RDARR und BCBS 239: Was gilt für weniger bedeutende Institute?

Redaktionell geprüft: 22. Oktober 2026 · Rechtslage geprüft bis: 22. Oktober 2026. Zeitgebundene Aussagen sind datiert; angekündigte, aber noch nicht veröffentlichte Rechtsakte sind als solche gekennzeichnet.

Für wen: Banken (SI) Banken (LSI) Der EZB-Leitfaden adressiert bedeutende Institute; der Abschnitt „Österreich“ ordnet ein, was für LSI gilt.

Die eine Zahl, die man sich merken sollte: Im EU-weiten Stresstest 2025 erhöhte die Qualitätssicherung der EZB die systemweite CET1-Auszehrung im adversen Szenario netto um 88 Basispunkte – von 308 auf 396. Die Qualitätssicherung prüft Daten, Modelle und Annahmen gemeinsam; ein isolierter Preis schlechter Datenqualität lässt sich daraus nicht ableiten. Aber sie zeigt, dass unzureichend unterlegte Einreichungen im Ergebnis korrigiert werden – mit Wirkung auf die Säule-2-Empfehlung.

Wie wurde aus BCBS 239 das RDARR-Regime?

Der Baseler Ausschuss veröffentlichte im Jänner 2013 die „Principles for effective risk data aggregation and risk reporting“ – 14 Grundsätze, elf an Banken und drei an Aufseher gerichtet. Die Lehre aus der Finanzkrise war einfach: Institute konnten in der akuten Phase ihre Konzernexponierungen gegenüber einzelnen Gegenparteien nicht schnell genug zusammenführen. Der letzte vollständige Fortschrittsbericht (d559 vom 28. November 2023, Datenstand 2022) bewertete 31 global systemrelevante Banken: Nur zwei erfüllten sämtliche Grundsätze, kein Grundsatz war über alle Banken hinweg vollständig umgesetzt. Der Bericht empfahl den Aufsehern „more forceful measures“.

Genau das ist geschehen. Der EZB-Leitfaden vom 3. Mai 2024 begründet formal keine neuen Rechtspflichten – er legt dar, wie die EZB Art. 74 CRD und die EBA-Leitlinien versteht – und verschiebt die Messlatte materiell an drei Stellen: Ein oder zwei namentlich benannte Mitglieder des Leitungsorgans verantworten den Data-Governance-Rahmen; der Anwendungsbereich umfasst ausdrücklich FINREP, COREP, Stresstest-Meldungen, Säule 3 und Schlüsselmodelle wie IRB und IFRS 9; und erstmals steht eine überprüfbare Zeitgröße im Text – ein monatlicher oder quartalsweiser Risikobericht, der mehr als 20 Arbeitstage braucht, gilt als nicht zeitnah.

Welche sieben Erwartungsfelder nennt die EZB?

Leitungsorgan, Anwendungsbereich, Data Governance, Datenarchitektur, Datenqualität, Zeitnähe und Umsetzungsprogramme, je mit Erwartung und typischem Befund.

Wo stehen die Institute laut Aufsicht?

Nur 2 von 31 G-SIBs erfüllen BCBS 239 vollständig; nur 25 % der bedeutenden Institute haben einen vom Leitungsorgan genehmigten gruppenweiten Rahmen.

Die Prozentwerte sind Anteile der befragten bedeutenden Institute, nicht Anteile einzelner Datenfehler. Die EZB hat die Einzelfeststellungen auf drei Cluster verdichtet, die in den Aufsichtsprioritäten 2026–2028 wortgleich wiederkehren: Mängel in den Data-Governance-Rahmen einschließlich der Einbindung der Leitungsorgane, Schwächen in Dateninfrastruktur und IT-Architektur, Defizite bei Datengenauigkeit und -integrität. Der größte Einzelhebel ist dabei fachlicher, nicht technischer Natur – 2024 führten drei Viertel der Institute ihre Datenqualitätsprobleme auf die Auslegung regulatorischer Anforderungen zurück, 2025 noch 58 %; die IT-bedingten Ursachen stiegen im selben Zeitraum leicht an.

Was passiert bei Nichterfüllung?

Vier Stufen, von informellen Gesprächen über verbindliche Anforderungen und Kapitalaufschläge bis zu Sanktionsverfahren, Zwangsgeldern und der Neubewertung der Eignung der Leitung.

Gesichert ist: Die EZB hat 2024 an sieben Institute Beschlüsse mit verbindlichen qualitativen RDARR-Anforderungen gerichtet und setzt seit 2025 Maßnahmen nach Art. 16 SSM-Verordnung ein, die Zwangsgelder einschließen. Ebenso gesichert ist, dass bis zum 30. Juli 2026 kein RDARR-Zwangsgeld gegen ein namentlich genanntes Institut veröffentlicht wurde – die beiden publizierten Zwangsgelder betrafen Klima- und Umweltrisiken. Die EZB veröffentlicht Zwangsgelder erst nach Bestandskraft; aus dem Fehlen einer Veröffentlichung folgt daher nicht, dass keine verhängt wurden.

Was ist in Österreich verbindlich, und was nicht?

Hier ist eine klare Abgrenzung nötig, weil in der Beratungsliteratur häufig eine Verbindlichkeit suggeriert wird, die es formal nicht gibt. Der EZB-Leitfaden ist an bedeutende Institute unter direkter EZB-Aufsicht adressiert; weniger bedeutende Institute werden darin nicht erwähnt. Eine RDARR-spezifische Leitlinie der EZB an die nationalen Aufseher existiert nicht, und in Österreich gibt es weder einen FMA- noch einen OeNB-Leitfaden zur Risikodatenaggregation für LSI.

Deutschland zeigt, wohin die Entwicklung für kleinere Institute geht: Die 9. MaRisk-Novelle vom 30. Juni 2026 nimmt bedeutende Institute vollständig aus dem Anwendungsbereich der MaRisk heraus; das Modul AT 4.3.4 zur Risikodatenaggregation richtete sich seit 2021 ohnehin nur an sie. Für deutsche LSI gelten die allgemeinen Anforderungen an Datengenerierung und Datenqualität – ein Minimalkern, der dem österreichischen § 3 KI-RMV entspricht.

Was ändert sich 2026 und 2027?

Der EZB-Leitfaden wird bis zum vierten Quartal 2026 überarbeitet, und RDARR fließt ab 1. Jänner 2027 in den SREP ein.

• Der EZB-Leitfaden wird überarbeitet. Angekündigt am 26. Juni 2026, erwartet im vierten Quartal 2026, mit Klarstellungen zum Anwendungsbereich des Data-Governance-Rahmens und zur integrierten Datenarchitektur. Wer sein Programm jetzt aufsetzt, sollte die Zielarchitektur so schneiden, dass sie diese Präzisierungen aufnehmen kann.
• RDARR wird EU-weit im SREP verankert. EBA/GL/2026/06 ab 1. Jänner 2027 – der maßgebliche Hebel für LSI, beschrieben auf der Seite SREP 2027.
• Für 2026 gibt es keinen EBA-Stresstest, sondern den thematischen Reverse-Stresstest der EZB zu geopolitischen Risiken über 110 Banken; die Stärkung der Aggregations- und Berichtsfähigkeiten ist ausdrücklich Bewertungsziel. Im Ergebnis vom 31. Juli 2026 stellte die EZB Lücken bei Granularität und Sensitivität der Risikobewertungen fest – der Sache nach ein Datenfähigkeitsbefund.

Welche Maßnahmen sind für LSI verhältnismäßig?

Ein dreistufiger Plan: Sofortmaßnahmen bis Ende 2026, Schritte im ersten Halbjahr 2027 und strukturelle Maßnahmen bis Ende 2027.

Sofort, bis Ende 2026

1. Gap-Analyse gegen die sieben Erwartungsfelder in reduziertem Umfang dokumentieren – fehlende Gap-Analysen sind ein ausdrücklich benannter EZB-Befund.
2. Verantwortung für Datenqualität in Geschäftsverteilung und Ausschussmandaten verankern; ein Mitglied der Geschäftsleitung genügt in der Regel.
3. Register der Datenqualitätsprobleme in einfacher Form aufsetzen: Schweregrad, Ursache, Auswirkung, Verantwortlicher, Frist, Behebungsnachweis.
4. Bestandsaufnahme manueller Behelfslösungen und Individueller Datenverarbeitung im Meldeprozess, mit Vier-Augen-Kontrolle.
5. Erstellungszeit der Risikoberichte messen – nicht verbindlich, aber die beste Selbstdiagnose für manuelle Strecken.

Mittelfristig, erstes Halbjahr 2027

1. Auslegungsprozess für Meldeanforderungen formalisieren: zentrale Interpretationsstelle, dokumentierte Entscheidungen, Änderungshistorie – der größte Einzelhebel überhaupt.
2. Anforderungen an externe Meldesoftware und Dienstleister vertraglich und prüferisch nachschärfen; 55 % der IT-bedingten Probleme wurden auf Limitierungen externer Anbieter zurückgeführt.
3. Data Owner je zentraler Meldeposition vereinfacht benennen – durchgängig über die Strecke, nicht nur je System.
4. Vorbereitung auf die SREP-Bewertung nach Abschnitt 5.7.

Strukturell, bis Ende 2027 und darüber hinaus

Werkzeuggestützte, aus den Verarbeitungsstrecken abgeleitete Lineage statt manuell gepflegter Diagramme; Automatisierung der Datenqualitätskontrollen vom Vorsystem bis zur Meldeschicht; Berücksichtigung von Datenqualitätsrisiken im ICAAP; und – vom Baseler Ausschuss im Newsletter Nr. 36 vom 6. Jänner 2026 ausdrücklich empfohlen – regelmäßige Übungen zur Ad-hoc-Berichtsfähigkeit in ruhigen Zeiten. Die Fähigkeit, in der Krise binnen Stunden eine neue Auswertung zu liefern, lässt sich nicht dokumentieren, sondern nur demonstrieren.

Welche Fallstricke sind typisch?

Fünf, darunter ein Programm ohne Enddatum, Lineage als reines Dokumentationsprojekt und die IT-Erklärung für ein fachliches Problem.

• Das Programm ohne Enddatum. Rollierende Planung ohne Zieldatum für die Vollkonformität wird als mangelnde Ambition gewertet.
• Lineage als Dokumentationsprojekt. Manuell dokumentierte Lineage ist ab dem Tag der Fertigstellung veraltet; die Anforderung lautet „complete and up-to-date“.
• Der zu enge Anwendungsbereich. Ein Rahmen, der nur interne Berichte abdeckt, aber nicht FINREP, COREP und Stresstest-Meldungen, ist nach dem Leitfaden unvollständig.
• Governance ohne Steuerungswirkung. Ein Ausschuss, der Kennzahlen zur Kenntnis nimmt, aber weder Budget noch Priorisierung beeinflusst, erfüllt die Erwartung nicht.
• Die IT-Erklärung für ein fachliches Problem. Der größte Ursachenblock ist die Auslegung regulatorischer Anforderungen. Programme, die nur als IT-Projekt aufgesetzt sind, greifen an der falschen Stelle an.

Häufige Fragen

Muss ein österreichisches LSI die 20-Arbeitstage-Erwartung einhalten?

Nein, sie ist nicht verbindlich. Sie stammt aus dem EZB-Leitfaden für bedeutende Institute. Als Selbstdiagnose ist sie dennoch nützlich: Die Erstellungszeit eines Risikoberichts ist der beste verfügbare Indikator für manuelle Strecken im Aggregationsprozess.

Welche Rechtsgrundlage gilt für Datenqualität in Österreich?

§ 39 BWG in Verbindung mit § 3 Abs. 4 KI-RMV (Konsistenz und Validität der Daten bei der Risikoerfassung) und § 3 Abs. 6 KI-RMV (nachvollziehbare Dokumentation). Lineage-, Ownership- oder Kennzahlenpflichten enthält das nationale Recht nicht.

Hat die EZB schon Zwangsgelder wegen Risikodatenaggregation verhängt?

Veröffentlicht wurde bis Ende Juli 2026 keines; die beiden publizierten Zwangsgelder betrafen Klima- und Umweltrisiken (ABANCA, Crédit Agricole). Die EZB hat RDARR-Zwangsgelder seit 2024 ausdrücklich als Instrument benannt und veröffentlicht Zwangsgelder erst nach Bestandskraft.

Wann kommt der revidierte EZB-Leitfaden?

Angekündigt für das vierte Quartal 2026, mit Schwerpunkt auf dem Anwendungsbereich des Data-Governance-Rahmens und der integrierten Datenarchitektur. Bei substanziellen Änderungen ist eine öffentliche Konsultation vorgesehen.