Glossar
Compliance-Begriffe, kurz erklärt.
Definitionen für regulatorische Begriffe, die in EU-Frameworks tatsächlich vorkommen. Jeder Eintrag liefert eine Kurzantwort, eine quellengestützte Erklärung und Querverweise auf das passende Framework.
DORA
DORA Art. 28 — ICT-Drittparteienregister
Das ICT-Drittparteienregister nach Art. 28 der DORA-Verordnung (EU) 2022/2554 ist ein verpflichtendes Verzeichnis aller IKT-Dienstleister, das jedes betroffene Finanzinstitut führen und einmal jährlich zum 31. März an die zuständige Aufsichtsbehörde übermitteln muss. Es dokumentiert pro Anbieter mindestens: Identifikation, Dienstleistungsart, Kritikalitätsbewertung, Vertragsdatum, Sub-Outsourcing-Kette und Datenverarbeitungsstandort.
LesenInformationsregister (DORA Register of Information)
Das Informationsregister ist das nach DORA (Verordnung (EU) 2022/2554, Art. 28 Abs. 3) zu führende Verzeichnis aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen durch IKT-Drittdienstleister — geführt auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene. Die Meldevorlagen sind in der Durchführungsverordnung (EU) 2024/2956 festgelegt; eine erste Erhebung der Register durch die Aufsicht fand im Frühjahr 2025 statt.
LesenTLPT — Threat-Led Penetration Testing (DORA)
TLPT ist die fortgeschrittene, bedrohungsorientierte Penetrationstest-Pflicht unter DORA (Verordnung (EU) 2022/2554, Art. 26–27): Von der Aufsicht identifizierte Finanzunternehmen müssen mindestens alle drei Jahre einen realitätsnahen Angriffstest auf ihre kritischen Live-Systeme durchführen lassen. Das Verfahren beruht auf dem TIBER-EU-Rahmen; die Detailregeln stehen in der Delegierten Verordnung (EU) 2025/1190.
Lesen
Nachhaltigkeit / CSRD
Doppelte Wesentlichkeit (Double Materiality)
Doppelte Wesentlichkeit ist das Kernprinzip der CSRD-Berichterstattung: Ein Nachhaltigkeitsthema ist zu berichten, wenn es aus der Wirkungsperspektive (die Auswirkungen des Unternehmens auf Mensch und Umwelt, Innen-nach-außen) oder aus der finanziellen Perspektive (wie das Thema Lage und Ergebnis des Unternehmens beeinflusst, Außen-nach-innen) wesentlich ist — eine der beiden Sichten genügt. Rechtsgrundlage ist die CSRD (Richtlinie (EU) 2022/2464), operationalisiert in ESRS 1.
LesenESRS — European Sustainability Reporting Standards
Die ESRS sind die Standards, nach denen Unternehmen unter der CSRD über Nachhaltigkeit berichten. Das erste Set wurde als Delegierte Verordnung (EU) 2023/2772 (angenommen am 31. Juli 2023) erlassen und umfasst zwölf Standards: zwei übergreifende (ESRS 1, ESRS 2), fünf Umwelt- (E1–E5), vier Sozial- (S1–S4) und einen Governance-Standard (G1). Sie bauen auf der doppelten Wesentlichkeit auf. Nach dem Omnibus-Paket wird derzeit ein verschlankter, überarbeiteter Satz entwickelt — Stand 2. Juni 2026 noch im Entwurf.
Lesen
Banken / Aufsicht
ICAAP — Internal Capital Adequacy Assessment Process
Der ICAAP ist der bankinterne Prozess, mit dem ein Institut laufend ermittelt und sicherstellt, dass sein internes Kapital ausreicht, um alle wesentlichen Risiken abzudecken, denen es ausgesetzt ist oder sein könnte. Rechtsgrundlage ist Art. 73 der Eigenkapitalrichtlinie CRD (Richtlinie 2013/36/EU). Die EZB erwartet zwei Perspektiven — eine normative (mehrjährig, regulatorisch) und eine ökonomische — und der ICAAP fließt direkt in den SREP und damit in die Festsetzung von P2R und P2G ein.
LesenOutput-Floor (CRR III / Basel III)
Der Output-Floor ist das Kernstück der EU-Umsetzung der Basel-III-Finalisierung. Er begrenzt den Kapitalvorteil interner Modelle, indem er die risikogewichteten Aktiva einer Bank auf mindestens 72,5 % des Werts nach den Standardansätzen anhebt. Rechtsgrundlage ist CRR III (Verordnung (EU) 2024/1623); der Floor wird ab dem 1. Januar 2025 (Start bei 50 %) schrittweise eingeführt und erreicht 2030 die vollen 72,5 %.
LesenP2R & P2G — Säule-2-Anforderung und -Empfehlung
P2R und P2G sind die kapitalbezogenen Ergebnisse des aufsichtlichen SREP für Banken. Die Säule-2-Anforderung (P2R) ist ein verbindlicher, institutsindividueller Eigenmittelaufschlag über die Säule-1-Mindestanforderungen hinaus (Art. 104a CRD). Die Säule-2-Empfehlung (P2G) ist eine nicht verbindliche aufsichtliche Erwartung eines zusätzlichen Puffers oberhalb der bindenden Anforderungen (Art. 104b CRD). Die Verletzung der P2R kann über die kombinierte Pufferanforderung Ausschüttungsbeschränkungen (MDA) auslösen; ein Unterschreiten der P2G nicht automatisch.
LesenSREP — Supervisory Review and Evaluation Process
Der SREP ist der Prozess, mit dem die Bankenaufsicht regelmäßig Geschäftsmodell, Governance, Kapital und Liquidität jeder Bank bewertet und daraus entscheidet, ob zusätzliche Eigenmittel oder andere Maßnahmen aufzuerlegen sind. Rechtsgrundlage sind Art. 97 und 104 der Eigenkapitalrichtlinie CRD (Richtlinie 2013/36/EU); die Methodik harmonisieren die EBA-Leitlinien EBA/GL/2022/03. Wesentliches Ergebnis sind die Pillar-2-Anforderung (P2R, bindend) und die Pillar-2-Empfehlung (P2G, nicht bindend).
Lesen
Zahlungsdienste / PSD2
SCA — Starke Kundenauthentifizierung
Starke Kundenauthentifizierung (SCA) ist die von PSD2 (Artikel 97 der Richtlinie (EU) 2015/2366) verlangte Mehr-Faktor-Authentifizierung für elektronische Zahlungen und den Online-Zugriff auf Zahlungskonten. Sie beruht auf mindestens zwei von drei voneinander unabhängigen Elementen — Wissen (etwas, das nur der Nutzer weiß), Besitz (etwas, das nur der Nutzer hat) und Inhärenz (etwas, das der Nutzer ist). Die technischen Details — dynamische Verknüpfung, Ausnahmen und die sichere Kommunikation mit Drittdienstleistern — stehen in der SCA-RTS (Delegierte Verordnung (EU) 2018/389), anwendbar seit dem 14. September 2019.
LesenOpen Banking / XS2A
Open Banking bezeichnet den durch PSD2 (Richtlinie (EU) 2015/2366) geschaffenen regulierten Zugang Dritter zu Zahlungskonten — „access to the account“ (XS2A). Mit Einwilligung des Kunden müssen kontoführende Banken (ASPSPs) lizenzierten Zahlungsauslösediensten (PISPs, Art. 66) und Kontoinformationsdiensten (AISPs, Art. 67) Zugang gewähren. Die sichere Schnittstelle (dedizierte API plus Fallback) und die starke Kundenauthentifizierung regelt die SCA-RTS (Delegierte Verordnung (EU) 2018/389). Die vorgeschlagene PSD3/PSR würde den API-Zugang verbessern; die vorgeschlagene FIDA-Verordnung würde das Prinzip über Zahlungskonten hinaus auf „Open Finance“ ausweiten — beide sind noch nicht Gesetz.
Lesen