umwelt-online: Bundesrat 070/18: Mitteilung der Kommission an das Europäische Parlament, den Rat, die Europäische Zentralbank, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen: FinTech-Aktionsplan - Für einen wettbewerbsfähigeren und innovativeren EU-Finanzsektor COM (2018) 109 final

Der Bundesrat wird über die Vorlage gemäß § 2 EUZBLG auch durch die Bundesregierung unterrichtet.

Hinweis: vgl.
Drucksache 340/12 (PDF) = AE-Nr. 120403,
Drucksache 212/15 (PDF) = AE-Nr. 150306,
Drucksache 245/17 (PDF) = AE-Nr. 170318,
Drucksache 492/17 (PDF) = AE-Nr. 170559 und
Drucksache 654/17 (PDF) = AE-Nr. 170895 Europäische Kommission

Brüssel, den 8.3.2018 COM (2018) 109 final

Einführung

FinTech - technologiegestützte Innovationen im Finanzdienstleistungsbereich - haben sich in den letzten Jahren rasant entwickelt und beeinflussen die Art und Weise, wie Finanzdienstleistungen produziert und erbracht werden. FinTech1 sitzen an der Schnittstelle zwischen Finanzdienstleistungen und digitalem Binnenmarkt. Der Finanzsektor ist der größte Nutzer digitaler Technologien und eine maßgebliche Triebkraft des digitalen Wandels in Wirtschaft und Gesellschaft. Zwischen der Strategie der Kommission für einen digitalen Binnenmarkt 2, der EU-Cybersicherheitsstrategie 3 " der eIDAS-Verordnung 4 und den Initiativen im Finanzdienstleistungsbereich wie dem Aktionsplan "Finanzdienstleistungen für Verbraucher" 5 und der Halbzeitüberprüfung der Kapitalmarktunion 6 bestehen bedeutende Synergien.

Auch wenn Innovationen im Finanzbereich nichts Neues sind, haben sich die Investitionen in Technologie und das Tempo der Innovationen doch erheblich beschleunigt. FinTech-Lösungen, bei denen digitale Identifizierung, mobile Anwendungen, Cloud-Computing, Big-Data-Analysen, künstliche Intelligenz, Blockchain-Technologie und Distributed-Ledger-Technologie zum Einsatz kommen, werden zur Marktwirklichkeit. Neue Technologien verändern die Finanzbranche und die Art und Weise, wie Verbraucher und Unternehmen Dienstleistungen in Anspruch nehmen, und eröffnen so die Möglichkeit, dass FinTech-Lösungen den Finanzierungszugang und die finanzielle Inklusion digital vernetzter Bürger verbessern. Sie geben dem Kunden das Heft in die Hand, fördern die operative Effizienz und machen die EU-Wirtschaft noch wettbewerbsfähiger. Auch für die Kapitalmarktunion spielen FinTech eine wichtige Rolle. Sie können dazu beitragen, die EU-Kapitalmärkte zu vertiefen und zu verbreitern, indem sie die Digitalisierung nutzen, um Geschäftsmodelle durch datengetriebene Lösungen zu verändern, etwa in der Vermögensverwaltung, der Investitionsvermittlung und dem Produktvertrieb.7

Auch bei der Erfüllung von Regulierungsauflagen und bei der Aufsicht bringen FinTech neue Chancen und Herausforderungen mit sich. Durch sie kann das Compliance- und Meldewesen vereinfacht, verschlankt und automatisiert und die Aufsicht verbessert werden. Dienstleister könnten beaufsichtigten Unternehmen FinTechgestützte Compliance-Dienste anbieten. Die beaufsichtigten Unternehmen bleiben jedoch für die Erfüllung ihrer Pflichten selbst verantwortlich. So dürfen etwa Unternehmen, die im Rahmen ihrer Sorgfaltspflicht nach der Geldwäscheverordnung Kundenkontrollen durchführen müssen, die Verantwortung für die Erfüllung dieser Auflagen nicht an externe Dienstleister weitergeben.

Auch im Hinblick auf Cyberrisiken oder bestimmte Aspekte des Daten-, Verbraucher- und Anlegerschutzes sowie der Marktintegrität bringen FinTech Herausforderungen mit sich. Die Datenschutz-Grundverordnung und die Geldwäscherichtlinie enthalten grundlegende Garantien für den Schutz personenbezogener Daten und die Integrität des EU-Finanzsystems gegenüber Geldwäsche und Terrorismusfinanzierung. Ein technologiefähiger EU-Finanzmarkt setzt voraus, dass diese grundlegenden Garantien vollumfänglich erfüllt werden. Cyberrisiken untergraben das Vertrauen und gefährden die Stabilität des Finanzsystems. Die regelmäßig vorkommenden Sicherheitsverletzungen8 unterstreichen, dass Cyberangriffe mehr und mehr zum Problem werden. Um etwaige Negativfolgen für den Finanzsektor und seine Kunden abzuwenden bzw. abzumildern, sollte entschieden gegen solche Angriffe vorgegangen werden. Die Abwehrkraft des Finanzsektors gegen Cyberangriffe zu stärken, ist von überragender Bedeutung, um sicherzustellen, dass der Finanzsektor EU-weit gut geschützt ist, Finanzdienstleistungen in der gesamten EU wirksam und reibungslos erbracht werden können und das Vertrauen der Verbraucher und Märkte erhalten bleibt.

Der Regulierungs- und Aufsichtsrahmen der EU sollte den im EU-Binnenmarkt tätigen Unternehmen die Möglichkeit geben, Finanzinnovationen zu nutzen und ihren Kunden die geeignetsten und niedrigschwelligsten Produkte anzubieten. Ein solcher Rahmen sollte auch ein hohes Schutzniveau für Verbraucher und Anleger sicherstellen und die Abwehrkraft und Integrität des Finanzsystems gewährleisten. Schon bei der Überarbeitung der Zahlungsdienste-Richtlinie 9 sowie der Richtlinie und der Verordnung über Märkte für Finanzinstrumente10 ging es im Kern um die Vorteile technologischer Innovationen.

Technologische Innovationen haben neue Geldanlageformen wie Kryptoanlagen hervorgebracht. Solche Kryptoanlagen und die zugrunde liegende Blockchain-Technologie sind für die Finanzmärkte und -infrastrukturen durchaus verheißungsvoll. Ihre Nutzung birgt aber auch Risiken, wie die starken Wertschwankungen von Kryptoanlagen, die Betrugsfälle und die operativen Schwächen und Verwundbarkeiten an Kryptobörsen gezeigt haben. Auf EU-Ebene wurden bereits Maßnahmen ergriffen, um einige spezifische Risiken anzugehen. Im Bericht der Kommission über die Bewertung der Risiken der Geldwäsche und der Terrorismusfinanzierung11 wurde die Gefährdung und Anfälligkeit von virtuellen Währungen für Geldwäsche und Terrorismusfinanzierung als erheblich bis sehr erheblich eingestuft. Im Dezember 2017 einigten sich die europäischen Gesetzgeber darauf, den Anwendungsbereich der Geldwäscherichtlinie12 auf Umtausch-Plattformen für virtuelle Währungen und Anbieter elektronischer Geldbörsen auszuweiten. Die Europäischen Aufsichtsbehörden (ESA) haben bereits vor dem spekulativen Marktumfeld bei virtuellen Währungen und anderen Risiken von Kryptoanlagen gewarnt.13 Bei allen Warnungen wird darauf hingewiesen, dass Kryptoanlagen mit hohen Risiken verbunden sind und die Anleger aufgrund der starken Wertschwankungen, aber auch wegen der mangelnden Markttransparenz und -integrität sowie der operativen Schwächen und Anfälligkeiten von Kryptoanlage-Dienstleistungen und -Handelsplätzen erhebliche Verluste erleiden können.

In ihrer jüngsten Initiative zur Überprüfung des EU-Aufsichtsrahmens 14 regte die Kommission an, dass die Europäischen Aufsichtsbehörden FinTech bei all ihren Tätigkeiten systematisch berücksichtigen sollten. Die im Mai 2018 in Kraft tretende Datenschutz-Grundverordnung (GDPR) ist für die richtige Nutzung innovativer datengetriebener Finanzdienstleistungen ebenfalls von entscheidender Bedeutung15, ebenso wie der Vorschlag für eine Verordnung über einen Rahmen für den freien Verkehr nicht personenbezogener Daten in der EU16, mit dem sichergestellt werden soll, dass nicht personenbezogene Daten im gesamten Binnenmarkt frei zirkulieren können. Darüber hinaus bietet die in der eIDAS-Verordnung vorgesehene grenzüberschreitende Anerkennung elektronischer Identifizierungsmittel Garantien und mindert die Risiken neuer Technologien, während sie gleichzeitig die Erfüllung der im Rahmen der Geldwäschebekämpfung bestehenden Sorgfaltspflichten in Bezug auf Kundenkontrollen und eine starke Authentifizierung der beteiligten Parteien im digitalen Umfeld ermöglicht.

FinTech sind auch auf internationaler Ebene eine Priorität, z.B. für die G20. Die Kommission ist im Rat für Finanzstabilität (Financial Stability Board) und in anderen internationalen Foren an den politischen Diskussionen beteiligt. Immer mehr Rechtsräume haben Regulierungs- und Aufsichtsrahmen entwickelt, um auf bestimmte Formen der FinTech-Innovation zu reagieren. Außerhalb Europas haben sich die Regulierungsbehörden bislang vor allem auf Zahlungsinstrumente und -dienste sowie alternative Finanzierungsformen wie Crowdfunding und Peerto-Peer-Kredite konzentriert. Um einen stärkeren Austausch mit den FinTech-Entwicklern zu ermöglichen, haben die Aufsichtsbehörden einiger Länder (z.B. Australien, Kanada, Vereinigte Staaten, Hongkong, Singapur und Japan) FinTech-Plattformen eingerichtet. Manche Behörden haben auch Erprobungszonen für innovative Unternehmen ("regulatorische Sandkästen") geschaffen (z.B. Australien, Hongkong, Singapur und Kanada).

Ziel der Kommission ist es, dem Ruf des Europäischen Parlaments17 und des Europäischen Rates 18 nach einem zukunftsorientierteren Regelungsrahmen gerecht zu werden, der die Digitalisierung aufgreift und ein Umfeld schafft, in dem innovative FinTech-Produkte und - Lösungen rasch in der gesamten EU eingeführt werden und so von den Größenvorteilen des Binnenmarkts profitieren können, ohne dass die Finanzstabilität oder der Verbraucher- und Anlegerschutz beeinträchtigt werden.

Nach den Ergebnissen der im Zeitraum März bis Juni 2017 durchgeführten öffentlichen Konsultation19 und mit Blick auf die bereits vorgelegten Initiativen gibt es aus Sicht der Kommission gegenwärtig nur begrenzte Argumente für umfassende gesetzgeberische oder regulatorische Maßnahmen oder Reformen auf EU-Ebene. Verschiedene gezielte Initiativen, die die EU in die Lage versetzen, die Digitalisierung im Finanzsektor aufzugreifen, sind jedoch gerechtfertigt.

1. Innovativen GESCHÄFTSMODELLEN eine EU-WEITE EXPANSION ERMÖGLICHEN

1.1. Innovativen Geschäftsmodellen durch klare und konsistente Zulassungsregeln eine EU-weite Expansion ermöglichen

Im Finanzsektor werden Unternehmen auf Basis ihrer Tätigkeiten, Dienstleistungen oder Produkte zugelassen und beaufsichtigt, ganz gleich, ob sie dafür herkömmliche oder innovative Mittel nutzen. Je nachdem, welche Dienstleistungen und Produkte Unternehmen anbieten, kann es sein, dass sie nach EU- oder nach nationalem Recht zugelassen und reguliert werden oder auch überhaupt keiner speziellen Finanzmarktregulierung unterliegen.

Die Zulassungsanforderungen ermöglichen eine wirksame Beaufsichtigung der Dienstleister, um so die Stabilität, Integrität und Fairness der Märkte zu gewährleisten. Sie stellen auch sicher, dass die Verbraucher und Anleger geschützt werden. Gleichzeitig können EU-Finanzdienstleister, die von ihrem Herkunftsmitgliedstaat ordnungsgemäß zugelassen und beaufsichtigt werden, in den Genuss eines Europäischen Passes kommen, da für ihre Tätigkeit einheitliche Bedingungen gelten. Dieser Pass gibt den Unternehmen die Möglichkeit, ihre Dienstleistungen auch in allen anderen Mitgliedstaaten anzubieten und auf den gesamten EU-Binnenmarkt auszudehnen.

Aus Sicht der Teilnehmer an der FinTech-Konsultation könnten die meisten innovativen Geschäftsmodelle im bestehenden EU-Rechtsrahmen funktionieren, da dieser es ermöglicht, beim Zulassungsverfahren Verhältnismäßigkeit walten zu lassen.

Allerdings kann es sein, dass die Aufsichtsbehörden unterschiedliche Ansätze verfolgen, wenn sie den jeweils geltenden EU-Rechtsrahmen ermittelt und innovative Geschäftsmodelle nach dem Grundsatz der Verhältnismäßigkeit genehmigen. 20 Die Europäische Bankenaufsichtsbehörde sieht die Unterschiede bei den Zulassungs- und Registrierungssystemen als Bereich an, dem weitere Aufmerksamkeit geschenkt werden muss. 21 Ähnliche Trends hat die EIOPA beobachtet. 22 Auch von der Europäischen Zentralbank (EZB) wurde unlängst eine Konsultation zu einem "Leitfaden zur Beurteilung von Anträgen auf Zulassung als FinTech-Kreditinstitut"23 eingeleitet.

Neue Finanzdienstleistungen fallen nicht immer ganz unter den bestehenden EU-Rechtsrahmen; dies ist z.B. bei"Crowd-" und "Peerto-Peer-Angeboten" für Start-ups und expandierende Jungunternehmen der Fall. Eine große Zahl von Konsultationsteilnehmern wies darauf hin, dass investitionsbasierte und kredit- oder anleihegestützte Crowdfunding-Angebote von einem soliden und verhältnismäßigen EU-Rechtsrahmen profitieren würden. Elf Mitgliedstaaten haben bereits spezielle Regelungen eingeführt, die vielfach miteinander kollidieren und die Entwicklung eines Binnenmarkts für Crowdfunding-Dienstleistungen bremsen. Ein fehlender gemeinsamer EU-Rahmen hindert Crowdfunding-Anbieter auch daran, im Binnenmarkt zu expandieren, was vor allem auf widersprüchliche Ansätze bei der nationalen Beaufsichtigung und Regulierung zurückzuführen ist. Der in diesem Aktionsplan vorgeschlagene EU-Rahmen wird Marktteilnehmern, die ihre Leistungen als Europäische Crowdfunding-Dienstleister (ECSP) anbieten wollen, eine umfassende europäische Zulassungsregelung (einen "Europäischen Pass") bieten. Dieser Rahmen wird Anreize für die Expansion von Crowdfunding-Dienstleistern schaffen und gleichzeitig sicherstellen, dass Investoren und Projektträger hinreichend geschützt sind.

Weiterer Handlungsbedarf besteht bei der Ermittlung von Unterschieden bei den Zulassungsanforderungen, die sich auf FinTech-Unternehmen auswirken. Als Folgemaßnahmen wären u.a. denkbar:

- die Klärung des für Dienstleistungen geltenden EU-Rechtsrahmens;
- die Beurteilung der Notwendigkeit eines EU-Rahmens, der neue innovative Geschäftsmodelle abdeckt;
- die Ausarbeitung eines Leitfadens für die nationalen Aufsichtsbehörden, um mehr Konvergenz zwischen den nationalen Regulierungssystemen sicherzustellen.

Außerdem sind die Aufsichtsbehörden dabei, die Marktentwicklungen bei Kryptoanlagen und die in letzter Zeit zu beobachtenden "Initial Coin Offerings" (ICOs) als neuartige Form der Mittelbeschaffung mit "Münzen" oder "Tokens" zu bewerten. Der Verkauf solcher Münzen kann den Unternehmen zwar neue und innovative Möglichkeiten der Kapitalbeschaffung eröffnen, er birgt für die Anleger jedoch auch ganz klare Risiken. Bei spekulativen Investitionen in Kryptoanlagen und ICO-Tokens sind die Anleger einem erheblichen Marktrisiko, Betrugsgefahren und Cyberrisiken ausgesetzt, die von Tauschplattformen und Diensteanbietern ausgehen, über die Anleger Kryptoanlagen und Tokens kaufen, halten oder handeln können. Im November 2017 gab die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) zwei Erklärungen24 ab, in denen sie die Anleger über die potenziellen Risiken bestimmter ICOs informierte und die an ICOs beteiligten Unternehmen darauf hinwies, dass diese Tätigkeiten je nach ihrer Struktur und ihren Merkmalen unter die bestehenden EU-Rechtsvorschriften fallen könnten. ICOs und die ggf. für sie geltende Regulierung werden derzeit von Behörden in der EU und weltweit überprüft, während ICOs in China und Südkorea bereits verboten wurden.

Der rasche Preisanstieg und die in den letzten Monaten zu beobachtende Volatilität von Kryptoanlagen erfordern ein besseres Verständnis der mit ihrer Nutzung verbundenen Chancen und Risiken und der Anwendbarkeit der EU-Regulierung. Allerdings können sich Kryptoanlagen und Tokens der Regulierung und den damit angestrebten Zielen Transparenz, Governance und Anlegerschutz unter Umständen auch entziehen. Im Februar 2018 gaben die drei Europäischen Aufsichtsbehörden (ESA) auf Wunsch der Europäischen Kommission eine gemeinsame Warnung an Anleger und Nutzer vor den mit Kryptoanlagen verbundenen Risiken heraus.25 Auch die Änderungen an der Vierten Geldwäscherichtlinie, auf die sich das Europäische Parlament und der Rat im Dezember 2017 verständigt haben, werden die Anonymität verringern und die Rückverfolgbarkeit von Geschäften erhöhen, indem Umtausch-Plattformen für virtuelle Währungen und Anbieter elektronischer Geldbörsen zur Feststellung der Kundenidentität verpflichtet und bestimmten Sorgfaltspflichten unterworfen werden.

Bewertet werden muss, inwieweit der aktuelle EU-Regulierungsrahmen für Initial Coin Offerings und Kryptoanlagen im Allgemeinen geeignet ist. Einerseits sollte darauf geachtet werden, dass Unternehmen, Investoren und Verbraucher in der EU diese technische Innovation in einem fairen und transparenten Rahmen nutzen können, damit Europa zu einem führenden Akteur bei der Entwicklung neuer Finanzierungsmöglichkeiten für rasch wachsende Unternehmen werden kann. Andererseits gilt es, potenzielle Risiken für die Finanzstabilität, die Marktintegrität, den Anleger- und Verbraucherschutz sowie den Schutz personenbezogener Daten ebenso wie Risiken im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung angemessen anzugehen. Da Kryptoanlagen ein weltweites Phänomen sind, ist es unverzichtbar, dass beispielsweise im Rahmen der G20, des Rates für Finanzstabilität (Financial Stability Board, FSB) und der internationalen Standardsetzungsgremien im Finanzbereich für internationale Koordinierung und Konsistenz gesorgt wird. Die Kommission wird mit Aufsichtsbehörden, Regulierungsbehörden, der Branche und der Zivilgesellschaft sowohl innerhalb der EU als auch weltweit zusammenarbeiten, um weitere geeignete Maßnahmen festzulegen.

Kasten 1

1. Zusammen mit dieser Mitteilung legt die Kommission einen Vorschlag für eine EU-Verordnung über Europäische Crowdfunding-Dienstleister (ECSP) für Unternehmen vor, der sowohl investitionsbasiertes als auch kreditbasiertes Crowdfunding abdeckt. Ziel des Vorschlags ist es, einen angemessenen und verhältnismäßigen Rechtsrahmen zu schaffen, der Crowdfunding-Plattformen, die grenzüberschreitend agieren wollen, dies durch eine umfassende Zulassungsregelung (einen "Europäischen Pass") unter einheitlicher Aufsicht ermöglicht.
2. Die Kommission fordert die Europäischen Aufsichtsbehörden spätestens im 1. Quartal 2019 auf, eine Erhebung der derzeitigen Zulassungs- und Genehmigungsansätze für innovative FinTech-Geschäftsmodelle durchzuführen. Dabei sollten sie insbesondere prüfen, wie die nationalen Behörden die im Finanzmarktrecht vorgesehene Verhältnismäßigkeit und Flexibilität anwenden. Gegebenenfalls sollten die ESA Leitlinien für Ansätze und Verfahren herausgeben oder Empfehlungen an die Kommission richten, ob die EU-Finanzmarktvorschriften angepasst werden müssen.
3. Im Verlauf von 2018 wird die Kommission die Entwicklungen bei Kryptoanlagen und Initial Coin Offerings zusammen mit den ESA, der Europäischen Zentralbank und dem FSB sowie anderen internationalen Standardsetzern weiter beobachten. Ausgehend von der Bewertung der Risiken, der Chancen und der Geeignetheit des geltenden Regulierungsrahmens wird die Kommission prüfen, ob Regulierungsmaßnahmen auf EU-Ebene erforderlich sind.

1.2. Den Wettbewerb und die Zusammenarbeit zwischen den Marktteilnehmern durch gemeinsame Normen und interoperable Lösungen verstärken

Die Produktion und Erbringung von Finanzdienstleistungen verlangt, dass verschiedene Akteure in der Wertschöpfungskette zusammenarbeiten und interagieren. Ein EU-weiter FinTech-Markt wird sein volles Potenzial nur dann entfalten können, wenn offene Standards entwickelt werden, die den Wettbewerb stärken, die Interoperabilität verbessern und den Datenaustausch und -zugang unter den Marktteilnehmern erleichtern.

Interoperabilität kann auf verschiedenem Wege herbeigeführt werden. Unternehmen oder Technologieanbieter können Adhoc-Schnittstellen entwickeln, an die sich andere Beteiligte anpassen müssen. Ein anderer Ansatz besteht darin, sich auf Interoperabilitätsnormen für den gesamten Markt zu verständigen und den Dienstleistern den Datenaustausch so mit verschiedenen Plattformen leichter zu machen. Die Normungsprozesse sollten gemäß der Verordnung (EU) Nr. 1025/2012 zur europäischen Normung auf den Grundsätzen der Offenheit, der Transparenz und des Konsenses beruhen. Damit die Normen wettbewerbsfördernd sind, sollte die Teilnahme nicht beschränkt und das Verfahren zur Festlegung der Norm transparent sein, sodass sich die Interessenträger wirksam über die Normungsarbeiten informieren können. Der Zugang zur Norm sollte zu fairen, angemessenen und diskriminierungsfreien Bedingungen gewährt werden.

Die meisten Teilnehmer an der FinTech-Konsultation sahen es als Priorität an, Normen zu entwickeln, ihre Einführung zu fördern und die Interoperabilität zwischen den Systemen sicherzustellen. Bevorzugt würde ein von der Industrie und den Marktteilnehmern ausgehender Ansatz, bei dem keine lokalen oder regionalen, sondern globale Normen entwickelt würden. Erhöhter Normungsbedarf besteht insbesondere bei Blockchain- und Distributed-Ledger-Technologien, Anwendungsprogrammierschnittstellen und Identitätsmanagement. Die seit Januar 2018 geltende überarbeitete Zahlungsdiensterichtlinie ist ein interessanter Test: Die Banken müssen angemessene Kommunikationskanäle für FinTechs einrichten, damit diese ihre Dienstleistungen auf Basis des Zahlungskontozugangs anbieten können. Die Entwicklung genormter Anwendungsprogrammierschnittstellen würde gleiche Wettbewerbsbedingungen für die Entstehung neuer und verbesserter Dienstleistungen in einem wahrhaft offenen Umfeld schaffen, während für personenbezogene Daten und Verbraucher weiterhin ein hohes Maß an Schutz gewährleistet wäre.

Kasten 2

1. Durch Kontakte und Zusammenarbeit mit wichtigen Normungseinrichtungen wie dem Europäischen Komitee für Normung und der Internationalen Organisation für Normung wird die Kommission dazu beitragen, dass bis zum 4. Quartal 2018 koordiniertere Ansätze für FinTech-Normen, insbesondere auch im Bereich der Blockchain, entwickelt werden.
2. Die Kommission befürwortet und kündigt ihre Unterstützung für gemeinsame Anstrengungen der Marktteilnehmer an, um bis Mitte 2019 als Grundlage für ein offenes europäisches Banken-Ökosystem für Zahlungs-und andere Konten genormte Anwendungsprogrammierschnittstellen zu entwickeln, die mit der Zahlungsdienste-Richtlinie und der Datenschutz-Grundverordnung in Einklang stehen.

1.3. Die EU-weite Entstehung innovativer Geschäftsmodelle durch Innovationsmoderatoren erleichtern

Innovative Unternehmen bringen neue Produkte auf den Markt oder finden Wege, altbekannte Dienstleistungen auf innovative Weise oder zu wettbewerbsfähigeren Preisen anzubieten. Innovatoren müssen die Möglichkeit haben, ihre Dienstleistungen auf eine möglichst breite Nutzerbasis auszudehnen und Skaleneffekte zu nutzen. Damit sie die Vorteile des Binnenmarkts voll ausschöpfen können, sollten Innovatoren einen Europäischen Pass nutzen können. Dafür müssen regulatorische Vorgaben eingehalten werden, die mitunter schwer zu erfüllen sein mögen. Dies gilt insbesondere für Neugründungen und Unternehmen, die innovative Technologien oder Modelle nutzen, die von der bei der Verabschiedung der Vorschriften herrschenden Praxis abweichen können.

Innovative Ansätze und Technologien fordern auch die Finanzaufsichtsbehörden heraus, wenn diese entscheiden müssen, ob ein Unternehmen oder eine Geschäftstätigkeit genehmigt werden soll und wie die betreffenden aufsichtrechtlichen Pflichten zu erfüllen sind. Die Antworten auf die öffentliche Konsultation der Kommission legen nahe, dass die Aufsichtsbehörden durchaus stark daran interessiert sind, die neuesten FinTech-Trends zu verstehen und die Kontakte mit den Unternehmen und anderen Technologieanbietern auszubauen.

In der EU haben 13 Mitgliedstaaten sogenannte "FinTech-Moderatoren" (Innovationspole26 oder regulatorische "Sandkästen" 27 ) eingesetzt, die den Unternehmen beim Zulassungsverfahren allgemeine Hilfestellung leisten. Dadurch können diese Unternehmen schneller auf den Markt gelangen und die Regeln und Erwartungen der Aufsichtsbehörden besser verstehen. Die Moderatoren bieten auch Hilfe für etablierte Finanzinstitute an. Für die Aufsichtsbehörden bieten diese Ansätze eine wichtige Informationsquelle, die ihnen hilft, innovative Geschäftsmodelle und Marktentwicklungen frühzeitig besser zu verstehen.

Regulatorische "Sandkästen" führen den Gedanken der Innovationspole einen Schritt weiter, indem sie ein Umfeld schaffen, in dem die Aufsicht speziell auf innovative Unternehmen oder Dienstleistungen zugeschnitten ist. Die zuständigen nationalen Behörden müssen die einschlägigen EU-Finanzmarktvorschriften anwenden. Wenn es jedoch darum geht, die in diesen Vorschriften vorgesehenen Grundsätze der Verhältnismäßigkeit und der Flexibilität anzuwenden, enthalten diese Vorschriften Ermessensspielräume. Dies kann vor allem im Kontext der technologischen Innovation von Nutzen sein.

Das "Sandkasten"-Konzept wurde von den an der öffentlichen Konsultation teilnehmenden Branchenvertretern unterstützt. Die nationalen Behörden waren geteilter Meinung: Einige sehen sich für solche Initiativen nicht zuständig; andere, die den "Sandkästen" offen gegenüberstehen, hätten gern, dass ähnliche Initiativen auch von anderen ergriffen werden. Ein übereinstimmendes Vorgehen der Aufsichtsbehörden würde die Verbreitung von Innovationen im gesamten EU-Binnenmarkt fördern.

Sowohl EBA als auch EIOPA und ESMA haben unlängst eine Erhebung der in der EU eingesetzten Innovationsmoderatoren durchgeführt. Die Kommission würde weitere Vorstöße begrüßen, um bewährte Praktiken in der gesamten EU zu ermitteln und gemeinsame Grundsätze und Kriterien für Innovationspole und regulatorische "Sandkästen" festzulegen. Weitere Folgemaßnahmen könnten darin bestehen, die Einrichtung von Innovationspolen in allen Mitgliedstaaten zu fördern und deren Tätigkeit zu koordinieren. In der Folge könnte über einen EU-Erprobungsrahmen für die Einführung neuer Technologien und die Anpassung daran nachgedacht werden.

Kasten 3

1. Aufbauend auf den jüngsten Arbeiten der ESA zur Erhebung der von den nationalen Aufsichtsbehörden eingerichteten FinTech-Moderatoren ersucht die Kommission die ESA, bis zum 4. Quartal 2018 weitere Analysen durchzuführen, bewährte Praktiken zu ermitteln und gegebenenfalls Leitlinien zu diesen Moderatoren auszuarbeiten.
2. Die Kommission ruft die zuständigen Behörden der Mitgliedstaaten und auf EU-Ebene zu Initiativen auf, um Innovationen auf der Grundlage dieser bewährten Praktiken zu fördern, und ersucht die ESA, die Zusammenarbeit der Aufsichtsbehörden, insbesondere auch die Koordinierung und Verbreitung von Informationen über innovative Technologien, die Einrichtung und Unterhaltung von Innovationspolen und regulatorischen "Sandkästen" und die Kohärenz der Aufsichtspraktiken zu erleichtern.
3. Ausgehend von den Arbeiten der ESA wird die Kommission bis zum 1. Quartal 2019 einen Bericht über bewährte Praktiken für regulatorische "Sandkästen" vorlegen.

2. Die Einführung TECHNOLOGISCHER Innovationen IM Finanzsektor FÖRDERN

2.1. Die Geeignetheit unserer Regeln überprüfen und Garantien für neue Technologien im Finanzsektor vorsehen

Technologieneutralität gehört zu den Leitgrundsätzen der Kommissionspolitik.

Dennoch kann es vorkommen, dass EU-Vorschriften, die vor bestimmten innovativen Technologien entstanden sind, diesen gegenüber in der Praxis nicht immer technologieneutral sind. So wurde von einigen Teilnehmern an der öffentlichen Konsultation darauf hingewiesen, dass mitunter eine Offenlegung in Papierform verlangt bzw. bevorzugt wird oder eine persönliche Anwesenheit erforderlich ist. Das Fehlen klarer und harmonisierter Verfahren zur Online-Identifizierung von Verbrauchern und Unternehmen unter uneingeschränkter Beachtung der Geldwäsche- und Datenschutzvorschriften wurde auch als Herausforderung für FinTech-Lösungen bezeichnet. Ebenso gaben die Teilnehmer zu bedenken, dass Softwareinvestitionen wegen der hierzulande für Banken geltenden Aufsichtsvorschriften, wonach solche Investitionen von den aufsichtsrechtlichen Eigenmitteln abzuziehen sind, weniger attraktiv sein könnten, während die entsprechenden Regelungen für Banken in den Vereinigten Staaten günstiger seien.

Die Kommission hat zu einigen dieser Fragen bereits Überlegungen angestellt. In ihrem Aktionsplan "Finanzdienstleistungen für Verbraucher"28 hat die Kommission angekündigt, dass die grenzüberschreitende Anerkennung elektronischer Identitätsnachweise und der Fernidentifizierung von Kunden erleichtert werde solle. Damit sollen die Banken in die Lage versetzt werden, Verbraucher in Einklang mit den Geldwäsche- und Datenschutzvorschriften digital zu identifizieren und dafür das gesamte Spektrum der im Rahmen der eIDAS zur Verfügung stehenden elektronischen Identifizierungs- und Authentifizierungsmöglichkeiten zu nutzen. Um die elektronische Identifizierung und Authentifizierung zu erleichtern, hat die Kommission eine Expertengruppe für elektronische Identifizierung und KYC-Fernprüfverfahren eingesetzt. 29 Die Einführung disruptiver Technologien, wie z.B. von Distributed-Ledger-Technologien und künstlicher Intelligenz, kann zusätzliche Herausforderungen für die Regulierung mit sich bringen. Die Vorgaben für eine papiergestützte Offenlegung sollten angegangen werden. Bei den Antworten auf die öffentliche Konsultation wurde die Befürchtung laut, dass der Einsatz disruptiver Technologien durch die bestehenden Vorschriften verhindert oder gebremst werden könnte, z.B. auf folgende Weise:

- Bei Blockchainbasierten Anwendungen könnten sich juristische Fragen hinsichtlich des geltenden Rechts und der Haftung stellen;
- bei "Smart Contracts" könnten die Rechtsgültigkeit und Durchsetzbarkeit zu klären sein;
- bei ICOs sind der Rechtsstatus und die für sie geltenden Vorschriften unklar, wie bereits in Abschnitt 1.1 ausgeführt wurde.

Weitere Analysen sind erforderlich, um zu beurteilen, inwieweit der rechtliche Rahmen für Finanzdienstleistungen technologieneutral ist und FinTech-Innovationen ermöglicht, oder ob er zu diesem Zweck angepasst werden muss. Gleichzeitig muss sichergestellt werden, dass die Finanzstabilität, der Verbraucher- und Anlegerschutz, die Vorkehrungen gegen Geldwäsche und die Rechtsdurchsetzung gewährleistet bleiben.

Kasten 4

Die Kommission wird eine Expertengruppe einsetzen, die bis zum 2. Quartal 2019 prüfen soll, ob der Regulierungsrahmen für Finanzdienstleistungen ungerechtfertigte regulatorische Hemmnisse für Finanzinnovationen enthält.

2.2. Hemmnisse für Cloud-Dienste beseitigen

Durch Cloud-Computing kann die Effizienz der digitalen Infrastruktur für Finanzdienstleistungen erhöht werden. Werden Datenverarbeitung und Speicherkapazität auf Cloud-Dienste ausgelagert, senkt dies die Hosting-, Infrastruktur- und Software-Kosten der Unternehmen und kann zur Rationalisierung der IT-Ausgaben beitragen. Dies kann zugleich für mehr Leistungsstärke, Flexibilität und Anpassungsfähigkeit sorgen.

Regulierte Unternehmen, die Tätigkeiten an einen Cloud-Diensteanbieter auslagern, müssen alle rechtlichen Anforderungen erfüllen (z.B. im Hinblick auf ein ordnungsgemäßes Risikomanagement, den Datenschutz und eine angemessene Kontrolle durch die Aufsichtsbehörden). Die an der Konsultation der Kommission teilnehmenden Interessenträger äußerten Bedenken, dass die Ungewissheit über die Erwartungen der Finanzaufsichtsbehörden die Nutzung von Cloud-Computing-Diensten einschränke. Solche Ungewissheiten sind insbesondere darauf zurückzuführen, dass die nationalen Vorschriften nicht harmonisiert sind und die Outsourcing-Regeln unterschiedlich ausgelegt werden.30

Die EBA hat vor Kurzem Empfehlungen zur Auslagerung an Anbieter von Cloud-Diensten veröffentlicht.31 Als direkte Aufsichtsbehörde für Ratingagenturen und Transaktionsregister prüft auch die ESMA diese Sachverhalte und will 2018 Klarheit darüber schaffen, welche Anforderungen diese Unternehmen erfüllen müssen, wenn sie Cloud-Dienste nutzen. Mit der Auslagerung an Anbieter von Cloud-Diensten befasst sich auch die EIOPA im "InsurTech"-Bereich. Der Problematik muss jedoch über diese bestehenden Initiativen hinaus Aufmerksamkeit gewidmet werden. Zusätzliche Sicherheit könnte erreicht werden, indem die Erwartungen der Aufsichtsbehörden in förmlichen Leitlinien der ESA ausformuliert würden.32

Der Vorschlag der Kommission für eine Verordnung über einen Rahmen für den freien Verkehr nicht personenbezogener Daten in der EU zielt darauf ab, ungerechtfertigte Datenlokalisierungsbeschränkungen zu beseitigen und damit eines der ermittelten Hauptprobleme anzugehen. Mit dem Vorschlag werden auch weitere Cloudbezogene Fragestellungen aufgegriffen, etwa die Verhinderung einer Abhängigkeit von bestimmten Cloud-Diensteanbietern ("vendor lockin"). Um die Umsetzung der vorgeschlagenen Verordnung insbesondere in Bezug auf die Nutzung von Cloud-Diensten zu erleichtern, wird die Kommission 2018 die einschlägigen Interessenträger - d.h. Cloud-Nutzer, Cloud-Anbieter und Regulierungsbehörden - zusammenbringen.

Kasten 5

1. Die Kommission ersucht die ESA, bis zum 1. Quartal 2019 zu prüfen, ob Leitlinien für die Auslagerung an Cloud-Diensteanbieter erforderlich sind.
2. Im Rahmen der Mitteilung über den Aufbau einer europäischen Datenwirtschaft fordert die Kommission die Cloud-Stakeholder auf, sektorübergreifende Selbstregulierungskodizes zu entwickeln, um den Wechsel zwischen Cloud-Diensteanbietern zu erleichtern. Die Kommission wird auch Vertreter des Finanzsektors einladen, um die Übertragbarkeit von Daten auch für Finanzinstitute zu vereinfachen.
3. In diesem Zusammenhang wird die Kommission die Entwicklung von Standardvertragsklauseln für die Inanspruchnahme von Cloud-Diensten durch Finanzinstitute befürworten und fördern, wobei auf den bereits von der Kommission unterstützten sektorübergreifenden Anstrengungen der Cloud-Interessenträger aufgebaut und die Beteiligung des Finanzsektors an diesem Prozess sichergestellt werden soll. Diese Arbeiten sollten von einem ausgewogenen Mix aus Unternehmen der Finanzbranche und Anbietern von Cloud-Diensten durchgeführt werden und insbesondere die Prüfungsanforderungen, die Meldepflichten oder auch die Ermittlung der Wesentlichkeit der auszulagernden Tätigkeiten in den Blick nehmen.

2.3. FinTech-Anwendungen mit der EU-Blockchain-Initiative ermöglichen

Blockchain- und Distributed-Ledger-Technologien werden vermutlich einen großen Durchbruch bringen, der die Art und Weise, wie Informationen oder Vermögenswerte über digitale Netze ausgetauscht, validiert, weitergegeben und genutzt werden, fundamental verändern wird. Diese Technologien dürften sich in den kommenden Jahren weiterentwickeln und zu einer Schlüsselkomponente der digitalen Wirtschaft und Gesellschaft werden.

Blockchain-Technologien sind keinesfalls mit den oben erwähnten Kryptoanlagen zu verwechseln, die lediglich ein Anwendungsbeispiel der Blockchain-Technologie sind. Die Blockchain kann bei einer Vielzahl von Anwendungen in unterschiedlichsten Bereichen zum Einsatz kommen, die sich nicht unbedingt auf Kryptoanlagen, ja nicht einmal auf FinTech beschränken müssen.

Mit einer Vielzahl von Konzeptnachweisen und Pilotprojekten in den unterschiedlichsten Bereichen, wie Zahlungsverkehr, Wertpapiere, Einlagen und Kredite, Kapitalbeschaffung, Vermögensverwaltung, Marktversorgung, Handel und Nachhandel sowie Handelsfinanzierung und -berichterstattung (z.B. RegTech) hat der Finanzsektor bei der Erforschung des Potenzials der Blockchain eine führende Rolle eingenommen.

Distributed-Ledger- und Blockchain-Technologien haben großes Potenzial, Einfachheit und Effizienz durch neue Infrastrukturen und Prozesse voranzutreiben. Diese Technologien könnten zu einem zentralen Bestandteil unserer künftigen Finanzdienstleistungsinfrastruktur werden. Die folgenschwersten Anwendungen werden eine intensive Zusammenarbeit zwischen den etablierten Unternehmen, den Innovatoren und den Regulierungsbehörden erfordern, damit die Umsetzung erfolgreich und zum Vorteil aller verlaufen kann. Die potenziellen Anwendungsmöglichkeiten sind überaus umfassend und sollten aufmerksam im Auge behalten werden.

Auch wenn sich die Blockchain-Technologien noch in einem frühen Stadium befinden, müssen verschiedene Herausforderungen und Risiken doch schon jetzt angegangen werden.

Das im Februar 2018 für einen Zeitraum von zwei Jahren eingerichtete "EU Blockchain Observatory and Forum" 33 soll Trends und Entwicklungen beobachten, Fachwissen für sektorspezifische und sektorübergreifende Fragestellungen bündeln und gemeinsame Lösungen sowie grenzüberschreitende Anwendungsbeispiele für die Blockchain in den Blick nehmen. Das Europäische Parlament hat auch die Schaffung des Europäischen Finanztransparenzportals (European Financial Transparency Gateway, kurz: EFTG) befürwortet. Dabei handelt es sich um ein Pilotprojekt, bei dem Distributed-Ledger-Technologie genutzt wird, um den Zugang zu Informationen über alle auf geregelten Märkten der EU notierten Unternehmen im Rahmen der Transparenzrichtlinie34 zu erleichtern. Diese Initiative zielt darauf ab, die Transparenz der geregelten Märkte in der EU zu erhöhen, indem sie im Einklang mit den Zielen der Kapitalmarktunion sowohl die Marktintegration als auch die Marktliquidität fördert. Außerdem hat die Europäische Kommission z.B. "Blockchain for Industrial Transformations" (# Blockchain-4EU) und den Konzeptnachweis für die Nutzung der Blockchain zur Vereinfachung der Verbrauchsteuererhebung angestoßen.

Angesichts des Querschnittscharakters der Blockchain, die über Finanzdienstleistungen hinausreicht und mit der Zeit alle Bereiche der Wirtschaft und der Gesellschaft betreffen könnte, hat die Kommission mit der Einrichtung des "EU Blockchain Observatory and Forum" bereits Schritte in Richtung einer EU-Blockchain-Initiative unternommen. Mit dieser Initiative werden bestimmte Aktionen, Finanzierungsmaßnahmen und ein Rahmen vorgeschlagen, um Skalierungsmöglichkeiten zu eröffnen, Governancestrukturen und Normen zu entwickeln und die Interoperabilität zu unterstützen. Dabei handelt es sich um eine sektorübergreifende Initiative, die eine frühzeitige Einführung dieser Technologie im Finanzsektor ermöglichen und die europäische Wettbewerbsfähigkeit und Technologieführerschaft im Zusammenspiel mit den anderen Maßnahmen dieses Aktionsplans (insbesondere der Prüfung der Geeignetheit der EU-Finanzmarktgesetzgebung) stärken soll. Sie soll auch auf Pilotaktionen aufbauen, die im Rahmen des Programms "Horizont 2020" gefördert werden und im Zeitraum 2018-2020 ausgebaut werden sollen. Die Kommission hat auch Kontakte zum ISO/TC 307 (Technischen Ausschuss 307 der Internationalen Organisation für Normung) zum Thema Blockchain- und Distributed-Ledger-Technologien aufgebaut. Die europäischen Normungsorganisationen35 wurden aufgefordert, bei der Ermittlung EU-spezifischer Merkmale für die Blockchain eine führende Rolle zu übernehmen.

Kasten 6

1. Im 2. Quartal 2018 wird die Kommission eine öffentliche Konsultation zur weiteren Digitalisierung von aufsichtsrechtlich vorgeschriebenen Informationen über die auf geregelten Märkten in der EU notierten Unternehmen durchführen und dabei auch Meinungen zur möglichen Einführung eines Europäischen Finanztransparenzportals auf Basis von Distributed-Ledger-Technologie einholen.
2. Die Kommission wird unter Berücksichtigung aller relevanten rechtlichen Auswirkungen weiterhin an einer umfassenden Strategie für Distributed-Ledger-und Blockchain-Technologie arbeiten, die alle Bereiche der Wirtschaft berücksichtigt und insbesondere auch Basisanwendungen im Bereich FinTech und RegTech Rechnung trägt.
3. Im Februar 2018 hat die Kommission das "EU Blockchain Observatory and Forum" aus der Taufe gehoben und eine Durchführbarkeitsstudie auf den Weg gebracht, inwieweit eine öffentliche EU-Blockchain-Infrastruktur die Entwicklung grenzüberschreitender Dienstleistungen fördern könnte. Bewertet werden soll, ob die Blockchain im Rahmen der Fazilität "Connecting Europe" als Infrastruktur für digitale Dienste eingeführt werden kann.

Mit Unterstützung des "EU Blockchain Observatory and Forum" und der europäischen Normungsorganisationen wird die Kommission weiterhin die rechtlichen Aspekte sowie Fragen der Governance und der Skalierbarkeit bewerten und Interoperabilitäts- sowie Standardisierungsbemühungen unterstützen, wobei sie insbesondere auch weitere Bespiele für die Nutzung der Blockchain und deren Anwendungen im Kontext des Internet der nächsten Generation auswerten wird.

2.4. Aufbau von Kompetenzen und Wissen bei allen Regulierungs- und Aufsichtsbehörden in einem EU-FinTech-Lab

Die höchsten Hürden, die die Finanzbranche an der Einführung neuer Technologien hindern, sind fehlende Sicherheit und Orientierungsvorgaben für deren Nutzung sowie Kleinteiligkeit und fehlende gemeinsame Ansätze seitens der nationalen Regulierungs- und Aufsichtsbehörden.

Einige Technologieanbieter unternehmen bereits Anstrengungen, die Regulierungs- und Aufsichtsbehörden über ihre Technologien und deren Anwendung im Finanzsektor zu informieren. Allerdings nehmen viele Behörden nur ungern an Schulungen oder Diskussionen teil, wenn diese von einzelnen Anbietern veranstaltet werden.

Die Kommission wird ein EU-FinTech-Lab einrichten, um Kompetenzen und Wissen der Regulierungs- und Aufsichtsbehörden im Bereich dieser neuen Technologien zu verbessern. Geplant sind hierzu Vorführungen und Expertendiskussionen in einem gemeinnützigen neutralen Finanztechnologie-Labor. In diesem Labor werden zahlreiche Anbieter, insbesondere aus der EU, mit Regulierungs- und Aufsichtsbehörden zusammenkommen, sodass Regulierungs- und Aufsichtsfragen angesprochen und erörtert werden können.

Angesprochen werden könnten u.a. folgende Technologien:

- Authentifizierungs- und Identifizierungstechnologien, - bestimmte Anwendungsfälle für die Nutzung von Distributed-Ledger-Technologie, Cloud-Technologie, maschinellem Lernen und künstlicher Intelligenz,
- Anwendungsprogrammierschnittstellen und offene Standards im Bankgeschäft sowie
- RegTech.

Kasten 7

Die Kommission wird ein EU-FinTech-Lab ausrichten" bei dem europäische und nationale Behörden ab dem 2. Quartal 2018 in einem neutralen, gemeinnützigen Rahmen bei speziellen Sitzungen zu bestimmten Innovationen mit Anbietern von Technologielösungen zusammenkommen können.

2.5. Technologien als Hebel nutzen, um den binnenmarktweiten Vertrieb von Kleinanlegerprodukten voranzubringen

Kleinanleger, die an den Kapitalmärkten aktiv sind, werden heutzutage durch die schiere Komplexität, die Kosten und die Unsicherheit von Anlageprodukten überfordert. Insbesondere durch die Offenlegungspflichten hat sich die Vergleichbarkeit von Kleinanlegerprodukten bereits erheblich verbessert. Dies dürfte zwar die Qualität der Produkte verbessern, doch müssen Kleinanleger nach wie vor erheblichen Rechercheaufwand treiben, um das am besten geeignete Anlageprodukt ausfindig zu machen.

Erhöhte Transparenz, um den Wettbewerb zu fördern und Kleinanlegern auf den Kapitalmärkten mehr Auswahl zu bieten, sollte daher durch datengetriebene Lösungen flankiert werden, bei denen neue, effizientere Technologien zum Einsatz kommen, die gewährleisten, dass die betreffenden Informationen auch vollständig, vergleichbar und leicht zugänglich sind. Die entsprechenden "Tools" könnten auf öffentlich zugänglichen Informationen beruhen und eine benutzerfreundliche Schnittstelle bieten, die bestehende Datenbanken oder digitale Werkzeuge, wie Online-Rechner, Vergleichstools, automatisierte Berater oder Fondssupermärkte miteinander verknüpft. Dies erfordert weitreichende Arbeiten, um die Interoperabilität der Datensätze und die Entwicklung geeigneter Algorithmen zu gewährleisten, während es gleichzeitig sicherzustellen gilt, dass die Ergebnisse fair und leicht verständlich dargeboten werden. Die Kommission wird daher die aktuelle Landschaft und Situation bei technologiegetriebenen digitalen Schnittstellen prüfen, über die der einzelne Kleinanleger auf den EU-Kapitalmärkten geeignete und kosteneffiziente Anlageprodukte finden kann.

3. Die Sicherheit und INTEGRITÄT des Finanzsektors STÄRKEN

Die Cybersicherheit bleibt ein Handlungsschwerpunkt der EU-Politik, und eine der Prioritäten der Kommission besteht nach wie vor darin, die Abwehrkraft des EU-Finanzsektors gegen Cyberangriffe zu stärken. Groß angelegte Cyberangriffe führen jedoch vor Augen, dass auch die Abwehrkraft und Integrität der Systeme beständig sichergestellt werden müssen. Cyberbedrohungen machen nicht an Grenzen halt - deshalb müssen sich die nationalen Regulierungs- und Aufsichtsbehörden in ihren Anforderungen und Erwartungen eng aufeinander abstimmen. Da der Finanzsektor immer stärker von digitaler Technologie abhängt, ist es unerlässlich, seine Sicherheit und Widerstandsfähigkeit zu gewährleisten. In diesem Zusammenhang erkennt die Kommission an, dass digitale Dienste nach dem Grundsatz der eingebauten Sicherheit konzipiert sein müssen, und hat bereits einen Vorschlag36 zur Einführung eines EU-Zertifizierungsrahmens für IKT-Sicherheitsprodukte und -dienste vorgelegt.

Zwar ist der Finanzsektor besser gerüstet als andere Sektoren, er steht jedoch auch am meisten unter Beschuss. Operative und Cyber-Risiken stellen eine wachsende Gefahr für die Stabilität des Finanzsystems dar und untergraben das für unsere Finanzmärkte unverzichtbare Vertrauen. Angesichts der potenziellen Bedrohung für die Stabilität des Finanzsektors hat das Europäische Parlament die Kommission aufgefordert, "der Cybersicherheit im FinTech-Aktionsplan die höchste Priorität einzuräumen" 37. Wiederholte Cybervorfälle, bei denen grundsätzliche Sicherheitslücken in Systemen und Organisationen ausgenutzt werden, machen deutlich, dass eine grundlegende Cyberhygiene 38 in jeder Organisation unverzichtbar ist. Striktere Maßnahmen und Anforderungen im Bereich der Cyberhygiene sind unerlässlich, um die Integrität zu gewährleisten. Inwieweit Unternehmen Cyberhygiene-Standards unterliegen und diese verschärfen, ist jedoch von EU-Land zu EU-Land unterschiedlich und hängt weitgehend von der jeweiligen Branche und den nationalen Gepflogenheiten ab. Auf EU-Ebene enthalten die derzeitigen Rechtsvorschriften für Finanzdienstleistungen, insbesondere für Finanzmarktinfrastrukturen und Zahlungen, bereits spezielle Vorgaben für die Integrität von IT-Ressourcen und -Systemen sowie ihre Governance. In anderen Bereichen sind die Vorgaben allgemeiner gehalten, beispielsweise in Bezug auf die Betriebsfortführung oder die allgemeinen Anforderungen für das operationelle Risiko.

Die in der Richtlinie über die Sicherheit von Netz- und Informationssystemen 39 (NIS-Richtlinie) enthaltenen Bestimmungen zu den Sicherheitsanforderungen bei anderen Finanzdienstleistungen werden derzeit von den Mitgliedstaaten umgesetzt. Es kann jedoch sein, dass die EU-Finanzmarktgesetzgebung noch Lücken lässt, die geschlossen werden müssen, um die Abwehrkraft des Sektors zu stärken. Bevor solche Maßnahmen ergriffen werden, sollten die Aufsichtsanforderungen und -praktiken40 sorgfältig geprüft werden. Auf diese Weise können bewährte Praktiken bei der Anwendung der allgemeinen Anforderungen ermittelt werden.

Der Zugang zu Informationen über Bedrohungen und die Weitergabe von Informationen sind ebenfalls von grundlegender Bedeutung für mehr Cybersicherheit. Eine engere

Zusammenarbeit und Koordinierung beim Austausch von Informationen über Bedrohungen im gesamten EU-Finanzsektor werden dazu beitragen, Cyberbedrohungen abzuwenden und zu mindern. Einige Teilnehmer an der FinTech-Konsultation äußerten Bedenken, dass der Informationsaustausch über Cyberbedrohungen durch Rechtsvorschriften behindert werden könnte. So könnte er beispielsweise der Datenschutz-Grundverordnung zuwiderlaufen. In der Datenschutz-Grundverordnung wird jedoch anerkannt, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie verhältnismäßig und notwendig ist, um die Netz- und Informationssicherheit zu gewährleisten.

Die Aufsichtsbehörden führen mehr und mehr Testangriffe und Belastungstests durch, um zu prüfen, wie wirksam die Cyberabwehrkapazitäten und die Sicherheitsanforderungen s i.d.R. gorose Tests gehören bereits zu den bewährten Verfahren der Branche, und mehr und mehr werden die Test und deren Modalitäten behördlich vorgeschrieben. Da Finanzinstitute und Finanzmarktinfrastrukturen grenzübergreifend operieren, wird die Vervielfältigung der Testrahmen als unnötiger Kostentreiber und potenzielle Risikoquelle empfunden. Die Interessenträger hoben die Notwendigkeit einer stärkeren Koordinierung der Regulierung und Aufsicht auf europäischer Ebene hervor. Kombiniert werden sollte dies aus ihrer Sicht mit einer engeren Zusammenarbeit zwischen den Rechtsräumen und einer gegenseitigen Anerkennung der Testergebnisse - deren Vertraulichkeit gewahrt bleiben müsste - durch die Behörden. In diesem Zusammenhang hält die Kommission den Vorstoß der EZB, der ESA und der nationalen Aufsichtsbehörden für vielversprechend, mit "TIBER-EU" ("Threat Intelligence Based Ethical Red Teaming") einen EU-weiten Testrahmen zu entwickeln. Indem die Cyber-Resilienz bedeutender Finanzmarktakteure über den gesamten EU-Finanzsektor hinweg beurteilt wird, lassen sich Schwachstellen für die Stabilität und Integrität des gesamten EU-Finanzsystems effizient und wirksam aufdecken.

Eine starke Cyber-Resilienz setzt ein gemeinsames und umfassendes Konzept sowie wirksame Schulungs- und Sensibilisierungsmaßnahmen voraus.

Zu diesem Zweck hat die Kommission unlängst ihren Aktionsplan für digitale Bildung angenommen, um die digitalen Kompetenzen, auch im Bereich der Cybersicherheit, europaweit zu verbessern. 41 Da Cyberbedrohungen naturgemäß global angelegt sind, kann man solchen Risiken nur durch internationale Zusammenarbeit begegnen: deshalb ist die Kommission aktiv an den Arbeiten der G20 und der G7 zur Cybersicherheit im Finanzdienstleistungssektor beteiligt.

Kasten 8

1. Die Kommission wird im 2. Quartal 2018 einen öffentlichprivaten Workshop veranstalten, um in Erfahrung zu bringen und zu bewerten, welche Hindernisse den Informationsaustausch über Cyberbedrohungen zwischen den Finanzmarktteilnehmern einschränken und welche Lösungen unter Wahrung der Datenschutzstandards möglich wären.
2. Die Kommission ersucht die ESA, bis zum 1. Quartal 2019 eine finanzsektorübergreifende Erhebung der bestehenden Aufsichtspraktiken im Bereich IKT-Sicherheit und -Governance durchzuführen und gegebenenfalls:
- a) die Aufstellung von Leitlinien in Betracht zu ziehen, um die Konvergenz der Aufsichtspraktiken und die Durchsetzung der Anforderungen für das Management und die Minderung von IKT-Risiken im EU-Finanzsektor zu fördern, und
- b) bei Bedarf eine fachliche Empfehlung an die Kommission im Hinblick auf gesetzgeberische Verbesserungen zu richten.
3. Die Kommission fordert die Europäischen Aufsichtsbehörden auf, bis zum 4. Quartal 2018 eine Kosten-/Nutzenanalyse für die Entwicklung eines kohärenten Testrahmens für die Cyber-Resilienz bedeutender Marktteilnehmer und Infrastrukturen im gesamten EU-Finanzsektor durchzuführen.

Schlussfolgerungen

Die rasche Entwicklung von FinTech treibt den Strukturwandel im Finanzsektor voran. In einem sich so rasch verändernden Umfeld bringt eine allzu vorschriftenlastige und vorschnelle Regulierung die Gefahr ungewollter Auswirkungen mit sich. Allerdings besteht auch die Gefahr, dass die EU-Finanzdienstleister auf einem zunehmend globalen Markt ins Hintertreffen geraten, wenn der Politik- und Regulierungsrahmen nicht mit diesen Entwicklungen Schritt hält. Auch kann es sein, dass dadurch maßgebliche Risiken, beispielsweise für die Cybersicherheit, unbeantwortet bleiben.

Der vorliegende FinTech-Aktionsplan enthält eine Kombination aus Unterstützungsmaßnahmen für die Einführung von FinTech-Lösungen und proaktiven Maßnahmen, mit denen nicht nur neue Lösungen gefördert und angeregt, sondern auch neue Risiken und Herausforderungen angegangen werden sollen. Die Kommission hat dargelegt, welche weiteren Arbeiten geplant sind, um Innovationen im Finanzsektor zu ermöglichen, zu berücksichtigen und nach Möglichkeit zu fördern, wobei stets sicherzustellen ist, dass die Finanzstabilität und ein hohes Anleger- und Verbraucherschutzniveau erhalten bleiben. Diese Arbeiten sind eine wichtige Säule eines breiteren strategischen Regulierungsansatzes für die Zeit nach der Krise. Sie verfolgen ein dreifaches Ziel: den raschen Technologiefortschritt zugunsten der EU-Wirtschaft, der EU-Bürger und der EU-Industrie zu nutzen, einen wettbewerbsfähigeren und innovativeren europäischen Finanzsektor zu fördern und die Integrität des EU-Finanzsystems sicherzustellen.

Europäische Kommission