die o.g. Schwellenwerte eingehalten werden und Investitionen unter diesen Mindestanteilen zudem mit der Absicht getätigt werden, neben einer finanziellen Rendite positive, messbare soziale oder ökologische Auswirkungen zu erzielen.

Durch die Guidelines will die ESMA EU-weit einheitliche Regelungen erreichen, was insbesondere den grenzüberschreitenden Fondsvertrieb erleichtert. Die von ihr vorgeschlagene Quote für Investitionen in Taxonomie-konforme Investments ist deutlich niedriger als die 75% der BaFin. Wie immer bei EU-Guidelines müssen die nationalen Aufsichtsbehörden erklären, ob sie diese anwenden und falls nein, begründen, warum nicht. Es bleibt daher abzuwarten, wie die BaFin mit ihrer Richtlinie umgehen wird. Eine Möglichkeit wäre, die ESMA Guidelines als Mindeststandard anzuwenden, für Publikumsfonds aber an der Richtlinie festzuhalten.

Ab wann gilts?

Die ESMA will finale Guidelines in Q2/Q3 2023 veröffentlichen. Für Fonds, die vor den finalen Guidelines aufgelegt wurden, ist eine Übergansphase von 6 Monaten vorgesehen. Diese haben somit ein halbes Jahr Zeit, entweder die Vorgaben der Guidelines zu erfüllen oder den Fondsnamen zu ändern. Erfahrungsgemäß halten sich Änderungen zur Entwurfsfassung in der Regel in Grenzen, sodass Marktteilnehmer ihre Produkte bereits einer entsprechenden Prüfung unterziehen sollten.

Update Nachhaltigkeitsregulierung – Was gibt es Neues?

In der Nachhaltigkeitsregulierung steckt derzeit selbst für das die Schnelllebigkeit gewohnte Finanzaufsichtsrecht viel Dynamik. In der Vergangenheit hatten wir bspw. schon über das Lieferkettensorgfaltspflichtengesetz, die Richtlinie der Bundesanstalt für Finanzdienstleistungsaufsicht („BaFin“) für nachhaltige Investmentvermögen und die technischen Regulierungsstandards zur EU-Transparenzverordnung (Sustainable Finance Disclosure Regulation – „SFDR“) berichtet. Doch was hat sich in der Zwischenzeit getan? Nachfolgend gibt es ein Update über ausgewählte aktuelle Entwicklungen der Nachhaltigkeitsregulierung.

1. Finale RTS zur SFDR

Die durch mehrere „Entwurfsrunden“ gegangenen technischen Regulierungsstandards (Regulatory Technical Standards – „RTS“) liegen mittlerweile als Delegierte Verordnung (EU) 2022/1288 in finaler Fassung vor (abrufbar hier). Die RTS zur SFDR konkretisieren insbesondere die Anforderungen an die Transparenzpflichten in vorvertraglichen Informationen, auf der Internetseite und in Jahresberichten. Die dazu in der Delegierte Verordnung (EU) 2022/1288 enthaltenen Vorlagen gelten ab dem 1. Januar 2023.

2. ESMA Sustainable Finance Timeline

Wer sich einen aktuellen Überblick über den zeitlichen Fahrplan der Nachhaltigkeitsregulierung verschaffen möchte, ist bei der Sustainable Finance Timeline der Europäischen Wertpapier- und Marktaufsichtsbehörde (European Securities and Markets Authority – „ESMA“) vom 26. September 2022 gut aufgehoben.

3. BaFin Q&A zur SFDR

Zudem hat die BaFin am 5. September Q&A zur SFDR veröffentlicht. Ausgewählte Fragen und Antworten werden nachfolgen näher vorgestellt.

Die BaFin stellt nochmal ausdrücklich klar, dass Finanzanlagenvermittler nach § 34f GewO nicht nach der SFDR verpflichtet sind. Sie qualifizieren aufgrund der Bereichsausnahme des KWG (§ 2 Abs. 6 S. 1 Nr. 8 KWG) nicht als Finanzdienstleistungsinstitut und damit auch nicht als MiFID II-Wertpapierfirma; (nur) an diese richtet sich aber die SFDR.

Zudem wird zunehmend klarer, was genau unter „bewerben“ im Sinne des Art. 8 SFDR zu verstehen ist. Nach Art. 8 SFDR sind für Finanzprodukte, die ökologische oder soziale Merkmale bewerben, bestimmte vorvertragliche Transparenzpflichten zu erfüllen. Die BaFin legt „bewerben“ als „fördern“ aus. Das führt dazu, dass es für die Anwendbarkeit der Transparenzpflichten nach Art. 8 SFDR nicht erforderlich ist, dass für ein Finanzprodukt Werbung betreiben wird, z.B. in Form von Marketingmitteilungen. Umgekehrt wird Art. 8 SFDR nicht schon dadurch „ausgelöst“, dass lediglich angegeben wird, wie Nachhaltigkeitsrisiken bei Investitionsentscheidungen einbezogen werden (das ist vielmehr Grundinformation in vorvertraglichen Informationen für sämtliche Finanzprodukte, vgl. Art. 6 SFDR). Vielmehr muss das Finanzprodukt ökologische oder soziale Merkmale zielgerichtet fördern und dies nach außen kommunizieren. Dem Fördern können aktive oder passive Anlagestrategien zugrunde liegen. Ein zielgerichtetes Fördern von ökologischen Merkmalen könnte etwa bei einem Immobilienfonds vorliegen, der bei der Auswahl der Immobilien deren CO2-Fußabdruck berücksichtigt und dies entsprechend in der Fondsdokumentation verschriftlich ist.

4. Siebte MaRisk-Novelle

Bereits am 20.Dezember 2019 hat die BaFin ein Merkblatt zum Umgang mit Nachhaltigkeitsrisiken veröffentlicht. Darin empfiehlt die BaFin eine strategische Befassung mit Nachhaltigkeitsrisiken und eine Anpassung des Risikomanagements. Das Merkblatt enthält jedoch lediglich eine Zusammenstellung von unverbindlichen Verfahrensweisen (Good-Practice).

Mit der Konsultation zu den geplanten Änderungen der Mindestanforderungen an das Risikomanagement („MaRisk“) sollen die Leitplanken des Merkblatts nunmehr in den Regelungstext der MaRisk aufgenommen. Die Anforderungen an die Berücksichtigung von Nachhaltigkeitsrisiken im Risikomanagement werden damit zu prüfungsrelevanten Anforderungen. Im Ergebnis sollen beaufsichtigte Unternehmen auch im Umgang mit Nachhaltigkeitsrisiken einen ihrem Geschäftsmodell und Risikoprofil angemessenen Ansatz entwickeln. Dazu sind bisherige Prozesse anzupassen und neue Mess-, Steuerungs- und Risikominderungsinstrumente zu entwickeln. Auch hier gilt aber der Proportionalitätsgrundsatz, sodass bei einem schwächer ausgeprägtem Risikoprofil einfacherer Prozesse ausreichen werden.

Und sonst?

Derzeit arbeitet der europäische Gesetzgeber an der Erweiterung der Taxonomie-Verordnung zur Definition von sozialer Wirtschaftstätigkeit sowie Vorgaben zur guten Unternehmensführung; bisher deckt die Taxonomie-Verordnung nur die ökologische Nachhaltigkeit und damit nur das „E“ aus „ESG“ ab. Die EU Platform for Sustainable Finance hat dazu bereits im Februar diesen Jahres einen Final Report veröffentlicht.

Der Entwurf des BaFin-Richtlinie für nachhaltige Investmentvermögen ist hingegen erstmal wieder zurückgestellt, zu dynamisch schien das derzeitige regulatorische Umfeld für eine finale Regelung. Gleichzeitig wird die BaFin aber ihre Verwaltungspraxis an dort genannten Grundsätzen ausrichten, sodass sich der Markt faktisch an der Richtlinie orientieren wird.

Es ist also Bewegung in der Nachhaltigkeitsregulierung und längst sind noch nicht alle Fragen der Praxis geklärt. Es bleibt daher, wie immer im Aufsichtsrecht, spannend.

Bedeutung der Reverse Solicitation im grenzüberschreitenden Fondsvertrieb – Kommt ein neues Reporting?

Ende letzten Jahres hat die Europäische Wertpapier- und Marktaufsichtsbehörde (European Securities and Markets Authority – ESMA) Daten dazu veröffentlicht, in welchem Umfang über die sog. Reverse Solicitation in Fondsprodukte investiert wird. In diesem Beitrag wollen wir einen Blick darauf werfen, wie sich die sog. Reverse Solicitation vom klassischen Vertrieb unterscheidet und welche Daten es zu Reverse Solicitation gibt.

Fonds sind nichts Anderes als gebündeltes Kapital von Anlegern. Damit diese Gelder investieren können, müssen sie erst einmal von der Anlagemöglichkeit wissen und Zugriff auf die Fonds haben. Das geschieht, indem die Kapitalverwaltungsgesellschaft (KVG) ihre Produkte auf dem Markt anbietet, diese also vertreibt. Der Vertrieb ist aufsichtsrechtlich reguliert und als das Anbieten und Platzieren von Fondsanteilen oder –aktien definiert. Damit ein Fondsprodukt auf dem deutschen Markt vertrieben werden darf, muss die KVG bestimmte regulatorische Anforderungen erfüllen, z.B. dem Anleger bestimmte Informationen und Dokumente über ihr Produkt zur Verfügung stellen.

Vertriebsvorgaben gelten dabei nicht nur für deutsche Fonds, die auf dem deutschen Markt angeboten werden sollen. Aufsichtsrechtliche Vertriebsvorgaben gelten auch für EU-Fonds, die in Deutschland angeboten werden sollen. So muss bspw. eine luxemburgische KVG, die einen luxemburgischen Fonds auf dem deutschen Markt anbieten will, diese erfüllen. Gemeinsam ist diesen Vertriebskonstellationen, dass die Initiative von der KVG ausgeht; sie bietet ihre Fondsprodukte zur Zeichnung aktiv auf dem Markt an und möchte deutsche Anleger erreichen.

Allerdings: Viele Investoren, gerade institutionelle, wissen häufig genau, welche Anlagemöglichkeit sie suchen und wie diese ausgestaltet sein soll. Sie warten also nicht, bis ihnen auf dem Markt eine geeignete Investitionsmöglichkeit angeboten wird, sondern fragen diese aktiv selbst an. Hier geht die Investitionsinitiative also von dem Investor, und nicht von der KVG aus. Aufsichtsrechtlich liegt dann kein Vertrieb vor und die Vertriebsvorgaben finden keine Anwendung.

Entsprechendes gilt auch für grenzüberschreitende Konstellationen: Fragt z.B. ein deutscher Anleger ein irisches Fondsprodukt einer irischen KVG an, geht die Investitionsinitiative von ihm aus, einen aktiven Vertrieb der irischen KVG auf dem deutschen Markt gibt es in dieser Konstellation nicht. Der Anleger macht hier von seiner passiven Dienstleistungsfreiheit (sog. Reverse Solicitation) Gebrauch. Die passive Dienstleistungsfreiheit ist Teil der EU-Grundfreiheiten und wird durch die aufsichtsrechtliche Regulierung des Vertriebs nicht berührt. Sie schützt die Freiheit, dass ein Empfänger einer Dienstleistung (hier der deutsche Anleger) aus einem anderen Mitgliedstaat kommt (aus Sicht der irischen KVG also Deutschland) als der Dienstleister (in unserem Beispiel die irische KVG).

Lässt sich Kapital also ganz einfach über die passive Dienstleistungsfreiheit einsammeln und damit die aufsichtsrechtlichen Anforderungen an den Vertrieb umgehen? Könnten sich KVGen also stets darauf berufen, gar nichts selbst auf den Markt zugegangen zu sein, sondern dass die Initiative stets vom Anleger ausging? Hier ist Vorsicht geboten. Fondsanbieter sollten keine vollständigen Vertriebsmodelle auf die Reverse Solicitation stützen. Der gesetzliche Regelfall ist der Vertrieb, also, dass die KVG ihr Produkt aktiv auf dem Markt platziert. Ist es ausnahmsweise umgekehrt und der Investor kommt aktiv mit einer Investitionsanfrage auf den Anbieter zu, sollte die KVG sich (gegenüber der Aufsicht) absichern und das gut dokumentieren.

Auf Anfrage der EU-Kommission hat die ESMA bei den nationalen Aufsichtsbehörden nun eine Umfrage durchgeführt, in welchem Umfang über die sog. Reverse Solicitation in Fondsprodukte investiert wird. Interessant sind diese Daten für die EU z.B. deshalb, weil sie mit der AIFMD II jüngst ein Regelwerk verabschiedet hat, das den grenzüberschreitenden Fondsvertrieb erleichtern und vor allem vereinheitlichen soll (dazu haben wir bereits hier, hier und hier ausführlich berichtet). Die nationalen Aufsichtsbehörden verfügen laut ESMA jedoch nur vereinzelt über solche Daten. Laut der italienischen Aufsichtsbehörde Consob stammt ein Viertel des investierten Kapitals aus Reverse Solicitation, wovon wiederum 99% auf professionelle Investoren entfallen. In Zypern stammt laut CySEC 30% des von OGAW-KVGen und 50% des von AIF-KVGen genutzten Kapitals aus Reverse Solicitation. In Spanien hingegen geht man davon aus, dass lediglich ca. 1,3% des Kapital aus Reverse Solicitation stammen. Daten für Deutschland wurden nicht veröffentlicht.

Nach ihrer Umfrage kommt die ESMA zu dem Schluss, dass valide und permanente Daten über die Frage, wie viel Kapital für Fondsprodukte über den klassischen Vertrieb und über Reverse Solicitation eingesammelt wird, nur durch die Einführung eines neues Reporting gewährleisten werden. Konkrete Vorschläge für ein solches Reporting gibt es derzeit aber noch nicht. Es bleibt daher abzuwarten, ob die EU-Kommission den Vorschlag der ESMA aufgreifen wird, um sich ein genaueres Bild über die Bedeutung der Reverse Solicitation im grenzüberschreitenden Fondsvertrieb zu machen.

Institute und Risikoträger aufgepasst – die DelVO 2021/923 hat es in sich

Die sog. Risikoträger eines Instituts unterliegen Vergütungsbeschränkungen. Das ist nicht neu, schon im KWG ist festgelegt, dass Boni bei Risikoträgern in der Regel nur 200% der fixen Vergütung betragen dürfen.

Seit dem 27. Juni 2021 gibt es nun eine neue Rechtslage, die etwas unübersichtlich daherkommt. Seit der Umsetzung des Risikoreduzierungsgesetzes zum 29. Dezember 2020 gilt bereits für alle CRR-Institute eine Pflicht, ihre Risikoträger zu identifizieren. Im Gegensatz zu dem Regime für bedeutende Institute, das bisher in der DelVO 604/2014 geregelt war, traf die CRR-Institute aber nur ein Risikoträgeridentifizierungsregime „light“. Als Risikoträger galten Geschäftsleiter, Aufsichtsräte, bestimmte Führungspersonen. Nun gilt seit dem 27. Juni 2021 für alle die DelVO 2021/923 die wir kurz vorstellen möchten.

Was ist neu?

Die DelVO 2021/923 gibt nun allen Instituten qualitative und quantitative Merkmale zur Bestimmung ihrer Risikoträger an die Hand. Anknüpfungspunkt für die qualitativen Merkmale ist der Einfluss des jeweiligen Mitarbeiters auf das Risikoprofil des Instituts. Im Vergleich zu der Regelung des KWG ist die Liste der Risikoträger, die allein aufgrund ihrer Tätigkeit als Risikoträger betrachtet werden, wesentlich länger und weiter. Ab 27. Juni 2021 sind vor allem Mitarbeiter mit Managementzuständigkeiten für wesentliche Geschäftsbereiche oder für Kontrollaufgaben Risikoträger, da diese strategische oder andere grundlegende Entscheidungen treffen können, die sich auf die Geschäftstätigkeiten oder den angewendeten Kontrollrahmen auswirken. Dazu gehören auch Führungspersonen aus dem Bereich Risikomanagement, Compliance und Interne Revision sowie Mitarbeiter, die bei der Entscheidungsfindung wesentlich unterstützen.

Daneben gelten quantitative Merkmale, d.h. alle Mitarbeiter, die mehr als 750.000 EUR verdienen oder deren Verdienst in den oberen 0,3% der Gesamtvergütung des Instituts liegen, gelten ebenfalls als Risikoträger. Diese gesetzliche Vermutung kann ggf. widerlegt werden.

Was ist zu tun?

Bevor ein Institut anfangen kann, seine Risikoträger zu identifizieren, sollte eine Evaluation erfolgen, die folgende Punkte abdeckt:

  • Was ist das Risikoprofil der wesentlichen Geschäftsbereiche?
  • Wie ist das interne Kapital zur Absicherung der Risiken verteilt?
  • Was sind die Risikogrenzen des wesentlichen Geschäftsbereiche?
  • Was sind die Risiko- und Leistungsindikatoren zur Ermittlung, Steuerung und Überwachung der Risiken der wesentlichen Geschäftsbereiche?
  • Welche Leistungskriterien liegen der variablen Vergütung jeweils zugrunde?
  • Was sind die Pflichten und Befugnisse der einzelnen Mitarbeiter?

Sobald sich das Institut darüber im Klaren ist, welcher Mitarbeiter welches Risikoprofil hat, müssen in einem zweiten Schritt die Risikoträger jeweils identifiziert werden. Das alles ist zu dokumentieren. In einem dritten Schritt wäre dann zu prüfen, ob die Vergütungsbeschränkungen hinsichtlich der variablen Vergütung dieser Risikoträger eingehalten werden oder ob es arbeitsvertragliche Anpassungen geben muss.

Fazit

Grundsätzlich gilt auch hier der Proportionalitätsgrundsatz, so dass die Anzahl und Einordnung einzelnen Mitarbeiter von Institut zu Institut variieren kann. Die BaFin hat bereits angekündigt, dass die Institutsvergütungsverordnung und die Erläuterungen dazu noch angepasst werden müssen, was voraussichtlich nicht vor Q4 2021 erfolgen wird. Auch das KWG muss noch entsprechend angepasst werden. Das gibt den Instituten noch einen Spielraum zur Umsetzung der neuen Verordnung. Die Identifizierung der vorhandenen Risikoträger sowie die ggf. erforderliche Anpassung der Arbeitsverträge ist aber ohnehin nicht von heute auf morgen zu leisten.

Update: Fit and Proper Anforderungen an Geschäftsleiter

Anfang Juli haben die Europäische Wertpapier- und Marktaufsichtsbehörde (European Securities and Markets Authority – „ESMA“) und die Europäische Bankaufsichtsbehörde (European Banking Authority – „EBA“) ihre überarbeiteten Joint Guidelines zu den Geeignetheitsanforderungen and Geschäftsleiter veröffentlicht. Wir geben dazu ein kurzes Update.

Was ist der Hintergrund?

Geschäftsleiter regulierter Institute müssen fachlich geeignet und zuverlässig sein und ihrer Tätigkeit ausreichend Zeit widmen. Die fachliche Eignung setzt voraus, dass die Geschäftsleiter in ausreichendem Maß theoretische und praktische Kenntnisse in den betreffenden Geschäften sowie Leitungserfahrung haben. Die Bundesanstalt für Finanzdienstleistungsaufsicht („BaFin“) hat zuletzt bereits die fachliche Eignung sowohl des einzelnen Geschäftsleiters als auch insbesondere die kollektive fachliche Eignung der Geschäftsführung als solcher in den aufsichtlichen Fokus gerückt. Darüber haben wir bereits hier berichtet.

Was beinhalten die überarbeiteten Joint Guidelines?

Zwei Punkte sind besonders interessant. Zum einen die erforderlichen Kenntnisse von Geschäftsleitern zur Verhinderung von Geldwäsche und zum anderen die geschlechterausgewogene Besetzung von Geschäftsleiterpositionen.

Kenntnisse zur Verhinderung von Geldwäsche

Die Joint Guidelines stellen klar, dass Kenntnisse im Bereich der Verhinderung von Geldwäsche und der Terrorismusfinanzierung Bestandteil der fachlichen Eignung von Geschäftsleitern sind. Ausreichende fachliche Eignung und Kenntnisse der Geschäftsleiterin, die für die Umsetzung und Einhaltung der geldwäscherechtlichen Vorschriften verantwortlich ist, schließt ausdrücklich die Identifizierung, das Management und die Minderung von Geldwäscherisiken und des Risikos der Terrorismusfinanzierung mit ein. Kenntnisse im Bereich der Geldwäsche sind auch für die kollektive fachliche Eignung der Geschäftsführung erforderlich. Diese können etwa durch entsprechende Schulungen sichergestellt werden. Diejenige Geschäftsleiterin aber, die die Umsetzung geldwäscherechtlicher Anforderungen verantwortet, bedarf hier vertiefter Kenntnisse.

Geschlechterausgewogene Besetzung

Zudem stellen die Joint Guidelines klar, dass Institute zum einen eine Policy aufgesetzt und implementieren haben sollten, die Diversität in der Geschäftsführung fördert, um eine möglichst große Vielfalt in deren Besetzung zu erreichen. Zum anderen sollten Institute auch ganz konkret eine angemessene Vertretung aller Geschlechter im Leitungsorgan anstreben und sicherstellen, dass bei der Auswahl der Mitglieder des Leitungsorgans das Prinzip der Chancengleichheit beachtet wird. Hierbei handelt es sich aber (noch) nicht um zwingende Regelungen, sondern um „Sollvorschriften“.

Allerdings hat die EZB passend dazu in einem jüngst veröffentlichten Leitartikel ausdrücklich betont, dass sie zukünftig genau prüfen wird, welche Fortschritte Banken beim Thema Diversität machen. Dabei werden auch Informationen darüber eingeholt werden, ob interne Diversitätsziele festgelegt wurden und ob diese Ziele erreicht wurden. Wenn diese internen Ziele verfehlt wurden, wird die EZB Maßnahmen zur Beseitigung von Ungleichgewichten in der Besetzung der Geschäftsleitung empfehlen. Außerdem werden die Banken zukünftig auf etwaige Mängel im Rahmen des jährlichen aufsichtlichen Bewertungs- und Überprüfungsprozesses hingewiesen werden. Die EZB betont, dass bei Nichteinhaltung interner Diversitätsziele verpflichtende Regelungen möglich sind.

Was bleibt mitzunehmen?

Das Thema Geldwäsche scheint ein aufsichtlicher Dauerbrenner zu werden. Institute sollten sicherstellen, dass ihre Geschäftsleiter hier über ausreichend Kenntnisse und Erfahrung verfügen. Darüber hinaus ist das Thema Geschlechterausgewogenheit nun auch endgültig auf höchster regulatorischer Ebene angekommen. Institute sollten mit gutem Beispiel vorangehen und eine ausgewogene Besetzung ihrer Geschäftsleitung nicht nur anstreben, sondern auch tatsächlich umsetzen.

Langsam wird es ernst: Die neue Mantelverordnung zum Wertpapierinstitutsgesetz

In wenigen Wochen, nämlich am 26. Juni 2021, wird das neue Wertpapierinstitutsgesetz („WpIG“) in Kraft treten. Durch das WpIG wurde ein eigenes Aufsichtsregime für Wertpapierfirmen geschaffen und sog. kleine und mittlere Wertpapierinstitute aus dem Aufsichtsregime des Kreditwesengesetzes („KWG“) herausgelöst. Letzteres wird in Zukunft nur noch für bankenähnliche, sog. große Wertpapierfirmen, gelten. Das neue WpIG haben wir bereits hier und hier ausführlich vorgestellt.

Anfang Mai diesen Jahres hat die Bundesanstalt für Finanzdienstleistungsaufsicht („BaFin“) ihre Konsultation zur Mantelverordnung zum WpIG veröffentlicht. Darin hat sie Entwürfe der

  • Wertpapierinstituts-Prüfungsberichtsverordnung („WpI-PrüfbV),
  • Wertpapierinstituts-Vergütungsverordnung („WpI-VergV“),
  • Wertpapierinstituts-Inhaberkontrollverordnung („WpI-IKV“) und der
  • Wertpapierinstituts-Anzeigenverordnung („WpI-AnzV“)

zur Ergänzung und Vervollständigung des neuen Aufsichtsregimes des WpIG veröffentlicht. Bis Ende Mai konnten Stellungnahmen dazu abgegeben werden. Im Folgenden stellen wir die einzelnen Verordnungen im Überblick vor.

Die Wertpapierinstituts-Prüfungsberichtsverordnung

Die WpI-PrüfbV regelt den Gegenstand und den Zeitpunkt der Prüfung des externen Wirtschaftsprüfers, denen sich die verpflichteten Wertpapierinstitute unterziehen müssen, sowie den Inhalt und die Form der vom externen Prüfer anzufertigenden Prüfungsberichte. Damit werden die §§ 77 ff WpIG konkretisiert. Die WpI-PrüfbV wird nur für kleine und mittlere Wertpapierinstitute gelten. Große Wertpapierinstitute werden weiterhin der nach dem KWG ergangenen Prüfungsverordnung (PrüfbV) unterliegen.

Die Wertpapierinstituts-Vergütungsverordnung

Die WpI-VergV wird die Artikel 30 bis 34 der Richtlinie EU 2019/2034 über die Beaufsichtigung von Wertpapierfirmen („IFD“) umsetzen. Inhaltlich orientiert sie sich an der nach dem KWG erlassenen Instituts-Vergütungsverordnung, ist aber in ihrem Umfang deutlich schlanker.

Nach § 3 der WpI-VergV trägt die Geschäftsleitung die Verantwortung für die angemessene Ausgestaltung der Vergütungssysteme. Es werden Kriterien vorgegeben, wann von einer angemessenen Ausgestaltung des Vergütungssystems auszugehen ist (§ 5 WpI-VergV). Die Vergütungsstrategie und die Vergütungssysteme des Wertpapierinstituts müssen auf die Erreichung der Ziele ausgerichtet sein, die in den Geschäfts-und Risikostrategien des Instituts niedergelegt sind (§ 4 WpI-VergV). Damit sollen Fehlanreize verhindert werden. Entsprechend der Instituts-Vergütungsverordnung sind insbesondere auch die Anforderungen an die variable Vergütung detailliert geregelt (§ 6 WpI-VergV). Die Grundsätze zum Vergütungssystem sind vom Institut schriftlich niederzulegen und zu dokumentieren (§ 9 WpI-VergV).

Zudem sieht die WpI-VergV vor, dass das Wertpapierinstitut darauf hinwirkt, dass bestehende Verträge mit den Mitarbeiterinnen und Mitarbeitern, die mit den Vorgaben der WpI-VergV nicht vereinbar sind, angepasst werden (§ 12 WpI-VergV). Schließlich werden auch die Aufgaben des Vergütungskontrollausschusses und die Offenlegungspflichten in Bezug auf die Vergütung geregelt (§§ 13, 14 WpI-VergV).

Die WpI-VergV wird nur für mittlere Wertpapierinstitute gelten. Für kleine Wertpapierinstitute sieht das WpIG eine entsprechende Befreiung vor. Große Wertpapierinstitute unterliegen weiterhin der Instituts-Vergütungsverordnung nach dem KWG.

Die Wertpapierinstituts-Inhaberkontrollverordnung

Die WpI-IKV regelt, welche Informationen und Unterlagen bei einer im Rahmen des Erlaubnisverfahrens bzw. sonstigen Inhaberkontrolle eines Wertpapierinstituts bei der BaFin einzureichen sind. Inhaltlich orientiert sie sich an der Inhaberkontrollverordnung des KWG, ist aber wesentlich schlanker, da die Inhaberkontrolle bei Wertpapierfirmen seit einiger Zeit EU-weit einheitlich (Delegierte Verordnung (EU) 2017/1946) geregelt ist; so konkretisiert die WpI-IKV zum Teil (lediglich) die Vorgaben der Delegierten Verordnung (§ 6 WpI-IKV). Die WpI-IKV gilt für kleine, mittlere und große Wertpapierinstitute.

Die Wertpapierinstituts-Anzeigenverordnung

Die WpI-AnzV orientiert sich inhaltlich an der Anzeigeverordnung nach dem KWG (AnzV). Sie konkretisiert die Anzeigepflichten nach §§ 64 ff WpIG und verweist auf entsprechend zu verwendende Formulare, die sich im Anhang der WpI-AnzV befinden. Je nach konkreter Anzeigepflicht ist danach zu unterscheiden, ob z.B. alle Wertpapierinstitute verpflichtet sind (§ 64 WpIG), nur große Wertpapierinstitute (§ 65 WpIG), nur kleine und mittlere Wertpapierinstitute (§ 66 WpIG) oder die Geschäftsleiter eines Wertpapierinstituts (§ 67 WpIG). Die WpI-AnzV gilt deshalb, je noch konkreter Anzeigepflicht, für kleine, mittlere und große Wertpapierinstitute.

Fazit Die Mantelverordnung soll zusammen mit dem WpIG, also am 26. Juni 2021 in Kraft treten. Das neue Aufsichtsregime für Wertpapierfirmen nimmt damit nun endgültig konkrete Gestalt an. Durch die Mantelverordnung kann das WpIG nunmehr auch gut in der Praxis umgesetzt werden und den Besonderheiten der Wertpapierinstitute bzw. der von ihnen ausgehenden Risiken wird passgenau Rechnung getragen.

Update zur Transparenzverordnung: Level 2-Maßnahmen zu nachhaltigkeitsbezogenen Offenlegungspflichten veröffentlicht

Ab dem 10. März diesen Jahres muss die neue Transparenzverordnung (Sustainable Finance Disclosure Regulation – SFDR) von Finanzmarktteilnehmern und Finanzberatern umgesetzt werden. Anleger, die in nachhaltige Finanzprodukte investieren, sollen zukünftig besser informiert werden. Die SFDR beinhaltet die Pflicht zur Offenlegung der wichtigsten nachteiligen Nachhaltigkeitsauswirkungen von Anlageentscheidungen sowie Transparenzpflichten bzgl. nachhaltigkeitsbezogener Finanzprodukte, die von Finanzmarktteilnehmern und Finanzberatern vertrieben werden. Über das Pflichtenprogramm der SFDR haben wir bereits hier ausführlich berichtet. Für einen schnellen Überblick ist auch die von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) jüngst veröffentlichte Übersichtstabelle zur SFDR nützlich.

Anfang Februar diesen Jahres haben die Europäischen Aufsichtsbehörden (European Supervisory Authorities – ESAs, also ESMA EBA und EIOPA) nun ihren finalen Bericht zu den von ihnen erarbeiteten technischen Regulierungsstandards (Regulatory Technical Standards – RTS) veröffentlicht. Darin werden die Anforderungen der SFDR konkretisiert und definiert, welche Inhalte zu ESG-Standards offengelegt werden müssen, mit welcher Methodik dies geschehen soll und wie sie dargestellt werden. Zudem werden zahlreiche Templates bereitgestellt, die von den Marktteilnehmern zur Erfüllung ihrer Transparenzpflichten genutzt werden können; dies sollte die Umsetzung zumindest in Teilen erleichtern.

Die RTS sollen voraussichtlich ab 01. Januar 2022 gelten. Bereits ab dem 10. März sind aber die Transparenzpflichten der SFDR von Finanzmarkteilnehmern und -beratern umzusetzen. Bis zum Inkrafttreten der RTS sollten sich die Unternehmen nach Ansicht der BaFin daher bei der Umsetzung an den RTS orientieren. Zur Ergänzung der Level 2- RTS wird erwartet, dass es von den ESAs wahrscheinlich in Q3/Q4 2021 Level 3-Guidance geben wird. 

Die RTS werden bei der Umsetzung sicher helfen, doch zeigen sie auch deutlich, welche Informationen zu jedem Finanzprodukt in Zukunft zur Verfügung stehen muss. Und das geht weit über die bisherigen Informationen hinaus und erfordert einen hohen Umsetzungsbedarf. In der Praxis wird eine reine Orientierung an den RTS auch alles sein, was die Institute derzeit leisten können.

Passend dazu hat die BaFin Anfang Februar auch einen aktuellen Überblick zum Thema nachhaltige Finanzwirtschaft veröffentlicht Darin beleuchtet sie die aktuellen Entwicklungen beim Thema Nachhaltigkeit auch außerhalb des Finanzsektors und bezieht aktuelle Entwicklungen wie die Coronakrise mit ein.  

Brexit: ein Update

Das Jahr neigt sich dem Ende entgegen, was zugleich das nahende Auslaufen der Brexit Übergangsfrist bedeutet. Bevor wir uns in die Weihnachtspause verabschieden, werfen wir also nochmal einen Blick auf das aktuelle Brexit Geschehen. Neues gibt es zur Nutzung von UK-Ratings sowie zum Vertrieb von UK-Fonds in der EU.

Nutzung von UK-Ratings in der EU

Ende Oktober 2020 hat die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) ihr Statement vom Oktober 2019 zu den Auswirkungen des Brexit auf UK-Ratingagenturen (Credit Rating Agencies – CRA) aktualisiert. Darin bestätigt die ESMA, dass EU-CRA UK-Ratings übernehmen können und UK-Ratings auf diesem Wege nach Ablauf der Übergangsfrist (weiter) in der EU genutzt werden können.

Nach dem Ablauf der Brexit-Übergangsfrist am 31. Dezember 2020 wird UK aus Sicht der EU zum Drittstaat; Ratingagenturen mit Sitz in UK gelten daher als Drittstaaten-CRA. Die EU-Ratingverordnung (Credit Rating Agencies Regulation – CRA-Verordnung) sieht zwei Möglichkeiten vor, wie Ratings von Drittstaaten-Ratingagenturen in der EU genutzt werden können. Zum einen die sog. Äquivalenz oder Gleichwertigkeit. In diesem Falle erkennt die EU durch einen förmlichen Beschluss die Gleichwertigkeit des UK-Aufsichtsregimes über CRA mit dem europäischen Aufsichtsregime an. Bis dato gibt es allerdings keinen solchen Gleichwertigkeitsbeschluss.

Als zweite Möglichkeit zur Nutzung von UK-Ratings in der EU sieht die CRA-Verordnung die Möglichkeit der Übernahme von UK-Ratings durch eine EU-CRA (sog. Endorsement) vor.

Damit ein Endorsement möglich ist, müssen drei Voraussetzungen erfüllt sein. Zunächst muss das Drittstaaten-Aufsichtsregime über Ratingagenturen bestimmte Standards erfüllen. Insoweit plant UK mit Ablauf der Brexit-Übergangsfrist am 01. Januar 2021 das Inkrafttreten des UK Statutory Instrument 266 vom 13. Februar 2019. Dies ESMA geht laut ihrer aktuellen Stellungnahme nunmehr zum einen davon aus, dass es zu dem geplanten Inkrafttreten im Januar 2021 kommt und zum anderen, dass das Regelwerk die in der CRA-Verordnung näher bestimmten Standards erfüllt.

Als weitere Voraussetzung bedarf es eines Abkommens zum Austausch von Informationen zwischen der ESMA und der britischen Finanzaufsicht FCA (Memorandum of Understanding – MoU). Dieses MoU wurde bereits rechtzeitig vor Ablauf der Brexit-Übergangsfrist geschlossen und ist hier abrufbar.

Schließlich muss eine EU-CRA die Entscheidung zur Übernahme von UK-Ratings treffen. Die Entscheidungshoheit liegt hier allein bei der jeweiligen EU-Ratingagentur, die ESMA hat darauf keinen Einfluss. Nach derzeitigem Stand hat die überwiegende Mehrheit der UK-Ratingagenturen entsprechende Vorkehrungen getroffen und eine Übernahmevereinbarung mit einer EU-CRA geschlossen. Welche UK-CRA das im Einzelnen sind, kann hier eingesehen werden.

Vertrieb von UK-Fonds in der EU

Ende November diesen Jahres hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) mitgeteilt, dass UK-Fonds, die nach dem Ablauf der Übergangsfrist weiterhin in Deutschland vertrieben werden sollen, schon vor Ablauf der Übergangsfrist ihre Vertriebsanzeige einreichen können.

Derzeit gelten UK-Fonds noch als EU-Fonds. Haben sie in UK eine Vertriebserlaubnis erhalten, müssen sie in den anderen Mitgliedstaaten, in denen sie vertrieben werden sollen, keine erneute Vertriebserlaubnis beantragen, sondern zeigen der jeweils zuständigen Behörde einfach die bestehende Erlaubnis aus UK an (sog. EU-Passporting).

Nach dem Ablauf der Brexit Übergangsfrist ist ein EU-Passporting nicht mehr möglich. UK-Fonds gelten dann als Drittstaatenfonds. In jedem EU-Land, in dem ihr Vertrieb weiterhin erfolgen soll, muss dann ein bilaterales Drittstaaten-Vertriebsanzeigeverfahren durchlaufen werden. Damit ein lückenloser Vertrieb möglich ist, erlaubt die BaFin die Durchführung des Drittstaaten-Vertriebsanzeigeverfahren bereits vor Ablauf der Brexit Übergangsfrist, also bevor UK-Fonds tatsächlich als Drittstaatenfonds qualifizieren.

Brexit Abkommen ja, nein, vielleicht?

Mit der aktualisierten Stellungnahme des ESMA und der Mitteilung der BaFin liegt nunmehr Rechtssicherheit in weiteren Bausteinen des Finanzmarktrechts vor. Wir dürfen in der Zwischenzeit alle weiterhin gespannt bleiben, ob sich die EU und UK bis zum Ablauf der Übergangsfrist doch noch zusammenraufen und ein Abkommen schließen können. Die Hoffnung stirbt ja bekanntlich zuletzt.