Fit & Proper Update für Geschäftsleiter – MaRisk, DORA, KI-VO und ESG 2026/2027

Keine. Weder KWG, WpIG, ZAG noch KAGB nennen eine Stundenzahl. Maßgeblich ist, dass das Institut ein angemessenes Fortbildungsziel selbst festlegt, erreicht und dokumentiert. Geprüft wird nicht die Stundenzahl, sondern der Nachweis.

§ 25c Abs. 1 KWG verlangt fachliche Eignung und ausreichende Zeit für das Amt und verpflichtet das Institut, angemessene personelle und finanzielle Ressourcen für die Fortbildung der Geschäftsleiter einzusetzen. Die gemeinsamen EBA/ESMA-Leitlinien zur Eignungsbewertung (EBA/GL/2021/06) konkretisieren das: Institute brauchen eine schriftliche Einarbeitungs- und Fortbildungsrichtlinie, ein definiertes jährliches Zeit- und Budgetvolumen sowie eine regelmäßige Lückenanalyse. Die Zahl setzt also das Institut – die Aufsicht prüft ihre Herleitung.

Eine Ausnahme gibt es: Art. 5 Abs. 4 DORA normiert die Fortbildung des Leitungsorgans ausdrücklich. Kenntnisse über IKT-Risiken sind auch durch regelmäßige spezielle Schulungen aktuell zu halten, deren Intensität dem gesteuerten IKT-Risiko entspricht. Art. 13 Abs. 6 DORA ergänzt das um verbindliche Schulungsmodule zur digitalen operationalen Resilienz, ausdrücklich auch für die Geschäftsleitung. Das ist die einzige explizit ausformulierte Schulungspflicht des Leitungsorgans auf EU-Ebene – und damit der belastbarste Aufhänger für den Fortbildungsplan.

Was in die Fit-&-Proper-Akte gehört: ein Fortbildungsplan mit Bezug zum Geschäftsmodell, eine Skill-Matrix je Ressort, Teilnahmenachweise mit Zeitstunden und Inhaltsangabe sowie die Ableitung des Folgejahres aus der Lückenanalyse.

Fundstellen: § 25c Abs. 1 KWG · MaRisk AT 7.1 · EBA/GL/2021/06 (Einführung und Fortbildung) · Art. 5 Abs. 4 und Art. 13 Abs. 6 VO (EU) 2022/2554 (DORA) · BaFin-Merkblatt zu den Geschäftsleitern gemäß KWG, ZAG und KAGB

Ja. Art. 2 Abs. 1 lit. c und lit. e DORA nennt Zahlungsinstitute und E-Geld-Institute ausdrücklich als Adressaten. Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar; BAIT und ZAIT wurden für DORA-Adressaten aufgehoben.

Der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA ist keine Rückfallebene für kleine Zahlungsinstitute: Er greift nur für Zahlungsinstitute, die nach der Zahlungsdiensterichtlinie ausgenommen sind, und für nach Richtlinie 2009/110/EG ausgenommene E-Geld-Institute. Ein Institut mit Erlaubnis nach § 10 oder § 11 ZAG fällt nicht darunter und unterliegt dem vollen Rahmen.

Erleichterungen bestehen über das Verhältnismäßigkeitsprinzip in Art. 4 DORA sowie punktuell für Kleinstunternehmen im Sinne von Art. 3 Nr. 60 DORA – etwa der Verzicht auf eine eigenständige IKT-Kontrollfunktion nach Art. 6 Abs. 4 DORA.

Unverändert und größenunabhängig gelten dagegen:

• Informationsregister zu allen IKT-Drittdienstleistern, jährliche Meldung an die BaFin (Art. 28 Abs. 3 DORA)
• Meldung schwerwiegender IKT-Vorfälle (Art. 19 DORA)
• Vertragliche Mindestinhalte für IKT-Verträge (Art. 30 DORA)
• Letztverantwortung und Schulungspflicht des Leitungsorgans (Art. 5 Abs. 2 und 4 DORA)

→ Vertieft in Modul 2: IT-Resilienz als Chefsache

Fundstellen: Art. 2 Abs. 1 lit. c und e, Art. 3 Nr. 60, Art. 4, Art. 5, Art. 6 Abs. 4, Art. 16, Art. 19, Art. 28 Abs. 3, Art. 30 VO (EU) 2022/2554 · §§ 10, 11 ZAG · nationale Flankierung durch das Finanzmarktdigitalisierungsgesetz (FinmadiG)

KI-Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen oder zu deren Kreditpunktebewertung sind Hochrisiko-KI nach Anhang III Nr. 5 lit. b der KI-Verordnung. Die Hochrisiko-Pflichten greifen ab dem 2. August 2026. Art. 4 zur KI-Kompetenz und Art. 5 zu den verbotenen Praktiken gelten dagegen bereits seit dem 2. Februar 2025 – unabhängig von der Risikoklasse.

Zwei Abgrenzungen entscheiden über den Anwendungsbereich: Systeme, die ausschließlich der Aufdeckung von Finanzbetrug dienen, sind vom Hochrisiko-Tatbestand ausgenommen. Und Anhang III Nr. 5 lit. b adressiert nur natürliche Personen – ein reines Firmenkunden-Rating fällt nicht darunter. Wer sich auf die Filterregel des Art. 6 Abs. 3 KI-VO stützt, muss die Bewertung, dass kein erhebliches Risiko besteht, nach Art. 6 Abs. 4 dokumentieren und registrieren.

Als Betreiber trifft das Institut vor allem Art. 26 KI-VO: menschliche Aufsicht durch fachkundige Personen, Eignung der Eingabedaten, Aufbewahrung der Protokolle, Unterrichtung der betroffenen Beschäftigten sowie Information der Kreditinteressenten über den Einsatz. Diese Pflichten gelten auch dann, wenn das Modell zugekauft wurde und niemand im Haus es entwickelt hat. Häufig übersehen wird Art. 27 KI-VO: Die Grundrechte-Folgenabschätzung ist für Kreditwürdigkeitsprüfungen namentlich vorgeschrieben, nicht nur für öffentliche Stellen.

Entlastend: Nach Art. 9 Abs. 10 und Art. 17 Abs. 4 KI-VO können Institute, die der CRD unterliegen, Risiko- und Qualitätsmanagement in die bestehende Governance nach Art. 74 CRD integrieren. Ein Parallelsystem neben MaRisk ist nicht erforderlich – wohl aber die nachweisbare Verzahnung.

→ Vertieft in Modul 3: KI-Verordnung in Kreditvergabe und Institutsbetrieb

Fundstellen: VO (EU) 2024/1689 – Anhang III Nr. 5 lit. b, Art. 4, Art. 5, Art. 6 Abs. 3 und 4, Art. 9 Abs. 10, Art. 17 Abs. 4, Art. 26, Art. 27, Art. 113 · Art. 74 RL 2013/36/EU · EBA/GL/2020/06 (Kreditvergabe und Überwachung)

Die ESG-Offenlegung nach Art. 449a CRR war bis zur CRR III auf große, kapitalmarktorientierte Institute beschränkt. Mit der VO (EU) 2024/1623 gilt sie für alle Institute – kleine und nicht komplexe Institute legen jährlich in reduziertem Umfang offen. Parallel greifen die EBA-Leitlinien zum ESG-Risikomanagement seit dem 11. Januar 2026, für kleine und nicht komplexe Institute ab dem 11. Januar 2027.

Wichtig ist die Trennung zweier Regelwerke, die häufig verwechselt werden: Die Berichtspflichten nach CSRD und ESRS wurden durch das Omnibus-Paket für einen großen Teil der Anwender zurückgenommen. Die aufsichtsrechtlichen ESG-Pflichten sind davon unabhängig und wurden ausgeweitet. Wer nur die CSRD-Entlastung wahrnimmt, übersieht die Pflicht, die tatsächlich greift.

Praktisch bedeutet das den Aufbau von vier Bausteinen, die für kleinere Institute vorher nicht erforderlich waren:

• Risikoinventur: ESG-Faktoren als Treiber der bestehenden Risikoarten, nicht als eigene Risikoart – mit dokumentierter Wesentlichkeitsbewertung
• Datenhaushalt: Sektorzuordnung nach NACE, Energieeffizienzdaten für Immobiliensicherheiten, Belegenheitsdaten für physische Risiken
• Szenarioanalyse: verhältnismäßig ausgestaltet, aber vorhanden und nachvollziehbar hergeleitet
• Übergangsplan: prudenzieller Plan zur Bewältigung von ESG-Risiken nach Art. 87a CRD VI – nicht zu verwechseln mit dem Transitionsplan nach CSRD

Die Definition des kleinen und nicht komplexen Instituts folgt Art. 4 Abs. 1 Nr. 145 CRR – unter anderem eine Bilanzsumme von höchstens 5 Mrd. EUR im Durchschnitt der letzten vier Jahre. Die Erleichterung liegt damit nur noch in Umfang und Frequenz, nicht mehr im Ob.

→ Vertieft in Modul 4: ESG in der Aufsichtspraxis und Kapitalsteuerung

Fundstellen: Art. 449a und Art. 4 Abs. 1 Nr. 145 CRR i. d. F. der VO (EU) 2024/1623 (CRR III) · Art. 76 und Art. 87a RL 2013/36/EU i. d. F. der RL (EU) 2024/1619 (CRD VI) · EBA/GL/2025/01 zum Management von ESG-Risiken · EBA-ITS zur ESG-Offenlegung

Ja, und der Maßstab ist derselbe. § 25d Abs. 1 KWG verlangt Sachkunde der Mitglieder des Verwaltungs- oder Aufsichtsorgans, § 25d Abs. 4 KWG verpflichtet das Institut, die Fortbildung durch angemessene personelle und finanzielle Ressourcen zu ermöglichen. Fehlende Sachkunde ist ein Abberufungsgrund nach § 36 Abs. 3 KWG.

Die EBA/ESMA-Leitlinien EBA/GL/2021/06 verlangen zusätzlich ein strukturiertes Einarbeitungsprogramm innerhalb einer angemessenen Frist nach Amtsantritt sowie eine kollektive Eignungsbewertung des gesamten Organs. Ein einzelnes Mitglied kann die kollektive Lücke nicht schließen – deshalb ist die Fortbildungsplanung auf Organebene zu führen, nicht nur personenbezogen.

Für Ausschüsse gilt ein erhöhter Maßstab: Mitglieder des Risiko- und des Prüfungsausschusses nach § 25d Abs. 7 ff. KWG müssen die Modelle und Verfahren beurteilen können, über die sie entscheiden. Bei IKT-Themen kommt Art. 5 Abs. 4 DORA hinzu, der nicht zwischen Geschäftsleitung und Aufsichtsorgan differenziert.

Fundstellen: § 25d Abs. 1, Abs. 4 und Abs. 7 ff. KWG · § 36 Abs. 3 KWG · EBA/GL/2021/06 · Art. 5 Abs. 4 VO (EU) 2022/2554 · BaFin-Merkblatt zu den Mitgliedern von Verwaltungs- und Aufsichtsorganen