Die Meldungen der vergangenen Wochen setzen an sehr unterschiedlichen Stellen an: Der EuGH präzisiert Anforderungen an Sanktionskontrolle und gesellschaftsrechtliche Transparenz, Datenschutzbehörden in Kalifornien und Australien schärfen Vorgaben für Datenverarbeitung und Registrierung, während EBA und BaFin neue Anforderungen an operationelle Risiken, Wertpapierinstitute und die Verwaltungspraxis im Übernahmerecht konkretisieren. Hinzu kommen FIU-Rückmeldungen zum Verdachtsmeldewesen sowie neue Hinweise zu Cyberkommunikation, Red-Team-Erkenntnissen, elektronischen Beweismitteln und Agentic AI.
Übergreifend zeigt sich, dass belastbare Governance zunehmend davon abhängt, Zuständigkeiten, Datenqualität, Identitäten und Eskalationswege über Fach- und Systemgrenzen hinweg konsistent zu steuern.
1. EuGH: Kontrolle sanktionierter Unternehmen erfordert belastbare Nachweise
Anwendbar für: Sanktions-Compliance, KYC, Beteiligungsprüfung, Legal, Trade Compliance, Financial Crime
Relevante Maßnahmen:
- Kriterien zur Feststellung von Eigentum und Kontrolle in der Sanktions-Governance klar voneinander abgrenzen.
- Entscheidungsgrundlagen für eine angenommene Kontrolle durch gelistete Personen nachvollziehbar dokumentieren.
- Eskalations- und Freigabeprozesse für komplexe Beteiligungs- und Einflussstrukturen nachschärfen.
2. EuGH: Keine generelle Offenlegung sämtlicher Aktionäre von Aktiengesellschaften
Anwendbar für: Gesellschaftsrecht, KYC, Registerdaten, wirtschaftlich Berechtigte, Datenschutz, Compliance
Relevante Maßnahmen:
- Anforderungen an Beteiligungsinformationen nach Anteilshöhe, Kontrollrelevanz und Rechtsgrundlage differenzieren.
- KYC- und Transparenzprozesse auf die tatsächlich erforderlichen Gesellschafterinformationen ausrichten.
- Schnittstellen zwischen Registertransparenz, Datenschutz und wirtschaftlich Berechtigten konsistent ausgestalten.
3. Kalifornien: Fehlerhafte Angaben im Data-Broker-Register im Fokus der Aufsicht
Anwendbar für: Data Broker, Datenschutz, Data Governance, Legal, Compliance, Registerpflichten
Relevante Maßnahmen:
- Verantwortlichkeiten für Vollständigkeit und Richtigkeit der jährlichen Data-Broker-Registrierung eindeutig zuordnen.
- Angaben zu Datenkategorien, Empfängern und Verarbeitungspraktiken mit internen Datenbeständen abstimmen.
- Freigabe- und Qualitätssicherungsprozesse für regulatorische Registermeldungen verbindlich verankern.
4. CISA und Partner: Krisenkommunikation bei IT- und OT-Ausfällen
Anwendbar für: Kritische Infrastrukturen, IT- und OT-Betrieb, Krisenmanagement, Informationssicherheit, Kommunikation, Geschäftsleitung
Relevante Maßnahmen:
- Kommunikationsverantwortung und Freigaben als festen Bestandteil der Cyber- und Krisen-Governance verankern.
- Zielgruppen, Eskalationsschwellen und alternative Kommunikationskanäle für größere Ausfälle festlegen.
- Technische, rechtliche und kommunikative Informationsflüsse während eines Vorfalls aufeinander abstimmen.
5. Australien: Entwurf für nächste Stufe der Privacy-Reform
Anwendbar für: Unternehmen mit Australien-Bezug, Datenschutz, KI-Governance, Wearables, Legal, Data Governance
Relevante Maßnahmen:
- Auswirkungen der geplanten Reformen auf bestehende Datenschutz-Governance und Informationspflichten bewerten.
- Neue Technologierisiken einschließlich KI und Wearables in Datenschutz- und Produktprozesse einordnen.
- Mögliche Anpassungsbedarfe bei Datenverwendung, Transparenz und Betroffenenrechten frühzeitig erfassen.
6. USA: NDO Fairness Act passiert das Repräsentantenhaus
Anwendbar für: Cloud- und Kommunikationsdienste, Datenschutz, Legal, Behördenanfragen, e-Evidence, internationale Unternehmensgruppen
Relevante Maßnahmen:
- Entwicklungen zu verzögerten Benachrichtigungen bei staatlichen Datenzugriffen in der Legal- und Privacy-Governance berücksichtigen.
- Prozesse für behördliche Datenanforderungen und Geheimhaltungsanordnungen auf mögliche Änderungen vorbereiten.
- US-Anforderungen mit konzernweiten Vorgaben für Transparenz, Betroffeneninformation und Behördenkommunikation abstimmen.
7. Europol und Eurojust: Elektronische Beweismittel bleiben grenzüberschreitende Herausforderung
Anwendbar für: Plattform- und Cloudanbieter, Legal, Datenschutz, Law-Enforcement-Response, Compliance, Informationsmanagement
Relevante Maßnahmen:
- Zuständigkeiten und Ressourcen für behördliche Datenanfragen und Notfallersuchen belastbar ausgestalten.
- Prozesse und IT-Systeme auf die Anforderungen des kommenden EU-e-Evidence-Rahmens ausrichten.
- Aufbewahrungs-, Herausgabe- und Eskalationsprozesse für grenzüberschreitende Anfragen konsistent steuern.
8. NIST: Agentic AI braucht belastbare Identitäts- und Berechtigungsstrukturen
Anwendbar für: KI-Governance, IAM, Informationssicherheit, Cloud, Softwareentwicklung, Enterprise Architecture
Relevante Maßnahmen:
- Maschinenidentitäten und Agenten in die bestehende Identity- und Access-Governance einbeziehen.
- Berechtigungen, Delegationen und Vertrauensbeziehungen für autonome Agenten eindeutig steuern.
- Lebenszyklus, Nachvollziehbarkeit und Widerruf von Agentenidentitäten organisatorisch absichern.
9. EBA: Entwurf für ein harmonisiertes Management operationeller Risiken
Anwendbar für: Banken, operationelles Risikomanagement, Risikocontrolling, Compliance, Interne Revision, Geschäftsleitung
Relevante Maßnahmen:
- Governance, Risikomanagementprozess und Bewertungssystem für operationelle Risiken mit den vorgesehenen RTS-Anforderungen abgleichen.
- Risikotaxonomie, Verlustdaten, Reporting und unabhängige Kontrollfunktionen konsistent miteinander verzahnen.
- Proportionalitätsregeln nachvollziehbar in Review-, Reporting- und Validierungsprozessen abbilden.
10. CISA: Red-Team-Erkenntnisse zeigen Schwächen in Erkennung und Reaktion
Anwendbar für: Informationssicherheit, SOC, Cloud Security, OT-Security, Incident Response, Cyber Governance
Relevante Maßnahmen:
- Baselines, Alarmierungslogik und Eskalationswege als Kernelemente der Detection-Governance absichern.
- Verantwortlichkeiten zwischen IT, Cloud, OT und Incident Response klar voneinander abgrenzen und verbinden.
- Red-Team- und Kontrollfeststellungen systematisch in Risiko- und Maßnahmensteuerung überführen.
11. EBA: Überarbeitete RTS zur Einstufung von Wertpapierfirmen als Kreditinstitute
Anwendbar für: Wertpapierfirmen, Bankenaufsicht, Regulatory Reporting, Finance, Compliance, Geschäftsleitung
Relevante Maßnahmen:
- Überwachung der 30-Mrd.-EUR-Schwelle fest in Kapital-, Bilanz- und Melde-Governance verankern.
- Berechnungskreis und einbezogene Einheiten konsistent mit den überarbeiteten CRD-Vorgaben bestimmen.
- Zuständigkeiten für Schwellenüberwachung, Meldungen und mögliche Ausnahmeverfahren eindeutig festlegen.
12. BaFin: Eigene MaRisk für kleine und mittlere Wertpapierinstitute
Anwendbar für: Kleine und mittlere Wertpapierinstitute, Geschäftsleitung, Risikomanagement, Compliance, Interne Revision, Auslagerungsmanagement
Relevante Maßnahmen:
- Governance und Risikomanagement auf den neuen eigenständigen WpI-MaRisk-Rahmen ausrichten.
- Risikoinventur, Kontrollfunktionen und Verantwortlichkeiten entsprechend Größe und Geschäftsmodell ausgestalten.
- Auslagerungen, Interessenkonflikte und interne Kontrollmechanismen in die Umsetzungsplanung für 2027 einbeziehen.
13. BaFin: Rundschreiben zur Verwaltungspraxis im Übernahmerecht
Anwendbar für: Börsennotierte Unternehmen, Banken, Wertpapierfirmen, Corporate Finance, Legal, Compliance, M&A
Relevante Maßnahmen:
- Beteiligungsschwellen und mögliche Kontrollerlangung in M&A- und Beteiligungsprozessen eng überwachen.
- Pflichtangebots-, Zurechnungs- und Befreiungstatbestände frühzeitig in rechtliche und Compliance-Prüfungen einbeziehen.
- Übernahmerechtlich relevante Entscheidungen, Ausnahmen und Behördenkontakte nachvollziehbar dokumentieren.
14. FIU: Rückmeldungen zu Verdachtsmeldungen nach § 41 GwG
Anwendbar für: Verpflichtete nach dem GwG, Geldwäschebeauftragte, KYC, Transaktionsmonitoring, Financial Crime, Compliance
Relevante Maßnahmen:
- FIU-Rückmeldungen systematisch in Qualitätssicherung und Governance des Verdachtsmeldewesens einbeziehen.
- Erkenntnisse zur Relevanz und Qualität abgegebener Meldungen für Risikoanalyse und interne Kontrollprozesse nutzen.
- Verantwortlichkeiten für Auswertung, Eskalation und Umsetzung von Rückmeldungen innerhalb der AML-Funktion festlegen.
Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
Bereits viele Compliance-Beauftragte nutzen unseren kostenlosen Service und erhalten die wichtigsten Neuigkeiten aus den Bereichen Compliance, Geldwäscheprävention, Datenschutz und IT-Sicherheit. Wir geben wöchentlich einen Überblick über die wichtigsten Meldungen und ordnen diese ein.
Möchten Sie täglich auf dem aktuellen Stand sein?
Mit unserer Legal Risk Monitoring Software erhalten Sie Zugriff auf alle Meldungen und können diese nach Relevanz, Art und Bereich filtern. Sie können Zusammenfassungen erstellen und herunterladen. Sprechen Sie uns an.
Kontaktieren Sie uns für ein kostenfreies Erstberatungsgespräch.
Wir wünschen Ihnen eine erfolgreiche Woche.
Ihr Team von Riscreen