Die beiden Kalenderwochen zeigen eine auffällige Verbindung zwischen regulatorischer Konkretisierung und technischer Resilienz. Während AMLA, ESMA und IOSCO Kooperation, Marktinfrastruktur und Risikosteuerung weiterentwickeln, werden Software-Lieferketten, Post-Quanten-Kryptografie und digitale Forensik zunehmend zu konkreten Governance-Themen. Hinzu kommen neue Vorgaben im deutschen Außenwirtschafts- und Cyberresilienzrecht.
Damit verlagert sich der Blick stärker auf die Frage, ob regulatorische Anforderungen auch technisch, organisatorisch und über komplexe Liefer- und Informationsketten hinweg belastbar umgesetzt werden können.
1. ENISA: Technical Advisory zur Einführung von Software Bills of Materials
Anwendbar für: Softwarehersteller, Hersteller digitaler Produkte, Informationssicherheit, Software Supply Chain, CRA, Produktentwicklung
Relevante Maßnahmen:
- SBOM-Prozesse über einen definierten Lebenszyklus von Erstellung, Austausch, Aktualisierung und Nutzung in die Software-Governance integrieren.
- Risiken des SBOM-Ökosystems einschließlich Manipulation, unvollständiger Daten und ungeklärter Vertrauensbeziehungen in Sicherheitsmodelle aufnehmen.
- SBOM-Daten gezielt mit Schwachstellenmanagement, Komponentenüberwachung und Secure-by-Design-Prozessen verbinden.
2. AMLA und OLAF: Vereinbarung zur engeren Zusammenarbeit bei Finanzkriminalität
Anwendbar für: FIUs, AML/CFT-Aufsicht, Banken, Finanzdienstleister, Compliance, Geldwäscheprävention, Fraud Management
Relevante Maßnahmen:
- Schnittstellen zwischen Geldwäsche-, Betrugs- und Korruptionsrisiken stärker in übergreifenden Financial-Crime-Risikomodellen abbilden.
- Informationen zu Mustern, Trends und Risikoindikatoren aus unterschiedlichen Ermittlungs- und Aufsichtskontexten konsistenter zusammenführen.
- Bezüge zwischen verdächtigen Finanzströmen und Betrug zulasten von EU-Mitteln stärker in Analyse- und Eskalationsprozessen berücksichtigen.
3. ESMA: Final Report zu Post-Trade-Risk-Reduction-Dienstleistungen nach EMIR 3
Anwendbar für: Banken, Derivatehändler, Clearingmitglieder, PTRR-Anbieter, Risikomanagement, EMIR-Compliance
Relevante Maßnahmen:
- Nutzung von Ausnahmen von der Clearingpflicht an klar definierte Voraussetzungen für zulässige PTRR-Dienstleistungen koppeln.
- Informationspflichten, Kontrollmechanismen und Aufzeichnungen für Portfolio-Kompression und andere PTRR-Verfahren konsistent ausgestalten.
- Überwachung der Clearingausnahme so in die Governance integrieren, dass Umgehungen der EMIR-Clearingpflicht erkennbar bleiben.
4. Deutschland: Bundestag beschließt CRA-Durchführungsgesetz
Anwendbar für: Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, Softwareanbieter, Produkt-Compliance, Informationssicherheit
Relevante Maßnahmen:
- Zuständigkeit des BSI als deutsche Marktüberwachungs- und notifizierende Behörde in CRA-Governance und Behördenkommunikation berücksichtigen.
- Deutsche Zuständigkeiten für Marktüberwachung, Konformitätsbewertung und Bußgeldverfahren ergänzend zu den unmittelbar geltenden CRA-Pflichten in die Compliance-Governance einordnen.
- CRA-Umsetzung organisatorisch klar zwischen europäischen Produktpflichten und nationalen Aufsichts- und Verfahrensanforderungen trennen.
5. Außenwirtschaftsrecht: Ausfuhrliste und AWV aktualisiert
Anwendbar für: Exportkontrolle, Industrie, Rüstungs- und Dual-Use-Unternehmen, Trade Compliance, Einkauf, Vertrieb
Relevante Maßnahmen:
- Güterklassifizierungen mit der neu gefassten Ausfuhrliste abgleichen und Änderungen betroffener Listennummern nachvollziehbar dokumentieren.
- Anpassungen der Bußgeldtatbestände und sanktionsbezogenen Vorschriften in Kontroll-, Freigabe- und Eskalationsprozesse übernehmen.
- Produktstammdaten und Exportkontrolllogiken insbesondere bei neu aufgenommenen oder gestrichenen Listenpositionen aktualisieren.
6. ESMA: Überarbeitete Leitlinien zur verzögerten Veröffentlichung von Insiderinformationen
Anwendbar für: Börsennotierte Emittenten, Investor Relations, Compliance, Legal, Market Abuse, Geschäftsleitung
Relevante Maßnahmen:
- Entscheidungslogiken für den Aufschub von Insiderinformationen an die überarbeiteten legitimen Interessen nach MAR anpassen.
- Fälle wie behördlich verlangte Nichtveröffentlichung, notwendige Zusatzinformationen und sensible Geschäftschancen in interne Bewertungsmodelle aufnehmen.
- Dokumentation von Aufschubentscheidungen an das geänderte Offenlegungsregime für mehrstufige Prozesse anpassen.
7. Europol: Gap Analysis zu digitalen forensischen Fähigkeiten in Europa
Anwendbar für: Strafverfolgungsbehörden, digitale Forensik, Cybercrime, Informationssicherheit, öffentliche Verwaltung, Legal
Relevante Maßnahmen:
- Interoperabilität und Standardisierung forensischer Werkzeuge stärker als Voraussetzung für grenzüberschreitende digitale Ermittlungen berücksichtigen.
- Cloud-, IoT- und Fahrzeugforensik als eigenständige Kompetenz- und Technologiebedarfe in strategischen Entwicklungsmodellen verankern.
- Einsatz von KI in der digitalen Forensik mit rechtlichen Anforderungen, Datenintegrität und nachvollziehbarer Beweisführung verbinden.
8. ASD Australien : Essential Eight wird zu breiterem Cyberresilienz-Rahmen weiterentwickelt
Anwendbar für: Unternehmen mit Australien-Bezug, kritische Infrastrukturen, Informationssicherheit, OT, Cloud, Cyber Risk
Relevante Maßnahmen:
- Bestehende Essential-Eight-Kontrollen mit den neuen Bereichen Enterprise IT, OT und Cloud zu einem breiteren Resilienzmodell weiterentwickeln.
- Sicherheitsmaßnahmen stärker nach Technologieumgebung, Bedrohungslage und betrieblicher Kritikalität differenzieren.
- Bestehende regulatorische Anforderungen während des Übergangs weiterhin von den neuen ASD-Empfehlungen getrennt steuern.
9. NCSC UK: TLS-Leitlinie um Post-Quanten-Kryptografie erweitert
Anwendbar für: Informationssicherheit, Systemadministration, PKI, Cloud, Netzwerkarchitektur, Kryptografie
Relevante Maßnahmen:
- Migration von TLS 1.2 auf TLS 1.3 als Voraussetzung für die schrittweise Einführung post-quantenresistenter Verfahren planen.
- Hybridverfahren aus klassischen und Post-Quantum-Algorithmen in Crypto-Agility- und Migrationsstrategien berücksichtigen.
- Veraltete TLS- und SSL-Versionen sowie unsichere Protokollfunktionen konsequent aus der technischen Architektur entfernen.
10. ESMA: Europäische Enforcement-Prioritäten für die Unternehmensberichterstattung 2026
Anwendbar für: Börsennotierte Unternehmen, Rechnungslegung, Nachhaltigkeitsberichterstattung, Investor Relations, Wirtschaftsprüfung, Compliance
Relevante Maßnahmen:
- Geopolitische Unsicherheiten sowie Restrukturierungen und Schuldenrestrukturierungen gezielt in IFRS-Bewertungen und Angaben berücksichtigen.
- Wesentlichkeitsbeurteilung und Zusammenhang zwischen Auswirkungen, Risiken, Chancen, Maßnahmen und Kennzahlen in der ESRS-Berichterstattung stärken.
- Wiederkehrende ESEF-Fehler insbesondere bei der digitalen Kennzeichnung der Eigenkapitalveränderungsrechnung in Reporting-Kontrollen aufnehmen.
11. ESAs: Gemeinsames Arbeitsprogramm und Aufsichtsprioritäten für 2027
Anwendbar für: Banken, Versicherer, Wertpapierunternehmen, DORA, Sustainable Finance, Verbraucherschutz, Compliance
Relevante Maßnahmen:
- DORA-Aufsicht über kritische IKT-Drittdienstleister und Cyberresilienz als sektorübergreifende Priorität in die Planung für 2027 übernehmen.
- Auswirkungen von KI und weiteren technologischen Innovationen gemeinsam mit Verbraucher- und Finanzstabilitätsrisiken bewerten.
- Entwicklungen bei Sustainable Finance, Verbriefungen und sektorübergreifenden Risiken in einer gemeinsamen regulatorischen Roadmap abbilden.
12. CPMI und IOSCO: Final Report zum Management allgemeiner Geschäftsrisiken bei Finanzmarktinfrastrukturen
Anwendbar für: CCPs, CSDs, Zahlungs- und Abwicklungssysteme, Marktinfrastrukturen, Risikomanagement, Recovery & Resolution, Governance
Relevante Maßnahmen:
- Allgemeine Geschäftsrisiken systematisch identifizieren, überwachen und in die laufende Risikosteuerung von Finanzmarktinfrastrukturen integrieren.
- Mindestbestand an liquiden, durch Eigenkapital finanzierten Nettovermögenswerten zur Abdeckung potenzieller Geschäftsverluste nachvollziehbar bestimmen und vorhalten.
- Governance, Transparenz sowie Recovery- und geordnete Abwicklungsplanung stärker mit der Steuerung allgemeiner Geschäftsrisiken verzahnen.
13. BSI: Nationale Leitlinie zur Migration auf Post-Quanten-Kryptografie
Anwendbar für: Öffentliche Verwaltung, KRITIS, Unternehmen, Informationssicherheit, Kryptografie, IT-Architektur
Relevante Maßnahmen:
- Kryptografische Abhängigkeiten und besonders gefährdete Anwendungsfälle systematisch erfassen und nach Migrationspriorität ordnen.
- Hochrisiko-Anwendungen auf eine Umstellung bis spätestens Ende 2030 ausrichten und langfristige Migrationspläne bis 2035 entwickeln.
- Verantwortlichkeiten, Lieferantenabhängigkeiten und Crypto-Agility verbindlich in die PQC-Governance und das Risikomanagement integrieren.
Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
Bereits viele Compliance-Beauftragte nutzen unseren kostenlosen Service und erhalten die wichtigsten Neuigkeiten aus den Bereichen Compliance, Geldwäscheprävention, Datenschutz und IT-Sicherheit. Wir geben wöchentlich einen Überblick über die wichtigsten Meldungen und ordnen diese ein.
Möchten Sie täglich auf dem aktuellen Stand sein?
Mit unserer Legal Risk Monitoring Software erhalten Sie Zugriff auf alle Meldungen und können diese nach Relevanz, Art und Bereich filtern. Sie können Zusammenfassungen erstellen und herunterladen. Sprechen Sie uns an.
Kontaktieren Sie uns für ein kostenfreies Erstberatungsgespräch.
Wir wünschen Ihnen eine erfolgreiche Woche.
Ihr Team von Riscreen