Aktuelles aus dem Aufsichtsrecht & Meldewesen 07/2024

Die EBA hatte schon im Jahr 2021 ihre Leitlinien zur Internal Governance in Kraft gesetzt. Nunmehr konsultiert auch die EZB entsprechende Leitlinien zu Governance und Risikokultur.

Der Leitfaden berücksichtigt die jüngsten Aktualisierungen der unter anderem von der EBA festgelegten Standards sowie Beispiele für bewährte Verfahren, die die EZB über mehrere Jahre zusammengetragen hat.

Der Leitfaden ersetzt den Bericht des SSM zu Governance und Risikobereitschaft aus dem Jahr 2016 und bietet den Banken einen Fahrplan zur Erzielung einer effizienteren internen Governance und Risikokultur.

Insbesondere präzisiert der Leitfaden die Erwartungen der Aufseher in Bezug auf die Diversität, Zusammensetzung und Funktionsweise der Leitungsorgane und Ausschüsse.

Darüber hinaus werden die Rollen und Zuständigkeiten der internen Kontrollfunktionen erläutert, die Bedeutung der Risikokultur betont und die Erwartungen in Bezug auf den Rahmen für die Risikobereitschaft der Banken skizziert.

Im Leitfaden weist die EZB daraufhin, dass die nationalen Aufsichtsbehörden den Leitfaden der EZB auch bei der Beaufsichtigung von kleineren Instituten (less significant institutions) berücksichtigen sollen!

Die Konsultation endet am 16.10.2024.

Die EZB wird im Rahmen des Konsultationsverfahrens am 26.09.2024 ein Treffen mit Interessenvertretern organisieren, um entsprechende Fachleute aus beaufsichtigten Instituten und andere Interessierte zusammenzubringen. Weitere Einzelheiten zum Treffen und zur Registrierung finden sich auf der Website der EZB zur Bankenaufsicht.

Die ESAs haben im Juli ein zweites Set an finalen RTS/ITS zur Umsetzung von DORA veröffentlicht.

Die EU-Verordnung DORA (Digital Operational Resilience Act) sieht u. a. vor, dass Finanzunternehmen künftig IKT-bezogene Vorfälle melden (xbrl) müssen. In DORA ist der Auftrag an die ESA enthalten, entsprechende Meldetabellen und Meldeinhalte zu konzipieren. Die ESAs haben nunmehr einen finalen RTS (Inhalte) und einen ITS (Tabellen) mit den entsprechenden Meldetabellen und Inhalten veröffentlicht.

Die Zwischenmeldung (intermediate report) ist demnach innerhalb von 24 Stunden und die finale Meldung (finale report) innerhalb von 72 Stunden einzureichen, wobei kleinere Finanzunternehmen gar keine Vorabmeldung einreichen müssen. Dies stellt eine Erleichterung gegenüber der Konsultationsfassung dar.

Ebenfalls wurde die Anzahl der zu meldenden Felder von 84 auf 59 (davon 28 Felder zwingend) reduziert. Auch ist die Abgabe einer aggregierten Meldung für mehrere Unternehmen einer Gruppe möglich, sofern die nationale Aufsichtsbehörde dies vorab erlaubt hat.

In einem weiteren Final Report on the draft technical standards on subcontracting under DORA konkretisiert die Aufsicht, welche Kriterien (z. B. der Sitz des Unterauftraggebers, die Komplexität der ausgelagerten Prozesse etc.) ein Auftraggeber für die Ausgestaltung von Verträgen berücksichtigen soll für den Fall einer Vergabe von Unteraufträgen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen.

Neben diesen RTS/ITS haben die ESAs im Juli weitere finale RTS bzw. GL veröffentlicht:

• GL on oversight cooperation
• GL on cost and losses caused by major ICT-related incidents
• RTS on harmonisation conditions OVS conduct
• RTS on Threat Led Penetration Tests (TLPT)
• RTS on JET

Wir weisen an dieser Stelle auch daraufhin, dass die BaFin neben einer Landingpage zu DORA im Juli umfangreiche Umsetzungshinweise zu DORA veröffentlicht hat. Darin kündigt die Aufsicht nochmals an, dass sie plant, die bestehenden nationalen Vorgaben zur IT-Sicherheit, also BAIT, VAIT, KAIT, ZAIT künftig aufzuheben und durch DORA zu ersetzen.

Die Europäische Bankenaufsicht (EBA) hat einen umfangreich überarbeiteten technischen Standard (ITS) zum Resolution Plans Reporting zur Konsultation gestellt, der ab 31.12.2025 zur Anwendung kommen soll. Die Änderungen spiegeln einige der Informationen wider, die bereits vom Systemic Risk Board (SRB) separat erhoben werden (sog. LDR-Meldung) und sollen eine angedachte Ablösung dieser LDR-Meldung (vielleicht schon ab 2026) vorbereiten. Wichtigste Neuerungen darin sind:

• Vorziehen des Meldetermins vom 30. April auf den 31. März.
• Ausweitung der meldepflichtigen Institute
• Ausweitung der geforderten Informationen, insbesondere zur Organisationsstruktur, granularen Haftungsdaten, kritischen Funktionen, Daten zu Finanzmarktinfrastrukturen, kritischen Dienstleistungen und kritischen Informationssystemen.
• Beseitigung von Duplikaten und sich überschneidenden Datenpunkten mit MREL/TLAC, CoRep und FinRep.

Folgende Templates sind nun enthalten:

Die Bundesbank hat in einem Newsletter über die Revision der Rahmenwerke für Wirtschaftszweigklassifikationen (NACE 2 Revision) informiert:

Mit der Zielsetzung, die wirtschaftlichen und technologischen Veränderungen der letzten Jahre in eine neue Klassifikation einfließen zu lassen, ist in den vergangenen Jahren eine grundlegende Revision der internationalen und europäischen Wirtschaftszweig- und Güterklassifikation erfolgt. Die EU-Verordnung zur ab 01.01.2025 anzuwendenden neuen NACE Rev. 2.1 wurde bereits Anfang 2023 im Amtsblatt der Europäischen Union veröffentlicht (vgl. dazu auch: https://eur-lex.europa.eu/eli/reg_del/2023/137/oj). Zum jetzigen Zeitpunkt liegen für eine Aktualisierung von NACE Rev. 2 auf NACE Rev. 2.1 folgende Dokumente vor:

• Finalisierte Überleitungstabellen
• Eine vorläufige Beschreibung der Gliederungsebenen

Zeitgleich mit der NACE Rev. 2.1 wird vom Statistischen Bundesamt die nationale „Klassifikation der Wirtschaftszweige“ (WZ) von der Version 2008 auf die Version 2025 aktualisiert. Die neue Klassifikation ist ebenfalls ab 2025 anzuwenden.

Mit der Veröffentlichung der Gliederung der WZ 2025 ist in der 2. Jahreshälfte 2024 zu rechnen. Beschreibungen zu den einzelnen Klassen innerhalb der WZ 2025 werden im Anschluss erwartet. Für die Meldungen zur Bankenstatistik ergeben sich voraussichtlich keine Änderungen. Die durch die Revision neu geschaffenen Branchen und Umgruppierungen werden durch die entsprechenden Umsteigeschlüssel den bestehenden Vordruckpositionen zugewiesen. Die Bundesbank geht davon aus, dass meldepflichtige Institute Umschlüsselungsarbeiten erst im Laufe des Jahres 2025 beginnen können.

Für das notenbankstatistische Meldewesen werden Meldungen von Wirtschaftszweigklassifikationen bis auf Weiteres auf Basis der Rahmenwerke NACE Rev. 2 und WZ 2008 akzeptiert.

Sobald ein endgültiges Umstellungsdatum auf NACE Rev 2.1 bekannt ist, werden beabsichtigt die Bundesbank hierüber mit einem ausreichenden zeitlichen Vorlauf zu informieren.

Sobald vom Statistischen Bundesamt die endgültigen Unterlagen zur neuen Klassifikation WZ 2025 vorliegen, werden die neuen Definitionen und Abgrenzungen in die Kundensystematik der Deutschen Bundesbank eingearbeitet. Über neue Entwicklungen hierzu soll ebenfalls informiert werden.

Emittenten von asset-referenced tokens (ARTs) und bestimmten e-money tokens (EMTs) sind (ab Januar 2025) verpflichtet, spezifische Informationen gemäß Artikel 22 der Verordnung über Märkte für Krypto-Assets (MiCAR) zu melden.

Diese von den Emittenten bereitgestellten Daten reichen aber anscheinend nicht aus, um den zuständigen Behörden und der Europäische Bankenaufsichtsbehörde (EBA) die Erfüllung ihrer Aufsichtsaufgaben und der Aufgaben zur Bewertung der Signifikanz gemäß MiCAR zu ermöglichen.

Die EBA hat Datenlücken identifiziert und konsultiert nun zur Schließung dieser Lücken den vorliegenden Entwurf von Leitlinien für Meldepflichten, die bei der Erfüllung ihrer Aufgaben im Rahmen von MiCAR helfen und sicherstellen sollen, dass die zuständigen Behörden über ausreichend vergleichbare Informationen verfügen, um die Einhaltung der MiCAR-Anforderungen durch die Emittenten überwachen zu können.

Die nun im Leitlinienentwurf enthaltenen Vorlagen umfassen Informationen über die Anzahl der Inhaber, die Marktkapitalisierung und Zusammensetzung der Reserve von Vermögenswerten, Transaktionen pro Tag, Eigenmittel, Liquidität und die an der Verwahrung, dem Betrieb oder dem Vertrieb der Token beteiligten Stellen.

Darüber hinaus enthalten diese Leitlinien gemeinsame Vorlagen und Anweisungen, die Emittenten verwenden sollten, um Daten von den Krypto-Asset Service Providers (CASPs) zu erheben.

Insgesamt beinhaltet der Konsultationsentwurf der EBA 11 Templates (U 01.00 – U 07.03), die vierteljährlich in einem noch von den nationalen Aufsichtsbehörden zu bestimmenden Format zu melden sind. Die Templates werden voraussichtlich Teil des EBA-Melderahmenwerks 4.1 sein.

Als ersten Meldestichtag für die die Templates U 05.01, U 05.02, U 06.00 schlägt die EBA den 30.06.2025 vor, die weiteren Templates sind in Abhängigkeit von Überschreitung der in den Leitlinien festgelegten Schwellenwerten zu melden.