Spaniens Finanzsektor steht in den Jahren 2025–2026 vor der dichtesten regulatorischen Periode seit zwei Jahrzehnten. Die Kombination von DORA, NIS2, der neuen europäischen Geldwäschebekämpfungsarchitektur, MiCA für Krypto-Assets, ESG-Anforderungen nach CSRD und dem bevorstehenden PSD3 schafft eine Compliance-Landschaft von beispielloser Komplexität und Reichweite. Dieser Leitfaden analysiert die wichtigsten Herausforderungen und ihre praktischen Implikationen für Kreditinstitute, Wertpapierfirmen, Fondsmanager, Zahlungsdienstleister, Versicherer und Krypto-Asset-Unternehmen.
DORA: Die Revolution der Digitalen Operationalen Resilienz
DORA (Digital Operational Resilience Act, Verordnung EU 2022/2554) trat am 17. Januar 2025 vollständig in Kraft. Ihr Ziel ist es sicherzustellen, dass der europäische Finanzsektor schwerwiegende IKT-bedingte Betriebsstörungen widerstehen, darauf reagieren und sich davon erholen kann.
Der Anwendungsbereich ist außergewöhnlich breit: Kreditinstitute, Wertpapierfirmen, Fondsmanager, Versicherer, Handelsplätze, zentrale Gegenparteien, MiCA-Krypto-Asset-Dienstleister, E-Geld-Institute und Zahlungsdienstleister. Kritische IKT-Drittanbieter unterliegen der direkten Aufsicht durch die Europäischen Aufsichtsbehörden (ESAs).
DORAs fünf Säulen erfordern: einen IKT-Risikogovernancerahmen mit ausdrücklicher Vorstandsverantwortlichkeit; ein System zur Klassifizierung und Meldung schwerwiegender IKT-Vorfälle (4-Stunden-Erstmeldung, 72-Stunden-Zwischenbericht, Abschlussbericht nach einem Monat); regelmäßige Resilienztests einschließlich erweiterter bedrohungsgesteuerter Penetrationstests (TLPT) alle drei Jahre; rigoroses Drittanbieter-IKT-Risikomanagement mit obligatorischen Vertragsklauseln; und Austausch von Cyber-Bedrohungsinformationen zwischen Instituten.
NIS2 und Seine Interaktion mit DORA
NIS2, in Spanien umgesetzt, legt Sicherheitsanforderungen für wesentliche und wichtige Einrichtungen in kritischen Sektoren fest. Für Finanzinstitute fungiert DORA als lex specialis und verdrängt NIS2 für Netz- und Informationssicherheitszwecke. Einrichtungen müssen jedoch von Fall zu Fall überprüfen, ob ihre DORA-Abdeckung vollständig ist, da Lücken je nach Tätigkeitsart und zuständiger Aufsichtsbehörde bestehen können.
NIS2-Sanktionen für wesentliche Einrichtungen erreichen bis zu 10 Millionen Euro oder 2% des globalen Umsatzes, während DORA Bußgelder von bis zu 1% des durchschnittlichen Tagesumsatzes pro Tag der Nichteinhaltung vorsieht — was bei anhaltender Nichteinhaltung ein erhebliches finanzielles Risiko schafft.
Die Neue Europäische Geldwäschebekämpfungsarchitektur: 6. Richtlinie und AMLA
Der Rahmen zur Bekämpfung der Geldwäsche durchläuft seine tiefgreifendste Reform seit 2015. Das im Mai 2024 verabschiedete Legislativpaket — Richtlinie 2024/1640 (6. Geldwäscherichtlinie), Verordnung 2024/1624 (Geldwäscheverordnung) und Verordnung 2024/1620 (AMLA) — schafft eine neue EU-Behörde zur Bekämpfung der Geldwäsche (AMLA) mit Sitz in Frankfurt und direkten Aufsichtsbefugnissen über die Hochrisiko-Finanzinstitute in der EU.
Praktische Implikationen für Finanzinstitute umfassen: Aktualisierung der Kundenidentifizierungsrichtlinien mit der neuen 15%-Schwelle für wirtschaftlich Berechtigte; Erweiterung des Kreises der Verpflichteten auf MiCA-CASPs; harmonisierte Mindestanforderungen an die Mitarbeiterschulung; neue harmonisierte EU-weite Mindestsanktionsschwellen; und Vorbereitung auf eine mögliche direkte AMLA-Aufsicht für Institute mit hohem Risikoprofil.
MiCA: Der Neue Regulatorische Rahmen für Krypto-Assets
MiCA gilt seit Dezember 2024 vollständig in der EU und legt erstmals einen harmonisierten Regulierungsrahmen für Krypto-Asset-Märkte fest. In Spanien tätige CASPs müssen eine CNMV-Genehmigung einholen oder einen EU-Pass eines anderen Mitgliedstaats nachweisen.
Wesentliche Anforderungen — Mindestkapital von 50.000 bis 150.000 Euro je nach Dienstleistungsart, Segregation von Kundenvermögen, White-Paper-Pflichten und Geldwäschebekämpfungsbezeichnung als neu verpflichtete Einrichtungen — stellen erhebliche Belastungen für den Sektor dar. Unternehmen, die im vorherigen regulatorischen Vakuum tätig waren, müssen ihre Geschäftsmodelle angepasst haben oder sind mit einer Einstellung ihrer Tätigkeit konfrontiert.
ESG-Berichterstattung: Nachhaltigkeit als Regulatorische Pflicht
Die CSRD erweitert schrittweise den Kreis der zur Berichterstattung über Nachhaltigkeitsinformationen nach ESRS-Standards verpflichteten Einrichtungen. Finanzinstitute mit mehr als 250 Mitarbeitern unterliegen ab dem Geschäftsjahr 2025.
Für den Finanzsektor hat die ESG-Pflicht eine doppelte Dimension: als Einrichtungen, die ihre eigene Nachhaltigkeitsleistung nach ESRS berichten, und als Kapitalallokierer, die Investitionen in nach der Europäischen Taxonomie klassifizierte Tätigkeiten lenken. Die SFDR-Verordnung fügt produktbezogene Nachhaltigkeitsoffenlegungspflichten für Vermögensverwalter hinzu.
Greenwashing-Risiko — Fehlerdarstellung der Nachhaltigkeitsmerkmale eines Finanzprodukts — unterliegt zunehmend der Aufsichtsüberprüfung durch ESMA und nationale zuständige Behörden.
PSD3 und die Zukunft des Zahlungsverkehrs
PSD3 und die neue Zahlungsdienstleistungsverordnung (PSR) befinden sich im EU-Gesetzgebungsprozess mit Umsetzungsziel 2027. Wesentliche Änderungen umfassen verstärkte starke Kundenauthentifizierung, geteilte Betrugs-Haftungsregeln, direkter Zahlungssystemzugang für Nicht-Banken und ein leistungsfähigerer Open-Banking-Rahmen. PSD2-zugelassene Zahlungsinstitute sollten jetzt mit der Lückenanalyse beginnen, um Anpassungen im Voraus zu planen.
Compliance-Funktions-Fahrplan für 2025–2026
Eine effiziente Reaktion auf diese Regulierungsagenda erfordert eine Compliance-Funktion, die in der Lage ist, mehrere Rahmenwerke gleichzeitig zu verwalten. Prioritäten umfassen: Abschluss der DORA-Implementierung; Überarbeitung der AML-Richtlinien für die neue Verordnung 2024/1624; Einholung der MiCA-Genehmigung falls zutreffend; Vorbereitung des ersten CSRD-Berichts; und Überwachung des PSD3/PSR-Fortschritts für frühzeitige Planung.
Die Integration aller Compliance-Rahmenwerke in eine einheitliche Risikomanagementfunktion — anstatt in separate regulatorische Silos — durch eine Regulierungskarte, einen funktionsübergreifenden Compliance-Ausschuss, differenzierte Schulung nach Expositionsniveau und proaktive Aufsichtsbeziehungen ist der Schlüssel zu Effizienz und Reaktionsfähigkeit in einem Umfeld beschleunigten regulatorischen Wandels.
