Proportional heißt nicht weniger: Was die EBA kleinen Instituten beim operationellen Risiko zumutet

Die European Banking Authority (EBA) hat am 26. August 2026 einen Entwurf technischer Regulierungsstandards zum Management operationeller Risiken zur Konsultation gestellt. Eine Zahl steht dabei im Zentrum: 750 Millionen Euro Geschäftsindikator, unterhalb derer proportionale Erleichterungen gelten. Kleinere Institute kommen dabei allerdings nicht glimpflicher davon, im Gegenteil.

Zwei Punkte lohnen die genauere Lektüre. Der erste betrifft die Herkunft der Schwelle. Der zweite betrifft das, was unterhalb von ihr passiert.

Die Schwelle stammt nicht von der Behörde

Die 750 Millionen Euro sind keine Erfindung der EBA. Sie stehen in Art. 316 (1) CRR: Institute mit einem Geschäftsindikator ab dieser Höhe müssen ihren jährlichen operationellen Verlust berechnen. Die EBA sagt das im Konsultationspapier selbst und schreibt, der Level-1-Text verpflichte diese Institute zu einem Verlustdatensatz. Die Behörde erbt die Trennlinie des Gesetzgebers und hängt ihre Abstufungen daran auf.

Zwei Details der Definition werden in der Praxis unterschätzt. Maßgeblich ist nicht der aktuelle Geschäftsindikator, sondern der höchste Wert der letzten acht Meldestichtage. Ein einmaliger Ausreißer bindet ein Institut damit für zwei Jahre an das strengere Regime. Und zwischen 750 Millionen und einer Milliarde Euro existiert eine Grauzone: Aufsichtsbehörden können Institute von der Verlustberechnung befreien, wenn diese unangemessen aufwendig wäre.

Bemerkenswert ist, dass die EBA die Schwelle selbst zur Disposition stellt. Frage 16 des Konsultationspapiers, die letzte des Katalogs, fragt, ob die Differenzierung anhand des Geschäftsindikators angemessen sei oder ob andere, ebenso einfache Kennzahlen eingeführt werden sollten. Das ist keine rhetorische Frage.

Unterhalb der Schwelle entsteht eine Pflicht, die es dort nie gab

Nach dem Gesetz gilt für kleine Institute eine klare Regel: Wer keinen jährlichen operationellen Verlust berechnen muss, hat auch keine Verlustdatensatz-Pflicht. Art. 319 (1) CRR knüpft die Erfassung von Verlusten ab 20.000 Euro ausdrücklich an die Berechnung nach Art. 316. Häuser unterhalb der Schwelle sind davon nicht erfasst.

Der Entwurf ändert das. Im Folgenabschätzungsteil schreibt die EBA, sie verpflichte auch Institute mit einem Geschäftsindikator unter 750 Millionen Euro dazu, Verluste oberhalb von 20.000 Euro zu erfassen sowie wesentliche Verluste darunter. Im Regelungstext steht dieselbe Anforderung: Der reduzierte Datensatz der kleineren Häuser umfasst wesentliche Verlustdaten unter 20.000 Euro, wo sie relevant sind, „and in any case above EUR 20,000“, also in jedem Fall die Verluste darüber. Hinzu kommt eine Pflicht, die leicht überlesen wird. Diese Institute müssen in ihren internen Unterlagen die Kriterien selbst festlegen, nach denen ein Verlust unterhalb der Schwelle als relevant und wesentlich gilt.

Auch nach oben geht der Entwurf über das Gesetz hinaus. Institute oberhalb der Schwelle sollen künftig ebenfalls Verluste unter 20.000 Euro erfassen, soweit sie relevant sind, und ihre Zuordnung zur Risikotaxonomie der EBA wird für genau diesen Bereich verpflichtend. Oberhalb der Schwelle greift die Zuordnungspflicht ohnehin bereits aus der Verordnung.

Die EBA hält den Zusatzaufwand für gering und begründet das mit der Praxis: Die meisten Institute erhöben diese Daten bereits, nutzten aber nur den Teil oberhalb von 20.000 Euro für die Verlustrechnung. Ob das für kleinere Häuser trägt, ist genau die Frage, die Frage 8 des Konsultationspapiers stellt. Wer widersprechen will, hat hier den Ansatzpunkt.

Der Auftrag zur Verhältnismäßigkeit steht in der Ermächtigung selbst

Wer wissen will, ob dieser Entwurf kleine Häuser überfordert, braucht keinen externen Maßstab. Der Maßstab steht in der Norm, aus der der Entwurf seine Befugnis bezieht. Art. 323 (2) CRR beauftragt die EBA, die Pflichten des Absatzes 1 auszugestalten, und zwar ausdrücklich „taking into consideration the size and complexity of the institution“. Verhältnismäßigkeit ist hier also keine nachträgliche Forderung der Branche. Der Gesetzgeber hat sie der Behörde als Berücksichtigungsgebot mitgegeben, und ich lese das als Bedingung, an der sich der Entwurf messen lassen muss.

Wie viel sich für ein kleines Haus ändert, zeigt der Blick auf das alte Recht. Vor CRR3 standen drei Ansätze nebeneinander. Der Basisindikatoransatz, den kleine Institute typischerweise nutzten, rechnete das Eigenmittelerfordernis aus einem Dreijahresdurchschnitt des relevanten Indikators und verlangte keinerlei Verlustdaten. Der Standardansatz verlangte in Art. 320 der alten Fassung ein dokumentiertes Bewertungs- und Steuerungssystem, das auch wesentliche Verlustdaten nachhalten solle, aber ohne Bagatellgrenze, ohne Historienlänge und ohne Meldepflicht. Erst die fortgeschrittenen Messansätze trugen die vollständige Verlustdatenbank, und sie waren genehmigungspflichtig und faktisch großen Häusern vorbehalten.

CRR3 hat diese Wahl abgeschafft und die Formulierung des alten Standardansatzes in Art. 323 (1) a übernommen, jetzt aber für alle Institute. Damit gilt die qualitative Nachhaltepflicht unabhängig von der Größe, und der vorliegende Entwurf setzt darauf die Erfassungsschwelle von 20.000 Euro. Ein Haus, das vor CRR3 im Basisindikatoransatz gar keine Verlustdaten führen musste, führt künftig einen Datensatz mit selbst definierten Wesentlichkeitskriterien unterhalb dieser Schwelle.

Der Zahl selbst ist dabei nichts vorzuwerfen. Die 20.000 Euro stammen aus dem Basler Rahmenwerk, das sie als Mindestschwelle für die Aufnahme eines Verlustereignisses in die Datensammlung setzt und den Aufsichtsbehörden erlaubt, sie für größere Banken auf 100.000 Euro anzuheben. Basel verlangt die Nutzung von Verlustdaten als Kapital-Input allerdings erst oberhalb eines Geschäftsindikators von einer Milliarde Euro; die Union hat ihre Schwelle in Art. 316 bereits bei 750 Millionen gezogen und greift damit ein Viertel früher als der globale Mindeststandard verlangt. Strittig ist also nicht die Höhe der Schwelle, sondern ihr Anwendungsbereich. Die Frage lautet nicht, ob die EBA das darf. Sie lautet, ob dieser Entwurf den Auftrag erfüllt, aus dem er stammt.

Governance, ja. Aber nicht ohne Kapitalbezug

Der Entwurf regelt keine Eigenmittelanforderung. Das lässt sich in der Verordnung nachlesen, und zwar knapper, als man erwarten würde: Art. 312 CRR besteht aus einem einzigen Satz, wonach die Eigenmittelanforderung für operationelle Risiken die Geschäftsindikator-Komponente ist. Die Europäische Union hat den aus dem Baseler Rahmenwerk bekannten Verlustmultiplikator nicht auf eins gesetzt, sondern aus der Formel gestrichen. Historische Verluste erhöhen die Kapitalanforderung eines europäischen Instituts also nicht.

Daraus jedoch abzuleiten, dieser Entwurf habe mit Kapital nichts zu tun, wäre zu bequem. Das Bewertungssystem, das der Entwurf regelt, schließt die Berechnung der Geschäftsindikator-Komponente ausdrücklich ein. Und diese Komponente ist die Kapitalanforderung. In der Folge unterliegt ihre Berechnung nach dem Entwurf der internen Validierung und der Prüfung durch die Innenrevision. Als reine Governance-Übung lässt sich der Entwurf deshalb nicht einordnen, jedenfalls nicht gegenüber einem Risikocontroller, der die Vorgaben zur Validierung und zur Revision gelesen hat. Hinzu kommt die Offenlegung: Institute, die den jährlichen operationellen Verlust berechnen, müssen ihre Verluste der letzten zehn Geschäftsjahre offenlegen.

Der Wegfall der internen Modelle hat die Datenarbeit nicht beseitigt

Das Muster ist im operationellen Risiko nicht neu, es ist derselbe Vorgang eine Regelgeneration früher. Bis zur Bankenpaket-Reform standen den Instituten drei Wege zur Berechnung der Eigenmittelanforderung offen, darunter der fortgeschrittene Messansatz mit internen Modellen. Der Unionsgesetzgeber begründet deren Abschaffung in Erwägungsgrund 45 der Verordnung (EU) 2024/1623 ausdrücklich mit Entlastung: Festgestellt worden sei ein „Mangel an Vergleichbarkeit aufgrund der Vielfalt der beim fortgeschrittenen Messansatz angewandten internen Modellierungspraktiken", und „um das Rahmenwerk für operationelle Risiken zu vereinfachen" seien alle bestehenden Ansätze durch eine einzige nicht modellbasierte Methode ersetzt worden.

Die Union ging dabei einen Schritt weiter als international nötig. Der Basler Rahmen räumt den Rechtsräumen ein Wahlrecht ein, ob die Verlusthistorie in die Kapitalberechnung eingeht; Erwägungsgrund 46 nutzt es so, dass „die historischen Daten für operationelle Verluste bei allen Instituten unberücksichtigt gelassen werden". Für die Berechnung sind die gesammelten Verluste damit ohne Belang.

Erhoben werden müssen sie trotzdem. Die Verordnung verlangt weiterhin, dass ein Institut seine historischen internen Verlustdaten auf Verlangen der Aufsicht der jeweiligen Ereignisart zuordnen kann, und sie schreibt vor, dass IT-Systeme und Infrastruktur die für Führung und Aktualisierung des Verlustdatensatzes nötige „Solidität, Robustheit und Leistungsfähigkeit" aufweisen. Die Vereinfachung betraf die Formel, nicht die Datenarbeit dahinter. Wer die aktuelle Konsultation liest und dabei auf Entlastung hofft, sollte diesen Vorgang danebenlegen: Er zeigt, an welcher Stelle Erleichterungen im operationellen Risiko regelmäßig enden.

Eine Stelle, die im Agentic-Kontext aufhorchen lässt

Der Entwurf zieht künstliche Intelligenz in die Modellvalidierung. Der Artikel zur internen Validierung erfasst Modelle, die für Entscheidungszwecke eingesetzt werden, und nennt dabei ausdrücklich „artificial intelligence applications“ neben der Preisbildung für Produkte. Ergänzend führt das Konsultationspapier unter den Risiken, die Institute künftig identifizieren müssen, neben ESG- und geopolitischen Risiken die Risiken aus der zunehmenden Nutzung künstlicher Intelligenz und neuer Technologien auf.

Das ist bemerkenswert, weil es an einer Stelle geschieht, an der es kaum jemand sucht. Wer die aufsichtliche Behandlung von KI-Systemen verfolgt, schaut auf die KI-Verordnung und auf die Leitlinien zum Auslagerungs- und Drittparteienrisiko. Ein Governance-Standard zum operationellen Risiko zieht KI-Anwendungen hier über den Umweg der Modellvalidierung in die Pflicht. Für Häuser, die agentische Systeme in Entscheidungsprozessen einsetzen, ist das die konkretere Betroffenheit.

Eine zweite Klarstellung betrifft das Compliance-Risiko. Der Entwurf definiert das Rahmenwerk ausdrücklich unter Einschluss des Risikos der Nichteinhaltung von Vorschriften. Für Compliance-Verantwortliche ist damit geklärt, dass sie Teil des operationellen Risikomanagements sind und nicht daneben stehen.

Zehn Tage

Zum Zeitplan enthält der Entwurf eine Merkwürdigkeit, die man erst beim Rechnen bemerkt. Art. 323 (2) CRR verpflichtet die EBA, die fertigen Standards bis zum 10. Januar 2027 bei der Europäischen Kommission einzureichen. Die Konsultation endet am 31. Dezember 2026. Zwischen dem Eingang der letzten Stellungnahme und der gesetzlichen Abgabe liegen damit zehn Tage.

Zur Einordnung hilft der Blick auf das Schwestermandat aus derselben Rechtsfamilie. Für die Standards zu den operationellen Verlusten konsultierte die EBA bis zum 6. September 2024 und reichte den Abschlussbericht am 4. August 2025 ein. Für Auswertung, Überarbeitung und Beschluss vergingen knapp elf Monate. Mit der Wahl ihres Konsultationsfensters hat die EBA die gesetzliche Frist für dieses Rahmenwerk faktisch aufgegeben.

Dazu passt, dass das Kapitel zu den nächsten Schritten kein Datum nennt. Es sagt lediglich, die EBA werde die Rückmeldungen berücksichtigen und den Entwurf anschließend der Kommission vorlegen, ohne ein Quartal zu nennen und ohne Verweis auf den Januar. Für die anschließende Verfahrensdauer gibt es ebenfalls einen Anhaltspunkt: Die Standards vom August 2025 sind bis heute nicht angenommen. Die Kommission kündigte im März 2026 Änderungen an, die EBA nahm dazu im April 2026 förmlich Stellung.

Handlungsempfehlungen

Begriffserklärung