DORA und die regulierten Tätigkeiten (Teil 2)

Die letzten Wochen war es ruhiger hier auf meinem LinkedIn-Profil, denn mein aktuelles Thema stellt mich fachlich vor einige Herausforderungen. Es geht um die Tätigkeiten von Finanzunternehmen, die einer Genehmigung, Registrierung oder Beaufsichtigung bedürfen Klingt sperrig, oder?

Die letzten Wochen war es ruhiger hier auf meinem LinkedIn-Profil, denn mein aktuelles Thema stellt mich fachlich vor einige Herausforderungen. Es geht um die Tätigkeiten von Finanzunternehmen, die einer Genehmigung, Registrierung oder Beaufsichtigung bedürfen Klingt sperrig, oder? Und genau das ist es auch…

Beginnen wir also mit einer ersten Vereinfachung und sprechen ab jetzt einfach von „regulierten Tätigkeiten„.

Warum sind diese Tätigkeiten relevant für DORA?

Die regulierten Tätigkeiten sind nicht einfach nur bürokratische Fachbegriffe für spezifische Dienstleistungen und Geschäfte von Finanzunternehmen – sie sind das Fundament für gleich mehrere zentrale DORA-Anforderungen:

• Sie bilden die Grundlage für die Identifikation der kritischen oder wichtigen Funktionen (kwF).
• Sie sind hoch relevant für die Klassifikation meldepflichtiger IKT-Vorfälle, wenn es darum geht, die „Kritikalität betroffener Dienste“ zu ermitteln.
• Und sie sind die Basis für die Zuordnung von IKT-Dienstleistungen zu den „genehmigten Tätigkeiten“ im Informationsregister.

Wo findet man diese Tätigkeiten?

Die genaue Liste dieser Tätigkeiten findet sich in Anhang II des ITS zum Informationsregister. Klingt nach einer klaren Aussage, ist aber alles andere als das. Denn im Anhang II findet man lediglich eine Übersicht der Finanzunternehmen inklusive Verweisen auf eine Vielzahl weiterer EU-Richtlinien und -Verordnungen, die diese regulierten Tätigkeiten definieren.

Nur die wenigsten Mitarbeitenden im Finanzunternehmen werden mit diesen kryptischen EU-rechtlichen Verweisen wirklich etwas anfangen können… Doch wir haben Glück, denn die Europäische Bankenaufsichtsbehörde (EBA) hat bereits eine Hilfestellung entwickelt und uns ein Excel-Dokument bereitgestellt, das die verschiedenen Tätigkeiten auflistet.

Auf den zweiten Blick ist das Problem damit aber nur wenig kleiner, denn die Auflistung stellt eine rein europarechtliche Sicht auf die regulierten Tätigkeiten dar. Deutsche Finanzunternehmen erhalten ihre Erlaubnis jedoch von der BaFin auf Basis nationaler Gesetze wie KWG, Investmentgesetz oder VAG. Hieraus resultieren deutsche Begrifflichkeiten wie z.B. „Anlagevermittlung“, „Emissionsgeschäft“, „Finanzportfolioverwaltung“ oder auch „Einlagengeschäft“, die sich für einen Laien nur schwer den europäischen Begriffen zuordnen lassen.

Wer sich davon selbst einen Eindruck verschaffen mag, dem empfehle ich einen Blick in die BaFin-Unternehmensdatenbank, welche das Dilemma sehr schön aufzeigt: Dort sind zwar alle „erlaubnispflichtigen Geschäfte und Dienstleistungen“ der Finanzunternehmen gemäß deutscher Gesetze aufgelistet, doch eine Mapping-Tabelle zu den europäischen Begrifflichkeiten sucht man vergeblich…

Dieses ‚Mapping-Problem‘ hat mich wirklich frustriert, und mehr als einmal hatte ich den Gedanken, das Thema in meiner DORA-Werkstatt einfach ad acta zu legen. Aber mein Ehrgeiz hat gesiegt und zum Glück gibt es ja auch noch ChatGPT und Google Gemini!😂

Ein Ansatz zur Lösung des Mapping-Problems

Mein Ansatz war simpel:

1. Ich habe zunächst die Website und die Unternehmensdatenbank der BaFin durchforstet, um herauszufinden, welche nationalen Begriffe für erlaubnispflichtige Tätigkeiten überhaupt existieren. Diese Begriffe habe ich dann in ChatGPT eingegeben und um verständliche Erklärungen gebeten.
2. Mit einer Mischung aus sicherem Auftreten und gefährlichem Halbwissen habe ich anschließend eine ‚Fachsimpelei‘ mit dem Chatbot gestartet, um die deutschen Begriffe den ‚richtigen‘ regulierten Tätigkeiten aus Anhang II des ITS Informationsregisters zuzuordnen – oder zumindest eine „Vorauswahl“ zu treffen, welche europäischen Tätigkeiten den deutschen Begriffen am ehesten entsprechen könnten.
3. Der Rest war dann aber doch wieder Handarbeit, denn die KI-Tools kennen die komplexen Verflechtungen zwischen den einzelnen Worten im juristischen Sinne nicht und liefern daher nur „wahrscheinlich“ richtige Antworten. Und was soll ich sagen: die Halluzinationen des Chatbots waren manchmal fast genauso verrückt wie die Gedanken, die man im Vollrausch mit 3,8 Promille hat 😂

Meine letzten Wochen verbrachte ich also mit dem Lesen zahlreicher europäischer Gesetze wie der Finanzmarktrichtlinie (MiFID II), der Eigenkapitalrichtlinie (CRD IV) und der Solvency-II-Verordnung sowie den dazugehörigen nationalen Umsetzungsgesetzen (z.B. dem ersten und zweiten FiMaNoG) und den BaFin-Merkblättern zu erlaubnispflichtigem Geschäft.

Ich habe dabei zwar wahrscheinlich nur einen Bruchteil dessen gelernt, was man über die Tätigkeiten von Finanzunternehmen wissen kann, aber nun sind Begriffe wie Devisen oder Derivate endlich keine böhmischen Dörfer mehr für mich 😄

Banken sind mehr als nur Kreditinstitute

Neben den bankfachlichen Grundlagen habe ich noch eine spannende Erkenntnis gewonnen: Nur weil man in einer Bank arbeitet, bedeutet das nicht automatisch, dass das Unternehmen auch pauschal unter die Kategorie ‚Kreditinstitut‘ fällt. Viele Finanzunternehmen sind vielmehr ‚Mischformen‘ mit Erlaubnissen nach verschiedenen Gesetzen. So ist beispielsweise die DekaBank gleichzeitig Kreditinstitut und Anbieter von Krypto-Dienstleistungen, und die Clearstream Banking AG agiert sowohl als Kreditinstitut als auch als Zentralverwahrer.

Um ein genaues Bild unserer regulierten Tätigkeiten zu erhalten, müssen wir also alle unsere Prozesse, Tätigkeiten und Dienstleistungen analysieren und bewerten, inwieweit sie einer Genehmigung durch unsere Aufsichtsbehörden bedürfen. In den nächsten Tagen werde ich dazu eine verständliche Übersicht teilen, die eine Brücke zwischen den europäischen Definitionen und der nationalen Realität schlägt und hoffentlich die Identifikation der regulierten Tätigkeiten für alle ein wenig vereinfacht.

Bis dahin wünsche ich euch einen guten Start in den Tag! 🙂