Newsletter #3/2025
Übersicht der Themen
Regulatory Reporting: EBA‐Konsultationen zu Ausfalldefinition und Kreditkonversionsfaktoren, Update 2026 Benchmarking Exercise, Standards für Umrechungsfaktoren außerbilanzieller Posten
Abwicklungsplanung: Finale Leitlinien des SRB zum Resolvability Self Assessment und Resolvability Testing, Konsultationspaket zu Separabilität und Transferierbarkeit
Regulatory Updates: Ergebnisse des EU‐weiten Stresstest 2025 und derenBedeutung für Banken in Deutschland
ESG: Konsultation zu ESG‐Risiken bei Stresstests, Pillar‐3‐ESG‐Offenlegung, "Noaction letter" und Aktualisierung ESG‐Dashboard, "Climate Factor" der EZB für klimabedingte Transaktionsrisiken
Accounting: CSRD‐Umsetzungsgesetz, Agendaentscheidungen zu IFRS 9, Änderungen zu IFRS 19
Kennzahlen: Robuste CET1‐Quoten und RoE, leicht steigende RWA bei leicht sinkender Zinsmarge und steigenden Bilanzsummen, NPL‐Portfolien verringern sich mit Ausnahme von CRE
Weitere Neuigkeiten
Cloud‐Outsourcing der Datenverarbeitung: Kostenvorteile vs aufsichtsrechtliche Hürden
Regulatory Reporting
EBA‐Konsultation zur Anwendung der Ausfalldefinition gemäß CRR
Die EBA hat am 2. Juli 2025 eine öffentliche Konsultation zu einem Entwurf geänderter Leitlinien zur Anwendung der Default‐Definition im Rahmen der Eigenkapitalverordnung (CRR) gestartet. Ziel der Überarbeitung ist es, mehr Klarheit und Konsistenz bei der Bestimmung von Ausfällen zu schaffen und gleichzeitig mehr Flexibilität zu ermöglichen. Damit soll eine robuste und harmonisierte Regulierung innerhalb der EU gewährleistet bleiben.
Ein wesentlicher Bestandteil des Entwurfs ist die Beibehaltung des bisherigen Schwellenwerts von 1 % Barwertverlust bei Restrukturierungen. Dieser Schwellenwert soll verhindern, dass Restrukturierungen automatisch als Ausfälle gewertet werden, und gleichzeitig regulatorische Arbitrage vermeiden. Zudem bleibt so eine einheitliche Grundlage für die Modellierung von Kreditrisiken erhalten.
EBA‐Konsulation zur Methodik für die Schätzung und Anwendung von Kreditkonversionsfaktoren gemäß CRR
Mit der öffentlichen Konsultation hat die EBA am 2. Juli 2025 Leitlinien entworfen, die festlegen sollen, mit welcher Methodik und unter welchen Bedingungen Institute Kreditkonversionsfaktoren (CCF) im Rahmen der CRR selbst schätzen und anwenden dürfen.
Die Leitlinien sind Teil des sogenannten IRB‐Reparaturprogramms ‐ eine Initiative der europäischen Bankenaufsicht (EZB/SSM zusammen mit der EBA), die auf eine grundlegende Überarbeitung und Harmonisierung der internen Ratingsysteme für Kreditrisiken abzielt. Ziel ist es, für die Institute klare und einheitliche Erwartungen hinsichtlich der Schätzung von CCF zu formulieren, um Kohärenz mit den bereits bestehenden Leitlinien zur Schätzung der Ausfallwahrscheinlichkeit und der Verlustquote bei Ausfall zu gewährleisten.
Datenerhebung für das Benchmarking 2026 ‐ EBA ändert technische Standards
Die EBA hat am 8. August 2025 ihren endgültigen Entwurf für technische Durchführungsstandards veröffentlicht, mit denen sie die Datensammlung für die Benchmarking‐Übung 2026 anpasst. Die bedeutendste Änderung betrifft den Bereich des Marktrisikos. Hier schlägt die EBA vor, die Datenerhebung auf die Informationen zum alternativen Standardansatz zu beschränken, insb. von jenen Instituten, die bereits eine Genehmigung für interne Modelle besitzen. Im Bereich des Kreditrisikos fallen die Änderungen eher moderat aus. Das bisher geplante Template für den alternativen internen Modellansatz wird nicht umgesetzt und die Einreichungsfristen für die Daten werden verschoben, um den teilnehmenden Instituten mehr Zeit für die Umstellung auf das Data Point Model 2.0 zu geben.
EBA veröffentlicht endgültige Standards für Umrechnungsfaktoren für außerbilanzielle Posten
Die EBA hat am 18. August 2025 ihre finalen Entwürfe für die Regulatory Technical Standards (RTS) vorgelegt, die festlegen, wie außerbilanzielle Posten unter dem Standardansatz für Kreditrisiken zu klassifizieren sind und welche Faktoren die Fähigkeit von Instituten einschränken können, bedingungslos kündbare Zusagen tatsächlich zu widerrufen.
Konkret definiert die EBA Zuweisungskriterien für außerbilanzielle Posten, die in Anhang I der CRR noch keinem Posten zugeordnet sind. Zudem werden vier Kategorien von Einschränkungsfaktoren für die Kündigung bedingungslos kündbarer Zusagen genannt: aus dem Risikomanagement, aus kommerziellen Erwägungen sowie aus Reputations‐ und Rechtsrisiken, die bei der Behandlung solcher Zusagen zu berücksichtigen sind.
Abwicklungsplanung
Finale Operational Guidance on Resolvability Self Assessment
Das SRB hat am 7. August die finale Operational Guidance on Resolvability Self Assessment veröffentlicht. Die finale Fassung berücksichtigt verschiedene Anmerkungen aus der Bankenindustrie. Zunächst wurde die Anzahl der einzuwertenden Capabilites um ca. 20% reduziert und der Einreichungszyklus auf alle zwei Jahre angepasst, wobei das SRB Öffnungsklauseln für eine jährliche Einreichung integriert hat. Die Capabilities sind nun nur noch in drei Level sowie „advanced capabilities“ unterteilt, wobei die advanced capabilities als best practice anzusehen sind und erst nach Aufforderung durch das SRB betrachtet werden müssen. Abschließend wurde ein zusätzlicher Reiter mit separat für die alternative Abwicklungsstrategie einzuwertenden Capabilities in dem Template ergänzt.
Konsultation zu Separabilität und Transferierbarkeit
Wie angekündigt hat das SRB ebenfalls eine Überarbeitung des Themengebiets Separabilität und Transferierbarkeit durchgeführt. Im Zuge dessen wurden am 13. August 2025 drei Dokumente zur Konsultation gestellt: Die Operational guidance on Separability and Transferability of Transfer Tools, die Operational Guidance on Transfer Playbooks und der Annex on testing Separability and Transfer Strategies.
Die Konsultation läuft bis zum 22. Oktober 2025. Inhaltlich handelt es sich bei den Anpassungen um eine starke Detaillierung der bisherigen Anforderung sowie ein Angleichen der Anforderungen an die vom SRB zukünftig geforderten Tests. Auch wenn das SRB in ihrer Pressemitteilung festhält, dass es sich um keine Erweiterungen der Anforderungen handelt, ist aufgrund des hohen Detailgrads der Anforderungen mit Umsetzungsaufwänden zu rechnen.
Finale Operational Guidance on Resolvability Testing
Die Single Resolution Board (SRB) hat am 26. September 2025 ihre Operational Guidance on Resolvability Testing for Banks veröffentlicht, die nach einer öffentlichen Konsultation in Kraft tritt. Der Leitfaden soll Banken helfen, die Vorgaben der EBA‐Guidelines zur Resolvability zu operationalisieren – mit Fokus auf ein abgestimmtes, mehrjähriges Prüfprogramm, klare Governance‐Strukturen, Testmethoden und Nachverfolgung von Maßnahmen.
Kerninhalte und Erwartungen sind:
1) ein mehrjähriges Testprogramm (MATP): Banken sollen Tests über drei Jahre planen, jährlich reviewen und anpassen.
2) Testmethoden: Der Leitfaden sieht Desktop‐Übungen, Walkthroughs und Dry‐Runs (Simulation, Management Simulation, Drills) vor.
3) Governance & Mitwirkung des Managements: Management muss in Tests eingebunden sein, mit klar zugewiesenen Verantwortlichkeiten.
4) Testbereiche: Abgedeckt werden u. a. Bail‐in, Liquidität, Zugang zu Finanzmarktinfrastrukturen (FMI), OCIR (Operational Continuity in Resolution), Solvent Wind‐Down etc.
5) Proportionalität: Anspruch und Umfang der Tests sollen an Größe, Komplexität und Risikoprofil der Bank angepasst werden.
6) Feedback‐Loop: Ergebnisse aus Tests fließen zurück in die Resolvability Self‐Assessments und vice versa.
Regulatory Update
EBA‐Pressemitteilung zum EU‐weiten Stresstest 2025:
Die EBA hat am 1. August 2025 die Ergebnisse ihres EU‐weiten Stresstests 2025 veröffentlicht, an dem 64 Banken aus 17 EU/EWR‐Ländern teilnahmen und der 75 % der Vermögenswerte des EU‐Bankensektors abdeckt. Der Stresstest simuliert neben einem Basisszenario, ein adverses Dreijahres‐Szenario mit einem starken makroökonomischen Abschwung, ausgelöst durch zunehmende geopolitische Spannungen, protektionistische Maßnahmen und anhaltende Lieferketten‐ und Angebots‐Schocks. Trotz eines simulierten Verlustsvolumens von 547 Mrd. € bestätigen die Ergebnisse, dass die Institute widerstandsfähig bleiben und weiterhin über eine starke Kapitalausstattung verfügen.
Ein zentrales Ergebnis ist der Kapitalverbrauch im worst case‐Szenario. Dieser beläuft sich auf 370 Basispunkte, was zu einer CET1‐Quote von 12% am Ende des Szenarios führt (anfänglich rund 15,8 % unter CRR3). Die Einkommenskomponente erwies sich als wichtige Puffergröße: Hohe Nettozinserträge und Handelsgewinne halfen, das Ergebnis zu stabilisieren und Verluste abzufedern. Andererseits dominierten Kreditrisiken, gefolgt von Markt‐ und operationellen Risiken, als größte Kapitalbelastung im Szenario. Besonders kritisch entwickelten sich Kreditverwerfungen im Immobiliensektor, wo z. B. gewerbliche Immobilien stark litten. Besonders hervorzuheben ist, dass keine der getesteten Banken ihre Mindest‐CET1‐Vorgabe verfehlte und dass die Institute rund 554 Mrd. € an Kapital haben, das über den regulatorischen Anforderungen liegt. Die Veröffentlichung ist ein wichtiger Baustein in der Aufsichtsbewertung des Risikoprofils der Banken. Die vollständigen Ergebnisse finden sie hier.
EU‐Stresstest 2025: Deutsche Banken zeigen Widerstandskraft – Kritik an Kapitalberechnung durch Bankenverband
Die Ergebnisse des EU‐weiten Stresstests 2025 bestätigen die hohe Resilienz deutscher Institute, selbst unter sehr anspruchsvollen Szenariobedingungen. Allerdings kritisiert der Bankenverband, dass die Kapitalberechnungen auf Basis der ab 2033 geltenden CRR‐3‐Regeln durchgeführt wurden. Diese langfristigen Annahmen passen nicht zu den simulierten Krisenszenarien und führen aus Verbandssicht zu wenig plausiblen Ergebnissen, da sich Portfolios, Risikoprofile und Geschäftsmodelle bis dahin deutlich verändern werden.
Was bedeutet das für deutsche Banken?
Die stabilen Testergebnisse stärken das Vertrauen von Aufsicht, Märkten und Kunden in die Widerstandsfähigkeit des Sektors. Institute sollten dennoch ihre Kapitalplanung und Modellierung kritisch prüfen, um Verzerrungen durch zukünftige regulatorische Annahmen frühzeitig zu erkennen. In der Kommunikation mit Aufsehern ist es wichtig, methodische Limitationen offen anzusprechen, um überzogene Kapitalanforderungen auf Basis nicht plausibler Stresstest‐Annahmen zu vermeiden. Strategische Maßnahmen wie Portfolioanpassungen und Stärkung des Kernkapitals bleiben zentral, um auch künftige Stresstests souverän zu bestehen.
ESG
ESAs starten eine Konsultation zur Einbeziehung von ESG‐Risiken in die Finanzstressprüfungen
Die Europäischen Aufsichtsbehörden haben am 27. Juni 2025 einen Entwurf gemeinsamer Leitlinien („Joint Guidelines on ESG stress testing“) vorgestellt, mit denen sie sicherstellen wollen, dass ESG‐Risiken (Umwelt, Soziales und Unternehmensführung) in den aufsichtlichen Stresstests für Banken und Versicherungen systematisch, einheitlich und in verhältnismäßiger Methodik innerhalb der EU berücksichtigt werden. Die Leitlinien entstehen auf Basis der gesetzlichen Vorgaben aus der CRD VI (Capital Requirements Directive, insbesondere Artikel 100(4)) und der überarbeiteten Solvency II Directive (Artikel 304c(3)), die die ESAs verpflichten, bis zum 10. Januar 2026 entsprechende gemeinsame Standards zu erarbeiten. Die Konsultation lief bis zum 19. September 2025.
Die vorgeschlagenen Richtlinien umfassen klare Vorgaben für die Gestaltung von ESG‐Stresstests, einschließlich der Entwicklung und zeitlichen Planung von Szenarioanalysen. Darüber hinaus werden Anforderungen an die Organisation und Governance gestellt, um sicherzustellen, dass Behörden und Institute über ausreichend qualifiziertes Personal und Fachwissen verfügen. Ein weiterer Schwerpunkt liegt auf der Datenerhebung und dem Datenmanagement, da qualitativ hochwertige ESG‐Daten die Grundlage für belastbare Analysen bilden. Gleichzeitig wird der Umgang mit Unsicherheiten in den Datengrundlagen adressiert, um trotz potenzieller Lücken verlässliche Ergebnisse zu erzielen. Schließlich betonen die ESAs, dass die Methodik kontinuierlich weiterentwickelt und an künftige Fortschritte in der Datenverfügbarkeit angepasst werden soll.
EBA konsultiert geänderte Pillar‐3‐ESG‐Offenlegung und „No‐action letter“
Die EBA hat am 6. August 2025 eine Opinion in Form eines „No‐action Letter“ zur Anwendung der ESG‐Pillar‐3‐Offenlegungspflichten veröffentlicht und gleichzeitig ihr ESG‐Risiko‐Dashboard mit Daten per Dezember 2024 aktualisiert. Hintergrund sind rechtliche und operative Unsicherheiten im Zuge des von der EU‐Kommission vorgeschlagenen Omnibus‐Pakets zur Vereinfachung von Nachhaltigkeitsberichterstattung sowie die parallel konsultierten Änderungen der ITS (Implementing Technichal Standards) zu ESG‐Offenlegungen.
Bis die überarbeiteten ITS in Kraft treten, empfiehlt die EBA den zuständigen Behörden, die Durchsetzung bestimmter Templates nicht zu priorisieren, konkret EU 6 bis EU 10 sowie ausgewählte Spalten in Template 1 und Template 4. Dies gilt für große gelistete Institute und, mit den jeweils entsprechenden Templates, auch für die seit CRR3 neu erfassten weiteren Institute.
Der „No‐action Letter“ stützt sich auf Artikel 9c der EBA‐Verordnung. Der Anwendungszeitraum begann zum 30. Juni 2025 und läuft bis zum Inkrafttreten der geänderten ITS. Zugleich betont die EBA, dass das aktualisierte Dashboard ein stabiles ESG‐Risikobild im EU/EWR‐Bankensektor zeigt und, dass künftige Ausgaben an die genannten Priorisierungsempfehlungen angepasst werden.
EZB plant ab 2. Hj. 2026 einen „Climate Factor“ in geldpolitischen Geschäften
Am 29. Juli 2025 verkündete die EZB, einen „Climate Factor“ in ihrem Sicherheitenrahmen einführen zu wollen, um klimawandelbedingte Transitionsrisiken in der Bewertung der als Pfand hinterlegten Vermögenswerte zu berücksichtigen. Der Faktor kann den Sicherheitenwert einzelner marktfähiger Vermögenswerte (insbesondere Unternehmensanleihen nicht finanzieller Emittenten) reduzieren und damit den maximalen Kreditbetrag verringern, den der Eurosystem‐Zentralbankkredit gegen diese Sicherheiten gewährt. Ziel ist es, den Eurosystem‐Bilanzschutz zu stärken, falls sich die Marktwerte der Sicherheiten infolge eines negativen Klima‐Schocks unerwartet verschlechtern.
Die Höhe der Anpassung ergibt sich aus einem „Uncertainty Score“ mit drei Bausteinen: einem sektorspezifischen Stressor (ein einheitlicher Markt‐Faktor basierend auf dem erwarteten Shortfall im negativen Szenario des EZBKlimastresstests), einer emittentenspezifischen Exposition und einer asset‐spezifischen Vulnerabilität (Preisempfindlichkeit gegenüber unerwarteten Klima‐Schocks unter Berücksichtigung der Restlaufzeit).
Accounting
Gesetzesentwurf zum CSRD‐Umsetzungsgesetz
Am 10. Juli 2025 hat das Bundesministerium für Justiz und Verbraucherschutz (BMJV) einen neuen Referentenentwurf veröffentlicht, um dadurch die Corporate Sustainability Reporting Directive (CSRD) in nationales Recht zu überführen. Darauf aufbauend hat das Bundeskabinett am 02. September den Regierungsentwurf beschlossen. Neben den Regelungen zur Nachhaltigkeitsberichterstattung enthält der Entwurf des BMJV u.a. auch Änderungen des HGB bezüglich der Berichterstattung von nichtfinanziellen Leistungsindikatoren und der wichtigsten immateriellen Ressourcen sowie dem Aufstellungsformat.
IFRS IC veröffentlicht Agendaentscheidungen
In seiner Juni-Sitzung hat das IFRS Interpretations Committee zwei neue Agendaentscheidungen zu IFRS 9 veröffentlicht. Hintergrund dieser Entscheidungen waren Anfragen der Anwender zur Behandlung von Transaktionskosten sowie eingebetteten Optionen zur vorzeitigen Rückzahlung. In beiden Fällen kam das IFRS IC aber zu dem Schluss, dass die Sachverhalte keine weitreichenden Auswirkungen haben und daher keine weiteren Handlungen erforderlich sind.
Darüber hinaus hat sich das IFRS IC damit beschäftigt, wie bestehende Agendaentscheidungen anzupassen sind, die auf IAS 1 verweisen, da IAS 1 durch den neuen Standard IFRS 18 abgelöst wird. Betroffen sind unter anderem folgende Agendaentscheidungen:
• IAS 7: Sichteinlagen mit vertraglichen Nutzungsbeschränkungen
• IAS 39: Ertrag und Aufwand aus Finanzinstrumenten mit negativer Verzinsung
• IAS 7: Erläuterungen zu den Veränderungen der Verbindlichkeiten aus Finanzierungstätigkeit
IASB veröffentlicht Änderungen zu IFRS 19
Am 21. August hat das International Accounting Standards Board (IASB) Änderungen zu IFRS 19: Tochterunternehmen ohne öffentliche Rechenschaftspflicht: Angaben veröffentlicht. Darin geht es um reduzierte Offenlegungsplichten für die berechtigten Tochterunternehmen in Bezug auf IFRS‐Vorschriften, welche zwischen Februar 2021 und Mai 2024 veröffentlicht wurden. Das sind zum einen der neue Standards IFRS 18, aber auch Änderungen von bestehenden Standards. IFRS 19 ist ab dem 1. Januar 2027 anzuwenden.
Kennzahlen
Im ersten Quartal 2025 zeigt sich der Bankensektor in der EU/EWR laut der aktuellen Q1 2025 Risk Dashboard‐Auswertung der EBA trotz spürbar gestiegener Risikokosten weiterhin robust und stabil. Die Kernkapitalquote (CET1) der Banken lag bei 16,2 % und blieb damit gegenüber dem Vorquartal konstant. Die risikogewichtete Aktiva (RWAs) beliefen sich auf insgesamt 9,9 Billionen €, wobei die Bedeutung des operationellen Risikos zunahm (12,9 % der gesamten RWAs).
Die Bilanzsumme der Institute kletterte auf knapp 29 Billionen €, was einem Wachstum von etwa 2,7 % gegenüber dem Vorquartal entspricht. Haupttreiber dieses Wachstums sind vermehrte Bestände an Schuldverschreibungen (14,6 % der Bilanzsumme, gegenüber 13,7 % im vierten Quartal 2024) und ein leichter Anstieg der liquiden Mittel (10,9 % der Bilanzsumme). Kredite an Haushalte und kleine bzw. mittlere Unternehmen wuchsen moderat (1 %), insbesondere bei Hypothekarkrediten.
Die notleidenden Kredite (NPLs) blieben stabil bei 377,8 Mrd. €, und auch die Stage‐2‐Kredite (Kredite mit steigender Risikohaftigkeit) stiegen nur leicht – ihr Anteil an den Gesamtforderungen sank im ersten Quartal 2025 um 0,2 Prozentpunkte auf 9,5 %. Trotz dieses positiven Trends ist gleichzeitig ein Anstieg der Risikokosten (CoR) zu verzeichnen: Sie liegen bei 57 Basispunkten, deutlich über dem Durchschnitt der Jahre seit 2021 (ca. 48 Basispunkte). Damit erreicht der CoR den höchsten Quartalswert seit 2021 (siehe Abbildung).
Bei der Profitabilität verzeichnen die Institute eine Eigenkapitalrendite (RoE) von 10,5 %, 10 Basispunkte unter dem Vergleichswert des Vorjahrs, während die Gesamtkapitalrendite im ersten Quartal 2025 mit 0,73 % stabil bliebt. Die Nettozinsmarge (NIM) schwächt sich leicht ab, etwa 5 Basispunkte gegenüber dem Vorquartal, wird aber teilweise durch ein Wachstum bei Gebühren und Provisionseinnahmen ausgeglichen (plus etwa 6 % gegenüber dem Vorjahr).
Auf der Liquiditätsseite zeigen sich kleinere Rückgänge: So fällt die Liquiditätsdeckungsquote (LCR) auf 159,5 % (‐3,91 % zum Vorquaratal), die Kredit‐Einlagen‐Quote für private Haushalte und nicht finanzielle Unternehmen (NFCs) erholte sich leicht von ihrem mehrjährigen Tiefstand im Vorquartal und lag bei 106,3 % gegenüber 104,8 % in Q4 2024. Im Gegensatz dazu stiegen die Einlagen anderer Kunden, zu denen auch Einlagen von Nichtbanken‐Finanzinstituten (NBFIs) gehören, um 9,4 % und machten 12,7 % der Gesamtverbindlichkeiten aus.
Insgesamt signalisiert die Auswertung, dass trotz steigender Risikokosten und kleinen Belastungen bei Margen und Liquiditätskennzahlen, die fundamentalen Stärkefaktoren (Kapitalausstattung, Kreditportfolio‐Qualität, Profitabilität) intakt sind.
Weitere Neuigkeiten
Cloud‐Outsourcing der Datenverarbeitung: Kostenvorteile vs aufsichtsrechtliche Hürden
Warum verlagern Banken ihre Datenverarbeitung zunehmend in die Cloud?
Der Finanzdienstleistungssektor ist zunehmend auf Cloud‐Dienstleister (CSPs) angewiesen, um seinen wachsenden Bedarf an Datenverarbeitung und ‐speicherung zu decken. Zwei wesentliche Faktoren sprechen für den "Servitisation‐Trend": Geringere Kosten verbunden mit möglichen Bilanzvorteilen und eine höhere technische Betriebsresilienz. On‐premise Datenspeicherungslösungen erfordern Investitionsausgaben für Immobilien, die Installation und laufende Wartung sowie für die Ausrüstung selbst, die Kühlung, das Personal und binden damit abschreibungsfähige Vermögenswerte. Über eine Cloud‐Lösung werden diese Ausgaben zu Betriebskosten, was für eine Bank wirtschaftliche Effizenzvorteile mit sich bringen kann. Nach der Migration in die Cloud können ursprüngliche Rechenzentrumseinrichtungen veräußert oder vermietet werden. Gleichzeitig erhöht sich die technische Betriebsresilienz: geographisch verteilte Speicherorte, automatische Umschaltung auf Ersatzsysteme und unveränderliche, reproduzierbare Datenbereitstellungen reduzieren Ausfallrisiken gegenüber gewachsenen On‐Prem‐Landschaften. Nicht zuletzt führen CSPs regelmäßige Technologie‐Updates durch und bspw. lässt sich Cybersicherheit auf dem Stand der Technik schneller einführen, ohne jede Komponente selbst zu betreiben.
Aufsichtsrechtliche Hürden
Mit dem Geltungsbeginn von DORA gelten für Finanzinstitute verbindliche Anforderungen an die Risiko‐Governance für ihre Informations‐ und Kommunikationstechnologie (IKT), das Vorfallmanagement, Resilienztests und das Management von Drittparteien: Cloud‐Provider müssen vor Vertragsschluss geprüft, vertraglich zu Audit und Zugangsrechten, Sicherheits‐ und Verfügbarkeitsniveaus, Sub‐Outsourcing‐Kontrollen, Meldewegen und Exit‐Unterstützung verpflichtet sowie im laufenden Betrieb überwacht werden. Drittparteien sind außerdem hinsichtich der EU‐Richtlinie zur Netz‐ und Informationssicherheit (NIS2) zu prüfen und daraus resultierende Anforderungen umzusetzen. Weiterhin hat die Bank sicherzustellen, dass sie ihren Verpflichtungen gemäß der Datenschutzgrundverordnung (DSGVO) nachkommt. Datenminimierung, Zweckbindung, Privacy‐by‐Design und insbesondere internationale Datenübermittlungen (Remote‐Zugriff gilt als Transfer) sind im Rahmen der DSGVO mit geeigneten Garantien, Verträgen und technischen Maßnahmen abzusichern. Die meisten CSPs, die von EU-Banken für die Datenverarbeitung und ‐speicherung genutzt werden, fallen derzeit in den Anwendungsbereich der Leitlinien der EBA zu Outsourcing‐Vereinbarungen. Diese führt derzeit eine Konsultation zu ihrem Entwurf für Leitlinien zum soliden Management von Risiken durch Dritte durch. Dabei sollen Überschneidungen mit den DORA‐Anforderungen beseitigt werden sowie Kohärenz zwischen den regulatorischen Rahmenwerken für das Management von technologischen und nicht‐technologischen Risiken Dritter gewährleistet werden.
Fazit
Die Umstellung von lokalen Lösungen auf die Cloud kann Banken dabei helfen, ihre technische operative Widerstandsfähigkeit zu verbessern. Für Banken ist es jedoch von entscheidender Bedeutung, zu prüfen, wie ihre Cloud‐Lösung in ihre umfassenderen Verpflichtungen hinsichtlich Governance, Risiko‐ und Vorfallmanagement gemäß DORA passt. Sie müssen in der Lage sein, ihre Meldepflichten und Fristen für Vorfälle einzuhalten und sicherstellen, dass Verträge mit CSPs die erforderlichen Bestimmungen zur Unterstützung bei Vorfällen enthalten.
