Fintech · Branchen-Briefing

Zahlungsinstitute und E-Geld-Institute, die unter PSD2 und der E-Geld-Richtlinie zugelassen oder registriert sind, unterliegen seit dem 17. Januar 2025 verbindlich der DORA-Verordnung (EU 2022/2554). DORA ersetzt die fragmentierten ICT-Anforderungen durch ein einheitliches Regelwerk für ICT-Risikomanagement, Incident-Meldung, digitale Resilienz-Tests und Third-Party-Risiken. Die bisherige PSD2-Meldepflicht für bedeutende Vorfälle entfällt für DORA-Entitäten; stattdessen gilt ein dreistufiges DORA-Meldeverfahren: Initialbenachrichtigung innerhalb von 4 Stunden nach Klassifizierung als erheblicher Vorfall oder spätestens 24 Stunden nach Kenntnisnahme, Zwischenbericht innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Für autorisierte Institute gelten die vollständigen Anforderungen der Artikel 5 bis 15, für exemte Institute die vereinfachte Regelung des Artikels 16. Zahlungsverkehrskritische Systeme wie Authentifizierung, Betrugserkennung und Kontoschutzkonten müssen in den Risikoinventar, die Geschäftsauswirkungsanalyse und Resilienz-Tests einbezogen werden. Abhängigkeiten von BIN-Sponsoren, Kartenanbietern und Zahlungsprozessoren müssen dokumentiert, auf Konzentrations- und Ausstiegsrisiken bewertet und vertraglich mit Ausstiegsszenarien geregelt werden.

François-Louis Michaud, Chef der Europäischen Bankenaufsichtsbehörde EBA, kündigt in einem Interview eine umfassende Vereinfachung der Bankenregulierung an. Die EBA plant eine Reduktion der Datenpunkte im regulatorischen Reporting um 50 Prozent, hat 15 Prozent ihrer Aufgaben deprioritisiert und will ein integriertes Single Rulebook schaffen, das Banken Klarheit über verpflichtende Anforderungen und Flexibilität bietet. Michaud verspricht, dass diese Maßnahmen langfristig zu sinkenden Compliance-Kosten führen sollen, obwohl erste Umstellungen kurzfristig Aufwand verursachen. Für kleine und nicht komplexe Banken (SNCIs) arbeitet die EBA an einem wesentlich einfacheren Regelwerk, das Kreditrisiko, Governance und operative Risiken neu bewertet. Gleichzeitig betont Michaud, dass Aufsichtsregeln keine schlechten Geschäftsmodelle subventionieren dürfen, und warnt, dass systemische Risiken entstehen können, wenn viele kleine Banken identische Risiken eingehen. Beim Stresstest 2027 soll die Datenanforderung um 55 Prozent sinken, wobei ein neuer Klimastresstest integriert wird – ohne dass schlechte Ergebnisse direkt zu höheren Kapitalanforderungen führen sollen.

Die Europäische Zentralbank hat am 6. Oktober 2026 ihre umfassende Strategie zur Digitalisierung des europäischen Finanzsystems vorgestellt. Kernelemente sind die Vorbereitung eines digitalen Euro für Retailzahlungen, um eine paneuropäische Zahlungslösung zu schaffen und die Abhängigkeit von internationalen Kartenschemen zu reduzieren, sowie die Sicherung von Finanzstabilität durch Holding-Limits (geprüft wurden Limits zwischen 500 und 3.000 Euro). Bei einem 3.000-Euro-Limit würde die aggregierte Liquiditätsquote nur leicht von 166% auf 163% fallen, und nur 13 Banken (0,3% der Bilanzsumme) würden unter die 100%-Marke fallen. Ein digitaler Euro-Pilot ist für die zweite Jahreshälfte 2027 geplant mit 36 ausgewählten Zahlungsdienstleistern. Für Großmärkte hat die Eurosystem am 21. September 2026 Pontes gestartet, das es ermöglicht, tokenisierte Vermögenswerte in Zentralbankgeld abzuwickeln und Märkte von Distributed-Ledger-Technologie-Plattformen mit Eurosystem-Services verbindet. Die vollständige Implementierung wird Mitte 2028 mit 24/7-Service und Multi-Währungs-Capability erwartet. Appia adressiert parallel die Architektur und Standards für ein integriertes europäisches tokenisiertes Finanzökosystem mit Abschluss eines Blueprint für 2028.