| Eignung der Aufsichtsorganmitglieder: § 25d KWGMitglieder des Aufsichtsorgans mussten zuverlässig und sachkundig sein und ihrer Aufgabe ausreichend Zeit widmen (§ 25d Abs. 1 KWG). Eine ausdrückliche Handlungspflicht des Instituts bei fehlender Eignung und eine Untersagung vor der Bestellung sah § 25d KWG nicht vor. |
Seit 01.04.2026Nach § 25d Abs. 1a KWG stellt das Institut unverzüglich sicher, dass eine Person, die die Voraussetzungen nicht erfüllt, nicht bestellt oder abberufen wird oder dass Maßnahmen ergriffen werden, damit sie die Voraussetzungen erfüllt. Nach § 25d Abs. 1b KWG kann die BaFin anordnen, dass eine Person nicht bestellt wird, wenn Tatsachen gegen ihre Eignung, Zuverlässigkeit oder zeitliche Verfügbarkeit sprechen oder bei der Anzeige wesentliche Informationen fehlen. Einführung und Fortbildung sind nach § 25d Abs. 4 KWG zu ermöglichen, auch in Bezug auf IKT-Risiken. |
| ESG-Risiken im KWG: ESG-RisikoplanDie Berücksichtigung von ESG-Risiken im Risikomanagement war eine aufsichtliche Erwartung, unter anderem in der MaRisk. Eine eigene gesetzliche Pflicht zum ESG-Risikoplan gab es im KWG nicht. |
Seit 01.04.2026Das BRUBEG (BGBl. 2026 I Nr. 81 vom 30.03.2026) setzt die Richtlinie (EU) 2024/1619 um. Die §§ 26c und 26d KWG sind seit dem 01.04.2026 in Kraft (Art. 29 Abs. 1 BRUBEG): ESG-Risiken sind im Risikomanagement zu berücksichtigen, und der ESG-Risikoplan nach § 26d KWG ist verpflichtend. Für kleine und nicht komplexe Institute gilt die Pflicht zum ESG-Risikoplan erst ab Januar 2027. Welche Rolle dein Aufsichtsorgan dabei hat, ordnen wir im Lehrgang ein. |
| DORA: Verantwortung des LeitungsorgansFür das IT-Risikomanagement von Banken galten die BAIT. Institute im DORA-Anwendungsbereich hat die BaFin mit Ablauf des 16.01.2025 aus dem BAIT-Anwenderkreis genommen. |
Seit 17.01.2025DORA (VO (EU) 2022/2554) gilt unmittelbar. Das Leitungsorgan trägt nach Art. 5 Abs. 2 die letztendliche Verantwortung für das IKT-Risikomanagement und muss nach Art. 5 Abs. 4 über ausreichende Kenntnisse und Fähigkeiten verfügen, um IKT-Risiken zu verstehen und zu bewerten. Wie sich diese Pflichten auf das Aufsichtsorgan deines Instituts auswirken, richtet sich nach der Gremienstruktur. |
| MaRisk: Abgrenzung zu DORADie MaRisk (Rundschreiben 06/2024 (BA)) regelten in AT 7.2 die technisch-organisatorische Ausstattung und erfassten in AT 9 auch ausgelagerte IKT-Dienstleistungen – parallel zum IKT-Drittparteirisikomanagement nach DORA. |
Seit 30.06.2026 · Übergangsfrist bis 01.01.2027Mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) fallen IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteirisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht mehr unter AT 9. Die IKT-Strategie (AT 4.2 Tz. 2) und die Einbeziehung der IKT-Risiken in die Risikoinventur (AT 2.2) bleiben MaRisk-Pflichten. Für zusätzliche Anforderungen gilt eine Übergangsfrist bis 01.01.2027. |
| Geldwäscheprävention: von der Richtlinie zur VerordnungDie Geldwäschebekämpfung beruhte auf nationalem Recht, vor allem dem GwG, das EU-Richtlinien umsetzt. |
Ab 10.07.2027Die Verordnung (EU) 2024/1624 (AMLR) gilt ab dem 10.07.2027 unmittelbar. Die Aufsicht auf EU-Ebene übernimmt schrittweise die Behörde AMLA (VO (EU) 2024/1620); die Richtlinie (EU) 2024/1640 ist national umzusetzen. Den Stand der deutschen Anpassung ordnen wir am jeweiligen Termin ein. |
| KI-Verordnung: KI-Kompetenz und Hochrisiko-KIArt. 4 VO (EU) 2024/1689 verlangte seit 02.02.2025, nach besten Kräften sicherzustellen, dass das Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III sollten ab 02.08.2026 gelten. |
Seit 27.07.2026Nach der Neufassung durch VO (EU) 2026/1744 ergreifen Anbieter und Betreiber Maßnahmen, die die Entwicklung der KI-Kompetenz ihres Personals unterstützen. Die Pflichten für Hochrisiko-KI nach Anhang III – im Finanzsektor etwa die Kreditwürdigkeitsprüfung natürlicher Personen (Anhang III Nr. 5 lit. b) – gelten ab 02.12.2027. Bereits anwendbare Vorschriften wie Art. 4 und die Transparenzpflichten nach Art. 50 bleiben zu beachten. |
