Regulatorische Entwicklungen dieser Woche greifen unmittelbar in technische, organisatorische und datenbezogene Prozesse ein. Im Mittelpunkt stehen harmonisierte AML-Verfahren, neue Anforderungen an die digitale Resilienz von Kryptowerte-Dienstleistern, der Umgang mit KI-bedingten Cyberrisiken sowie präzisere datenschutzrechtliche Maßstäbe für Anonymisierung und Web Scraping. Ergänzt wird das Bild durch neue Vorgaben für Drittstaatenzweigniederlassungen und die weitere Digitalisierung staatlicher Verfahren.
Für die Umsetzung bedeutet das: Technische Resilienz, Datenverwendung und grenzüberschreitende Governance müssen enger zusammengedacht werden, während Aufsicht und Behörden zugleich stärker auf einheitliche Prüf-, Melde- und Durchsetzungsstandards setzen.
Inhaltsverzeichnis
- 1. BGBl. I Nr. 199: Gesetz zum Bürokratierückbau im Geschäftsbereich des Bundesinnenministeriums
- 2. EBA: Finales technisches Paket 4.3 für das Reporting Framework
- 3. Europäisches Parlament: Engere Grenzen für die ePrivacy-Ausnahme zur Erkennung sexuellen Kindesmissbrauchs
- 4. EDPB: Konsultation zu Leitlinien zur Anonymisierung personenbezogener Daten
- 5. EDPB: Konsultation zu Leitlinien zu Web Scraping für generative KI
- 6. ESMA: Aufsichtsaktion zur digitalen Resilienz von Kryptowerte-Dienstleistern
- 7. AMLA: Einheitlicher EU-Ansatz zur Durchsetzung von AML/CFT-Verstößen
- 8. BaFin und FIU: Geldwäscherisiken bei Kunden- und Vermögensmigration nach MiCAR
- 9. BSI und Berlin: Kooperation für Cyber- und Informationssicherheit vereinbart
- 10. ESAs: Warnung vor systemischen Cyberrisiken durch Frontier-AI-Modelle
- 11. EBA: Finale Leitlinien zur Zulassung von Drittstaatenzweigniederlassungen
- 12. Europäische Kommission: EU-Aktionsplan für Cybersecurity und Künstliche Intelligenz
- 13. ESMA: Systemische Cyberrisiken durch Frontier AI im Kapitalmarkt
- 14. AMLA: Konsultation zu grenzüberschreitendem Informationsaustausch zwischen FIUs
- Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
1. BGBl. I Nr. 199: Gesetz zum Bürokratierückbau im Geschäftsbereich des Bundesinnenministeriums
Anwendbar für: Öffentliche Stellen, Verwaltungsverfahren, Datenschutz, Personal- und Sicherheitsprozesse, Compliance
Relevante Maßnahmen:
- Verwaltungs- und Nachweisprozesse auf die erweiterten Möglichkeiten elektronischer Kommunikation umstellen.
- Schriftformanforderungen, sichere Übermittlungswege und Identitätsnachweise in Verfahrensvorgaben und Formularen neu abbilden.
- Betroffene Datenschutz-, Personal- und Sicherheitsprozesse auf geänderte Dokumentations-, Prüf- und Löschanforderungen abstimmen.
2. EBA: Finales technisches Paket 4.3 für das Reporting Framework
Anwendbar für: Banken, Drittstaatenzweigniederlassungen, Meldewesen, Data Governance, AML-Reporting
Relevante Maßnahmen:
- Reporting-Systeme um die neuen Anforderungen für Drittstaatenzweigniederlassungen erweitern.
- Datenbereitstellung für die AMLA-Risikoerhebung technisch und fachlich absichern.
- Taxonomie-, Validierungs- und Datenmodelländerungen kontrolliert in die Meldestrecken übernehmen.
3. Europäisches Parlament: Engere Grenzen für die ePrivacy-Ausnahme zur Erkennung sexuellen Kindesmissbrauchs
Anwendbar für: Kommunikationsdienste, Plattformen, Datenschutz, Trust & Safety, Legal
Relevante Maßnahmen:
- Erkennungsmaßnahmen für private Kommunikation nach Verschlüsselungsstatus und rechtlicher Zulässigkeit differenzieren.
- Freiwillige Scan- und Meldeprozesse auf die vorgesehenen Einschränkungen und Kontrollvoraussetzungen ausrichten.
- Entwicklungen im weiteren Gesetzgebungsverfahren in Produkt- und Datenschutzentscheidungen berücksichtigen.
4. EDPB: Konsultation zu Leitlinien zur Anonymisierung personenbezogener Daten
Anwendbar für: Datenschutz, Data Governance, Forschung, Analytics, KI-Entwicklung
Relevante Maßnahmen:
- Anonymisierung aus Sicht der jeweiligen Datenempfänger und ihrer verfügbaren Zusatzinformationen bewerten.
- Risiken der Isolierbarkeit, Verknüpfbarkeit und Ableitung personenbezogener Informationen methodisch testen.
- Möglichen Anpassungsbedarf bei Bewertungsmethoden, Dokumentation und regelmäßiger Neubewertung frühzeitig erfassen.
5. EDPB: Konsultation zu Leitlinien zu Web Scraping für generative KI
Anwendbar für: Anbieter generativer KI, Datenschutz, Data Engineering, Produktentwicklung, Legal
Relevante Maßnahmen:
- Den Entwurf getrennt für Datenerhebung, Modellentwicklung und spätere Modellnutzung rechtlich einordnen.
- Quellen, Zugriffsbeschränkungen und Betroffenenerwartungen in Auswahl- und Freigabeprozessen berücksichtigen.
- Technische Filter und Nachweise für Datenminimierung sowie den Ausschluss besonderer Datenkategorien vorbereiten.
6. ESMA: Aufsichtsaktion zur digitalen Resilienz von Kryptowerte-Dienstleistern
Anwendbar für: CASPs, Kryptoverwahrung, DORA-Compliance, ICT-Risikomanagement, Informationssicherheit
Relevante Maßnahmen:
- Resilienz der Verwahrungsinfrastruktur einschließlich Schlüssel-, Zugriffs- und Wiederherstellungsprozessen nachweisen.
- Abhängigkeiten von ICT-Drittdienstleistern und Konzentrationsrisiken im Custody-Modell erfassen.
- Incident Response, Business Continuity und Kontrollnachweise auf koordinierte Aufsichtsprüfungen vorbereiten.
7. AMLA: Einheitlicher EU-Ansatz zur Durchsetzung von AML/CFT-Verstößen
Anwendbar für: Verpflichtete nach dem AML/CFT-Regime, Banken, Finanzdienstleister, AML-Compliance, Legal
Relevante Maßnahmen:
- Kontrollverstöße nach Schwere, Dauer, Ursache und Auswirkung konsistent klassifizieren.
- Entscheidungs- und Eskalationsprozesse für AML-Mängel auf vergleichbare EU-weite Sanktionierungsmaßstäbe ausrichten.
- Nachweise zu Abhilfemaßnahmen und Ursachenanalysen so führen, dass Verhältnismäßigkeit und Wirksamkeit belegbar sind.
8. BaFin und FIU: Geldwäscherisiken bei Kunden- und Vermögensmigration nach MiCAR
Anwendbar für: CASPs, Krypto-Compliance, AML-Compliance, KYC, Transaktionsmonitoring
Relevante Maßnahmen:
- Kunden- und Vermögensmigrationen aus der MiCAR-Übergangsphase als eigenständiges Geldwäscherisiko in der Risikoanalyse erfassen.
- Herkunft und Übertragung migrierter Kryptowerte mit verstärkten Plausibilitäts- und Transaktionskontrollen begleiten.
- Auffälligkeiten aus Migrationsvorgängen in Monitoring-Szenarien und Verdachtsmeldeprozessen gesondert abbilden.
9. BSI und Berlin: Kooperation für Cyber- und Informationssicherheit vereinbart
Anwendbar für: Öffentliche Verwaltung, Informationssicherheit, Cyberabwehr, ISMS, Resilienzverantwortliche
Relevante Maßnahmen:
- Zuständigkeiten und Kommunikationswege für gemeinsame Cyberlagen und Sicherheitsvorfälle fest verankern.
- Vereinbarte Kooperationsformate in ISMS-, Incident-Response- und Krisenmanagementprozesse überführen.
- Gemeinsame Übungen, Lagebilder und Austauschformate mit klaren Eskalations- und Rückmeldewegen hinterlegen.
10. ESAs: Warnung vor systemischen Cyberrisiken durch Frontier-AI-Modelle
Anwendbar für: Finanzinstitute, DORA-Verantwortliche, Cyber Governance, Geschäftsleitung, ICT-Risikomanagement
Relevante Maßnahmen:
- Frontier-AI-Risiken in ICT-Risikoanalysen, Bedrohungsszenarien und Resilienztests aufnehmen.
- Reaktionsfähigkeit auf KI-beschleunigte Schwachstellenausnutzung und automatisierte Angriffe messen.
- Abhängigkeiten von wenigen leistungsfähigen KI-Anbietern als Konzentrations- und Systemrisiko behandeln.
11. EBA: Finale Leitlinien zur Zulassung von Drittstaatenzweigniederlassungen
Anwendbar für: Drittstaatenbanken, EU-Zweigniederlassungen, Market Access, Aufsichts-Compliance, Legal
Relevante Maßnahmen:
- Zulassungsunterlagen entlang der harmonisierten Informationsanforderungen vollständig strukturieren.
- Governance, Geschäftsplan, Kapitalausstattung und Risikosteuerung der Zweigniederlassung konsistent dokumentieren.
- Verantwortlichkeiten zwischen Drittstaaten-Mutterunternehmen und EU-Niederlassung eindeutig festlegen.
12. Europäische Kommission: EU-Aktionsplan für Cybersecurity und Künstliche Intelligenz
Anwendbar für: KI-Governance, Informationssicherheit, kritische Sektoren, Technologieanbieter, Public Affairs
Relevante Maßnahmen:
- Missbrauchsszenarien fortgeschrittener KI in Cyber-Risiko- und Schwachstellenanalysen aufnehmen.
- Möglichkeiten für unabhängige Modelltests und sichere Erprobung in simulierten Umgebungen einplanen.
- Security-by-Design, Cyberhygiene und Schutz kritischer Open-Source-Komponenten gezielt stärken.
13. ESMA: Systemische Cyberrisiken durch Frontier AI im Kapitalmarkt
Anwendbar für: Wertpapierfirmen, Asset Manager, Marktinfrastrukturen, Cyber Governance, DORA-Compliance
Relevante Maßnahmen:
- KI-bedingte Angriffs- und Kaskadenszenarien in Markt- und Betriebsrisikomodelle integrieren.
- Gemeinsame Abhängigkeiten von Modellen, Datenquellen und Cloud-Infrastrukturen kartieren.
- Informationsaustausch und sektorübergreifende Reaktion auf systemische Cyberlagen organisatorisch vorbereiten.
14. AMLA: Konsultation zu grenzüberschreitendem Informationsaustausch zwischen FIUs
Anwendbar für: FIUs, AML-Compliance, Financial Crime, Verdachtsmeldewesen, grenzüberschreitende Gruppen
Relevante Maßnahmen:
- Kriterien für den Bezug einer Verdachtsmeldung zu anderen Mitgliedstaaten in Melde- und Analyseprozessen abbilden.
- Länderbezüge, beteiligte Parteien und grenzüberschreitende Transaktionsketten strukturiert erfassen.
- Prozesse für Weitergabe, Rückmeldung und Nachverfolgung FIU-relevanter Informationen auf harmonisierte Abläufe vorbereiten.
Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
Bereits viele Compliance-Beauftragte nutzen unseren kostenlosen Service und erhalten die wichtigsten Neuigkeiten aus den Bereichen Compliance, Geldwäscheprävention, Datenschutz und IT-Sicherheit. Wir geben wöchentlich einen Überblick über die wichtigsten Meldungen und ordnen diese ein.
Möchten Sie täglich auf dem aktuellen Stand sein?
Mit unserer Legal Risk Monitoring Software erhalten Sie Zugriff auf alle Meldungen und können diese nach Relevanz, Art und Bereich filtern. Sie können Zusammenfassungen erstellen und herunterladen. Sprechen Sie uns an.
Kontaktieren Sie uns für ein kostenfreies Erstberatungsgespräch.
Wir wünschen Ihnen eine erfolgreiche Woche.
Ihr Team von Riscreen