Redaktionell geprüft: 22. Oktober 2026 · Rechtslage geprüft bis: 22. Oktober 2026. Zeitgebundene Aussagen sind datiert; angekündigte, aber noch nicht veröffentlichte Rechtsakte sind als solche gekennzeichnet.
Für wen: Banken (SI) Banken (LSI) Für Versicherungen gilt der SREP nicht; die Datenfähigkeit wird dort über DORA und den Solvency-II-Review relevant.
Datenqualität ist nicht erst ab 2027 Prüfgegenstand – § 39 BWG und die KI-RMV verlangen Konsistenz und Dokumentation heute schon, und die EZB prüft RDARR bei bedeutenden Instituten seit Jahren. Neu ist die Bündelung: Ab 2027 wird neben der Meldung ausdrücklich die Fähigkeit des Hauses bewertet, Daten vollständig, herkunftssicher und zeitnah zusammenzuführen. Sanktioniert wird nach § 7 Z 1 DORA-VG nicht der Vorfall, sondern das Fehlen eines angemessenen, dokumentierten Rahmens. Umsetzung, Wirksamkeit und Nachweis sind dabei drei getrennte Fragen.
Was ändert EBA/GL/2026/06?
Die EBA hat die revidierten Leitlinien zu den gemeinsamen Verfahren und Methoden für den aufsichtlichen Überprüfungs- und Bewertungsprozess am 26. Juni 2026 als Final Report veröffentlicht. Sie ersetzen die SREP-Leitlinien EBA/GL/2022/03 und lösen die eigenständigen IKT-Leitlinien EBA/GL/2017/05 auf; das IKT-Risiko wird als Komponente des operationellen Risikos eingeordnet. Im Titel zur internen Governance steht ein neuer Unterabschnitt 5.7 mit dem Titel „ICT systems, risk data aggregation and risk reporting“. Die Begründung nennt die Integration des DORA-Rahmens und des Drittparteienrisikomanagements in das Gesamtrisikomanagement in einem Atemzug mit der Bedeutung der Risikodatenaggregationsfähigkeiten und verweist auf die Baseler Grundsätze von 2013, soweit anwendbar (Fußnote 4 und Rz. 18 des Final Report). DORA-bezogene Indikatoren sollen in die Überwachungssysteme der zuständigen Behörden integriert werden.
Die Verknüpfung ist konzeptionell, nicht operativ. Begriffe wie „data lineage“, „data architecture“ oder „register of information“ kommen in EBA/GL/2026/06 nicht vor, und BCBS 239 wird nur als „Principles for effective risk data aggregation and risk reporting (January 2013)“ zitiert, nicht mit seiner Nummer (geprüft am Volltext des Final Report, 22.10.2026). Die Leitlinien schaffen die gemeinsame Bewertungsdimension – die gemeinsame Umsetzungsvorgabe bleibt dem EZB-Leitfaden vorbehalten, der sich nur an bedeutende Institute richtet.
Für wen gelten die Leitlinien, und mit welcher Proportionalität?
Die Leitlinien sind an die zuständigen Behörden adressiert, also auch an FMA und OeNB. Damit wird die Bewertung der Risikodatenaggregationsfähigkeiten EU-weit formal Teil des SREP-Governance-Blocks – unabhängig davon, ob ein Institut bedeutend ist. Seit 2022 besteht zudem eine gemeinsame LSI-SREP-Methodik von EZB und nationalen Behörden, die sich an der Methodik für bedeutende Institute orientiert. Die Proportionalität wirkt über die SREP-Kategorien: Kategorie 4 umfasst die kleinen und nicht komplexen Institute nach Art. 4 Abs. 1 Nr. 145 CRR; für sie kann der Mindestbeurteilungsturnus von drei auf fünf Jahre verlängert werden, sofern das Risikoprofil stabil und niedrig ist. Praktisch heißt das: geringere Prüfungsfrequenz, aber dieselbe Bewertungsdimension; die Proportionalität betrifft daneben auch, wie Anforderungen ausgestaltet und beurteilt werden. Und eine Klarstellung zum Charakter: Leitlinien sind keine unmittelbar geltende Verordnung. Die direkte Verpflichtung trifft die zuständigen Behörden; auf Institute wirken sie über die Aufsichtspraxis, das geltende Recht – in Österreich § 39 BWG und die KI-RMV – und gegebenenfalls über konkrete aufsichtliche Maßnahmen.
Was gilt in Österreich heute schon?
Vor allem § 39 BWG mit § 3 Abs. 4 und 6 KI-RMV. Für weniger bedeutende Institute gibt es keinen eigenen FMA- oder OeNB-Leitfaden zur Risikodatenaggregation; auch die FMA-Mindeststandards zum ICAAP vom Dezember 2024 enthalten keinen Abschnitt zu Datenmanagement oder Data Governance. Die nationale Rechtsgrundlage bleibt § 39 BWG in Verbindung mit der Kreditinstitute-Risikomanagementverordnung, erlassen auf Grund des § 39 Abs. 4 BWG. Zwei Bestimmungen tragen den Kern des BCBS-239-Gedankens:
| Bestimmung | Wortlaut (Auszug) | Was daraus folgt |
|---|---|---|
| § 3 Abs. 4 KI-RMV | „Kreditinstitute haben insbesondere bei Erfassung der Risiken die Konsistenz und Validität der hierzu verwendeten Daten sicherzustellen.“ | Datenkonsistenz und -validität sind heute schon Pflicht – ohne Lineage-, Ownership- oder Kennzahlenvorgabe. |
| § 3 Abs. 6 KI-RMV | „Kreditinstitute haben die … getätigten Maßnahmen angemessen und nachvollziehbar zu dokumentieren.“ | Nachvollziehbarkeit ist Teil der Pflicht; der Nachweis ist nicht Zusatz, sondern Bestandteil. |
| § 39 Abs. 2 BWG (eingefügt mit DORA-VG) | „Soweit Netzwerk- und Informationssysteme verwendet werden, sind diese insbesondere gemäß den Anforderungen der Verordnung (EU) 2022/2554 einzurichten und zu verwalten.“ | Die Sorgfaltspflicht der Geschäftsleiter verweist unmittelbar auf DORA – IKT-Risikomanagement ist Geschäftsleiterpflicht. |
| § 7 Z 1 und § 8 DORA-VG | Nichterfüllung der Anforderungen der Art. 5 bis 14 DORA: Geldstrafe bis 150.000 Euro für Verantwortliche, bis 500.000 Euro oder 1 % des Jahresnettoumsatzes für juristische Personen. | Sanktioniert wird das Fehlen des Rahmens, nicht der Vorfall. Bemessung nach § 9: Verschulden, Wesentlichkeit, Dauer, Verantwortung, Kooperation und weitere Umstände. |
Die von FMA und OeNB am 15. Dezember 2025 veröffentlichten Aufsichtsschwerpunkte für 2026 nennen fünf Themen: Resilienz und Abbau notleidender Kredite, IKT-Sicherheit, künstliche Intelligenz, ESG-Risiken sowie Regulierungs- und Aufsichtseffizienz. Risikodatenaggregation ist kein eigener Schwerpunkt; bemerkenswert ist eher die Gegenbewegung – die FMA hat für 2026 den Abbau von Meldepflichten zum Ziel erklärt. Der Hebel für die Datenfähigkeit kommt deshalb nicht aus Wien, sondern über die SREP-Leitlinien aus Paris.
Was prüft die Aufsicht 2027 tatsächlich?
Aus den Unterlagen der Fachsitzung des Hypo-Verbands vom 23. September 2026 und den aufsichtlichen Veröffentlichungen lassen sich die Prüfschwerpunkte benennen, die 2027 auf Institute zukommen:
- Informationsregister und Subdienstleisterketten. Die ESAs haben für 2027 einen Prüfschwerpunkt mit automatisierten Auswertungen der Informationsregister angekündigt und betten KI-bezogene Risiken in die Oversight-Prüfungen kritischer IKT-Drittdienstleister ein (JC 2026 25, 31.07.2026). Das Register ist zugleich der Dateninput für die Benennung kritischer Dienstleister – Datenqualitätsmängel wirken unmittelbar auf ein aufsichtliches Ergebnis durch.
- IKT-Vorfälle als Betriebszahl. FMA und OeNB berichteten im Jänner 2026 über 103 Meldungen schwerwiegender IKT-Vorfälle im Jahr 2025, davon rund 63 % mit Bezug zu externen IKT-Dienstleistern. EU-weit zählte der Gemeinsame Ausschuss der ESAs für 2025 3.383 schwerwiegende Vorfälle, 29 % verursacht durch ein Versagen auf Seiten eines Drittdienstleisters (JC 2026 16).
- Datenfähigkeit im Governance-Block. Über Abschnitt 5.7 fließt die Qualität der Meldedaten in den LSI-SREP ein; die nationalen Aufseher plausibilisieren Bankenberechnungen in der laufenden Analyse. Eine explizite RDARR-Bewertungsdimension für weniger bedeutende Institute ist in keinem veröffentlichten Dokument nachweisbar – die Bewertung läuft über die Governance.
- KI im Aufsichtsdialog. FMA und OeNB wollen 2026 den Aufsichtsansatz zu KI-Anwendungen entwickeln und kommunizieren und mit den Banken über konkrete Anwendungen in den Dialog treten. Wer erst reagiert, wenn der Ansatz steht, verhandelt nicht mit.
Wie unterscheiden sich Umsetzung, Wirksamkeit und Nachweis?
Als drei getrennte Prüffragen. Ein erfolgreicher Angriff oder eine Rückfrage der OeNB ist für sich noch keine Pflichtverletzung. Die Exposition entsteht dort, wo der Rahmen fehlt oder nicht wirkt, und sie wird dort sichtbar, wo er sich nicht belegen lässt. Deshalb sind drei Fragen getrennt zu beantworten: Ist die Anforderung umgesetzt? Wirkt sie? Lässt sie sich belegen? Ein vollständiges Dossier heilt keine unzureichende Umsetzung, und eine gute Umsetzung ohne Belege ist in der Prüfung wertlos. Dokumentation ist dabei an mehreren Stellen selbst Pflicht – Art. 6 Abs. 5 und 6 sowie Art. 8 Abs. 6 DORA –, ersetzt die materielle Umsetzung aber nicht.
Selbstdiagnose: Welche sechs Fragen klärt man vor dem SREP 2027?
- Gibt es ein schriftlich abgegrenztes Bestandsverzeichnis – IKT-Assets, kritische Datenelemente, Rechtseinheiten, Dienstleisterverträge – mit benannten Verantwortlichen? (Art. 8 DORA; RDARR-Erwartungsfeld 3.4)
- Lässt sich für die zentralen Meldepositionen – FINREP, COREP, AnaCredit/GKE, VERA – sagen, aus welcher Quelle sie stammen und über welche Überleitung sie entstehen? (§ 3 Abs. 4 und 6 KI-RMV)
- Wie lange braucht der monatliche und quartalsweise Risikobericht vom Stichtag bis zur Freigabe? Die 20-Arbeitstage-Erwartung des EZB-Leitfadens ist für LSI nicht verbindlich, aber als Indikator für den Automatisierungsgrad lesbar.
- Gibt es ein Register der Datenqualitätsprobleme mit Ursache, Auswirkung, Verantwortlichem, Frist und Nachweis der Behebung – oder liegen die OeNB-Rückfragelisten in Postfächern?
- Welche manuellen Korrekturen und Individuellen Datenverarbeitungen greifen in den Meldeprozess ein, und sind sie protokolliert und im Vier-Augen-Prinzip kontrolliert?
- Wurde das Informationsregister 2026 ohne Zurückweisung angenommen – und wenn nicht, woran lag es? Die FMA berichtete aus dem Dialog vom Oktober 2025 über Zurückweisungen wegen eines Leerzeichens hinter der LEI und wegen Kopierfehlern aus dem Excel-Format.
Wer seine Meldungen über das Gemeinsame Meldewesen-Datenmodell aus einem Basic Cube ableitet, besitzt den Kern dessen, was Abschnitt 5.7 bewertet – eine gemeinsame granulare Datenbasis mit dokumentierten Überleitungen. Was meist fehlt, ist nicht die Fähigkeit, sondern ihr Nachweis: Inventar, Verantwortliche, Kennzahlen. Wie daraus ein Datenkern wird, der auch DORA, NISG und die KI-Verordnung bedient, beschreibt die nächste Seite.
Häufige Fragen
Gilt Abschnitt 5.7 auch für weniger bedeutende Institute?
Ja. Die Leitlinien sind an die zuständigen Behörden adressiert, in Österreich FMA und OeNB, und ab 1. Jänner 2027 anzuwenden – unabhängig von der Einstufung eines Instituts als bedeutend. Die Proportionalität wirkt über die SREP-Kategorien und den Prüfungsturnus, nicht über die Bewertungsdimension.
Verlangt EBA/GL/2026/06 Data Lineage oder Data Owner?
Nicht mit diesen Begriffen. Die Leitlinien schaffen die Bewertungsdimension für IKT-Systeme, Risikodatenaggregation und Risikoberichterstattung und verweisen auf die Baseler Grundsätze; die konkreten Erwartungen – Lineage auf Attributebene, Data Owner je kritischem Datenelement, 20 Arbeitstage – stehen im EZB-Leitfaden, der nur bedeutende Institute adressiert.
Was ist die nationale Rechtsgrundlage für Datenqualität im Meldewesen?
§ 39 BWG in Verbindung mit § 3 Abs. 4 KI-RMV (Konsistenz und Validität der bei der Risikoerfassung verwendeten Daten) und § 3 Abs. 6 KI-RMV (angemessene und nachvollziehbare Dokumentation). Für Netzwerk- und Informationssysteme verweist § 39 Abs. 2 BWG seit 17. Jänner 2025 auf DORA.
Welche Strafen drohen bei fehlendem IKT-Risikorahmen?
Nach § 7 Z 1 DORA-VG bis 150.000 Euro für Verantwortliche, nach § 8 bis 500.000 Euro oder 1 % des jährlichen Gesamtnettoumsatzes für juristische Personen. Die FMA berücksichtigt bei der Bemessung nach § 9 zunächst das Verschulden und dann weitere Umstände wie Wesentlichkeit, Dauer, Finanzkraft und Kooperationsbereitschaft.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).