Regulatorische Themen und Fristen 2025 im Überblick

06/02/2025

Grundsätzliches 2025

• Europäische Bankenaufsichtsbehörde (EBA): Ab 2025 übernimmt die Europäische Bankenaufsichtsbehörde (EBA) neue Verantwortlichkeiten. Darunter fällt die Aufsicht über kritische Drittanbieter von IT-Dienstleistungen im Rahmen des Digital Operational Resilience Act (DORA) sowie die Überwachung bedeutender Emittenten von wertreferenzierten und E-Geld-Token gemäß der Markets in Crypto-Assets Regulation (MiCAR). Gleichzeitig werden die bisherigen Befugnisse der EBA im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung an die neue EU-Behörde AMLA übertragen.
• Finanzmarktdigitalisierungsgesetz (FinmadiG): Am 27.12.2024 wurde das Finanzmarktdigitalisierungsgesetz (FinmadiG) im Bundesgesetzblatt veröffentlicht und trat am 30.12.2024 in Kraft. Es setzt zentrale EU-Verordnungen wie MiCAR, DORA sowie die neue Geldtransferverordnung in deutsches Recht um, indem das Kryptomärkteaufsichtsgesetzes (KMAG) als zentraler Bestandteil der FinmadiG neu eingeführt wird und aus der MiCAR heraus notwendige Anpassungen bestehender Gesetze vorgenommen werden. So werden Anbieter von Kryptowerte-Dienstleistungen i.S.v. MiCAR im GwG als geldwäscherechtlich Verpflichtete aufgenommen. In Abgrenzung zum „Kryptowerte“-Begriff der MiCAR werden die bisherigen „Kryptowerte“ im KWG umbenannt in „Kryptografische Instrumente“. Weiterhin regelt das FinmadiG die Durchführung der novellierten Geldtransferverordnung (TFR), gemäß derer auch Anbieter von Krypto-Dienstleistungen verpflichtet sind, Angaben über Auftraggeber und Begünstigte von Transfers einzuholen und zu übermitteln. Dies schafft eine Rückverfolgbarkeit von Transfers bestimmter Kryptowerte („Travel Rule“) zwecks Minimierung des Risikos von Geldwäsche und Terrorismusfinanzierung.
• Umsetzung der CSRD-Richtlinie: Die Verabschiedung des Umsetzungsgesetzes zur Corporate Sustainability Reporting Directive (CSRD) wird für dieses Jahr erwartet. Diese Richtlinie regelt die Anforderungen an die Nachhaltigkeitsberichterstattung von Unternehmen. Neben erweiterten Anforderungen wird auch der Kreis der berichtspflichtigen Unternehmen erweitert. Betroffen sind neben großen Unternehmen, die bestimmte Schwellenwerte überschreiten, auch kapitalmarktorientierte KMUs sowie bestimmte Nicht-EU-Unternehmen. Die CSRD trat am 05.01.2023 in Kraft und hätte ursprünglich bis zum 06.07.2024 in nationales Recht überführt werden sollen.

Januar 2025

• ZAG-MaRisk:  Obwohl die ZAG-MaRisk bereits mit ihrer Veröffentlichung im Mai 2024 in Kraft getreten sind, gewährte die BaFin eine Umsetzungsfrist bis zum 01.01.2025. Die Anforderungen mussten somit von allen betroffenen Instituten bis Anfang dieses Jahres umgesetzt werden. Die ZAG-MaRisk enthalten aufsichtsrechtliche Anforderungen an das Risikomanagement für Zahlungs- und E-Geld-Institute und orientieren sich an den MaRisk für Kreditinstitute. Der Fokus liegt auf der Etablierung wirksamer Governance-Strukturen, Risikokontrollen und Compliance-Maßnahmen, um einen sicheren und transparenten Geschäftsbetrieb zu gewährleisten. 
• EBA-Leitlinien zum Management von ESG-Risiken: Die EBA hat ihre finalen Leitlinien zum Management von ESG-Risiken am 09.01.2025 veröffentlicht. Diese enthalten Anforderungen zur Identifizierung, Messung, Steuerung und Überwachung von ESG-Risiken und gelten für Institute gemäß der CRD VI, darunter Banken, Wertpapierfirmen und sonstige Kreditinstitute. Die Leitlinien sind grundsätzlich ab dem 11.01.2026 anzuwenden; für kleine und nicht komplexe Institute ist eine längere Frist bis zum 11.02.2027 vorgesehen. Ergänzt werden sie durch die Leitlinien zu ESG-Szenarioanalysen, die sich derzeit in Konsultation befinden.
• Digital Operational Resilience Act (DORA): Ab dem 17.01.2025 müssen Unternehmen, die direkt unter DORA fallen, die Anforderungen vollständig umgesetzt haben. Auch wenn Leasing- und Factoring-Unternehmen nicht unmittelbar unter DORA fallen, wurden sie durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) in den Anwendungsbereich aufgenommen und müssen ab diesem Datum zumindest die Meldepflichten erfüllen. Gleichzeitig wurden die aufsichtsrechtlichen Anforderungen an die IT (z. B. ZAIT, VAIT, KAIT) sowie das BaFin-Rundschreiben zur Meldung schwerwiegender Zahlungssicherheitsvorfälle vollständig aufgehoben. Die Aufhebung der BAIT erfolgt schrittweise und ist mit Ablauf des 31.12.2026 vollständig abgeschlossen.

Februar 2025

• Auslegungs- und Anwendungshinweise zum Geldwäschegesetz: Die von der BaFin im November 2024 veröffentlichten Auslegungs- und Anwendungshinweise zum Geldwäschegesetz sind ab dem 01.02.2025 verbindlich anzuwenden. Die wesentlichen Änderungen findet ihr hier nochmals zusammengefasst.

März 2025

• Payment Services Directive (PSD3) und Payment Services Regulation (PSR): Mit der Veröffentlichung der finalen Fassungen der PSD3 sowie der PSR ist voraussichtlich in diesem Jahr zu rechnen. Im Mittelpunkt der Regulierung stehen die Erhöhung der Sicherheit von Zahlungsvorgängen, die Förderung des Wettbewerbs sowie die Harmonisierung des Zahlungsverkehrs. Gleichzeitig wird mit Inkrafttreten der PSD3 die E-Geld-Richtlinie (EMD2) aufgehoben, um eine einheitliche Regulierung auf EU-Ebene zu gewährleisten. Sobald die PSD3 und PSR im EU-Amtsblatt veröffentlicht sind, treten sie 20 Tage nach der Veröffentlichung in Kraft. Die PSR, als Verordnung, gilt unmittelbar in allen Mitgliedstaaten und ist ab 18 Monaten nach Inkrafttreten anzuwenden. Die PSD3, als Richtlinie, muss nach Inkrafttreten von den Mitgliedstaaten innerhalb von 18 Monaten in nationales Recht umgesetzt werden. Für bereits unter der PSD2 zugelassene Zahlungsinstitute gibt es eine Übergangsfrist von 24 Monaten, innerhalb derer sie die neuen Anforderungen erfüllen müssen. 

April 2025

• DORA-Informationsregister: Bis spätestens 11.04.2025 müssen alle Finanzunternehmen unter der Aufsicht der BaFin die Informationsregister nach DORA erstmals an die BaFin übermitteln. Das Register soll sämtliche Vertragsinformationen mit Stichtag 31.03.2025 enthalten.

Mai 2025

• Durchführungsrechtsakte zur eIDAS 2.0: Bis zum 21.05.2025 ist die Europäische Kommission verpflichtet, mehrere Durchführungsrechtsakte zur Verordnung (EU) 2024/1183 (eIDAS 2.0) zu erlassen. Diese sollen Referenzstandards sowie gegebenenfalls Spezifikationen und Verfahren für verschiedene Bereiche festlegen. Die novellierte eIDAS-Verordnung zielt darauf ab, eine sichere, interoperable und nutzerfreundliche digitale Identität in der gesamten EU zu etablieren.

Juni 2025

• Financial Data Access Regulation (FiDA): Die finale Fassung der Financial Data Access Regulation (FiDA) wird voraussichtlich in diesem Jahr erwartet. Neben der Payment Services Directive 3 (PSD3) und der Payment Services Regulation (PSR) ist FiDA der dritte zentrale Baustein der Finanzregulierung. FiDA wird Unternehmen verpflichten, ihre Kundendaten anderen Finanzinstituten und -informationsdienstleistern bereitzustellen. Als Teil der Open-Finance-Initiative erweitert sie den regulatorischen Rahmen für den Datenzugang über Zahlungskonten hinaus. Dateninhaber und Datennutzer sind verpflichtet, innerhalb von 18 Monaten nach Inkrafttreten Mitglieder eines Schemes, also eines Systems für den Austausch von Finanzdaten, zu werden. Weitere sechs Monate später, also insgesamt 24 Monate nach Inkrafttreten, müssen die ersten Datenübermittlungen erfolgen, was bedeutet, dass die entsprechenden Schnittstellen bis dahin implementiert und betriebsbereit sein müssen.

Juli 2025

• EBA-Leitlinien zu Informationspflichten bei Geldtransfers und Transfers bestimmter Kryptowerte (‚Travel Rule‘): Am 31.07.2025 endet die Übergangsperiode für die Umsetzung der EBA Leitlinien zu Informationspflichten in Bezug auf Geldtransfer und Transfer bestimmter Kryptowerte. Bis zu dieser Frist dürfen CASP (Anbieter von Krypto-Dienstleistungen) und ICASP (zwischengeschaltete Anbieter von Krypto-Dienstleistungen) weiterhin Infrastrukturen oder Dienste nutzen, die technische Einschränkungen hinsichtlich der Datenvollständigkeit aufweisen, sofern sie alternative Mechanismen einführen, um diese Einschränkungen auszugleichen. 

Dezember 2025

• Anpassung der MiCAR und Entwürfe für MiCAR 2: Im vierten Quartal 2025 wird eine Anpassung der Markets in Crypto-Assets Regulation (MiCAR) erwartet und erste Entwürfe für eine MiCAR 2. Aufbauend auf dem gemeinsamen Bericht der EBA und der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) vom 13.01.2025 wird erwartet, dass darin potenzielle regulatorische Anpassungen insbesondere für Decentralized Finance (DeFi) und Staking adressiert werden.
• Ende der Übergangsfrist für MiCAR in Deutschland: Am 31.12.2025 endet die Übergangsfrist zur Umsetzung der Verordnung (EU) 2023/1114 (MiCAR) in Deutschland. MiCAR gewährt bestehenden Krypto-Dienstleistern im Rahmen eines sogenannten Grandfatherings eine Übergangsfrist, die von den einzelnen EU-Mitgliedstaaten entsprechend angepasst werden kann. In Deutschland wurde diese Frist durch das Kryptomärkteaufsichtsgesetz (KMAG) auf Ende 2025 festgelegt. Nach Ablauf dieser Übergangsfrist müssen alle Marktteilnehmer eine entsprechende Lizenz besitzen, um regulär operieren zu können.

Ausblick

• Technische Regulierungsstandards (RTS) der AML-Verordnung: Im Rahmen der AML-Verordnung ist die AMLA verpflichtet, bis spätestens 10.07.2026 eine Reihe technischer Regulierungsstandards (RTS) und Leitlinien zu veröffentlichen. Diese Standards sollen die Umsetzung der AML-Verordnung auf operativer Ebene präzisieren und einheitliche Vorgaben für die Anwendung in der Praxis festlegen. Diese treten spätestens mit der Anwendbarkeit der AML-Verordnung am 10.07.2027 in Kraft und sind vollumfänglich umzusetzen. 
• DORA-Anforderungen für Leasing- und Factoring-Unternehmen: Ab dem 01.01.2027 unterliegen Leasing- und Factoring-Unternehmen vollständig den Anforderungen des Digital Operational Resilience Act (DORA), profitieren jedoch von spezifischen Erleichterungen wie einem vereinfachten IKT-Risikomanagementrahmen. Dies ergibt sich aus der Erweiterung des DORA-Anwendungsbereichs durch das Finanzmarktdigitalisierungsgesetz (FinMadiG).

Dies ist keine Rechtsberatung, die Übersicht der regulatorischen Fristen stellt nur eine Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit.

---

Quellen:

[1] European Banking Authority (EBA): Final Report: Guidelines on the management of environmental, social and governance (ESG) risks vom 08.01.2025.

[2] Verordnung (EU) Nr. 2024/2554 des Europäischen Parlaments und des Rates vom 14.12.2022. 

[3] Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin): Auslegungs- und Anwendungshinweise zum Geldwäschegesetz vom November 2024.

[4] Verordnung (EU) Nr. 2024/1183 des Europäischen Parlaments und des Rates vom 11.04.2024. 

[5] Verordnung (EU) Nr. 2023/1114 des Europäischen Parlaments und des Rates vom 31.05.2023. 

[6] European Banking Authority (EBA): Work Programme 2025 vom September 2024.

[7] European Banking Authority (EBA), European Securities and Markets Authority (ESMA): Join Report: Recent developments in crypto-assets vom 13.01.2025.