Rechtsstand: 24. September 2026. Der Beitrag ersetzt keine unternehmens- oder institutsindividuelle rechtliche Prüfung.

Ein Geschäftspartner erscheint nicht auf einer Sanktionsliste. Das Screening meldet keinen Treffer, die Zahlung steht zur Freigabe bereit. Für die Sanktions-Compliance sollte damit jedoch nicht automatisch jede Prüfung abgeschlossen sein. Entscheidend ist, ob der Prüfprozess neben dem Namen auch die maßgeblichen Beteiligungs- und Kontrollverhältnisse sowie das konkrete Geschäft berücksichtigt.

Umgekehrt sollte eine Namensähnlichkeit nicht ohne Sachverhaltsklärung als bestätigter Sanktionsfall behandelt werden. Zwischen dem technischen Hinweis und der rechtlichen Entscheidung liegen Identitätsprüfung, Bewertung des einschlägigen Verbots und die Festlegung der erforderlichen Maßnahmen. Eine tragfähige Sanktions-Compliance sollte diese Schritte miteinander verbinden und den Entscheidungsweg nachvollziehbar festhalten. Das Screening unterstützt die Prüfung; es ersetzt nicht deren rechtliche Bewertung.

Sanktions-Compliance beginnt beim anwendbaren Verbot, nicht bei der Trefferquote

Am Beispiel der Verordnung (EU) Nr. 269/2014 lässt sich die Unterscheidung verdeutlichen: Art. 2 Abs. 1 ordnet das Einfrieren von Geldern und wirtschaftlichen Ressourcen an, die gelisteten Personen oder Organisationen gehören oder von ihnen gehalten oder kontrolliert werden; Art. 2 Abs. 2 verbietet die unmittelbare oder mittelbare Bereitstellung sowie das Zugutekommen solcher Vermögenswerte (Rat der Europäischen Union, konsolidierte Fassung vom 7. August 2026). Der persönliche und räumliche Anwendungsbereich folgt aus Art. 17 und erfasst unter anderem das Unionsgebiet sowie nach dem Recht eines Mitgliedstaats gegründete Gesellschaften auch außerhalb der Union (Rat der Europäischen Union). Die Vorschriften betreffen damit nicht ausschließlich beaufsichtigte Finanzinstitute.

Diese unmittelbar geltenden Verbote sind von aufsichtsrechtlichen Organisationsvorgaben zu unterscheiden: Die Leitlinien EBA/GL/2024/14 der Europäischen Bankenaufsichtsbehörde (EBA) konkretisieren Governance, Risikobewertung und Kontrollen für die von ihrem Anwendungsbereich erfassten Kredit-, Zahlungs- und E-Geld-Institute; EBA/GL/2024/15 behandelt insbesondere Geld- und Kryptowertetransfers bei Zahlungsdienstleistern und Anbietern von Kryptowerte-Dienstleistungen (EBA, Leitlinien vom 14. November 2024). Beide Leitlinien gelten seit dem 30. Dezember 2025; sie sind Instrumente nach Art. 16 der Verordnung (EU) Nr. 1093/2010 und keine unmittelbar geltenden Sanktionsverordnungen für sämtliche Unternehmen (EBA, Rechtsstatus und Anwendungsbeginn).

Auf nationaler Ebene enthalten §§ 18 und 19 Außenwirtschaftsgesetz (AWG) Straf- und Bußgeldtatbestände; ihre Anwendung hängt vom konkreten Verstoß und den jeweiligen Tatbestandsvoraussetzungen ab (Bundesrecht, § 18 AWG, § 19 AWG). Das Merkblatt der Deutschen Bundesbank zur Einhaltung von Finanzsanktionen erläutert dagegen die Verwaltungspraxis und bezeichnet seine „Vorbildlichen Verfahren“ ausdrücklich als nichtgesetzliche Orientierung (Deutsche Bundesbank, Merkblatt, korrigierte Fassung vom 5. Juli 2024). Für die Sanktions-Compliance empfiehlt sich deshalb eine Quellenstruktur, die verbindliches Recht, aufsichtsrechtliche Leitlinien und Umsetzungshilfen getrennt ausweist.

Sanktions-Compliance verlangt eine eigenständige Eigentums- und Kontrollprüfung

Die aktuelle Fassung der Verordnung (EU) Nr. 269/2014 definiert in Art. 1 Buchst. i Eigentum an einer juristischen Person, Einrichtung oder Organisation als Besitz von mindestens 50 Prozent der Eigentumsrechte oder einer Mehrheitsbeteiligung (Rat der Europäischen Union, Fassung vom 7. August 2026). Art. 1 Buchst. j erfasst Kontrolle eigenständig, beispielsweise über Organbestellungsrechte, Stimmrechtsvereinbarungen oder beherrschenden Einfluss (Rat der Europäischen Union). Eine Beteiligung unterhalb der Eigentumsschwelle beendet die Kontrollprüfung daher nicht.

Davon zu unterscheiden ist § 3 Abs. 2 Satz 1 Geldwäschegesetz (GwG): Für die dort erfassten Gesellschaften knüpft die Bestimmung wirtschaftlich Berechtigter unter anderem an mehr als 25 Prozent der Kapitalanteile oder Stimmrechte sowie vergleichbare Kontrolle durch natürliche Personen an (Bundesrecht, § 3 GwG). Die sanktionsrechtliche Prüfung darf deshalb nicht auf die Übernahme einer geldwäscherechtlichen Eigentümerliste reduziert werden. Empfehlenswert ist, vorhandene Kundendaten als Ausgangspunkt zu verwenden und sie gezielt um die für das jeweilige Sanktionsregime erforderlichen Informationen zu ergänzen.

Auch die Zusammenrechnung von Beteiligungen gelisteter Personen kann relevant sein: Die Europäische Kommission erläutert dies in ihren Auslegungshinweisen anhand einer Beteiligung von 30 Prozent und einer weiteren von 25 Prozent durch zwei gelistete Personen (Europäische Kommission, FAQ zu Vermögenssperren, Frage 8). Ihre Hinweise behandeln außerdem die Auswirkungen von Eigentum oder Kontrolle auf nicht selbst gelistete Gesellschaften und die mögliche Widerlegung entsprechender Vermutungen im Einzelfall (Europäische Kommission, FAQ zu Vermögenssperren). Diese Auslegungshilfen ersetzen weder die Prüfung des geltenden Rechts noch die Bewertung der konkreten Struktur; die genannten Schwellen sind nicht ungeprüft auf andere Sanktionsregime zu übertragen.

Amtliche Befunde zeigen Lücken zwischen Screening und Fallentscheidung

Der EBA-Risikobericht 2025 nennt für den Zeitraum 2022 bis 2024 insgesamt 109 wesentliche Schwachstellen, die 20 zuständige Behörden im Zusammenhang mit Systemen und Kontrollen für restriktive Maßnahmen an die europäische Aufsichtsdatenbank meldeten (EBA, Report on Money Laundering and Terrorist Financing Risks, Juli 2025, Rn. 66). Der Bericht beschreibt unter anderem unzureichende Kundensorgfalt sowie fehlende klare Vorgaben zu Zuständigkeiten bei der Trefferanalyse und beim Einfrieren von Geldern (EBA-Risikobericht 2025, Rn. 66). Die Bezugsgröße sind gemeldete Schwachstellen, nicht 109 Institute oder 109 nachgewiesene Sanktionsverstöße.

Die Behörden bewerten die Systeme und Kontrollen im Bericht zwar grundsätzlich als angemessen, benennen aber Defizite bei Prüfaufzeichnungen, Schwellenwerten sowie der Aktualisierung von Listen und Screenings (EBA-Risikobericht 2025, Rn. 65). Eine repräsentative Fehlerquote für alle europäischen Institute oder eine belastbare Erfolgsquote bestimmter Screening-Produkte lässt sich aus diesen Angaben nicht ableiten. Für die Sanktions-Compliance liegt ihr Erkenntniswert vielmehr in den benannten Prozesslücken: Ein technisch vorhandenes System genügt nicht, wenn Daten, Zuständigkeiten und Nachweise unvollständig bleiben.

Sanktions-Compliance braucht klare Zuständigkeiten und einen vollständigen Prüfumfang

Für die praktische Umsetzung von Finanzsanktionen und Embargos empfiehlt sich ein durchgängiger Ablauf von der Rechtsänderung bis zur dokumentierten Entscheidung. Ausgangspunkt sollten die tatsächlich anwendbaren Sanktionsregime und die davon betroffenen Geschäftsaktivitäten sein. Kunden, Beteiligungsstrukturen, Produkte, Zahlungswege und geografische Bezüge sollten dabei gemeinsam betrachtet werden. Die folgenden Gestaltungsvorschläge konkretisieren diesen Ansatz, ohne ein einheitliches Organisationsmodell für alle Unternehmen vorzugeben.

Für die erfassten Institute sieht EBA/GL/2024/14 in Abschnitt 4 Rn. 13 bis 16 eine verantwortliche Führungskraft und unmittelbare Berichtswege zum Leitungsorgan vor; eine Aufgabenbündelung ist nach Rn. 14 unter den dort genannten Voraussetzungen möglich (EBA-Leitlinien). Empfehlenswert ist eine schriftliche Zuordnung, wer Informationen beschafft, Treffer bewertet, Maßnahmen veranlasst, Meldungen abgibt und Vertretungen übernimmt. Verantwortung und Entscheidungsbefugnis sollten übereinstimmen; ein zeitkritischer Fall darf nicht zwischen Fachbereich, Compliance und Zahlungsverkehr liegen bleiben.

Die Expositionsbewertung soll nach EBA/GL/2024/14, Abschnitt 4 Rn. 22 bis 27, dokumentiert, mindestens jährlich überprüft und bei relevanten Veränderungen anlassbezogen aktualisiert werden (EBA-Leitlinien). Für die praktische Sanktions-Compliance empfiehlt sich, daraus konkrete Datenanforderungen, Prüfauslöser und Eskalationswege abzuleiten. Bei überschaubarem Geschäft können die Abläufe schlanker sein als bei komplexen internationalen Strukturen. Proportionalität betrifft jedoch die Ausgestaltung der Kontrollen und eröffnet keine Möglichkeit, ein anwendbares Verbot wegen vermeintlich geringen Risikos unbeachtet zu lassen (EBA, Erläuterungen zum Verhältnis von Expositionsbewertung und Sanktionspflichten).

Sanktions-Compliance muss Prüfung, Einfrieren und Freigabe unterscheiden

Ein zweckmäßiger Fallprozess sollte zunächst die Identität klären: Welche Merkmale stimmen überein, welche widersprechen sich und welche Informationen fehlen? Anschließend sollten Eigentum und Kontrolle sowie das einschlägige Verbot bewertet werden. EBA/GL/2024/15, Abschnitt 4 Rn. 31 bis 38, konkretisiert für ihren Adressatenkreis die unverzügliche Untersuchung, dokumentierte Entscheidungen, zusätzliche Informationen und den Umgang mit nicht eindeutig auflösbaren Fällen (EBA-Leitlinien).

Für die Sanktions-Compliance empfiehlt sich organisatorisch die Unterscheidung zwischen vorläufigem Anhalten zur Klärung, rechtlich gebotenem Einfrieren und dokumentierter Freigabe eines entkräfteten Treffers. Diese internen Bearbeitungszustände ersetzen keine Rechtsprüfung. Ist Art. 2 Abs. 1 der Verordnung (EU) Nr. 269/2014 einschlägig, folgt die Sperrpflicht aus der Verordnung; eine geschäftspolitische Zustimmung ersetzt keine erforderliche behördliche Ausnahmegenehmigung, etwa nach Art. 4 (Rat der Europäischen Union). Interne Klärungsfristen dürfen deshalb nicht als Aufschub für bereits bestehende Verbote verstanden werden.

Ein hypothetischer Fall zeigt die praktische Bedeutung: Der Name einer Gesellschaft löst keinen Treffer aus, ein vorgelegter Vertrag deutet jedoch auf beherrschenden Einfluss einer gelisteten Person hin. Empfehlenswert wäre, den Sachverhalt vor einer positiven Entscheidung gezielt aufzuklären und die zuständige Sanktionsfunktion einzubeziehen. Die Akte sollte Vertrag, Beteiligungsstruktur, Identitätsabgleich und rechtliche Bewertung zusammenführen. „Kein Namenshit“ wäre keine ausreichende Begründung, die Kontrollfrage offenzulassen und das Geschäft dennoch freizugeben.

Meldewege und Kontrollnachweise müssen die Entscheidung vervollständigen

Art. 8 Abs. 1 Buchst. a der Verordnung (EU) Nr. 269/2014 verlangt die unverzügliche Übermittlung anwendungsrelevanter Informationen und nennt für die dort konkretisierten Informationen über eingefrorene oder einzufrierende Vermögenswerte eine Frist von zwei Wochen nach Erhalt der Informationen (Rat der Europäischen Union). Daraus folgt keine zweiwöchige Erlaubnis, eine rechtlich gebotene Sperre hinauszuschieben. Für Gelder im sanktionsrechtlichen Sinne nimmt in Deutschland grundsätzlich die Deutsche Bundesbank die betreffenden Meldungen entgegen; zuständige Stelle und Meldeweg sind jedoch jeweils anhand des Vermögensgegenstands und des Sanktionsregimes zu bestimmen (Deutsche Bundesbank, Hinweise zu Finanzsanktionen).

Davon getrennt ist eine Verdachtsmeldung nach § 43 Abs. 1 GwG zu beurteilen, die bei Vorliegen ihrer gesetzlichen Voraussetzungen an die Zentralstelle für Finanztransaktionsuntersuchungen zu richten ist (Bundesrecht, § 43 GwG). Eine pauschale Gleichsetzung jedes Screening-Treffers mit einer solchen Meldepflicht greift deshalb zu kurz. Empfehlenswert ist eine Fallakte mit getrennten Entscheidungen zu Sanktionsmaßnahmen und geldwäscherechtlicher Meldung. Sie sollte Rechtsgrundlage, Daten- und Listenstand, Prüfschritte, Begründung, Entscheider und Zeitpunkte enthalten.

Zur Wirksamkeitskontrolle empfehlen sich dokumentierte Tests mit bekannten Treffern, Schreibvarianten und bewusst unvollständigen Daten sowie Stichproben zu geschlossenen Fällen. Für die Steuerung sollten nicht nur Trefferzahlen, sondern auch Alter offener Fälle, Zeit bis zur wirksamen Sperre, Listenaktualisierungen und nachträglich korrigierte Entscheidungen betrachtet werden. EBA/GL/2024/14, Abschnitt 4 Rn. 19 Buchst. c, nennt unter anderem offene Alerts, Meldungen, Zeit bis zur Meldung, eingefrorene Vermögenswerte und Ressourcen als Berichtsinhalte (EBA-Leitlinien). Wenige Treffer allein sind kein belastbarer Wirksamkeitsnachweis; für die Sanktions-Compliance sollte entscheidend sein, ob relevante Sachverhalte erkannt und richtig bearbeitet werden.

Für eine kompakte Überprüfung der Sanktions-Compliance empfehlen sich folgende Fragen:

Sind anwendbare Sanktionsregime, betroffene Geschäftsaktivitäten und Prüfauslöser dokumentiert?

Werden Eigentums- und Kontrollverhältnisse unabhängig vom bloßen Namensabgleich bewertet?

Sind Datenqualität, Listenaktualisierung und Systemausfälle durch Kontrollen abgedeckt?

Sind Trefferklärung, Maßnahmenentscheidung und Vertretung eindeutig zugeordnet?

Werden Sperren, Freigaben und gegebenenfalls erforderliche Genehmigungen nachvollziehbar dokumentiert?

Sind sanktionsrechtliche Meldungen und Verdachtsmeldungen nach dem GwG getrennt beurteilt?

Erhält die Leitung aussagekräftige Informationen über Rückstände, Kontrollmängel und Abhilfemaßnahmen?

Belastbare Sanktions-Compliance verbindet Technik mit begründeten Entscheidungen

Der nächste Entwicklungsschritt in der Sanktions-Compliance sollte nicht allein in zusätzlichen Listen oder niedrigeren Trefferschwellen liegen. Empfehlenswert ist zunächst, die Verbindung zwischen Daten, Eigentums- und Kontrollprüfung, rechtlicher Bewertung und tatsächlicher Umsetzung zu prüfen. Eine Fallentscheidung überzeugt durch ihre Begründung und nachweisbare Durchführung, nicht durch einen grünen Status im System.

Mit Blick auf die europäische Geldwäscheverordnung, Verordnung (EU) 2024/1624, ist zudem zwischen geltendem und künftig anwendbarem Recht zu unterscheiden: Art. 9 Abs. 1 und Art. 10 Abs. 1 beziehen das Risiko der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen ausdrücklich in interne Kontrollen und Risikobewertungen ein; die Verordnung gilt nach Art. 90 grundsätzlich ab dem 10. Juli 2027, mit späterem Beginn für die dort genannten Fußballakteure (Europäisches Parlament und Rat, Verordnung vom 31. Mai 2024). Für betroffene Verpflichtete empfiehlt sich eine frühzeitige Bestandsaufnahme; bestehende Sanktionsverbote werden durch diesen künftigen Anwendungsbeginn nicht aufgeschoben.

Häufige Fragen zu Sanktions-Compliance

Reicht ein negativer Sanktionslistenabgleich für die Freigabe aus?

Nicht als alleinige Entscheidungsgrundlage. Art. 2 der Verordnung (EU) Nr. 269/2014 erfasst auch kontrollierte Vermögenswerte und mittelbare Bereitstellungen (Rat der Europäischen Union). Deshalb sollte der Prüfprozess neben der Identität die einschlägigen Eigentums- und Kontrollverhältnisse sowie das konkrete Geschäft berücksichtigen. Ein negativer Namensabgleich beantwortet diese zusätzlichen Fragen nicht.

Ist die sanktionsrechtliche Eigentumsprüfung mit der GwG-Prüfung identisch?

Nein. Art. 1 Buchst. i der Verordnung (EU) Nr. 269/2014 nennt mindestens 50 Prozent der Eigentumsrechte oder eine Mehrheitsbeteiligung; § 3 Abs. 2 Satz 1 GwG verwendet für seine Beteiligungskriterien mehr als 25 Prozent (Rat der Europäischen Union, Bundesrecht). Zusätzlich ist Kontrolle eigenständig zu prüfen. Eine Übernahme geldwäscherechtlicher Prüfergebnisse ersetzt die sanktionsrechtliche Bewertung nicht.

Muss jeder Screening-Treffer als Geldwäscheverdacht gemeldet werden?

Ein technischer Treffer allein begründet keine pauschale Meldepflicht nach dem GwG. Maßgeblich sind die Voraussetzungen des § 43 Abs. 1 GwG; daneben bestehen eigenständige sanktionsrechtliche Informationspflichten, beispielsweise nach Art. 8 der Verordnung (EU) Nr. 269/2014 (Bundesrecht, Rat der Europäischen Union). Beide Prüfungen sollten getrennt dokumentiert und an die jeweils zuständige Stelle adressiert werden.

Dürfen kleinere Unternehmen einfachere Kontrollen einsetzen?

Eine proportionale Organisation ist sinnvoll, erlaubt aber keine Ausnahme von anwendbaren Sanktionsverboten (EBA, Erläuterungen zum risikoorientierten Kontrollansatz). Bei überschaubaren Geschäftsaktivitäten können schlanke, dokumentierte Abläufe zweckmäßig sein. Sie sollten dennoch verlässliche Daten, aktuelle Rechtsinformationen, klare Zuständigkeiten und rechtzeitige Maßnahmen ermöglichen. Ob eine bestimmte Lösung genügt, verlangt eine unternehmensindividuelle Bewertung.

Was sollte eine dokumentierte Trefferentscheidung enthalten?

Für die Sanktions-Compliance empfehlen sich Identifikationsmerkmale, geprüfte Eigentums- und Kontrollverhältnisse, einschlägige Rechtsgrundlagen sowie der verwendete Daten- und Listenstand. Hinzukommen sollten die Begründung der Entscheidung, verantwortliche Personen, Zeitpunkte und umgesetzte Maßnahmen. Bei einer Freigabe sollte nachvollziehbar sein, weshalb der Verdacht entkräftet wurde oder welche rechtliche Grundlage die Durchführung erlaubt.

Quellen

Verordnung (EU) Nr. 269/2014 über restriktive Maßnahmen angesichts von Handlungen gegen die territoriale Unversehrtheit, Souveränität und Unabhängigkeit der Ukraine, Rat der Europäischen Union, 17. März 2014, konsolidierte Fassung vom 7. August 2026, insbesondere Art. 1 Buchst. i und j, Art. 2, 4, 8 und 17: Konsolidierte Verordnung.

Außenwirtschaftsgesetz, Bundesrecht, §§ 18 und 19, am 24. September 2026 abgerufene amtliche Einzelnormen, bereitgestellt durch das Bundesministerium der Justiz und das Bundesamt für Justiz: Strafvorschriften, Bußgeldvorschriften.

Geldwäschegesetz, Bundesrecht, § 3 Abs. 2 Satz 1 und § 43 Abs. 1, am 24. September 2026 abgerufene Fassungen, bereitgestellt durch das Bundesministerium der Justiz und das Bundesamt für Justiz: Wirtschaftlich Berechtigter, Meldepflicht von Verpflichteten.

Guidelines on internal policies, procedures and controls to ensure the implementation of Union and national restrictive measures, Europäische Bankenaufsichtsbehörde, EBA/GL/2024/14 und EBA/GL/2024/15 vom 14. November 2024, anwendbar seit 30. Dezember 2025, insbesondere die im Beitrag bezeichneten Randnummern in Abschnitt 4: Final Report mit beiden Leitlinien.

Asset freeze and prohibition to make funds and economic resources available, Europäische Kommission, FAQ zur Anwendung der Verordnung (EU) Nr. 269/2014, Stand 6. Mai 2026, insbesondere Hinweise zu Eigentum, Kontrolle und Frage 8 zur Zusammenrechnung von Beteiligungen: FAQ der Europäischen Kommission.

Report on Money Laundering and Terrorist Financing Risks Affecting the EU’s Financial Sector, Europäische Bankenaufsichtsbehörde, EBA/REP/2025/22, Juli 2025, insbesondere Rn. 65 und 66, Meldezeitraum 2022 bis 2024: EBA-Risikobericht.

Merkblatt zur Einhaltung von Finanzsanktionen, Deutsche Bundesbank, Stand Juni 2024, korrigierte Fassung vom 5. Juli 2024; herangezogen zur Einordnung der Verwaltungshinweise, nicht als alleiniger Nachweis des aktuellen Verordnungsrechts: Merkblatt.

Häufig gestellte Fragen zum Thema Finanzsanktionen, Deutsche Bundesbank, am 24. September 2026 abgerufene Fassung, insbesondere zur Zuständigkeit für Gelder: FAQ der Deutschen Bundesbank.

Verordnung (EU) 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, Europäisches Parlament und Rat, 31. Mai 2024, insbesondere Art. 9 Abs. 1, Art. 10 Abs. 1 und Art. 90: Amtliche Veröffentlichung.

Über S+P Compliance

S+P Compliance ist eine Compliance-Beratung mit Sitz in München und unterstützt von der Bundesanstalt für Finanzdienstleistungsaufsicht beaufsichtigte Institute. Das Haus übernimmt ausgelagerte Kontroll- und Beauftragtenfunktionen, darunter Geldwäscheprävention, Compliance und Interne Revision, sowie operative Aufgaben in der Bearbeitung von Screening-Treffern. S+P Compliance betreibt ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheitsmanagementsystem. Das S+P Unternehmerforum bietet ergänzend Fachseminare für Geschäftsleitungen sowie Fach- und Führungskräfte zu regulatorischen, organisatorischen und betriebswirtschaftlichen Themen.

• Die Delegierte Verordnung (EU) 2026/1167 ergänzt die CRR durch technische Regulierungsstandards zu operationellen Risiken. Sie wurde am 3. September 2026 im Amtsblatt veröffentlicht und tritt nach Artikel 40 am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft.
• Artikel 23 bis 32 konkretisieren die Taxonomie für Verlustereignisse aus operationellen Risiken: Jedes Verlustereignis ist genau einer Ereignisart der Stufe 1 und genau einer Kategorie der Stufe 2 zuzuordnen; alle anwendbaren Attribute sind ergänzend zu erfassen.
• Die Kategorie 4.5 „Finanzkriminalität“ erfasst das Risiko von Geldwäsche, Versäumnissen im Zusammenhang mit KYC sowie Verstößen gegen Sanktionen.
• Wird ein Verlustereignis der Kategorie 4.5 zugeordnet, ist ihm nach Artikel 32 Absatz 3 in Verbindung mit dem Anhang stets das Attribut „Rechtsrisiko – Fehlverhalten“ zuzuordnen.
• Die Verordnung schafft keine eigenständigen materiellen Pflichten zur Geldwäscheprävention, KYC oder Sanktionsbeachtung. Sie konkretisiert die Einordnung und Erfassung relevanter operationeller Verlustereignisse im CRR-Rahmen.

II. Zeitliche Einordnung

Die Europäische Kommission hat die Delegierte Verordnung (EU) 2026/1167 am 28. Mai 2026 erlassen. Nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union am 3. September 2026 tritt sie gemäß Artikel 40 am 23. September 2026 in Kraft.

Für den Verlustdatensatz enthält Artikel 33 besondere Vorgaben zur rückwirkenden Klassifikation:

• Verlustereignisse ab dem 1. Januar 2016 sind den entsprechenden Ereignisarten der Stufe 1 zuzuordnen.
• Institute können Verlustereignisse ab dem 1. Januar 2025 zusätzlich den Kategorien der Stufe 2 zuordnen und mit den anwendbaren Attributen versehen.

Die rückwirkenden Vorgaben betreffen damit die taxonomische Zuordnung historischer Verlustereignisse. Sie bedeuten keine rückwirkende Geltung neu geschaffener materieller AML-, KYC- oder Sanktionspflichten.

III. Vom Compliance-Fall zum Verlustereignis

KYC-, Sanktions- und Geldwäschevorfälle werden häufig zunächst als Compliance-Fälle bearbeitet. Das ist sachgerecht, beantwortet aber nicht in jedem Fall die zusätzliche Frage, ob ein Sachverhalt auch als Verlustereignis aus operationellem Risiko im Verlustdatensatz zu berücksichtigen ist.

Die Delegierte Verordnung (EU) 2026/1167 verlangt keine pauschale Gleichsetzung von AML-, KYC- oder Sanktionsfällen mit operationellen Verlustereignissen. Entscheidend sind vielmehr die tatsächlichen Umstände des Einzelfalls: Liegt ein Verlustereignis vor, welche Ereignisart und welche Kategorie sind am relevantesten, welche Attribute treffen zu und welche finanziellen Auswirkungen sind dem Ereignis zuzurechnen?

Für die Geschäftsleitung liegt die Relevanz damit in der Steuerungsfähigkeit: Das Institut muss relevante Sachverhalte einheitlich erkennen, fachlich einordnen und die maßgeblichen Informationen aus Compliance, Operational Risk, Legal, Finance, IKT und – soweit betroffen – dem Auslagerungsmanagement zusammenführen können. Die Taxonomie dient dabei nicht der Umqualifizierung jedes Compliance-Falls, sondern der harmonisierten Erfassung von Verlustereignissen im operationellen Risiko.

IV. Was sich konkretisiert

Die CRR sah bereits die Erfassung operationeller Verlustdaten und eine Taxonomie vor. Die Delegierte Verordnung konkretisiert nun die Taxonomie und die Zuordnungsregeln. Artikel 23 Absatz 1 verpflichtet Institute, jedes Verlustereignis genau einer Ereignisart der Stufe 1 und genau einer Kategorie der Stufe 2 zuzuordnen. Kommen mehrere Einordnungen in Betracht, ist die relevanteste Ereignisart beziehungsweise Kategorie maßgeblich. Nach Artikel 23 Absatz 2 sind zusätzlich alle anwendbaren Attribute nach Artikel 32 zuzuordnen.

ThemaBisheriger RahmenKonkretisierung durch die Delegierte Verordnung (EU) 2026/1167AML-, KYC- und SanktionspflichtenMaterielle Pflichten ergeben sich aus dem jeweils einschlägigen Geldwäsche-, Sanktions- und Aufsichtsrecht.Keine neuen materiellen AML-, KYC- oder Sanktionspflichten; Regelungsgegenstand ist die Behandlung operationeller Risiken.KlassifikationVerlustdaten wurden bereits im CRR-Rahmen erfasst; die Detailstruktur war zu konkretisieren.Genau eine Ereignisart der Stufe 1 und genau eine Kategorie der Stufe 2 je Verlustereignis; bei mehreren Optionen ist die relevanteste zu wählen.FinanzkriminalitätAML-, KYC- und Sanktionssachverhalte wurden regelmäßig in Compliance-, Legal- oder Untersuchungsprozessen bearbeitet.Artikel 28 führt innerhalb der Ereignisart „Kunden, Produkte und Geschäftspraktiken“ die Kategorie 4.5 „Finanzkriminalität“ auf. Sie umfasst Geldwäsche, KYC-Versäumnisse und Sanktionsverstöße.AttributeQuerschnittsrisiken konnten bereits im internen Risikomanagement berücksichtigt werden.Artikel 32 verlangt die Zuordnung aller anwendbaren Attribute, etwa IKT-Risiko, Drittparteienrisiko oder Geschäftsfortführung. Mindestens ein Geschäftsfeld-Attribut ist zwingend.RechtsrisikoRechtsfolgen wurden häufig gesondert in Legal- oder Litigation-Prozessen abgebildet.Bei einer Einordnung in Kategorie 4.5 ist „Rechtsrisiko – Fehlverhalten“ zwingend zuzuordnen.RückflüsseErstattungen und Rückgriffe wurden häufig getrennt im Finanz- oder Schadensprozess behandelt.Vollständig binnen fünf Arbeitstagen zurückfließende Verluste sind nicht im Verlustdatensatz zu berücksichtigen. Bei Teilrückflüssen ist nur der nicht fristgerecht zurückfließende Anteil einzubeziehen.

Die Pflicht zur rückwirkenden Zuordnung der Level-1-Ereignisarten gilt nach Artikel 33 Absatz 1 für Verlustereignisse ab dem 1. Januar 2016. Die Zuordnung von Level-2-Kategorien und Attributen kann nach Artikel 33 Absätze 2 und 3 mindestens ab dem 1. Januar 2025 erfolgen.

V. Use Case: KYC-Datenfehler

Fiktiver und vereinfachter Fall: Ein Institut nutzt einen externen Dienstleister für Teile des digitalen Onboardings. Nach einer technischen Änderung werden bei einem abgegrenzten Kundenbestand Angaben zu wirtschaftlich Berechtigten und Länderbezügen nicht vollständig an ein nachgelagertes Screening-System übertragen. Das Institut erkennt den Fehler im Rahmen einer Kontrollhandlung, untersucht den Sachverhalt und lässt die betroffenen Kundenbeziehungen nachprüfen. Es entstehen externe Kosten für technische Ursachenanalyse und Rechtsberatung. Darüber hinaus prüft das Institut, ob Ansprüche gegen den Dienstleister bestehen.

Der Sachverhalt ist zunächst kein Automatismus für die Kategorie 4.5 „Finanzkriminalität“. Die Klassifikation richtet sich nicht danach, welche Organisationseinheit den Fall zuerst bearbeitet, sondern nach dem prägenden Verlustereignis.

PrüfschrittRechtlich vorsichtige EinordnungLiegt ein Verlustereignis vor?Zu prüfen ist, ob und welche finanziellen Auswirkungen aus einem operationellen Risikoereignis entstanden sind oder nach dem anwendbaren Rahmen zu berücksichtigen sind. Eine Kontrollfeststellung allein genügt hierfür nicht notwendig.Welche Kategorie ist maßgeblich?Steht ein KYC-Versäumnis im Zusammenhang mit Geldwäsche-, Terrorismusfinanzierungs- oder Sanktionsrisiken im Vordergrund, kann 4.5 „Finanzkriminalität“ einschlägig sein. Prägt hingegen der Ausfall einer Anwendung, eines Informationssystems oder eines IKT-Veränderungsprogramms den Sachverhalt, ist 6.1 „Infrastruktur- und Systemausfall“ zu prüfen. Steht die unzureichende Verwaltung oder Pflege von Daten im Mittelpunkt, kann 7.4 „Erfassung und Verarbeitung von Daten“ relevant sein.Welche Attribute sind zu prüfen?Bei technischem Bezug kann das Attribut „IKT-Risiko – nicht in Verbindung mit Cybervorfällen“ relevant sein. Bei einem externen Dienstleister ist zusätzlich das Attribut „Drittparteienrisiko“ zu prüfen. Nach Artikel 32 Absatz 2 ist mindestens ein Geschäftsfeld-Attribut zuzuordnen.Welche Folge hat Kategorie 4.5?Nur bei einer tatsächlichen Zuordnung zu 4.5 ist „Rechtsrisiko – Fehlverhalten“ zwingend. Bei einer Zuordnung etwa zu 6.1 oder 7.4 folgt diese zwingende Attribution nicht.Wie sind finanzielle Folgen zu behandeln?Die Zuordnung von Kosten, Rückstellungen und Rückflüssen ist anhand des Ereignisbezugs sowie der einschlägigen aufsichtsrechtlichen und rechnungslegungsbezogenen Anforderungen zu beurteilen. Artikel 6 erfasst unter anderem Verluste, Aufwendungen, Rückstellungen und andere finanzielle Auswirkungen aus operationellen Risikoereignissen.

Der Use Case zeigt: Dass ein Sachverhalt AML-, KYC- oder Sanktionsbezug aufweist, kann für die Kategorisierung bedeutsam sein. Es ersetzt aber nicht die Einzelfallprüfung nach Artikel 23. Die Level-2-Kategorie muss den Sachverhalt in seiner prägenden Ausgestaltung abbilden; Attribute erfassen ergänzende Risiko- und Ursachenbezüge.

VI. Drei Entscheidungen für die Geschäftsleitung

1. Einen Prüftrigger festlegen
Die Geschäftsleitung sollte entscheiden, unter welchen Voraussetzungen AML-, KYC- und Sanktionssachverhalte zusätzlich auf eine mögliche Relevanz für den OpRisk-Verlustdatensatz geprüft werden. Auslöser können beispielsweise konkret entstandene finanzielle Auswirkungen, erhebliche externe Untersuchungskosten, Kundenentschädigungen, Rückstellungen, Sanktionen oder ein wesentlicher IKT- beziehungsweise Drittparteienbezug sein.

2. Die Klassifikationsverantwortung festlegen
Es sollte ein nachvollziehbares Verfahren bestehen, das die sachgerechte Auswahl von Ereignisart, Kategorie und Attributen gewährleistet. Die Compliance-Funktion kann den AML-, KYC- oder Sanktionsbezug bewerten; die Taxonomieentscheidung und die Steuerung des Verlustdatensatzes sind jedoch mit der für operationelle Risiken zuständigen Funktion abzustimmen. Legal, Finance, IKT und Auslagerungsmanagement sind einzubeziehen, soweit ihre Informationen für Ursachen, Kosten oder Rückflüsse erforderlich sind.

3. Relevante Managementinformation definieren
Für wesentliche Sachverhalte sollte die Geschäftsleitung nachvollziehen können, welches Ereignis vorliegt, wie es klassifiziert wurde, welche finanziellen Auswirkungen berücksichtigt werden, ob Rückflüsse bestehen, welche Ursachen festgestellt wurden und wie die Maßnahmenumsetzung fortschreitet. Das ist keine eigenständige Organisationsvorgabe der Delegierten Verordnung, aber eine naheliegende Governance-Folge aus der Pflicht zur konsistenten Erfassung und Klassifikation relevanter Verlustereignisse.

VII. Fazit

Die Delegierte Verordnung (EU) 2026/1167 schafft keine neue AML- oder Sanktionspflicht. Sie konkretisiert jedoch die Taxonomie, nach der relevante Verlustereignisse aus operationellen Risiken zu erfassen und zu beschreiben sind.

Für AML-, KYC- und Sanktionssachverhalte ist insbesondere Kategorie 4.5 „Finanzkriminalität“ relevant. Sie ist jedoch nicht schematisch anzuwenden: Zunächst ist zu prüfen, ob überhaupt ein relevantes Verlustereignis vorliegt und welche Kategorie dessen prägenden Charakter zutreffend beschreibt. Wird Kategorie 4.5 gewählt, folgt zwingend das Attribut „Rechtsrisiko – Fehlverhalten“. Für Geschäftsleitung und Compliance besteht die Kernaufgabe darin, diese Prüfung, die finanzielle Bewertung und die funktionsübergreifende Dokumentation belastbar zu organisieren.

S+P Fachredaktion

VIII. Quellenverzeichnis

Europäisches Parlament und Rat: Verordnung (EU) Nr. 575/2013 vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und zur Änderung der Verordnung (EU) Nr. 648/2012 (Capital Requirements Regulation – CRR), ABl. L 176 vom 27. Juni 2013, S. 1, in der konsolidierten Fassung vom 1. Januar 2026, EUR-Lex – konsolidierte Fassung der CRR, abgerufen am 10. September 2026.

Europäische Kommission: Delegierte Verordnung (EU) 2026/1167 vom 28. Mai 2026 zur Ergänzung der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung von Anforderungen für operationelle Risiken, ABl. L 2026/1167 vom 3. September 2026, insbesondere Artikel 6 sowie Artikel 23 bis 33 und Anhang, EUR-Lex – Delegierte Verordnung (EU) 2026/1167, abgerufen am 10. September 2026.

I. Die Kernaussage vorweg: Was ändert sich – und für wen?

Der EBA-Entwurf konkretisiert die bereits geltenden Vorgaben des Art. 323 Abs. 1 CRR zum Management operationeller Risiken. Vorgesehen sind insbesondere detailliertere Anforderungen an Governance, Risikobewertung, Datenqualität, Kontrollen und Berichterstattung. Die zusätzlichen Konkretisierungen werden erst mit Inkrafttreten und Anwendung des endgültigen RTS verbindlich; die gesetzlichen Grundanforderungen des Art. 323 Abs. 1 CRR gelten bereits.

Betroffen sind alle CRR-Institute. Die Schwelle von 750 Mio. Euro begrenzt nicht den Anwendungsbereich, sondern dient der proportionalen Abstufung einzelner Anforderungen. Bei einem Geschäftsindikator von mindestens 750 Mio. Euro gelten insbesondere eine jährliche Wirksamkeitsüberprüfung des OpRisk-Rahmenwerks, eine mindestens quartalsweise Berichterstattung an das Leitungsorgan sowie erweiterte Vorgaben für Risikodaten, Verlustdaten und die Risikotaxonomie. Institute unterhalb dieser Schwelle profitieren von einzelnen Erleichterungen, bleiben aber grundsätzlich zur Einrichtung eines angemessenen OpRisk-Rahmenwerks verpflichtet.

Kleinere Institute erhalten Erleichterungen, aber keinen „Safe Harbour“.

Rechts- und Compliance-Funktionen sollten insbesondere die Schnittstellen zu MaRisk, DORA, Geldwäscheprävention und Interner Revision überprüfen.

II. Warum jetzt Handlungsbedarf besteht

Obwohl der RTS bislang nur als Konsultationsentwurf vorliegt, gelten die Grundanforderungen an das Management operationeller Risiken nach Art. 323 Abs. 1 CRR bereits. Institute sollten daher frühzeitig prüfen, ob ihre Governance-, Kontroll- und Berichtsstrukturen den konkretisierten Maßstäben entsprechen.

Zugleich bestehen Überschneidungen mit § 25a Abs. 1 KWG, den MaRisk und – bei ICT-Risiken – Art. 5 bis 16 DORA. Eine rechtzeitige Gap-Analyse ermöglicht es, Regelungslücken und Doppelstrukturen zu erkennen, Zuständigkeiten abzugrenzen und bestehende DORA-, Compliance- und Geldwäscheprozesse gezielt einzubinden. Vorrangig sollten der Geschäftsindikator nach Art. 314 CRR ermittelt sowie Governance, Datenqualität und Eskalationswege überprüft werden.

III. Fristen, Anwendungszeitpunkt und Übergangsregeln

Die Konsultationsfrist endet am 31. Dezember 2026. Für die öffentliche Anhörung am 29. September 2026 ist eine Anmeldung bis zum 25. September 2026 erforderlich.

Ein verbindlicher Anwendungszeitpunkt steht noch nicht fest. Der Entwurf muss zunächst finalisiert und als delegierte Verordnung im EU-Amtsblatt veröffentlicht werden. Maßgeblich sind anschließend die im endgültigen Rechtsakt geregelten Vorschriften zum Inkrafttreten und zur Anwendung.

Besondere Übergangsregelungen lassen sich daher derzeit noch nicht verlässlich bestimmen. Unabhängig davon gelten die Anforderungen des Art. 323 Abs. 1 CRR bereits. Institute sollten die verbleibende Zeit deshalb für eine Gap-Analyse und die Vorbereitung erforderlicher Anpassungen nutzen.

IV. Konkrete Pflichten und betroffene Funktionen

Der RTS-Entwurf verlangt insbesondere ein dokumentiertes OpRisk-Rahmenwerk, klare Verantwortlichkeiten, laufende Risiko- und Kontrollbewertungen, verlässliche Datenflüsse sowie geregelte Berichts- und Eskalationswege. Das Leitungsorgan soll das Rahmenwerk und die Risikobereitschaft genehmigen und deren Einhaltung überwachen (Art. 4 RTS-Entwurf).

Betroffen sind vor allem:

• Leitungsorgan: Genehmigung und Überwachung des Rahmenwerks;
• OpRisk-Funktion: Ausgestaltung und Überwachung des OpRisk-Prozesses und des Risikobewertungssystems sowie unabhängige Bewertung, Überprüfung und Berichterstattung;
• Compliance: Mitwirkung an den Verfahren zur Erkennung, Meldung und Nachverfolgung von Verstößen gegen interne Vorgaben, genehmigte Schwellenwerte und Limite sowie aufsichtsrechtliche Anforderungen, soweit dies nach der institutsinternen Aufgabenverteilung vorgesehen ist;
• Fachbereiche und IT: Risikoerfassung, Kontrolldurchführung und Datenbereitstellung;
• Interne Revision: unabhängige Prüfung des Rahmenwerks.

Bei ICT-Risiken sind zudem die Vorgaben der Art. 5 bis 16 DORA zu berücksichtigen. Bereits vorhandene Strategien, Prozesse, Kontrollen und Instrumente nach DORA können nach Maßgabe des RTS-Entwurfs zur Erfüllung entsprechender OpRisk-Anforderungen herangezogen werden. Szenarioanalysen und Stresstests sind grundsätzlich proportional zur Größe, Komplexität und zum operationellen Risikoprofil des Instituts auszugestalten. Bei einem Geschäftsindikator von mindestens 750 Mio. Euro gelten insbesondere strengere Anforderungen an die Wirksamkeitsüberprüfung, die Berichtsfrequenz, den Umfang der Risikodaten und die Risikotaxonomie.

V. Praxisprobleme und typische Prüfungsfeststellungen

In der Praxis dürften insbesondere unklare Zuständigkeiten, uneinheitliche Risikobewertungen und lückenhafte Datenbestände zu Beanstandungen führen. Typische Schwachstellen sind:

• ein nur formal dokumentiertes oder nicht institutsweit umgesetztes OpRisk-Rahmenwerk;
• fehlende Abgrenzungen zwischen OpRisk, Compliance, Informationssicherheit und Geldwäscheprävention;
• unvollständige Erfassung von Verlusten und Beinaheereignissen;
• nicht nachvollziehbare Limite, Kontrollen und Eskalationsentscheidungen;
• verspätete oder unzureichende Berichte an das Leitungsorgan;
• fehlende Wirksamkeitskontrollen und mangelhafte Nachverfolgung von Maßnahmen;
• unzureichende Abstimmung mit DORA-Prozessen und der Internen Revision.

Besonders prüfungsrelevant dürfte sein, ob Vorgaben nicht nur schriftlich bestehen, sondern anhand belastbarer Daten, Kontrollen und Entscheidungswege tatsächlich umgesetzt und nachgewiesen werden können.

VI. Umsetzungsfahrplan: Was jetzt zu tun ist

Institute sollten die Konsultationsphase für ein strukturiertes Umsetzungsprojekt nutzen:

1. Anwendbarkeit bestimmen: Geschäftsindikator nach Art. 314 CRR berechnen und die einschlägigen Anforderungsstufen feststellen.
2. Gap-Analyse durchführen: Bestehendes OpRisk-Rahmenwerk an Art. 323 Abs. 1 CRR und den RTS-Entwurf spiegeln.
3. Verantwortlichkeiten klären: Aufgaben von Leitungsorgan, OpRisk, Compliance, IT, Geldwäscheprävention und Interner Revision eindeutig abgrenzen.
4. Daten und Berichtswege prüfen: Verlustereignisse, Beinaheereignisse, Limite, Eskalationen und Managementberichte auf Vollständigkeit und Nachvollziehbarkeit untersuchen.
5. Synergien nutzen: Vorhandene Prozesse nach DORA, MaRisk und § 25a Abs. 1 KWG einbeziehen, soweit sie die Anforderungen nachweisbar erfüllen.
6. Maßnahmen priorisieren: Festgestellte Lücken nach Risiko und Umsetzungsaufwand bewerten, Verantwortliche benennen und Fristen festlegen.

Die Umsetzung sollte revisionssicher dokumentiert und nach Veröffentlichung des endgültigen RTS nochmals rechtlich überprüft werden.

VII. Checkliste für Geschäftsleitung, Compliance und Projektleitung

• Geschäftsindikator nach Art. 314 CRR berechnet und 750-Mio.-Euro-Schwelle geprüft
• OpRisk-Rahmenwerk an Art. 323 Abs. 1 CRR und dem RTS-Entwurf gespiegelt
• Risikobereitschaft, Limite und Eskalationsschwellen nachvollziehbar festgelegt
• Zuständigkeiten von Leitungsorgan, OpRisk, Compliance, IT, Geldwäscheprävention und Interner Revision abgegrenzt
• Risiko- und Kontrollbewertungen vollständig und regelmäßig durchgeführt
• Verluste, Beinaheereignisse und weitere Risikodaten konsistent erfasst
• Berichtswege und Berichtsfrequenzen an die Größenklasse angepasst
• Abweichungen von Vorgaben und Limiten erkannt, gemeldet und nachverfolgt
• Überschneidungen mit § 25a Abs. 1 KWG, MaRisk und Art. 5 bis 16 DORA berücksichtigt
• Festgestellte Lücken priorisiert, Verantwortlichen zugewiesen und mit Fristen versehen
• Umsetzung und Entscheidungen revisionssicher dokumentiert
• Erforderliche Anpassungen nach Veröffentlichung des endgültigen RTS eingeplant

VIII. Fazit und nächster sinnvoller Schritt

Der EBA-Entwurf konkretisiert und vereinheitlicht insbesondere die Anforderungen an Governance, Datenqualität, Berichterstattung und Nachweisführung. Betroffen sind alle CRR-Institute, wenn auch in unterschiedlicher Intensität.

Als nächsten Schritt sollten Institute ihren Geschäftsindikator bestimmen und eine dokumentierte Gap-Analyse durchführen. Daraus ist ein priorisierter Maßnahmenplan mit klaren Zuständigkeiten und Fristen abzuleiten. Nach Veröffentlichung des endgültigen RTS müssen die Ergebnisse nochmals rechtlich überprüft werden.

S+P Fachredaktion

IX. Quellenverzeichnis

1. Europäisches Recht

Europäisches Parlament und Rat: Verordnung (EU) Nr. 575/2013 über Aufsichtsanforderungen an Kreditinstitute und zur Änderung der Verordnung (EU) Nr. 648/2012 (Capital Requirements Regulation – CRR), ABl. L 176 vom 27. Juni 2013, S. 1, in der konsolidierten Fassung vom 1. Januar 2026, EUR-Lex – konsolidierte Fassung der CRR, abgerufen am 7. September 2026.

Europäisches Parlament und Rat: Verordnung (EU) 2024/1623 vom 31. Mai 2024 zur Änderung der Verordnung (EU) Nr. 575/2013 im Hinblick auf Vorschriften für das Kreditrisiko, das Risiko einer Anpassung der Kreditbewertung, das operationelle Risiko, das Marktrisiko und die Eigenmitteluntergrenze (Output-Floor), ABl. L 2024/1623 vom 19. Juni 2024, EUR-Lex – Verordnung (EU) 2024/1623, abgerufen am 7. September 2026.

Europäisches Parlament und Rat: Verordnung (EU) 2022/2554 vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (Digital Operational Resilience Act – DORA), ABl. L 333 vom 27. Dezember 2022, S. 1, EUR-Lex – Verordnung (EU) 2022/2554, abgerufen am 7. September 2026.

2. Konsultationspapier der Europäischen Bankenaufsichtsbehörde

Europäische Bankenaufsichtsbehörde (EBA): Consultation Paper – Draft Regulatory Technical Standards on operational risk management framework, EBA/CP/2026/18 vom 26. August 2026, EBA-Konsultationspapier EBA/CP/2026/18, abgerufen am 7. September 2026.

3. Nationales Recht

Bundesrepublik Deutschland: Gesetz über das Kreditwesen (Kreditwesengesetz – KWG), insbesondere § 25a „Besondere organisatorische Pflichten, Bestimmungen für Risikoträger; Verordnungsermächtigung“, in der geltenden Fassung, Gesetze im Internet – § 25a KWG, abgerufen am 7. September 2026.

4. Nationale Verwaltungspraxis

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin): Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk), BaFin – Rundschreiben 06/2026 (BA), abgerufen am 7. September 2026.

Mit dem Rundschreiben 09/2026 (WA) hat die BaFin erstmals eigenständige Mindestanforderungen an das Risikomanagement kleiner und mittlerer Wertpapierinstitute veröffentlicht. Die WpI MaRisk gelten ab dem 1. Januar 2027. Betroffene Institute sollten die verbleibende Zeit für eine dokumentierte Umsetzungs- und Lückenanalyse nutzen.

I. Die Kernaussage vorweg: Was ändert sich – und für wen?

Die WpI MaRisk konkretisieren die Anforderungen des Wertpapierinstitutsgesetzes an die ordnungsgemäße Geschäftsorganisation und das Risikomanagement. Sie schaffen einen eigenständigen Aufsichtsrahmen, der auf die Geschäftsmodelle und Risikostrukturen von Wertpapierinstituten zugeschnitten ist.

Erfasst werden:

• Kleine Wertpapierinstitute im Sinne des § 2 Abs. 16 WpIG,
• Mittlere Wertpapierinstitute im Sinne des § 2 Abs. 17 WpIG.

Große Wertpapierinstitute im Sinne des § 2 Abs. 18 WpIG fallen nicht in den unmittelbaren Anwendungsbereich. Für sie gelten aufgrund ihrer aufsichtsrechtlichen Einordnung andere Anforderungen.

Für kleine Institute bedeuten die WpI MaRisk nicht, dass sämtliche für mittlere Institute vorgesehenen Strukturen unverändert übernommen werden müssen. Der Proportionalitätsgrundsatz bleibt ein tragendes Element. Erleichterungen müssen jedoch anhand des konkreten Geschäftsmodells, der Größe, der Komplexität und des Risikoprofils begründet werden. „Klein“ bedeutet daher nicht „anforderungsfrei“.

Das Rundschreiben ist keine Rechtsverordnung und kein Parlamentsgesetz. Es beschreibt jedoch die Verwaltungspraxis der BaFin bei der Auslegung und Anwendung der gesetzlichen Organisationspflichten. Abweichende Lösungen sind damit nicht von vornherein ausgeschlossen. Das Institut muss aber nachvollziehbar darlegen können, dass seine alternative Ausgestaltung die gesetzlichen Anforderungen mindestens gleichwertig erfüllt.

II. Warum jetzt Handlungsbedarf besteht

Die WpI MaRisk gelten ab dem 1. Januar 2027. Die verbleibende Umsetzungszeit ist knapp, weil die Anforderungen nicht lediglich die Erstellung zusätzlicher Richtlinien betreffen. Betroffen sind Organisationsstrukturen, Verantwortlichkeiten, Risikodaten, Kontrollfunktionen, Berichtswege, Auslagerungsverträge und teilweise auch die IT-Unterstützung.

Nach dem Begleitschreiben der BaFin bleibt bis zum 31. Dezember 2026 grundsätzlich die sinngemäße Anwendung der MaRisk für Kreditinstitute in der Fassung der 8. Novelle maßgeblich. Die Änderungen der 9. MaRisk-Novelle müssen Wertpapierinstitute in diesem Übergangszeitraum nicht zwingend umsetzen. Daraus folgt allerdings keine Schonfrist über den 1. Januar 2027 hinaus.

Besonderer Handlungsbedarf besteht, wenn ein Institut bislang:

• keine auf das WpIG zugeschnittene Risikoinventur durchführt,
• Risiken für Kunden, Markt und Institut nicht systematisch zusammenführt,
• über keine dokumentierte Kapitalplanung mit adverser Entwicklung verfügt,
• Proportionalitätserleichterungen nur mit der Mitarbeiterzahl begründet,
• Kontrollfunktionen personell oder organisatorisch nicht hinreichend getrennt hat,
• Auslagerungen und IKT-Drittdienstleistungen nicht sauber voneinander abgrenzt,
• vertraglich gebundene Vermittler nicht in das Risikomanagement einbezieht,
• oder keine konsistente Verzahnung zwischen WpI MaRisk und DORA hergestellt hat.

Die BaFin wird künftig nicht nur prüfen können, ob einzelne Dokumente vorhanden sind. Entscheidend ist, ob die Regelungen im laufenden Betrieb tatsächlich angewendet, überwacht und bei Änderungen angepasst werden.

III. Fristen, Anwendungszeitpunkt und Übergangsregeln

Die finale Fassung wurde am 24. August 2026 als Rundschreiben 09/2026 (WA) veröffentlicht. Sie ist ab dem 1. Januar 2027 anzuwenden.

Für die Umsetzung bedeutet dies:

• Bis zum 31. Dezember 2026 bleibt die sinngemäße Anwendung der für Kreditinstitute geltenden MaRisk in der Fassung der 8. Novelle maßgeblich.
• Die Änderungen der 9. MaRisk-Novelle müssen Wertpapierinstitute in diesem Übergangszeitraum nach der Klarstellung der BaFin nicht zwingend berücksichtigen.
• Ab dem 1. Januar 2027 erwartet die BaFin die Anwendung der WpI MaRisk.
• Eine allgemeine nachgelagerte Umsetzungsfrist lässt sich dem Rundschreiben nicht entnehmen.
• Bereits vor dem Stichtag bestehende Mängel der Geschäftsorganisation werden durch die Übergangsregelung nicht legitimiert.

Institute sollten deshalb nicht darauf setzen, dass eine nach dem 1. Januar 2027 noch laufende Projektplanung als ausreichende Umsetzung anerkannt wird. Zum Stichtag müssen zumindest die erforderlichen Strukturen, Verantwortlichkeiten, Methoden, Kontrollen und Berichtswege eingerichtet und funktionsfähig sein.

IV. Konkrete Pflichten und betroffene Funktionen

1. Risikoinventur und Gesamtrisikoprofil

Das Institut muss regelmäßig und anlassbezogen sein Gesamtrisikoprofil ermitteln und beurteilen, welche Risiken wesentlich sind. Einzubeziehen sind insbesondere:

• Risiken für Kunden,
• Risiken für den Markt,
• Risiken für das Wertpapierinstitut,
• sonstige wesentliche Risiken,
• Liquiditätsrisiken,
• IKT-Risiken,
• ESG-Risiken als mögliche Risikotreiber.

Die Risikoinventur darf nicht bei einer abstrakten Risikoliste stehen bleiben. Sie muss das tatsächliche Geschäftsmodell, Produkte, Kundengruppen, Vertriebswege, Auslagerungen, technische Abhängigkeiten und geplante Veränderungen abbilden.

Für kleine Wertpapierinstitute bestehen proportionale Erleichterungen. Die Entscheidung, ein Risiko als unwesentlich zu behandeln, muss dennoch sachlich begründet, dokumentiert und regelmäßig überprüft werden.

2. Risikotragfähigkeit, Kapitalplanung und Stresstests

Die detaillierten Anforderungen an die Risikotragfähigkeit richten sich grundsätzlich an mittlere Wertpapierinstitute. Diese müssen Risiken und verfügbare Risikodeckungspotenziale in einer belastbaren Gesamtsicht zusammenführen.

Eine Kapitalplanung ist dagegen sowohl von kleinen als auch von mittleren Wertpapierinstituten vorzuhalten. Sie muss neben dem Planszenario mindestens ein adverses Szenario berücksichtigen. Das adverse Szenario sollte institutsspezifische Belastungen abbilden und darf nicht lediglich aus einer pauschalen Kürzung der Planzahlen bestehen.

Mittlere Wertpapierinstitute müssen zusätzlich regelmäßig Stresstests durchführen. Dabei sind auch Wechselwirkungen und Konzentrationen zu berücksichtigen. Ein isolierter Stresstest je Risikoart kann unzureichend sein, wenn sich beispielsweise Marktverluste, Liquiditätsabflüsse, Kundenentschädigungen und operative Störungen gegenseitig verstärken.

3. Geschäftsleitung und Aufsichtsorgan

Die Geschäftsleitung trägt die Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation. Dazu gehören insbesondere:

• Festlegung der Geschäfts- und Risikostrategie,
• Einrichtung angemessener Risikosteuerungs- und Kontrollprozesse,
• Festlegung klarer Zuständigkeiten,
• angemessene personelle und technische Ausstattung,
• Kenntnisnahme und Bewertung wesentlicher Risikoberichte,
• rechtzeitige Reaktion auf Mängel und Eskalationen.

Aufgaben dürfen delegiert werden; die Gesamtverantwortung der Geschäftsleitung entfällt dadurch nicht. Geschäftsleiter müssen sich in einer ihrer Verantwortung entsprechenden Weise informieren und die Wirksamkeit der Organisation überwachen.

Das Aufsichtsorgan muss die Geschäftsleitung wirksam kontrollieren können. Dafür benötigt es rechtzeitige, verständliche und entscheidungsrelevante Informationen. Umfangreiche Berichte genügen nicht, wenn wesentliche Risiken, Grenzwertverletzungen oder Umsetzungsdefizite darin nicht erkennbar sind.

4. Compliance, Risikomanagement und Interne Revision

Eine Compliance-Funktion ist einzurichten. Ihre Aufgaben, Befugnisse, Informationsrechte und Berichtswege müssen eindeutig geregelt sein. Sie muss ihre Überwachungsaufgaben sachgerecht und mit ausreichender Unabhängigkeit wahrnehmen können.

Eine unabhängige Risikomanagement-Funktion und eine Interne Revision sind einzurichten, soweit dies unter Berücksichtigung von Art, Umfang und Komplexität der Geschäfte angemessen und verhältnismäßig ist. Der Verzicht auf eine eigenständige Funktion ist daher keine freie Organisationsentscheidung, sondern bedarf einer tragfähigen Proportionalitätsbegründung.

Wesentliche Aktivitäten und Prozesse sind durch die Interne Revision grundsätzlich innerhalb eines Dreijahreszyklus zu prüfen. Risikoreiche Sachverhalte können kürzere Prüfungsintervalle erfordern. Für Institute mit weniger als zehn Mitarbeitern beziehungsweise Vollzeitäquivalenten bestehen unter bestimmten Voraussetzungen Erleichterungen. Auch dann müssen Interessenkonflikte beherrscht und eine wirksame Kontrolle sichergestellt werden.

5. Auslagerungen und DORA

AT 9 der WpI MaRisk enthält Anforderungen an:

• die Wesentlichkeits- und Risikoanalyse,
• die Vertragsgestaltung,
• die Steuerung und Überwachung,
• Weiterverlagerungen,
• Ausstiegs- und Notfallkonzepte,
• das zentrale Auslagerungsmanagement.

Ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne des Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, werden nicht zusätzlich nach AT 9 behandelt. Diese Abgrenzung soll Doppelregulierung vermeiden, schafft aber keinen kontrollfreien Bereich.

Institute benötigen ein nachvollziehbares Klassifikationsverfahren:

1. Handelt es sich um eine IKT-Dienstleistung im Sinne der DORA?
2. Unterliegt sie dem IKT-Drittparteienrisikomanagement der Art. 28 bis 30 DORA?
3. Liegt daneben eine Auslagerung nicht-IKT-bezogener Aktivitäten oder Prozesse vor?
4. Welche Anforderungen gelten bei gemischten Vertrags- und Leistungsstrukturen?

Die Bezeichnung des Vertrags durch den Dienstleister ist nicht entscheidend. Maßgeblich sind Inhalt und tatsächliche Durchführung der bezogenen Leistung.

V. Praxisprobleme und absehbare Prüfungsfeststellungen

Da die finalen WpI MaRisk erst ab dem 1. Januar 2027 gelten, kann noch nicht von einer gefestigten Prüfungspraxis gesprochen werden. Aus den Anforderungen lassen sich jedoch besonders relevante Prüffelder ableiten:

• unvollständige oder ausschließlich formale Risikoinventuren,
• nicht dokumentierte Wesentlichkeitsentscheidungen,
• unzureichende Berücksichtigung von Kunden- und Marktrisiken,
• pauschale Behandlung von ESG-Risiken ohne institutsspezifische Analyse,
• fehlende Integration von IKT-Risiken,
• Kapitalplanung ohne plausibles adverses Szenario,
• Stresstests ohne Wechselwirkungen und Konzentrationsrisiken,
• fehlende Trennung unvereinbarer Aufgaben,
• Kontrollfunktionen ohne ausreichende Ressourcen oder Informationsrechte,
• verspätete oder unvollständige Berichte an Geschäftsleitung und Aufsichtsorgan,
• nicht eingehaltene Revisionszyklen,
• fehlende Überwachung vertraglich gebundener Vermittler,
• unvollständige Auslagerungsregister,
• fehlende Ausstiegs- und Notfallplanungen,
• fehlerhafte Abgrenzung zwischen AT 9 und DORA,
• Proportionalitätserleichterungen ohne belastbare Begründung.

Besonders angreifbar ist eine Organisation, die auf dem Papier angemessen erscheint, im tatsächlichen Betrieb aber keine nachweisbaren Kontrollen, Eskalationen oder Managemententscheidungen erkennen lässt.

Haftungs- und Sanktionsrisiken

Die WpI MaRisk enthalten keinen eigenen Bußgeldkatalog. Verstöße können jedoch auf eine Verletzung der gesetzlichen Organisationspflichten des WpIG hindeuten und aufsichtsrechtliche Maßnahmen auslösen.

Je nach Art und Schwere eines Mangels kommen insbesondere in Betracht:

• Anordnungen zur Herstellung einer ordnungsgemäßen Geschäftsorganisation,
• Beanstandungen im Rahmen von Prüfungen,
• zusätzliche Eigenmittelanforderungen,
• Anforderungen an Geschäftsleiter oder Kontrollfunktionen,
• Einschränkungen des Geschäftsbetriebs,
• Maßnahmen gegen Geschäftsleiter,
• in schwerwiegenden Fällen Auswirkungen auf die Erlaubnis.

Die persönliche Verantwortlichkeit eines Geschäftsleiters entsteht nicht automatisch mit jeder Abweichung vom Rundschreiben. Maßgeblich sind die zugrunde liegende gesetzliche Pflicht, die konkrete Aufgabenverteilung, die Erkennbarkeit des Mangels, das Vertretenmüssen und gegebenenfalls ein eingetretener Schaden.

Gesellschaftsrechtlich können insbesondere § 43 GmbHG oder § 93 AktG einschlägig sein. Für Vorstandsmitglieder bestimmt § 93 Abs. 2 Satz 2 AktG, dass sie im Haftungsstreit darzulegen und zu beweisen haben, die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt zu haben. Eine ordnungsgemäße Dokumentation von Risikoentscheidungen, Ressourcenzuweisungen und Überwachungsmaßnahmen ist deshalb auch haftungsrechtlich relevant.

Die Business-Judgment-Rule des § 93 Abs. 1 Satz 2 AktG schützt unternehmerische Ermessensentscheidungen unter ihren Voraussetzungen. Sie rechtfertigt jedoch grundsätzlich keine bewusste Missachtung zwingender gesetzlicher oder aufsichtsrechtlicher Anforderungen. Bei der konkreten Ausgestaltung proportionaler Maßnahmen kann dagegen ein begründeter Entscheidungsspielraum bestehen.

Eine allgemeine Beweislastumkehr begründen die WpI MaRisk nicht. Praktisch trägt das Institut aber eine erhebliche Darlegungs- und Dokumentationslast: Wer eine Erleichterung, alternative Umsetzung oder Unwesentlichkeit eines Risikos in Anspruch nimmt, muss die zugrunde liegende Bewertung gegenüber der Aufsicht nachvollziehbar erklären können.

VI. Umsetzungsfahrplan: Was jetzt zu tun ist

Phase 1: Anwendungsbereich und Governance

Zunächst ist verbindlich festzustellen, ob das Institut als kleines oder mittleres Wertpapierinstitut einzuordnen ist. Anschließend sind Projektverantwortung, Geschäftsleitungszuständigkeit und Berichtswege festzulegen.

Phase 2: Gap-Analyse

Die vorhandene Organisation ist systematisch mit sämtlichen Modulen der WpI MaRisk abzugleichen. Die Analyse sollte nicht nur Richtlinien erfassen, sondern auch tatsächliche Prozesse, Daten, Kontrollen, Verträge und personelle Kapazitäten.

Phase 3: Risikoinventur und Methoden

Risikotaxonomie, Wesentlichkeitskriterien, Gesamtrisikoprofil und anlassbezogene Aktualisierung sind zu überarbeiten. Für mittlere Institute sind zusätzlich Risikotragfähigkeits- und Stresstestverfahren anzupassen.

Phase 4: Kontrollfunktionen

Mandat, Unabhängigkeit, Ressourcen und Vertretung von Compliance, Risikomanagement und Interner Revision sind zu prüfen. Etwaige Erleichterungen müssen einzeln begründet werden.

Phase 5: Auslagerungen und DORA-Abgrenzung

Sämtliche Fremdbezüge sind zu inventarisieren und als Auslagerung, IKT-Dienstleistung oder sonstiger Fremdbezug einzuordnen. Verträge, Risikoanalysen, Register, Überwachung und Exit-Pläne sind anschließend anzupassen.

Phase 6: Implementierung und Wirksamkeitstest

Überarbeitete Prozesse müssen vor dem 1. Januar 2027 praktisch getestet werden. Dazu gehören insbesondere Berichtswege, Eskalationen, Grenzwertverletzungen, Notfallverfahren und die Datenlieferung externer Dienstleister.

Phase 7: Managementfreigabe

Die Geschäftsleitung sollte sich nicht nur den Projektabschluss bestätigen lassen. Sie sollte eine zusammenfassende Bewertung der verbleibenden Risiken, offenen Maßnahmen und beanspruchten Proportionalitätserleichterungen beschließen und dokumentieren.

VII. Checkliste für Geschäftsleitung, Compliance und Projektleitung

• Ist die Einordnung als kleines oder mittleres Wertpapierinstitut aktuell und dokumentiert?
• Wurde der vollständige Anwendungsbereich der WpI MaRisk ermittelt?
• Liegt eine belastbare Gap-Analyse vor?
• Sind Geschäfts- und Risikostrategie konsistent?
• Erfasst die Risikoinventur Kunden-, Markt-, Instituts-, Liquiditäts- und IKT-Risiken?
• Werden ESG-Risiken als Risikotreiber berücksichtigt?
• Sind Wesentlichkeitsentscheidungen nachvollziehbar begründet?
• Verfügt das Institut über eine Kapitalplanung mit adverser Entwicklung?
• Sind bei mittleren Instituten Risikotragfähigkeit und Stresstests angemessen ausgestaltet?
• Sind Verantwortlichkeiten und unvereinbare Tätigkeiten klar geregelt?
• Verfügen Kontrollfunktionen über ausreichende Ressourcen und Informationsrechte?
• Sind beanspruchte Proportionalitätserleichterungen einzeln dokumentiert?
• Deckt der Revisionsplan alle wesentlichen Aktivitäten grundsätzlich innerhalb von drei Jahren ab?
• Sind vertraglich gebundene Vermittler in das Risikomanagement einbezogen?
• Ist jeder relevante Fremdbezug als Auslagerung, IKT-Dienstleistung oder sonstiger Fremdbezug klassifiziert?
• Sind WpI MaRisk und DORA ohne Lücken oder widersprüchliche Doppelprozesse verzahnt?
• Bestehen belastbare Ausstiegs-, Notfall- und Eskalationsverfahren?
• Kann die tatsächliche Durchführung der Kontrollen nachgewiesen werden?
• Ist die vollständige Umsetzung zum 1. Januar 2027 realistisch abgesichert?
• Hat die Geschäftsleitung die Umsetzung und verbleibende Risiken förmlich behandelt?

? WpI MaRisk 2026/2027: Stichtag 1. Januar 2027 sicher erreichen

Risikoinventur, Proportionalitäts-Matrix & DORA-Verzahnung für Wertpapierinstitute:

Die neuen Mindestanforderungen der BaFin (Rundschreiben 09/2026) verlangen von kleinen und mittleren Instituten den sofortigen Aufbau prüfungssicherer Strukturen. „Klein“ bedeutet nicht mehr anforderungsfrei – Erleichterungen müssen gerichtsfest begründet werden.

Wie Geschäftsleiter, Compliance-Beauftragte und Risikomanager die Gap-Analyse durchführen, Kontrollfunktionen ausstatten und das Auslagerungsmanagement nach AT 9 rechtssicher aufstellen, vermittelt unser kompakter Zertifikatslehrgang.

? Jetzt Platz sichern: Zum S+P Lehrgang MaRisk & WpHG Compliance für Wertpapierinstitute

(Inklusive Muster-Readiness-Analyse, Prüf-Checklisten & S+P Certified Nachweis)

VIII. Fazit und nächster sinnvoller Schritt

Die WpI MaRisk machen das Proportionalitätsprinzip für Wertpapierinstitute konkret, schaffen aber keine pauschale Entlastung für kleine Häuser. Je schlanker die Organisation ist, desto wichtiger werden klare Zuständigkeiten, funktionierende Vertretungsregelungen und eine belastbare Begründung vereinfachter Strukturen.

Für die Geschäftsleitung liegt das wesentliche Risiko nicht in jeder einzelnen Abweichung von einem Detail des Rundschreibens. Kritisch wird es, wenn wesentliche Risiken nicht erkannt, Zuständigkeiten nicht geklärt, Kontrollfunktionen nicht wirksam ausgestattet oder bekannte Mängel nicht rechtzeitig behoben werden.

Der nächste sinnvolle Schritt ist eine dokumentierte WpI-MaRisk-Readiness-Analyse. Sie sollte neben dem Soll-Ist-Abgleich eine Entscheidungsmatrix zur Proportionalität, ein DORA-/AT-9-Mapping sowie einen von der Geschäftsleitung bestätigten Maßnahmenplan enthalten. Verantwortliche, Fristen, Abhängigkeiten und erforderliche Wirksamkeitsnachweise sollten darin verbindlich festgelegt werden.

Rechtsstand: 8. September 2026. Der Beitrag bietet einen allgemeinen Überblick und ersetzt keine Prüfung des konkreten Instituts und seiner Geschäftsorganisation.

Autorin: Emma Collins

Emma Collins treibt die Themen Leadership, Governance und strategische Transformation im S+P Leadership Hub voran. Ihr Ziel: Innovative Ansätze in greifbare Tools zu übersetzen, damit Führungskräfte auch in komplexen Szenarien handlungsfähig und strategisch sicher bleiben.

S+P Editorial Team

IX. Quellenverzeichnis

1. Verordnung (EU) 2022/2554 – DORA Verweisung: Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA):https://eur-lex.europa.eu/…:32022R2554, abgerufen am 08.09.2026.
2. § 2 WpIG Verweisung: § 2 Begriffsbestimmungen, Gesetz zur Beaufsichtigung von Wertpapierinstituten (Wertpapierinstitutsgesetz – WpIG):https://www.gesetze-im-internet.de/…, abgerufen am 08.09.2026.
3. BaFin-Rundschreiben 09/2026 (WA) – WpI MaRisk Verweisung: Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Rundschreiben 09/2026 (WA) – Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk):https://www.bafin.de/…, abgerufen am 08.09.2026.
4. Begleitschreiben der BaFin Verweisung: Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Begleitschreiben zum Rundschreiben 09/2026 (WA) – WpI MaRisk:https://www.bafin.de/…, abgerufen am 08.09.2026.

1.) Einleitung

Der von der Europäischen Kommission vorgelegte Entwurf des Industrial Accelerator Act (IAA-E) ist für Unternehmen von erheblicher Bedeutung, weil er neue Vorgaben für öffentliche Beschaffung, Förderfähigkeit, industrielle Lieferketten und bestimmte ausländische Investitionen vorsieht. Nach der gegenwärtigen Entwurfsfassung könnten daraus insbesondere Anforderungen an CO?-Kriterien, Unionsursprung, Nachweisführung und Investitionsbedingungen entstehen. Verstöße gegen die künftig geltenden Vorgaben können – abhängig von der endgültigen Fassung und ihrer Verzahnung mit nationalem Recht – erhebliche wirtschaftliche, regulatorische und haftungsrechtliche Folgen haben.

Für Geschäftsleitung und Compliance ist insbesondere relevant, dass mögliche IAA-E-Pflichten organisatorisch umgesetzt, überwacht und dokumentiert werden müssen. Persönliche Haftungsrisiken ergeben sich dabei nicht unmittelbar aus einer eigenständigen „Managerhaftung nach dem IAA-E“, sondern können insbesondere über das jeweils anwendbare nationale Gesellschafts-, Ordnungswidrigkeiten– oder Strafrecht entstehen.

Standhinweis: Die nachfolgenden Ausführungen beziehen sich auf den Kommissionsvorschlag COM(2026) 100 final vom 4. März 2026. Der IAA-E befindet sich im ordentlichen Gesetzgebungsverfahren. Artikelnummern, Schwellenwerte, Fristen, Sanktionen und Anwendungsbereiche können sich bis zur endgültigen Verabschiedung ändern.

2.) Zentrale Compliance- und Haftungsrisiken

• Nachweis- und Prüfpflichten: Nach der gegenwärtigen Entwurfsfassung könnten insbesondere belastbare Nachweise zu CO?-Kriterien und Unionsursprung erforderlich werden. Geschäftsleitung und Compliance sollten deshalb frühzeitig prüfen, ob bestehende Kontroll- und Dokumentationssysteme hierfür ausreichen.
• FDI-Sanktionsrisiken: Der IAA-E sieht für bestimmte ausländische Investitionen besondere Notifikations-, Genehmigungs-, Monitoring- und Informationsanforderungen vor. Verstöße könnten nach der endgültigen Ausgestaltung erhebliche Sanktionen auslösen. Daneben können bei Vorliegen der jeweiligen Voraussetzungen nationale Zurechnungs- und Aufsichtsnormen, insbesondere §§ 9, 30 und 130 OWiG, relevant werden.
• Dokumentation als Enthaftungsinstrument: Risikoanalysen, Freigaben, Kontrollhandlungen und dokumentierte Entscheidungsgrundlagen können wesentlich dazu beitragen, ordnungsgemäßes Organisations- und Überwachungshandeln nachzuweisen. Für Vorstandsmitglieder ist hierbei insbesondere die Beweislastregel des § 93 Abs. 2 Satz 2 AktG von praktischer Bedeutung.

II. Timeline

Zum gegenwärtigen Stand besteht keine unmittelbar laufende Umsetzungs- oder Compliance-Frist für Unternehmen, da der Industrial Accelerator Act weiterhin Gegenstand des europäischen Gesetzgebungsverfahrens ist. Als nächster wesentlicher Verfahrensschritt ist eine indikative Plenarbefassung des Europäischen Parlaments am 14. Dezember 2026 vorgesehen.

Gleichwohl besteht bereits jetzt rechtlicher Vorbereitungs- und Monitoringbedarf. Nach dem derzeitigen Entwurf sollen einzelne Pflichten zeitnah nach Inkrafttreten einsetzen. Für bestimmte fahrzeugbezogene „Made in EU“-Anforderungen ist eine Anwendung bereits sechs Monate nach Inkrafttreten vorgesehen. Das besondere Genehmigungsregime für bestimmte ausländische Direktinvestitionen über 100 Mio. EUR soll zwölf Monate nach Inkrafttreten gelten; die Mitgliedstaaten sollen bereits innerhalb eines Monats nach Inkrafttreten eine zuständige Investment Authority benennen.

Für öffentliche Beschaffungen und Fördermaßnahmen sind weitere gestaffelte Anwendungszeitpunkte vorgesehen. Die Low-Carbon- und Unionsursprungsanforderungen für Stahl, Beton, Mörtel und Aluminium sollen nach dem Entwurf grundsätzlich ab dem 1. Januar 2029 greifen. Weitere Anforderungen für Net-Zero-Technologien knüpfen an Zeiträume von einem bzw. drei Jahren nach Inkrafttreten an.

Für Rechtsabteilungen und Compliance-Funktionen empfiehlt sich daher bereits vor Abschluss des Gesetzgebungsverfahrens eine Betroffenheitsanalyse, insbesondere im Hinblick auf geplante Investitionen, öffentliche Aufträge, Förderprogramme, Lieferketten sowie Herkunfts- und Nachweissysteme. Maßgeblich ist derzeit jedoch der Charakter als Gesetzgebungsvorschlag; Fristen und materielle Anforderungen können sich im weiteren Verfahren noch ändern.

III. Pflichten für zuständige Personen, insbesondere für Geschäftsleitung und Compliance

Der Entwurf des Industrial Accelerator Act (IAA) begründet nach der derzeitigen Entwurfsfassung primär Pflichten für Unternehmen, Wirtschaftsteilnehmer, ausländische Investoren sowie öffentliche Auftraggeber. Unmittelbare organspezifische Pflichten von Geschäftsleitungsmitgliedern werden im IAA nicht ausdrücklich normiert. Für Geschäftsleitung und Compliance folgt die Relevanz vielmehr daraus, dass die Einhaltung der unionsrechtlichen Vorgaben organisatorisch sichergestellt, überwacht und dokumentiert werden muss. Eine persönliche Organhaftung richtet sich demgegenüber nach dem jeweils anwendbaren nationalen Gesellschafts- und Haftungsrecht.

1. Prüfung des sachlichen und persönlichen Anwendungsbereichs
Geschäftsleitung und Compliance haben sicherzustellen, dass frühzeitig geprüft wird, ob Beschaffungs-, Förder-, Lieferketten- oder Investitionsvorgänge in den Anwendungsbereich des IAA-E fallen. Besonders betroffen sind energieintensive Industrien, Net-Zero-Technologien, der Automobilsektor sowie bestimmte ausländische Direktinvestitionen. Der Regelungsansatz erfasst insbesondere öffentliche Beschaffung, öffentliche Fördermaßnahmen und strategische Investitionen.

2. Herkunfts- und CO?-Compliance nach Art. 7 bis 11 IAA-E

Nach der gegenwärtigen Fassung des IAA-E soll Art. 7 die Bestimmung des Unionsursprungs an die zollrechtlichen Ursprungsregeln der Verordnung (EU) Nr. 952/2013 anknüpfen. Die Art. 8 und 10 des Entwurfs enthalten weitere Vorgaben zur Berücksichtigung bestimmter Drittlandsinhalte sowie zu Low-Carbon-Produkten.

Für erfasste Vergabeverfahren sieht der Kommissionsentwurf besondere Herkunfts- und CO?-Anforderungen vor. Nach der derzeitigen Fassung des Art. 11 Abs. 4 IAA-E soll die Einhaltung der einschlägigen Anforderungen durch eine Eigenerklärung oder einen gleichwertigen Nachweis belegt werden.

Für die Compliance-Funktion ergibt sich daraus bereits heute ein sinnvoller Vorbereitungsschwerpunkt: Unternehmen sollten prüfen, ob ihre Prozesse zur Ursprungsfeststellung, Lieferantendokumentation, CO?-Datenerhebung und Nachweisführung geeignet wären, die vorgesehenen Anforderungen belastbar abzubilden. Maßgeblich bleibt jedoch die endgültig verabschiedete Fassung.

3. Dokumentation bei der Inanspruchnahme vorgesehener Ausnahmen

Der Kommissionsentwurf enthält für bestimmte Beschaffungs- und Förderanforderungen Ausnahmetatbestände, die an näher bestimmte Voraussetzungen anknüpfen. Nach der derzeitigen Fassung des Art. 11 Abs. 3 IAA-E können dabei unter anderem fehlende Alternativen, unzureichende Angebote, technische Inkompatibilität oder unverhältnismäßige Mehrkosten relevant sein. Der Entwurf enthält hierzu auch quantitative Kriterien.

Für Förderprogramme sieht Art. 12 Abs. 3 IAA-E ebenfalls bestimmte Ausnahmevoraussetzungen vor, bei denen unter anderem Verzögerungen und erhebliche Kostensteigerungen eine Rolle spielen können.

Für Legal und Compliance ist unabhängig von der endgültigen Höhe einzelner Schwellenwerte entscheidend: Wer sich auf eine Ausnahme berufen will, muss die zugrunde liegenden Tatsachen, Vergleichsdaten und Entscheidungsgrundlagen nachvollziehbar und überprüfbar dokumentieren. Die konkreten Schwellenwerte und Voraussetzungen sind vor Anwendung anhand der endgültigen Fassung des IAA zu prüfen.

4. Vorgesehenes Prüf- und Genehmigungskonzept für bestimmte ausländische Direktinvestitionen – Art. 17 ff. IAA-E

Der Kommissionsentwurf enthält für bestimmte, in seinen Anwendungsbereich fallende ausländische Direktinvestitionen ein besonderes Prüf- und Genehmigungskonzept. Die vorgesehene Prüfung knüpft unter anderem an Eigentums- und Beteiligungsstrukturen, lokale Wertschöpfung, Beschäftigung, Forschung und Entwicklung sowie Technologie- und Know-how-Aspekte an.

Für Geschäftsleitung, M&A, Legal und Compliance bedeutet dies, dass potenziell erfasste Transaktionen bereits vor Signing beziehungsweise Closing auf ihre IAA-E-Relevanz und mögliche Genehmigungsanforderungen untersucht werden sollten.

Das vorgesehene Verfahren ist dabei von bestehenden nationalen und unionsrechtlichen FDI-Screening-Regimen zu unterscheiden. Zuständigkeiten nationaler Investment Authorities, die Rolle der Kommission, materielle Genehmigungsvoraussetzungen sowie mögliche Rechtsfolgen sind für die konkrete Transaktion anhand der endgültigen Fassung und des jeweils anwendbaren weiteren FDI-Rechts zu bestimmen.

5. Anzeige- und Informationspflichten nach Art. 19 IAA-E
Nach der gegenwärtigen Entwurfsfassung sollen erfasste Investitionen einem formellen Notifikationsverfahren unterliegen. Befinden sich relevante Zielunternehmen oder Vermögenswerte in mehreren Mitgliedstaaten, verlangt der Entwurf eine koordinierte Anzeige gegenüber den zuständigen Investment Authorities und der Kommission.

Für die Compliance-Organisation empfiehlt sich daher ein verbindlicher FDI-Pre-Closing-Check mit klar definierten Eskalations- und Freigabeschritten.

6. Laufende Überwachungs- und Reportingpflichten nach Art. 20 Abs. 5 und Art. 22 IAA-E
Die zuständige Investment Authority kann nach Art. 20 Abs. 5 IAA-E Reportingpflichten in die Genehmigungsentscheidung aufnehmen. Nach der gegenwärtigen Fassung des Art. 22 Abs. 1 IAA-E soll der ausländische Investor darüber hinaus zur regelmäßigen Berichterstattung über die fortdauernde Einhaltung der Investitionsbedingungen.

Die Compliance-Verantwortung endet damit nicht mit der Genehmigung oder dem Transaktionsvollzug. Erforderlich ist vielmehr ein dauerhaftes Post-Closing-Monitoring.

7. Vermeidung unrichtiger oder irreführender Angaben
Nach der gegenwärtigen Fassung des Art. 23 IAA-E soll die Kommission unter den dort geregelten Voraussetzungen Sanktionsbefugnisse erhalten, insbesondere bei falschen oder irreführenden Informationen oder bei der Nichtbereitstellung angeforderter Informationen.

Aus Compliance-Sicht sollten Meldungen gegenüber Behörden daher einem dokumentierten Vier-Augen-, Legal-Review- und Freigabeprozess unterliegen.

8. Sanktions- und Organisationsrisiken nach dem IAA-E

Der Kommissionsentwurf sieht im Zusammenhang mit bestimmten Investitionspflichten erhebliche Sanktionsmechanismen vor. Diese betreffen insbesondere Verstöße gegen vorgesehene Notifikations-, Genehmigungs-, Informations-, Monitoring- und Reportinganforderungen. Die konkrete Sanktionshöhe, der jeweilige Adressat und die Zuständigkeitsverteilung sind vor einer praktischen Anwendung anhand der endgültigen Fassung des IAA und des einschlägigen nationalen Vollzugsrechts zu bestimmen.

Für Geschäftsleitung und Compliance folgt daraus bereits heute die Notwendigkeit, potenzielle IAA-E-Risiken in bestehende Compliance-Management-, Internal-Control- und Transaktionsfreigabeprozesse einzubeziehen.

IV. Haftungsrisiken für Geschäftsleitung und Compliance

Der Industrial Accelerator Act in seiner gegenwärtigen Entwurfsfassung (IAA-E) enthält keine allgemeine persönliche Haftungsnorm für Vorstände, Geschäftsführer oder Compliance Officer. Unmittelbare Sanktionen nach dem Entwurf richten sich primär gegen den ausländischen Investor beziehungsweise das Unternehmen. Persönliche Haftungsrisiken können jedoch mittelbar entstehen, wenn die Geschäftsleitung künftig anwendbare IAA-E-Pflichten nicht hinreichend organisiert, überwacht oder dokumentiert oder wenn verantwortliche Personen selbst unrichtige Angaben veranlassen. Für deutsche Unternehmen kommen insbesondere folgende Haftungsstränge in Betracht.

1.) Innenhaftung der Geschäftsleitung wegen Organisations- und Überwachungsverschuldens

Für Vorstandsmitglieder einer AG ist § 93 Abs. 1 und 2 AktG der zentrale Anknüpfungspunkt. Danach ist die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden; bei schuldhafter Pflichtverletzung besteht eine Schadensersatzpflicht gegenüber der Gesellschaft. Für Geschäftsführer einer GmbH folgt ein entsprechender Maßstab aus § 43 Abs. 1 und 2 GmbHG.

IAA-bezogen kann ein Haftungsrisiko insbesondere entstehen, wenn die Geschäftsleitung trotz erkennbarer Betroffenheit keine angemessenen Verfahren zur Prüfung von Unionsursprung, Low-Carbon-Anforderungen, FDI-Notifikationen oder laufenden Investitionsbedingungen implementiert. Der IAA-E verlangt beispielsweise regelmäßiges Reporting über die Einhaltung genehmigter FDI-Bedingungen und sieht Sanktionen bei Verstößen gegen Notifikations-, Genehmigungs- und Monitoringpflichten vor.

Ein ersatzfähiger Gesellschaftsschaden kann etwa aus IAA-Sanktionen, Rückforderungen öffentlicher Mittel, Ausschluss von Vergabeverfahren, Transaktionsverzögerungen oder zusätzlichen Verfahrenskosten resultieren. Ob und in welchem Umfang eine konkrete Geldbuße im Innenverhältnis regressfähig ist, ist allerdings gesondert nach dem einschlägigen Haftungsrecht zu prüfen.

2.) Persönliche Verantwortlichkeit wegen unzureichender Compliance-Organisation – § 130 OWiG

Für die Compliance-Organisation ist § 130 Abs. 1 OWiG besonders relevant. Die Vorschrift sanktioniert das vorsätzliche oder fahrlässige Unterlassen erforderlicher Aufsichtsmaßnahmen, wenn dadurch betriebsbezogene, straf- oder bußgeldbewehrte Pflichtverletzungen ermöglicht oder wesentlich erleichtert werden. Zu den Aufsichtsmaßnahmen gehören ausdrücklich auch Auswahl und Überwachung von Aufsichtspersonen.

Eine Anwendung auf IAA-E Sachverhalte setzt allerdings voraus, dass die zugrunde liegende Pflichtverletzung nach dem künftig geltenden Rechtsrahmen eine straf- oder bußgeldbewehrte betriebsbezogene Pflicht darstellt. § 130 OWiG wird also nicht allein durch irgendeinen Verstoß gegen den IAA-E ausgelöst.

Für Geschäftsleitung und Compliance folgt daraus dennoch ein erheblicher Organisationsbedarf: Zuständigkeiten, Eskalationswege, Kontrollhandlungen und Freigabeprozesse müssen so ausgestaltet sein, dass sanktionsbewehrte Verstöße gegen regulatorische Pflichten möglichst verhindert werden.

3.) Zurechnung zu Organen und leitenden Compliance-Verantwortlichen – § 9 OWiG

§ 9 OWiG ermöglicht unter bestimmten Voraussetzungen die Zurechnung besonderer persönlicher Merkmale des Unternehmensinhabers auf Organe, Vertreter und ausdrücklich mit eigenverantwortlichen Aufgaben betraute Personen. Das kann neben Vorständen und Geschäftsführern grundsätzlich auch leitende Compliance-Verantwortliche erfassen, wenn ihnen entsprechende Unternehmerpflichten ausdrücklich und eigenverantwortlich übertragen worden sind.

Für Compliance Officer ist deshalb entscheidend: Die bloße Tätigkeit in der Compliance-Funktion begründet nicht automatisch persönliche Haftung. Maßgeblich sind insbesondere die konkrete Aufgabenübertragung, der tatsächliche Verantwortungsbereich, eigene Entscheidungsbefugnisse und die jeweilige Pflichtverletzung. Eine lediglich beratende, koordinierende oder kontrollierende Compliance-Funktion begründet für sich genommen keine Verantwortlichkeit nach § 9 OWiG.

4.) Unternehmensgeldbuße – § 30 OWiG

Begeht ein Organ, Prokurist oder eine sonstige Leitungsperson eine Straftat oder Ordnungswidrigkeit, durch die Unternehmenspflichten verletzt werden oder das Unternehmen bereichert wird bzw. werden soll, kann nach § 30 OWiG zusätzlich eine Geldbuße gegen die juristische Person oder Personenvereinigung verhängt werden. Die Vorschrift erfasst ausdrücklich auch Personen mit leitender Kontroll- oder Überwachungsfunktion.

Damit können sich individuelle Verantwortlichkeit und Unternehmenssanktion parallel entwickeln. Für die Compliance-Risikoanalyse ist dies besonders relevant.

5.) Sanktionsrisiken nach dem IAA-E im FDI-Verfahren – Art. 22 und 23 IAA-E

Der deutlichste eigenständige Sanktionsmechanismus des IAA-E findet sich im Investitionskapitel. Nach der gegenwärtigen Entwurfsfassung sollen Sanktionen insbesondere bei Verstößen gegen vorgesehene Notifikationspflichten, Genehmigungsbedingungen sowie Monitoring- und Reportinganforderungen möglich sein.

Der Kommissionsentwurf enthält hierfür zum Teil konkrete Sanktionsmaßstäbe. Für bestimmte Notifikationsverstöße sieht die gegenwärtige Fassung beispielsweise eine Sanktion vor, die an den durchschnittlichen täglichen Gesamtumsatz des ausländischen Investors beziehungsweise bei natürlichen Personen an den Investitionswert anknüpft. Auch für falsche oder irreführende Informationen beziehungsweise die Nichtbereitstellung verlangter Informationen sieht der Entwurf besondere Sanktionsbefugnisse vor.

Die konkrete Sanktionshöhe, der jeweilige Adressat, die Zuständigkeit und die verfahrensrechtlichen Voraussetzungen sind vor einer praktischen Anwendung anhand der endgültig verabschiedeten Fassung zu prüfen.

Für C-Level und Compliance stellt insbesondere die Freigabe regulatorisch relevanter Erklärungen damit bereits heute einen wesentlichen Governance- und Vorbereitungspunkt dar.

6.) Strafrechtliche Risiken bei unrichtigen Angaben – §§ 263, 264 StGB

Unrichtige Angaben im Zusammenhang mit IAA-E-relevanten Verfahren führen nicht automatisch zu strafrechtlicher Verantwortlichkeit. In besonderen Fallkonstellationen können jedoch allgemeine Straftatbestände hinzutreten. Dies gilt insbesondere bei bewusst unrichtigen Angaben zur Erlangung eines Vermögensvorteils oder im Zusammenhang mit öffentlichen Fördermitteln.

Ob insbesondere § 263 StGB oder § 264 StGB einschlägig ist, hängt von den zusätzlichen Voraussetzungen des jeweiligen Straftatbestands und den Umständen des Einzelfalls ab. Ein bloßer Fehler in einer Herkunfts-, CO?- oder sonstigen IAA-E-bezogenen Dokumentation begründet daher für sich genommen noch keine Strafbarkeit.

7.) Haftungsrisiken aufgrund fehlerhafter Eigenerklärungen im Vergabeverfahren

Nach dem IAA-Entwurf soll die Einhaltung bestimmter Beschaffungsanforderungen grundsätzlich durch Eigenerklärung oder gleichwertigen Nachweis nachgewiesen werden. Die Ursprungsbestimmung erfolgt nach Art. 7 IAA-E anhand der Verordnung (EU) Nr. 952/2013.

Damit erhöht sich insbesondere das Risiko, dass fehlerhafte Lieferantendaten unmittelbar in eine rechtswidrige Unternehmenserklärung einfließen. Aus Governance-Sicht sollten Eigenerklärungen deshalb nicht als bloße Formalität behandelt werden, sondern einem dokumentierten Prüf- und Freigabeverfahren unterliegen. Der Detailbericht empfiehlt entsprechend den Aufbau belastbarer Ursprungs- und CO?-Nachweisketten.

Für die Praxis lautet der zentrale Befund: Das maßgebliche Risiko besteht weniger in einer eigenständigen „Managerhaftung nach dem IAA-E “ als in einer mehrstufigen Haftungskette: Verstoß gegen eine materielle IAA-E -Pflicht ? Sanktion oder wirtschaftlicher Schaden auf Unternehmensebene ? Prüfung eines Organisations- oder Überwachungsverschuldens ? mögliche persönliche Innenhaftung nach § 93 AktG bzw. § 43 GmbHG; bei sanktionsbewehrten Pflichten können zusätzlich §§ 9, 30, 130 OWiG und bei bewusst unrichtigen Angaben gegebenenfalls strafrechtliche Tatbestände hinzutreten.

Da der IAA derzeit noch ein Gesetzgebungsvorschlag ist, sollte diese Haftungsmatrix als prospektive rechtliche Risikoeinordnung formuliert werden. Welche nationalen Sanktions- und Zurechnungsnormen letztlich greifen, hängt auch von der verabschiedeten Endfassung und ihrer Verzahnung mit nationalem Recht ab.

? Haftungsfalle Industrial Accelerator Act (IAA): Schützen Sie Ihr Privatvermögen

Organhaftung, § 130 OWiG und Beweislastumkehr nach § 93 AktG:

Die neuen EU-Vorgaben zu CO?-Kriterien, Ursprungsnachweisen und FDI-Screenings begründen für Vorstände und Geschäftsführer ein massives, persönliches Haftungsrisiko. Wer jetzt keine gerichtsfeste Compliance- und Delegationsstruktur aufbaut, riskiert im Schadensfall das eigene Privatvermögen.

Wie Sie regulatorische Risiken rechtzeitig erkennen, interne Kontrollsysteme (IKS) IAA-konform aufsetzen und den geforderten Entlastungsbeweis erbringen, lernen Sie in unseren zertifizierten Executive-Seminaren.

? Jetzt absichern: Zu den Praxis-Seminaren für Aufsichtsrat, Vorstand & Geschäftsführung

(Inkl. Leitfäden zur Business Judgement Rule & Checklisten zum Enthaftungs-Dossier)

V. Maßnahmen zur Haftungsprävention und Enthaftung von Geschäftsleitung und Compliance

Aus haftungsrechtlicher Sicht sollte die Umsetzung des Industrial Accelerator Act nicht allein als regulatorisches Implementierungsprojekt, sondern zugleich als Enthaftungs- und Beweisvorsorgethema verstanden werden. Entscheidend ist, im späteren Haftungsfall nachweisen zu können, dass die Geschäftsleitung die regulatorischen Risiken erkannt, angemessene Organisationsmaßnahmen getroffen, Verantwortlichkeiten wirksam delegiert und deren Einhaltung überwacht hat. Der IAA-Entwurf schafft insbesondere neue Anforderungen an Herkunfts- und CO?-Nachweise, öffentliche Förderung und strategische Auslandsinvestitionen.

1. Dokumentierte Legal- und Compliance-Risikoanalyse als Grundlage der Enthaftung.
Die Geschäftsleitung sollte eine schriftlich dokumentierte Betroffenheits- und Risikoanalyse veranlassen. Diese sollte insbesondere Anwendungsbereich, betroffene Geschäftsprozesse, Produkte, Investitionen, Lieferketten, öffentliche Ausschreibungen und Förderprogramme erfassen. Haftungsrechtlich dient dies dem Nachweis, dass regulatorische Risiken nicht pflichtwidrig ignoriert wurden. Für Vorstandsmitglieder ist insbesondere der Sorgfaltsmaßstab des § 93 Abs. 1 Satz 1 AktG, für GmbH-Geschäftsführer § 43 Abs. 1 GmbHG maßgeblich.

2. Vorbereitung des Entlastungsbeweises nach § 93 Abs. 2 Satz 2 AktG.
Für Vorstandsmitglieder ist besonders relevant, dass nach § 93 Abs. 2 Satz 2 AktG im Streitfall das Vorstandsmitglied darzulegen und zu beweisen hat, dass es die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat. Eine belastbare Entscheidungs- und Compliance-Dokumentation ist deshalb kein bloßes Organisationsinstrument, sondern Bestandteil des später möglichen Entlastungsbeweises. Betroffenheitsanalysen, Vorstandsvorlagen, Rechtsgutachten, Compliance-Berichte, Eskalationen und dokumentierte Kontrollentscheidungen sollten revisionssicher aufbewahrt werden.

3. Vertretenmüssen und Verschulden durch angemessene Compliance-Organisation minimieren.
Eine Haftung setzt regelmäßig eine Pflichtverletzung sowie – abhängig von der jeweiligen Anspruchsgrundlage – Vertretenmüssen bzw. Verschulden voraus. Geschäftsleitung und Compliance sollten deshalb dokumentieren, welche Maßnahmen nach Art, Größe und Risikoprofil des Unternehmens objektiv erforderlich und zumutbar waren. Für den IAA-E betrifft dies insbesondere Kontrollen zu Unionsursprung, CO?-Daten, Eigenerklärungen, Förderfähigkeit und FDI-Transaktionen. Die vorgesehenen Beschaffungsregelungen enthalten konkrete Quoten sowie Ausnahmetatbestände und verlangen entsprechende Nachweisfähigkeit.

4. Klare Delegation – aber keine vollständige Enthaftung durch Delegation.
Operative IAA-E -Aufgaben können auf Legal, Compliance, Einkauf, Customs, Sustainability oder M&A übertragen werden. Eine wirksame Delegation setzt jedoch eine hinreichend klare Aufgabenbeschreibung, fachlich geeignete Verantwortliche, ausreichende Ressourcen und Informationsrechte voraus. Die Geschäftsleitung kann sich durch Delegation regelmäßig nicht vollständig ihrer Organisations- und Überwachungsverantwortung entziehen. Für eine mögliche Enthaftung ist daher zu dokumentieren, wer welche Pflicht übernommen hat, mit welchen Kompetenzen und nach welchem Kontrollrhythmus.

5. Kontroll- und Überwachungssystem als Gegenbeweis zu Organisationsverschulden.
Zur Reduzierung des Risikos eines Organisations- oder Überwachungsverschuldens sollten risikoadäquate Kontrollen implementiert werden. Hierzu gehören insbesondere Vier-Augen-Freigaben, Stichproben, regelmäßige Compliance-Reports, Eskalationsschwellen und anlassbezogene Sonderprüfungen. Dies ist auch vor dem Hintergrund von § 130 OWiG relevant, soweit künftig sanktionsbewehrte betriebsbezogene Pflichten betroffen sind. Eine dokumentierte angemessene Aufsichtsorganisation kann wesentlich dafür sein, den Vorwurf fahrlässig unterlassener Aufsichtsmaßnahmen abzuwehren.

6. Evidenzmanagement für Herkunfts- und CO?-Erklärungen.
Besondere Bedeutung kommt der Nachweisführung zu. Lieferantenangaben sollten nicht lediglich übernommen, sondern entsprechend ihrer Risikorelevanz plausibilisiert und dokumentiert werden. Für relevante Produktgruppen sieht der Entwurf kombinierte Low-Carbon- und Herkunftsvorgaben vor. Lieferantenverträge sollten daher Informations-, Aktualisierungs-, Audit-, Gewährleistungs- und gegebenenfalls Freistellungsklauseln enthalten. Ziel ist es, bei einer späteren Falschangabe nachweisen zu können, dass die verantwortlichen Stellen nicht vorsätzlich oder fahrlässig gehandelt haben.

7. Dokumentierter Freigabeprozess für behördliche Erklärungen.
Regulatorisch relevante Eigenerklärungen, FDI-Notifikationen und Förderanträge sollten einer formalisierten Legal-/Compliance-Freigabe unterliegen. Dies dient sowohl der Fehlervermeidung als auch der späteren Darlegung fehlenden Verschuldens. Besonders relevant ist dies, weil der IAA-Entwurf bei ausländischen Investitionen besondere Melde-, Genehmigungs- und Monitoringstrukturen vorsieht.

8. Plausibilisierung statt blindem Vertrauen auf Fachabteilungen oder externe Berater.
Die Einschaltung interner Experten oder externer Rechtsberater kann haftungsmindernd wirken, führt aber nicht automatisch zur Enthaftung. Bei rechtlich oder wirtschaftlich wesentlichen Entscheidungen sollte dokumentiert werden, dass die Beratung von fachlich geeigneten Personen erfolgte, der Sachverhalt vollständig offengelegt wurde und die Empfehlung aus Sicht der Geschäftsleitung plausibel war. Für unternehmerische Entscheidungen kann dies zugleich für die Voraussetzungen der Business Judgment Rule nach § 93 Abs. 1 Satz 2 AktG bedeutsam sein. Die Business Judgment Rule schützt allerdings grundsätzlich unternehmerische Ermessensentscheidungen, nicht die bewusste Nichtbeachtung eindeutig bindender Rechtspflichten.

9. Eskalations- und Remediation-Prozess bei Compliance-Abweichungen.
Erkannte Verstöße oder Zweifel an Herkunfts-, CO?-, Förder- oder Investitionsangaben müssen unverzüglich bewertet und eskaliert werden. Ein dokumentierter Remediation-Prozess kann für die Verschuldensbewertung entscheidend sein. Unterlassene Reaktion trotz Kenntnis oder konkreter Verdachtsmomente erhöht dagegen das Risiko eines Vorsatz- oder Fahrlässigkeitsvorwurfs.

10. Regelmäßiges Reporting an die Geschäftsleitung.
Die Geschäftsleitung sollte sich in risikoadäquaten Abständen über IAA-E-Betroffenheit und Vorbereitungsmaßnahmen berichten lassen. Für wesentliche Risiken empfiehlt sich eine dokumentierte Befassung des zuständigen Geschäftsleitungsorgans. Damit kann später nachgewiesen werden, dass die Geschäftsleitung ihrer Informations- und Überwachungspflicht tatsächlich nachgekommen ist und nicht lediglich formal ein Compliance-System eingerichtet hat.

Haftungsrechtliche Leitlinie

Für die juristische Beratung und Compliance-Praxis sollte die Zielsetzung daher nicht als absolute „Enthaftung“ verstanden werden. Eine solche lässt sich organisatorisch nicht garantieren. Entscheidend ist vielmehr, Voraussetzungen für den Entlastungsbeweis zu schaffen und den Vorwurf einer schuldhaften Pflichtverletzung bzw. des Vertretenmüssens zu entkräften.

Die maßgebliche Haftungslogik lautet:

regulatorische Pflicht ? Organisationspflicht der Geschäftsleitung ? angemessene Delegation und Kontrolle ? dokumentierte Entscheidungsgrundlage ? Nachweis ordnungsgemäßen Handelns ? Reduzierung des Verschuldens- und Haftungsrisikos.

Für Vorstände ist dabei insbesondere die Beweislastregel des § 93 Abs. 2 Satz 2 AktG von erheblicher praktischer Bedeutung. Für Geschäftsführer einer GmbH ist die Haftung nach § 43 GmbHG gesondert anhand der dortigen Pflichten- und Verschuldensmaßstäbe sowie der hierzu entwickelten Rechtsprechung zu beurteilen. Für Compliance Officer gilt: Eine persönliche Haftung folgt nicht allein aus der Funktionsbezeichnung; entscheidend sind konkrete Aufgabenübertragung, eigene Pflichtverletzung, Verantwortungsbereich, Kausalität und Verschulden.

S+P Editorial Team

VI. Quellenverzeichnis

1.) Europäisches Recht / Gesetzgebungsvorschläge

Europäische Kommission: Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Schaffung eines Rahmens von Maßnahmen zur Beschleunigung industrieller Kapazitäten und der Dekarbonisierung in strategischen Sektoren sowie zur Änderung der Verordnungen (EU) 2018/1724, (EU) 2024/1735 und (EU) 2024/3110 (Industrial Accelerator Act), COM(2026) 100 final vom 04.03.2026, 2026/0068(COD):
EUR-Lex – COM(2026) 100 final, abgerufen am 02.09.2026.

Europäische Kommission: Anhänge 1 bis 4 zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Schaffung eines Rahmens von Maßnahmen zur Beschleunigung industrieller Kapazitäten und der Dekarbonisierung in strategischen Sektoren sowie zur Änderung der Verordnungen (EU) 2018/1724, (EU) 2024/1735 und (EU) 2024/3110, COM(2026) 100 final vom 04.03.2026:
Europäische Kommission – COM(2026) 100 und Anhänge, abgerufen am 02.09.2026.

2.) Berichte und Folgenabschätzungen der Europäischen Kommission

Europäische Kommission: Commission Staff Working Document – Subsidiarity Grid, SWD(2026) 70 final vom 04.03.2026, Begleitdokument zu COM(2026) 100 final:
EUR-Lex – SWD(2026) 70 final, abgerufen am 02.09.2026.

Europäische Kommission: Commission Staff Working Document – Impact Assessment Report, SWD(2026) 71 final vom 04.03.2026, Begleitdokument zu COM(2026) 100 final:
EUR-Lex – SWD(2026) 71 final, abgerufen am 02.09.2026.

Europäische Kommission: Commission Staff Working Document – Executive Summary of the Impact Assessment, SWD(2026) 72 final vom 04.03.2026, Begleitdokument zu COM(2026) 100 final: EUR-Lex – SWD(2026) 72 final, abgerufen am 02.09.2026.

3.) Informations- und Sekundärmaterial der Europäischen Union

Europäische Kommission: The Industrial Accelerator Act – Growing EU Industry, Securing Jobs for the Future, Factsheet, Publications Office of the European Union, Luxemburg 2026, ISBN 978-92-68-37747-5, DOI 10.2873/9404284:
Europäische Kommission – Industrial Accelerator Act Factsheet (PDF), abgerufen am 02.09.2026.

Europäische Kommission, Generaldirektion Binnenmarkt, Industrie, Unternehmertum und KMU: Industrial Accelerator Act – Dokumentationsseite mit Verordnungsvorschlag, Anhängen, Folgenabschätzung und Factsheet, veröffentlicht am 04.03.2026:
Europäische Kommission – Industrial Accelerator Act, abgerufen am 02.09.2026.

I. Vorneweg um was geht es im Wesentlichen

Der Cybersecurity Act 2 befindet sich im EU-Gesetzgebungsverfahren und soll den europäischen Cybersicherheitsrahmen grundlegend weiterentwickeln. Im Fokus stehen mehr Harmonisierung, stärkere Anforderungen an IKT-Lieferketten und Hochrisikoanbieter sowie eine engere Verzahnung mit NIS2. Damit gewinnt neben IT-Sicherheit insbesondere regulatorische Governance, Nachweisführung und Third-Party-Risk-Management an Bedeutung. Unternehmen sollten die absehbaren Auswirkungen daher frühzeitig gemeinsam durch Geschäftsleitung, Compliance, Legal, Einkauf und IT bewerten.

1. IKT-Lieferketten werden EU-weit reguliert
Der geplante Cybersecurity Act 2 (COM(2026) 11) soll die VO (EU) 2019/881 ersetzen und einen horizontalen Rahmen für IKT-Lieferketten und Hochrisikoanbieter schaffen. Herkunft, Eigentums- und Kontrollstrukturen, Drittstaatenbezug, Kritikalität und Austauschfähigkeit werden damit zu relevanten Compliance-Kriterien.

2. Cybersecurity wird stärker zur Governance- und Compliance-Frage.
Der Cybersecurity Act 2 soll enger mit NIS2 (EU) 2022/2555 verzahnt werden. Neben den bereits geltenden Anforderungen an Risikomanagement (Art. 21), Managementverantwortung (Art. 20) und Incident Reporting (Art. 23) gewinnen standardisierte Nachweise, Zertifizierung und dokumentierte Managementüberwachung an Bedeutung.

3. Hochrisikoanbieter können Nutzungs- und Austauschpflichten auslösen.
Der Entwurf (Art. 103–104 CSA-2-E) sieht mögliche Beschränkungen und Ausphasung bestimmter Hochrisikokomponenten vor. Damit werden Lieferantenabhängigkeiten, Drittstaatenbezug und die Austauschfähigkeit kritischer IKT zu konkreten Compliance- und Governance-Sachverhalten.

II. Timeline

Für den geplanten Cybersecurity Act 2 bestehen derzeit noch keine verbindlichen allgemeinen Compliance-Fristen, da das Gesetzgebungsverfahren noch nicht abgeschlossen ist. Der Entwurf sieht für bestimmte Vorgaben zur Ausphasung bzw. zum Austausch von Hochrisiko-Komponenten Übergangsfristen von bis zu 36 Monaten vor. Parallel wird die NIS2-Richtlinie geändert; konkrete zusätzliche Fristen ergeben sich erst aus den finalen Rechtsakten. Bereits bestehende Pflichten nach dem anwendbaren NIS2-Umsetzungsrecht, in Deutschland insbesondere dem BSIG, bleiben hiervon unberührt.

III. Pflichten für Compliance

Kernaussage vorneweg

CSA 2 begründet derzeit noch keinen eigenständigen neuen Pflichtenkatalog für die Compliance. Vielmehr treffen bestehende Pflichten aus NIS2/BSIG – insbesondere Risikomanagement, Managementüberwachung, Dokumentation und Incident Reporting – auf einen geplanten neuen EU-Rahmen für IKT-Lieferketten und Hochrisikoanbieter. Der CSA-2-Entwurf erweitert damit insbesondere den Kreis der künftig zu bewertenden Lieferanten-, Herkunfts-, Kontroll-, Drittstaaten- und Austauschrisiken.

1.) Bereits heute geltende Pflichten nach NIS2 / BSIG

Für Unternehmen, die in den Anwendungsbereich des deutschen BSIG fallen, bestehen bereits konkrete Pflichten. Besonders relevant für Compliance sind:

• Cyber-Risikomanagement: angemessene technische, operative und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken; § 30 BSIG. GGesetze im Internet
• Dokumentation: Die Umsetzung der erforderlichen Risikomanagementmaßnahmen ist entsprechend den gesetzlichen Vorgaben nachweisbar zu machen; Verstöße gegen die Dokumentationspflicht können bußgeldbewehrt sein. § 30, § 65 BSIG. Gesetze im Internet
• Geschäftsleitungsverantwortung: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Zudem besteht eine gesetzliche Schulungspflicht. § 38 BSIG. GGesetze im Internet
• Incident Reporting: Erhebliche Sicherheitsvorfälle sind innerhalb gesetzlich vorgegebener Fristen zu melden – insbesondere 24 Stunden für die frühe Erstmeldung und 72 Stunden für die weitere Meldung. § 32 BSIG. GGesetze im Internet
• Aufsicht und Nachweis: Je nach Einordnung bestehen Registrierungs-, Unterrichtung-, Nachweis- und Mitwirkungspflichten gegenüber dem BSI. §§ 33 ff. BSIG. Gesetze im Internet

Das ist für deine Darstellung wichtig: Der Handlungsbedarf für Compliance besteht nicht erst wegen des CSA 2. Ein Teil der Governance-, Risiko-, Dokumentations- und Managementpflichten besteht bereits heute.

2.) Geplante zusätzliche Anforderungen durch CSA 2

Beim Cybersecurity Act 2 handelt es sich dagegen weiterhin um einen Gesetzgebungsvorschlag. Die folgenden Punkte sollten deshalb ausdrücklich als „geplant“, „vorgesehen“ oder „nach dem Entwurf“ bezeichnet werden:

• IKT-Lieferkettenrisiken: Der Entwurf sieht einen umfassenderen EU-Rahmen für die Bewertung und Steuerung von Risiken in IKT-Lieferketten vor.
• Hochrisikoanbieter: Bestimmte Anbieter können nach dem vorgesehenen Regelungsmodell als High-Risk Supplier eingestuft werden.
• Lieferantentransparenz: Relevante Informationen zu Lieferanten, Eigentums-/Kontrollstrukturen und Drittstaatenbezügen können regulatorisch relevant werden.
• Kritische Komponenten: Für bestimmte kritische IKT-Assets sind nach dem Entwurf Nutzungsbeschränkungen bzw. Ausphasungs- oder Austauschvorgaben vorgesehen.
• Zertifizierung: Zertifizierungen sollen stärker für regulatorische Nachweise und Konformitätsvermutungen nutzbar gemacht werden.
• Behördliche Aufsicht: Die geplanten Regelungen würden die Möglichkeiten der EU bzw. zuständigen Behörden zur Steuerung bestimmter IKT-Lieferkettenrisiken erweitern.

IV. Potenzielle Pain Points aus dem Cybersecurity Act 2

Potenzielle Pain Points aus CSA 2: Fehlende Transparenz über kritische IKT-Lieferketten, unklare Eigentums- und Kontrollstrukturen, Drittstaaten- und Remote-Processing-Abhängigkeiten, Single-Source-Risiken sowie fehlende technische und vertragliche Austauschfähigkeit könnten künftig die Einhaltung von Risikominderungsmaßnahmen erschweren. Hinzu kommt der steigende Bedarf, Lieferanten-, Risiko- und Managemententscheidungen gegenüber Behörden nachvollziehbar und belastbar nachweisen zu können.

1.) Fehlende Transparenz über kritische IKT-Lieferketten

Unternehmen könnten Schwierigkeiten haben, kritische IKT-Assets eindeutig ihren Lieferanten, Komponenten und Abhängigkeiten zuzuordnen. Der Entwurf knüpft die Identifizierung „wichtiger IKT-Assets“ ausdrücklich u. a. an deren Kritikalität und bestehende Abhängigkeiten von einer begrenzten Zahl von Anbietern. 

Pain Point: Fehlendes oder verteiltes Supplier-/Asset-Mapping erschwert die spätere regulatorische Bewertung.

2.) Unzureichende Kenntnis von Eigentum und Kontrolle

Bei der Einstufung von Hochrisikoanbietern soll insbesondere geprüft werden, wo ein Anbieter niedergelassen ist und wer ihn besitzt oder kontrolliert. Der Entwurf erfasst dabei auch mittelbare Kontrollverhältnisse. 

Pain Point: Bestehende Vendor-Due-Diligence-Prozesse erfassen möglicherweise nicht die für eine regulatorische High-Risk-Bewertung erforderliche Eigentums- und Kontrollstruktur.

3.) Drittstaatenbezug und Remote Processing

Als mögliche Risikominderungsmaßnahmen sieht Art. 103 Abs. 2 ausdrücklich Beschränkungen von Datentransfers in Drittländer und Remote Data Processing aus Drittländern vor. 

Pain Point: Bei Cloud-, SaaS-, Managed-Service- und Support-Modellen kann unklar sein, wo Daten verarbeitet werden, von wo aus auf Systeme zugegriffen wird und welche Unterauftragnehmer beteiligt sind.

4.) Abhängigkeit von einzelnen Anbietern

Der Entwurf berücksichtigt ausdrücklich, ob eine Abhängigkeit von einer begrenzten Zahl von Anbietern besteht. Als mögliche Risikominderungsmaßnahme ist sogar eine Diversifizierung der Versorgung mit IKT-Komponenten vorgesehen. 

Pain Point: Single-Source- und Lock-in-Situationen können regulatorisch relevant werden, obwohl ein Anbieter technisch bislang als sicher bewertet wurde.

5. Fehlende technische und wirtschaftliche Austauschfähigkeit

Bei möglichen Ausphasungs- oder Austauschmaßnahmen soll die Kommission unter anderem die Verfügbarkeit alternativer Anbieter und die wirtschaftlichen Auswirkungen berücksichtigen. Für mobile elektronische Kommunikationsnetze sieht der Entwurf eine Übergangsfrist von höchstens 36 Monaten vor. 

Pain Point: Unternehmen könnten vor der Frage stehen, ob eine betroffene Komponente innerhalb der vorgesehenen Übergangsfrist technisch, vertraglich und wirtschaftlich ersetzt werden kann.

6. Fehlende vertragliche Steuerungsmöglichkeiten

Der Entwurf nennt als mögliche Risikominderungsmaßnahme ausdrücklich Beschränkungen der Vertragsbeziehungen mit Lieferanten. 

Pain Point: Bestehende Verträge enthalten möglicherweise keine ausreichenden Rechte für Informationsbeschaffung, Audits, Subunternehmerkontrolle, Transition oder einen regulatorisch erforderlichen Anbieterwechsel.

7. Unzureichende Kontrolle von Outsourcing und Subunternehmern

Art. 103 nennt als mögliche Maßnahme auch Einschränkungen der operativen Kontrolle einschließlich des Outsourcings organisatorischer Funktionen an Managed-Service-Provider. 

Pain Point: Mehrstufige Lieferketten können dazu führen, dass das Unternehmen selbst nicht vollständig weiß, welche Drittparteien tatsächlich auf kritische IKT-Assets einwirken.

8. Nachweis- und Informationsfähigkeit gegenüber Behörden

Der Entwurf sieht als mögliche Risikominderungsmaßnahme ausdrücklich Transparenzanforderungen gegenüber der zuständigen Behörde hinsichtlich der Lieferanten kritischer IKT-Assets vor. 

Pain Point: Informationen über Lieferanten, Komponenten, Abhängigkeiten und Kontrollstrukturen müssen gegebenenfalls kurzfristig konsistent und belastbar nachweisbar sein.

9. Schnittstellenproblem zwischen Legal, Compliance, Einkauf und IT

Die möglichen Maßnahmen betreffen gleichzeitig Lieferantenverträge, technische Architektur, Datenverarbeitung, Outsourcing, Beschaffung und Risikomanagement.

Pain Point: Ein ausschließlich technisch oder ausschließlich rechtlich organisierter Prozess reicht möglicherweise nicht aus. Die regulatorische Bewertung muss mehrere Funktionen zusammenführen.

10. Übergang von Cyber-Risk zu Unternehmens- und Haftungsrisiko

Der Entwurf verpflichtet nicht heute zur Durchführung entsprechender Maßnahmen. Sollte er jedoch in vergleichbarer Form verabschiedet werden, können Entscheidungen über Lieferanten, Abhängigkeiten, Migrationen und Risikominderungsmaßnahmen stärker zu dokumentations- und governance-relevanten Managemententscheidungen werden.

Pain Point: Es muss nachvollziehbar sein, welches Risiko bekannt war, wie es bewertet wurde, welche Alternativen bestanden und warum eine bestimmte Entscheidung getroffen wurde.

V. Maßnahmen – bereits heute sinnvoll und im Lichte des CSA 2 strategisch sinnvoll

Da der Cybersecurity Act 2 noch nicht verabschiedet ist, stellen die nachfolgenden Maßnahmen keine vorgezogene Umsetzung künftiger gesetzlicher Pflichten dar. Sie dienen vielmehr dazu, bestehende Anforderungen – insbesondere aus dem BSIG – abzusichern und die Organisation auf die im Entwurf absehbaren regulatorischen Entwicklungen vorzubereiten. Im Fokus stehen dabei insbesondere die Transparenz über kritische IKT-Abhängigkeiten, die risikobasierte Steuerung von Lieferanten sowie die technische und vertragliche Handlungsfähigkeit. So können bestehende Compliance-Lücken frühzeitig geschlossen und potenzielle Umsetzungsrisiken bei einer späteren Verabschiedung des CSA 2 reduziert werden.

Maßnahmen – heute erforderlich bzw. sinnvoll und mit Blick auf CSA 2

• Kritische IKT-Lieferanten und Assets erfassen Transparenz über kritische Lieferketten, Abhängigkeiten und Zuordnungen schaffen. Dies unterstützt bereits heute die Lieferkettensicherheitsanforderungen nach § 30 Abs. 2 Nr. 4 BSIG und entspricht zugleich der im CSA-2-Entwurf erkennbaren stärkeren Fokussierung auf IKT-Lieferketten.
• Lieferanten risikobasiert bewerten Kritikalität, Abhängigkeiten und Cyberrisiken systematisch bewerten und im Hinblick auf den CSA-2-Entwurf zusätzlich Herkunft sowie Eigentums- und Kontrollstrukturen berücksichtigen.
• Kritische Abhängigkeiten und Exit-Fähigkeit prüfen Für besonders kritische Anbieter Alternativen, Migrationsmöglichkeiten, Wechselzeiten und Abhängigkeiten analysieren. Dies ist keine heutige CSA-2-Pflicht, adressiert aber unmittelbar die im Entwurf vorgesehenen möglichen Austausch- und Ausphasungsszenarien.
• Verträge auf regulatorische Steuerungsfähigkeit prüfen Bei kritischen Lieferanten insbesondere Informations-, Audit-, Sicherheits-, Subunternehmer-, Incident- und Exit-/Transition-Rechte überprüfen. Damit wird zugleich die Fähigkeit verbessert, auf mögliche künftige regulatorische Anforderungen an Lieferantenbeziehungen zu reagieren.
• Governance und Nachweisführung stärken Verantwortlichkeiten von Geschäftsleitung, Compliance, Legal, Einkauf, Risk und IT klar festlegen und Risikoanalysen, Entscheidungen, Eskalationen und Maßnahmen nachvollziehbar dokumentieren. Dies ist bereits nach dem BSIG relevant und gewinnt durch die geplante stärkere Verzahnung von NIS2 und CSA 2 zusätzlich an Bedeutung.
• Management gezielt schulen Geschäftsleitung und relevante Funktionen zu Cyber-Risiken, IKT-Lieferketten, bestehenden gesetzlichen Pflichten und den absehbaren Anforderungen des CSA 2 schulen. Für die Geschäftsleitung besteht bereits heute eine entsprechende Schulungspflicht nach § 38 Abs. 3 BSIG.

S+P Fachredaktion

VI. Quellenverzeichnis

Europäisches Recht / Gesetzgebungsvorschläge

Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Agentur der Europäischen Union für Cybersicherheit (ENISA), den europäischen Rahmen für die Cybersicherheitszertifizierung und die Sicherheit der IKT-Lieferketten sowie zur Aufhebung der Verordnung (EU) 2019/881 (Cybersecurity Act 2), COM(2026) 11 final vom 20.01.2026, 2026/0011(COD):EUR-Lex – COM(2026) 11, abgerufen am 31.08.2026.

Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zur Änderung der Richtlinie (EU) 2022/2555 (NIS2) im Hinblick auf Vereinfachungsmaßnahmen und die Angleichung an den Cybersecurity Act 2, COM(2026) 13 final vom 20.01.2026, 2026/0012(COD):EUR-Lex – COM(2026) 13, abgerufen am 31.08.2026.

Nationales Recht Deutschland

Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz – BSIG) in der jeweils geltenden Fassung, insbesondere §§ 30 und 38:Gesetze im Internet – BSIG, abgerufen am 31.08.2026.

Berichte und Sekundärquellen der EU

European Parliament / European Parliamentary Research Service (EPRS), Autoren: Polona Car und Stefano De Luca: Briefing "EU Legislation in Progress: Cybersecurity Act Revision (CSA2)", PE 789.345, Juni 2026[cite: 1]:CSA 2 EPRS_BRI(2026)789345_EN.pdf, abgerufen am 31.08.2026.