I. Warum Sie den Text lesen sollten

Der aktuelle AMLA-Leitlinienentwurf definiert die zukunftsweisenden EU-Standards für KYC-Refresh und Transaktionsmonitoring und löst bisherige BaFin-Vorgaben schrittweise ab. Lesen Sie ihn aufmerksam, um sich auf strengere Prüfpflichten, neue KI-Governance-Regeln und erweiterte Überwachungen von Geschäftsbeziehungen vorzubereiten. Nutzen Sie die Chance, zeitnah Stellung zu beziehen, bevor diese prozessualen und technischen Änderungen für Ihr Unternehmen rechtlich bindend werden.

II. Fristen, zeitliche Vorgaben

2. Juli 2026 (10:00 bis 12:00 Uhr MESZ): Virtuelle öffentliche Anhörung der AMLA zu den Leitlinienentwürfen.
31. August 2026: Interne Wunschfrist des VIB. Bis zu diesem Datum sollen Mitglieder ihre Anmerkungen per E-Mail beim VIB einreichen, damit dieser sie bündeln kann.
3. September 2026 (23:59 Uhr MESZ): Offizielle und verbindliche Frist der AMLA für die Einreichung von Stellungnahmen im Konsultationsverfahren.

III. Pflichten für C-Level, Geldwäschebeauftragte und Compliance

Aus den vorgeschlagenen AMLA-Leitlinien ergeben sich für die drei Rollen unterschiedliche Pflichtenpakete: Der Geldwäschebeauftragte muss ins operative Detail gehen, das C-Level trägt die strategische und finanzielle Verantwortung.

1. Geldwäschebeauftragte (AML Officer) – Die operative Umsetzung

Als fachlich Verantwortlicher übersetzen Sie die Leitlinien direkt in tägliche Prozesse und Arbeitsanweisungen:

Prozess zur ID-Erneuerung aufsetzen: Kriterien für die Risikoanalyse definieren, wann ein abgelaufenes Ausweisdokument ohne Neueinholung akzeptiert werden kann und wann zwingend ein neues Dokument anzufordern ist.
Ad-hoc-Katalog erweitern: Die Liste der Ereignisse, die eine sofortige außerordentliche Kundenüberprüfung auslösen (z. B. plötzliche Änderungen der Eigentümerverhältnisse), in internen Systemen und Richtlinien hinterlegen.
Aussetzungs-Prozess etablieren: Verfahren definieren, wie Transaktionen oder Dienstleistungen im Ernstfall temporär eingefroren oder eingeschränkt werden – als Zwischenstufe vor einer endgültigen Kündigung gemäß Abschnitt 2.5.
Überwachungsfokus weiten: Im Nicht-Finanzsektor funktionierende Kontrollen für Kunden-„Aktivitäten" aufbauen – auch dort, wo keine permanenten Geldbewegungen stattfinden.

2. Compliance – Die regulatorische Steuerung

Stellungnahme koordinieren: Da die AMLA-Frist am 3. September 2026 abläuft, sammelt Compliance interne Rückmeldungen und steuert sie bis zum 31. August 2026 an den Verband (VIB), um auf die Ausgestaltung der finalen Regeln Einfluss zu nehmen.
KI-Compliance & Validierung: Gemeinsam mit der IT Prüfprozesse für eingesetzte Algorithmen und Machine-Learning-Modelle aufsetzen. Die Pflicht zur „Erklärbarkeit" gegenüber Aufsichtsbehörden erfordert eine lückenlose Dokumentation der Systemlogik.
Richtlinienkompetenz: Interne Richtlinien anpassen, da die AMLA-Leitlinien Vorrang vor bisherigen nationalen Auslegungshinweisen (wie den BaFin-AuAs zum GwG) erhalten werden.

3. C-Level (Vorstand / Geschäftsführung) – Die strategische Absicherung

Die Geschäftsführung haftet persönlich für die ordnungsgemäße Organisation des Unternehmens:

Budget & Ressourcen bereitstellen: Die Vorgaben für komplexe, aggregierte Zahlungsströme sowie die harten Anforderungen an die KI-Governance erfordern Investitionen in neue IT-Systeme, Software-Updates oder zusätzliches Fachpersonal. Diese Mittel muss das C-Level freigeben.
KI-Governance absegnen: Bei KI-Einsatz im Monitoring muss die Geschäftsführung die Governance-Struktur formell absegnen und die Verantwortung für die regulatorische Compliance dieser Systeme übernehmen.
Freigabe von Geschäftseinschränkungen: Das vorübergehende Aussetzen von Dienstleistungen bei unkooperativen Kunden birgt rechtliche und kommerzielle Risiken. Das C-Level definiert den Rahmen, in dem der Geldwäschebeauftragte solche Maßnahmen eigenständig verhängen darf.

IV. Haftungsrisiken bei der Pflichtenerfüllung

Um die haftungskritischen Risiken der neuen AMLA-Leitlinien präzise zu verorten, ist die Brücke zwischen neuem EU-Recht und bestehenden nationalen Haftungsnormen zu schlagen. Die folgenden Normen sind für Geldwäschebeauftragte (GwB) und Compliance-Verantwortliche die gefährlichsten Haftungsfallen:

1. Die operativen Kernnormen (Der Hebel für die Haftung)

Die AMLA-Leitlinien konkretisieren die Pflichten aus der neuen EU-Geldwäscheverordnung (AMLR – Verordnung (EU) 2024/1624). Verstöße gegen die Leitlinien bedeuten automatisch einen Verstoß gegen diese EU-Rahmennormen:

Art. 26 Abs. 1 AMLR (Laufende Überwachung): Verpflichtet zur Überwachung von Transaktionen. Die Ausweitung der AMLA auf „Aktivitäten" (Leitlinie 2) erhöht das Risiko, wesentliche Auffälligkeiten im Nicht-Finanzsektor zu übersehen.
Art. 26 Abs. 5 AMLR (Aktualisierungspflicht): Gesetzliche Pflicht, Dokumente und Daten aktuell zu halten (Leitlinie 1). Ein lückenhaftes System beim Ad-hoc-Refresh ist ein direkter Verstoß gegen diesen Artikel.

2. Haftungsnormen für den Geldwäschebeauftragten (GwB)

In Deutschland wird das Fehlverhalten des GwB primär über das Strafgesetzbuch (StGB) und das Geldwäschegesetz (GwG) sanktioniert.

§ 261 StGB (Geldwäsche – insb. Leichtfertigkeit): Winkt das Monitoring-System – etwa wegen mangelhafter KI-Governance nach Abschnitt 2.11 – eine offensichtliche Geldwäsche-Transaktion durch, droht dem GwB eine Strafbarkeit wegen leichtfertiger Geldwäsche (§ 261 Abs. 6 StGB). „Leichtfertigkeit" liegt vor, wenn sich der Verdacht geradezu aufdrängt, aber aus grober Fahrlässigkeit übersehen wird.

§ 56 GwG (Bußgeldvorschriften): Systematische Mängel beim KYC-Refresh (Leitlinie 1) oder beim Monitoring (Leitlinie 2) sind Ordnungswidrigkeiten. Die Bußgelder sind drakonisch und können sich bei schwerwiegenden Verstößen auf bis zu 5 Millionen Euro oder 10 % des Gesamtumsatzes belaufen. Der GwB gerät als intern Verantwortlicher direkt ins Visier der BaFin.

§ 13 StGB (Begehen durch Unterlassen / Garantenstellung): Der GwB hat eine strafrechtliche Garantenpflicht, Geldwäsche im Unternehmen zu verhindern. Setzt er die Leitlinien – etwa die Pflicht zur Sperrung/Aussetzung von Geschäftsbeziehungen bei fehlenden Kundendaten – nicht oder verspätet um, haftet er persönlich durch Unterlassen, wenn dadurch Geldwäsche ermöglicht wird.

3. Haftungsnormen für Compliance & C-Level (Leitungsebene)

Die Leitungsebene haftet primär für Organisationsverschulden und mangelnde Aufsicht.

§ 130 OWiG (Verletzung der Aufsichtspflicht in Betrieben): Das absolute Kernrisiko für C-Level und Chief Compliance Officer (CCO). Unterlässt es die Geschäftsführung, dem GwB die nötigen Budgets für KI-Governance-Tools oder Daten-Feeds (Ad-hoc-Refresh) bereitzustellen, und kommt es dadurch zu Verstößen, haftet das Management wegen Verletzung der Aufsichtspflicht.

§ 91 Abs. 2 AktG / § 43 GmbHG (Risiko-Frühwarnsystem & Sorgfaltspflicht): Das C-Level muss ein funktionierendes Risikomanagement einrichten. Da die AMLA-Leitlinien detaillierte Anforderungen an komplexe, aggregierte Zahlungsströme stellen, ist eine Geschäftsführung, die technische Upgrades blockiert, zivilrechtlich wegen Pflichtverletzung gegenüber der eigenen Gesellschaft haftbar (Innenhaftung).

§ 9 Abs. 1 Nr. 2 OWiG (Haftung von Beauftragten): Erhält der Compliance-Leiter oder der GwB vom Vorstand ausdrücklich die Pflicht übertragen, die Geldwäscheprävention autark zu leiten, geht die bußgeldrechtliche Verantwortung des Vorstands auf diese Personen über. Die „Delegation" der Pflichten macht die Rollen extrem haftungskritisch.

Haftungs-Fazit: Die größte Gefahr droht dem GwB über den Vorwurf der Leichtfertigkeit (§ 261 StGB), wenn die Risikoanalyse bei abgelaufenen Pässen oder das KI-Monitoring fehlerhaft dokumentiert sind. Dem C-Level drohen Bußgelder über § 130 OWiG, wenn die technische Infrastruktur nicht an die neuen AMLA-Standards angepasst wird.

V. Umsetzungsfahrplan und Lösungsempfehlungen

Warten Sie mit der Umsetzung nicht bis zum endgültigen Inkrafttreten der Leitlinien, sondern nutzen Sie die Konsultationsphase zur Vorbereitung. Das Zeitfenster für aktive Einflussnahme über den Verband schließt bereits am 31. August.

1. Sofortmaßnahmen für Compliance & Legal (Kurzfristig)

Lückenanalyse (Gap-Analyse) starten: Vergleichen Sie den Status quo Ihrer internen Richtlinien (basierend auf den BaFin-AuAs) mit den AMLA-Entwürfen. Dokumentieren Sie exakt, welche neuen Anforderungen (z. B. Überwachung von „Aktivitäten" statt nur Transaktionen) aktuell technisch nicht umsetzbar sind.
Stellungnahme einreichen: Gießen Sie die Ergebnisse der Gap-Analyse in konkretes Feedback und reichen Sie es rechtzeitig vor dem 31. August 2026 beim VIB ein. Betonen Sie die Praxisfremdheit unklarer Formulierungen, um spätere Auslegungsrisiken durch die Aufsicht zu minimieren.
KI-Dienstleister in die Pflicht nehmen: Kontaktieren Sie umgehend Ihre Software-Provider für das Transaktionsmonitoring. Fordern Sie schriftliche Nachweise (Whitepaper, Zertifikate) zur „Erklärbarkeit" der Algorithmen an, um sich gegen den Vorwurf der Blackbox-Nutzung abzusichern.

2. Operative Vorbereitung für den Geldwäschebeauftragten (Mittelfristig)

Kriterienkatalog für abgelaufene Ausweise definieren: Entwickeln Sie eine matrixbasierte Risikoanalyse. Legen Sie vorab schriftlich fest, bei welchen Risikoklassen, Rechtsformen oder Herkunftsländern ein abgelaufenes Dokument toleriert wird und ab wann zwingend ein neues einzuholen ist. Das schützt vor dem Vorwurf der Leichtfertigkeit (§ 261 StGB).
Trigger-Liste für Ad-hoc-Prüfungen erstellen: Definieren Sie klare auslösende Ereignisse (z. B. Änderung der Gesellschafterstruktur > 25 %, plötzliche Transaktionen in Drittstaaten), die eine sofortige Aktualisierung der Kundendaten erzwingen.
Eskalationsprozess für Kontosperrungen: Skizzieren Sie einen Workflow für Abschnitt 2.5: Wer darf entscheiden, dass eine Dienstleistung vorübergehend ausgesetzt wird? Welche Kommunikation geht an den Kunden, um Reputationsschäden zu vermeiden, ohne den Verdacht auf „Tipping-off" (verbotene Informationsweitergabe) zu erregen?

3. Strategische Weichenstellungen für das C-Level (Budget & Risiko)

Sonderbudget für IT-Upgrades blocken: Die manuelle Überwachung aggregierter Zahlungsströme oder kontinuierlicher Ad-hoc-Prüfungen ist bei mittleren und großen Kundenbeständen personell nicht leistbar. Planen Sie bereits jetzt Budgets für das Geschäftsjahr 2027 ein, um automatisierte KYC-Feeds (z. B. Anbindungen an weltweite Handelsregister) und verbesserte Monitoring-Tools zu beschaffen.
Risikoappetit für den Nicht-Finanzsektor klären: Führt Ihr Unternehmen keine klassischen Transaktionen durch, muss der Vorstand definieren, wie weit die Überwachung von „Aktivitäten" gehen soll. Abzuwägen ist, ab wann eine lückenlose Kundenüberwachung datenschutzrechtlich (DSGVO) bedenklich wird oder das Kerngeschäft blockiert.

VI. Resümee

Die neuen AMLA-Leitlinien zu KYC-Refresh und Transaktionsmonitoring verschärfen die Pflichten für Verpflichtete drastisch. Geldwäschebeauftragte müssen ihre internen Prozesse anpassen. Die Compliance-Abteilung sichert die rechtliche KI-Erklärbarkeit ab, während das C-Level nun dringend notwendige IT-Budgets freigeben muss. Unternehmen sollten die Konsultationsphase bis Ende August 2026 aktiv nutzen, um Haftungsrisiken erfolgreich abzuwehren.

ESG (Environmental, Social, Governance) ist kein eigenständiges Rechtsgebiet, sondern eine regulatorische Querschnittsmaterie, die nahezu alle Bereiche des Unternehmens- und Wirtschaftsrechts durchdringt. Nachhaltigkeitsanforderungen werden zunehmend in verbindliches „Hard Law" überführt und wirken sich unmittelbar aus auf Produkte (ESPR, EU-Batterieverordnung, PPWR, GPSR), Lieferketten (LkSG, CSDDD, EUDR, Zwangsarbeitsverordnung), Berichterstattung (CSRD, HGB, ESRS), Finanzierung (EU-Taxonomie-Verordnung, SFDR), Unternehmensorganisation (Hinweisgeberschutzgesetz, NIS 2, Cyber Resilience Act) und Organhaftung (§ 43 GmbHG, §§ 93, 116 AktG, § 130 OWiG).

Neben dem Produkt- und Kreislaufwirtschaftsrecht erfasst ESG insbesondere das Lieferketten-, Außenhandels-, Gesellschafts-, Wettbewerbs-, Finanzmarkt-, Arbeits- und Cybersicherheitsrecht. Regelwerke wie CSRD, CSDDD, LkSG, EUDR, EU-Taxonomie oder der Cyber Resilience Act stehen nicht isoliert nebeneinander, sondern bilden ein eng verzahntes regulatorisches Gefüge.

Ein bloßes „Strahldenken" greift daher zu kurz. Erforderlich ist eine synoptische und systematische Betrachtung der einschlägigen Gesetze, ihrer Überschneidungen und Wechselwirkungen. Nur so lassen sich Compliance-Lücken, widersprüchliche Zuständigkeiten sowie Haftungs- und Marktzugangsrisiken zuverlässig erkennen.

II. Compliance-Prioritäten bis Ende 2026 und Gesamtüberblick über die bevorstehenden Stichtage 1.) Der dringendste Handlungsbedarf besteht derzeit bei:

Reparaturprozessen und Verbraucherinformationen bis zum 31. Juli 2026,
Verpackungs- und Konformitätsprozessen bis zum 12. August 2026,
CRA-Meldewegen für Schwachstellen und Sicherheitsvorfälle bis zum 11. September 2026,
EUDR-Daten, Geolokalisierung und Sorgfaltserklärungen bis zum 30. Dezember 2026.

2.) Unmittelbar bevorstehende Fristen

Die regulatorische Landschaft in der EU und auf nationaler Ebene entwickelt sich kontinuierlich und rasant weiter. Behalten Sie folgende Daten im Auge, um Maßnahmen vorausschauend, geschäftsmodellspezifisch und rechtskonform zu ergreifen:

DatumRegelwerkInhalt31. Juli 2026Recht auf ReparaturAnwendung der nationalen Vorschriften für Reparaturangebote und -prozesse durch Hersteller und Händler.12. August 2026EU-Verpackungsverordnung (PPWR)Start der allgemeinen Konformitäts-, Dokumentations- und Verantwortlichkeitspflichten für Verpackungen.11. September 2026Cyber Resilience Act (CRA) – MeldepflichtenHersteller digitaler Produkte müssen aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle melden.30. Dezember 2026EU-Entwaldungsverordnung (EUDR) – GroßunternehmenBeginn der Pflichten zur Rückverfolgbarkeit und Risikobewertung für mittlere und große Marktteilnehmer.18. Februar 2027Digitaler BatteriepassPflicht zu elektronischem Pass und QR-Code für E-Auto- und Industriebatterien (> 2 kWh).30. Juni 2027EU-Entwaldungsverordnung (EUDR) – KleinunternehmenAblauf der verlängerten Übergangsfrist für gesetzlich definierte Kleinst- und Kleinunternehmen.26. Juli 2027CSDDD (Lieferkettenrichtlinie)Ende der Umsetzungsfrist. Durch die „Stop-the-Clock"-Regelung startet die Anwendung für sehr große Unternehmen erst 2028.18. August 2027EU-Batterieverordnung – SorgfaltspflichtenPflicht zur Risikokontrolle bei Rohstoffen wie Kobalt, Lithium und Nickel greift.11. Dezember 2027Cyber Resilience Act (CRA) – VollanwendungUmfassende Pflichten wie „Security by Design" und Sicherheitsupdates werden bindend.14. Dezember 2027EU-ZwangsarbeitsverordnungVollständiges Verbot von Produkten auf dem EU-Markt, die unter Zwangsarbeit hergestellt wurden.Geschäftsjahr 2027CSRD-BerichterstattungStart der Berichtspflicht für die zweite und dritte Welle (Veröffentlichung im Jahr 2028). III. Pflichten für Compliance, C-Level und sonstige Beteiligte

Das Berufsbild der Compliance hat sich durch diese Regulierungswelle grundlegend gewandelt. Klassische Themen wie Korruption, Kartellrecht oder Datenschutz reichen längst nicht mehr aus. Da ESG mit zahlreichen weiteren Rechtsgebieten eng verzahnt ist, entwickelt sich Compliance zunehmend zu einem zentralen Steuerungsorgan für den Marktzugang und den Schutz des Geschäftsmodells. Fünf zentrale operative Pflichten ergeben sich daraus:

1. Aufbau eines dynamischen „Legal Registers"

Die Pflicht: Etablieren Sie ein fortlaufend aktualisiertes Rechtskataster (Legal Register), das aufzeigt, wann allgemeine Vorgaben (wie die Lieferkettenrichtlinie CSDDD) von strengeren Spezialgesetzen (wie der EU-Entwaldungsverordnung EUDR) verdrängt werden.

Das Ziel: Das Unternehmen muss erkennen können, welche spezialgesetzlichen Vorgaben gegenüber allgemeinen Regelungen vorrangig anzuwenden sind.

2. Präventive Lieferketten- und Vertragssteuerung

Compliance muss das Risikomanagement über die eigenen Werkstore hinaus ausweiten.

Due Diligence tief in der Kette: Prozesse aufsetzen, um Herkunftsnachweise zwingend einzufordern (z. B. exakte Geolokalisierungsdaten für die EUDR oder Nachweise zur Zwangsarbeitsfreiheit nach der FLR).
Vertragliche Durchreichung: Anpassung des Supplier Code of Conduct und der Einkaufsbedingungen, um ESG-Pflichten rechtssicher an Zulieferer zu delegieren.
Globales Whistleblowing: Das interne Meldesystem (Hinweisgeberschutzgesetz) muss weltweit Beschwerden zu Menschenrechts- und Umweltverletzungen entlang der gesamten Lieferkette aufnehmen und verarbeiten können.

3. „Gatekeeper"-Funktion für Produkt-Compliance

Compliance rückt extrem nah an Produktentwicklung (R&D), IT und Produktion heran.

Freigabeprozesse (Clearance): Kein Produkt darf in den Markt gelangen, das gegen Vorgaben wie die Ökodesignanforderungen der ESPR oder die Cybersicherheitsanforderungen des CRA verstößt.
Akute Fristenüberwachung: Rechtzeitige Betriebsbereitschaft für neue regulatorische Anforderungen gewährleisten – etwa die ab dem 31. Juli 2026 anwendbaren Vorgaben zum Recht auf Reparatur samt Dokumentations-, Informations- und Prozesspflichten.

4. Absicherung des C-Levels (Haftungsprävention)

Vorstände und Geschäftsführer haften bei ESG-Verstößen persönlich (z. B. nach § 130 OWiG oder § 43 GmbHG) – dies ist die wichtigste Schutzfunktion.

Die Pflicht: Aufbau einer lückenlosen Kontrollmatrix (Internes Kontrollsystem).

Das Ziel: Gerichts- und behördenfest dokumentieren, dass die Geschäftsleitung ihren Aufsichtspflichten nachgekommen ist, Budgets für Risikomanagement bereitgestellt hat und bei roten Ampeln (z. B. kritischen Sicherheitslücken oder illegalem Holzeinschlag bei einem Lieferanten) unverzüglich interveniert.

5. Sicherstellung der Audit-Fähigkeit (Reporting & Greenwashing-Schutz)

ESG-Daten haben durch die CSRD rechtlich das Gewicht von Finanzdaten erhalten.

Datenintegrität: Prozesse etablieren, die garantieren, dass externe Werbeaussagen („klimaneutral", „kreislauffähig") und die Daten im Nachhaltigkeitsbericht wissenschaftlich fundiert und belegbar sind.
Die Pflicht: Vorbereitung auf die externe Prüfung durch Wirtschaftsprüfer. Fehlerhafte Daten sind kein Kavaliersdelikt, sondern öffnen Tür und Tor für Greenwashing-Abmahnungen und bilanzrechtliche Konsequenzen.

IV. Pain Points

Die Transformation von weichen Absichtserklärungen hin zu harten Eingriffsgesetzen bringt massive operative Reibungsverluste mit sich. Gerade weil isoliertes „Strahldenken" nicht mehr zielführend ist und ESG-Anforderungen nur in ihrem regulatorischen und operativen Zusammenhang sinnvoll bewertet werden können, entstehen an den Schnittstellen der Abteilungen völlig neue Sollbruchstellen. Die größten Pain Points (Stand Mitte 2026):

1. Das Daten-Vakuum in der tiefen Lieferkette (Tier-N-Problem)

Der Schmerz: Unternehmen kennen meist nur ihre direkten Lieferanten (Tier 1). Gesetze wie die EUDR (Entwaldung) oder die FLR (Zwangsarbeit) verlangen aber den Durchgriff bis auf das Feld oder die Mine.

Die Praxis: Zulieferer in Drittstaaten können oder wollen sensible Daten (exakte GPS-Koordinaten, Gehaltsstrukturen) oft nicht liefern – aus Angst vor Spionage oder mangels technischer Fähigkeiten. Ohne diese Daten droht der Importstopp.

2. Der interne „Greenwashing"-Konflikt

Der Schmerz: Der Vertrieb möchte Produkte mit Begriffen wie „klimaneutral", „kreislauffähig" oder „grün" bewerben, um Wettbewerbsvorteile und Marktanteile zu gewinnen.

Die Praxis: Compliance muss solche Kampagnen aufgrund der Anforderungen des UWG und weiterer Vorgaben für umweltbezogene Werbung zurückhalten oder ablehnen, wenn keine belastbaren wissenschaftlichen Nachweise (z. B. Lebenszyklusanalysen) vorliegen. Compliance wird dadurch intern schnell als „Verhinderer" wahrgenommen, obwohl sie vor Abmahnungen, Schadensersatzforderungen und Reputationsschäden schützt.

3. Der „Fragebogen-Tsunami" für den Mittelstand

Der Schmerz: Große, berichtspflichtige Konzerne reichen ihre rechtlichen Verpflichtungen rigoros über die Verträge („Trickle-Down-Effekt") an ihre mittelständischen Zulieferer weiter – obwohl viele KMU rechtlich oft (noch) nicht direkt unter CSDDD oder CSRD fallen.

Die Praxis: Mittelständler müssen wöchentlich hunderte Seiten an ESG-Fragebögen und Code of Conducts für verschiedene Kunden ausfüllen. Oft fehlen dafür die personellen Ressourcen und die IT-Systeme. Wer nicht liefert, fliegt aus dem Lieferantenpool.

4. Regulatorisches Chaos durch Überschneidungen

Der Schmerz: Die EU hat in kurzer Zeit eine Flut an Regulierungen erlassen, die nicht immer sauber aufeinander abgestimmt sind.

Die Praxis: Ein Unternehmen optimiert seine Prozesse mühsam für die CSDDD, nur um festzustellen, dass für ein bestimmtes Bauteil plötzlich die viel strengeren Spezialregeln der Batterieverordnung oder der EUDR (lex specialis) greifen. Wer kein vernetztes „Legal Register" hat, baut teure Doppelstrukturen auf oder produziert Compliance-Lücken.

5. Das „All-or-Nothing"-Risiko beim Marktzugang

Der Schmerz: Früher bedeutete Compliance-Versagen oft „nur" eine einkalkulierbare Strafzahlung. Heute wirken die neuen ESG-Gesetze als direkte „Gatekeeper".

Die Praxis: Fehlt der Digitale Produktpass (DPP), ist die IT-Sicherheit nach dem CRA nicht zertifiziert oder fehlen die Reparatur-Informationen (Frist Juli 2026), drohen sofortige Vertriebsverbote, Zwangsrückrufe und das Delisting von Plattformen wie Amazon. Ein einziger formaler Fehler kann ein ganzes Sortiment vom Markt fegen.

V. Konkrete Lösungsansätze

Um diesen Risikofaktoren im Rahmen der gesellschaftsrechtlichen Organisations- und Aufsichtspflichten adäquat zu begegnen, bedarf es einer systematischen Verzahnung der juristischen und operativen Geschäftsbereiche. Technologie, Einkauf, Produktentwicklung und Recht müssen ineinandergreifen.

1. Gegen das Daten-Vakuum: „Enablement" statt reiner Kontrolle

Wer Zulieferer in Drittstaaten nur mit juristischen Drohungen und Fragebögen überhäuft, erntet Blockaden. Die Lösung liegt in Befähigung und Technologie.

Supplier Enablement: Bauen Sie Kapazitäten bei Ihren Lieferanten auf (Capacity Building). Bieten Sie Schulungen an oder finanzieren Sie gemeinsam Auditierungen, statt Kosten einseitig abzuwälzen. Wenn der Lieferant versteht, dass ihm die Daten auch bei anderen EU-Kunden helfen, steigt die Kooperationsbereitschaft.
Technologie-Einsatz: Nutzen Sie KI-gestützte Supply-Chain-Mapping-Tools und branchenspezifische Traceability-Plattformen, um die Lieferkette visuell darzustellen und Risiken automatisiert zu überwachen, statt Excel-Listen manuell auszuwerten.

2. Gegen die Fragebogen-Flut: Der proaktive „ESG Data Room"

Insbesondere mittelständische Unternehmen müssen vom reaktiven Antworten in den „Push"-Modus wechseln.

Standardisierung: Nutzen Sie etablierte, standardisierte ESG-Ratings (wie EcoVadis, NQC oder branchenspezifische Standards), auf die sich viele Großkunden einigen können.
Das Trust Center: Bauen Sie einen zentralen „ESG Data Room" (zertifiziertes Datenportal) auf, in dem Code of Conduct, CO2-Bilanzen, ISO-Zertifikate und Richtlinien zur Zwangsarbeitsprävention gebündelt bereitliegen. Kunden erhalten einen Zugangslink – der Aufwand für individuelle Fragebögen sinkt drastisch.

3. Gegen den Greenwashing-Konflikt: Der harte „Clearance"-Prozess

Der Konflikt zwischen Vertrieb und Compliance lässt sich nur durch klare, vorab definierte Spielregeln lösen.

Green Claims Clearing House: Etablieren Sie ein funktionsübergreifendes Freigabegremium aus Marketing, Forschung und Entwicklung, Recht und Compliance. Keine umweltbezogene Werbeaussage sollte veröffentlicht werden, bevor sie dieses Gremium geprüft und freigegeben hat.
Datengestützte Kommunikation: Binden Sie das Marketing an harte Fakten. Umweltaussagen nur bei verifizierter Lebenszyklusanalyse (LCA). Der Fokus sollte sich von „Wir sind perfekt (klimaneutral)" hin zu transparenter Prozesskommunikation verschieben („Wir haben den CO2-Ausstoß bei diesem Produkt bereits um 30 % gesenkt, weil…").

4. Gegen das regulatorische Chaos: Die integrierte „ESG-Taskforce"

Ein Gesetz darf nicht mehr nur von einer Abteilung gelesen werden.

Cross-funktionale Hubs: Bilden Sie eine feste, abteilungsübergreifende ESG-Taskforce. Bei einem neuen Gesetz wie der Batterieverordnung müssen R&D (Material), IT (Datenpass), Einkauf (Lieferkette) und Compliance (Meldepflichten) die Anforderungen gemeinsam zerlegen und in operative Prozesse übersetzen.
Softwaregestütztes Legal Register: Führen Sie eine Compliance-Software ein, die regulatorische Anforderungen (lex generalis vs. lex specialis) direkt mit internen Verantwortlichkeiten und Fristen verknüpft.

5. Gegen das All-or-Nothing-Risiko: „Compliance by Design"

Wer erst prüft, wenn das Produkt vom Band rollt, riskiert Marktausschluss und Rückrufe.

Shift-Left-Ansatz: Compliance-Prüfungen müssen im Produktentstehungsprozess ganz nach links – an den absoluten Anfang – verschoben werden.
Stage-Gate-Prozesse: Integrieren Sie harte ESG-Vorgaben in den Design-Prozess der R&D-Abteilung. Ein Produkt darf die Prototypen-Phase (Gate) nur verlassen, wenn Reparierbarkeit (R2R), Recyclingfähigkeit (PPWR) und IT-Sicherheit (CRA) im Designkonzept nachweislich gelöst sind.

VI. Fazit

ESG ist längst kein weiches Nischenthema mehr, sondern ein hartes regulatorisches Querschnittsgebiet. Ein isoliertes Strahldenken führt in der Praxis unweigerlich zu fatalen Compliance-Lücken und potenziellen Marktausschlüssen. Bis Ende 2026 greifen kritische Fristen, die von allen Unternehmen eine abteilungsübergreifende Zusammenarbeit fordern. Um Haftungsrisiken, Greenwashing-Vorwürfen und dem Daten-Vakuum in der Lieferkette erfolgreich zu begegnen, müssen Technologie, Einkauf, Produktentwicklung und Recht konsequent verzahnt werden. Nur durch präventive Ansätze wie Compliance by Design und fest integrierte ESG-Taskforces sichern Unternehmen langfristig ihren Marktzugang ab.

I. Practical and legal relevance

As an anti-money laundering officer, this text is essential reading: it summarizes current regulatory and supervisory developments. It gives you the new FATF country risks that must be incorporated into your risk assessment immediately, legal clarity on direct AMLA supervision, strategic insight into BaFin’s stricter auditing practices, and — through the explanations on the AI Regulation — legal support for your future decisions on monitoring systems.

II. Key Data 1.) Data to be implemented immediately / Deadline-related

June 17–19, 2026 (FATF Decisions): The country list changes have been active since the plenary meeting. The inclusion of Bosnia and Herzegovina and Iraq (Enhanced Monitoring) and the removal of Algeria and Namibia should be assessed promptly in the institution-specific risk analysis and, where appropriate, reflected in KYC processes.

July 1, 2026 (BaFin Restructuring): BaFin’s new organizational structure came into effect. The resolution function was integrated into the SPS business unit, and Division A now operates with a focused "Anti-Financial Crime" function. From this point on, audits are conducted under the new personnel and organizational structure.

2.) Relevant time periods and events

July 1, 2026 to June 30, 2028 (UK FATF Chairmanship): International audit priorities will increasingly focus on combating fraud rings, optimizing risk-based supervision, and public-private information exchange. Compliance departments should align their long-term strategy accordingly.

June 10/16, 2026 (AMLA webinar materials): The complete criteria for identifying institutions to be directly supervised have been available since June 16. Important for deadline monitoring: a specific obligation to provide data or cooperate arises only upon a corresponding official request; content and scope depend on the specific letter.

Note on draft legislation (EUDI Wallet & AI Regulation): The national law on the European Wallet (EBDIG / amendment to the Money Laundering Act) and the final AI guidelines following the consultation of May 19, 2026, do not yet specify concrete entry into force or transitional periods. These must continue to be monitored as part of regulatory oversight.

III. Duties for money laundering officers, C-level executives and compliance

Update on country risks and KYC processes — Mandatory: Internal country risk models and IT systems must be adapted immediately. For business relationships involving newly added countries, assess whether enhanced due diligence is required based on the FATF classification and other risk factors. For removed countries, conduct a documented risk-based reassessment; a reduction in additional measures is only permissible if no other elevated risk factors (e.g., sanctions, corruption, terrorist financing) are present. Relevant for: Money Laundering Officer (operational implementation), Compliance (adaptation of internal guidelines).

Examination of the AMLA reporting obligation — Obligation: Verify internally whether the institution has received an official letter from BaFin regarding direct supervision by the EU authority (AMLA), and whether it has been contacted by BaFin or another competent authority in connection with the AMLA selection process. Information and data submission obligations specified in the respective letter must be fulfilled within the given timeframe. Such a request does not necessarily mean the institution is already under direct AMLA supervision. Regardless, the general obligations under the German Money Laundering Act (GwG) and the relevant BaFin regulations remain fully in effect. Relevant for: Money Laundering Officer (data provision), Compliance, C-Level (awareness of a possible change to direct EU supervision).

Resource planning and preparation for BaFin special audits — Obligation: The reorganization and personnel increase at BaFin give cause to critically review the adequacy of your own money laundering and compliance resources as well as the institution’s auditing capabilities. Relevant for: C-Level (budget/personnel), Compliance & Money Laundering Officer (ensuring audit capability).

Preparation for new digital identification procedures (EUDI wallet) — Obligation: Monitor the upcoming amendments to the Money Laundering Act (GwG) through the EBDI Act. IT and onboarding processes must be designed so that electronic identification methods (e.g., the national eID function and future EUDI wallets) can be integrated into customer identification in compliance with the law. The requirements of the GwG, the eIDAS Regulation (including eIDAS 2.0), and the relevant technical and data protection regulations must be taken into account. Relevant for: C-Level (budget and resources for a modular, API-centric KYC architecture), Compliance & Money Laundering Officer (technical requirements, adaptation of guidelines and risk analysis), IT (interfaces and logging).

Classification of AI systems (AI Act) — Obligation: When procuring or using AI systems for anti-money laundering purposes, ensure and document that they are correctly classified in accordance with Annex III of the AI Regulation. Document in particular the purposes for which the systems are used and whether they perform additional functions (e.g., creditworthiness or solvency checks). Such functions can constitute independent high-risk use cases under Annex III and trigger additional regulatory obligations. Relevant for: Money Laundering Officer (classification of AML-related AI use cases and their integration into the internal security organization), Compliance & Risk Management (AI register, assessing high-risk systems, implementing regulatory requirements), C-Level (overall responsibility for AI governance and proper business organization).

Strategic focus on fraud prevention (FATF objectives) — Supervisory expectation / strategic best practice: Internal risk models and preventive measures should focus more strongly on the overlaps between money laundering and fraud rings, in line with the priorities of the UK’s FATF chairmanship (combating fraud rings, optimizing risk-based supervision, promoting public-private information exchange). Relevant for: Money Laundering Officer (expansion of risk analysis), Compliance.

IV. Pain Points

Institutions face operational and technical hurdles. If these are not overcome in time, significant violations of specific legal standards are likely.

1. The pain points in implementation

The IT bottleneck (country risk & KYC): Immediate adjustment of country lists in KYC and transaction monitoring systems often fails in practice due to rigid IT release cycles. A delayed system change means alert systems do not immediately trigger for transactions originating from Iraq or Bosnia and Herzegovina.

Demarcation issues in AI use: Clearly separating money laundering detection (transaction patterns) from creditworthiness assessment/credit scoring within the IT infrastructure is complex. If a system serves both purposes, the entire system can be classified as high-risk AI under the AI Regulation, triggering additional documentation, governance, and compliance requirements.

Resource shortage vs. BaFin expansion: The consolidation of personnel and organizational resources indicates a stronger supervisory focus on anti-financial crime. However, the market for qualified anti-financial crime personnel is completely depleted. The biggest pain point is meeting BaFin’s expected audit readiness and documentation depth with existing staff.

Technical integration of the EUDI wallet: Connecting systems to electronic identification means (e.g., national eID function and future EUDI wallets) requires fundamental changes to the digital onboarding process.

2. Which specific norms may be violated?

Delay or error in implementation could, in the worst case, lead to direct violations of the Money Laundering Act (GwG), the Banking Act (KWG) and the European AI Regulation:

a.) Violations of the GwG (Money Laundering Act)

Section 15 Paragraph 3 No. 1 GwG (Enhanced Due Diligence): If the newly added FATF countries (Iraq, Bosnia) are not immediately entered into the system, the mandatory enhanced due diligence for these customers is not performed. This may constitute an administrative offense.
Section 4 Paragraph 3 GwG (Risk Analysis): Failure to assess new relevant country and fraud risks, or delayed assessment, may result in the risk analysis no longer reflecting the current risk situation.
Section 6 GwG (Internal Safeguards): Inadequate or insufficiently updated monitoring systems may impair the effectiveness of internal safeguards and lead to supervisory complaints.

b.) Violations of the German Banking Act (KWG) / Minimum Requirements for Risk Management (MaRisk)

Section 25a Paragraph 1 KWG (Proper Business Organization): Inadequate personnel or organizational resources may constitute a violation of the requirements for proper business organization.

c.) Violations of Regulation (EU) 2024/1689 (AI Regulation / AI Act)

Article 6(2) in conjunction with Annex III, point 5(b) of the AI Regulation: If an AI system performs creditworthiness assessment tasks in addition to AML functions, it must be examined whether this constitutes a high-risk use case under Annex III. Failure to comply with the resulting obligations may render the system incompatible with the AI Regulation, which provides for substantial fines.

V. Concrete solutions 1.) Agility in FATF Updates (The IT Bottleneck)

Automated data feeds (APIs): Connect sanctions and country list providers (e.g., Dow Jones, Refinitiv, LexisNexis) directly to your core systems so changes are incorporated promptly and with less manual effort.
Fast-Track Releases: Establish an "Emergency Change Process" with IT for urgent regulatory parameter changes — accelerated adjustments while maintaining the necessary release, testing, and documentation controls.
Manual fallback processes: While system-side adjustment is pending, instruct the 1st line of defense (e.g., account managers) via "Compliance Flash" to temporarily escalate new business with the affected countries (Iraq, Bosnia and Herzegovina) manually for compliance approval.

2.) AI Architecture and AI Act Compliance

Strict data siloing: Keep databases and AI models for transaction monitoring (AML) strictly separate from those for credit scoring. An AI model must not access both data sources simultaneously.
Use-case inventory: Maintain a central register for all AI systems used in-house. Explicitly document the purpose of each AML tool ("Fraud prevention/money laundering exclusively, no credit checks") to demonstrate exemption from high-risk classification during audits.
Compliance by Design: Integrate compliance into the procurement and proof-of-concept phases of new software to prevent incorrect classification from the outset.

3.) Resource shortage vs. BaFin audit pressure

Outsourcing Level 1 alerts: Outsource the initial review of transaction alerts (triage/false positive handling) to specialized managed service providers, freeing your internal core team for complex suspicious cases.
Robotic Process Automation (RPA): Automate recurring manual research tasks in the KYC process (e.g., commercial register extracts, negative media coverage) to free up analyst time.
Mock audits: Conduct a simulated BaFin special audit by external auditors to identify gaps in organization and documentation before the newly consolidated BaFin "Anti-Financial Crime" unit conducts an unannounced audit.

4.) Preparation for the EUDI wallet

Modular KYC architecture: Don’t build digital onboarding as a monolithic system. Use an API-centric architecture into which new identification methods (such as the EUDI wallet) can be integrated via "plug and play" without reprogramming the entire process.
Legislative monitoring: Establish a monitoring process to track the adoption of the EBDI Act, so the technical interface requirements of the Federal Office for Information Security (BSI) can be adapted in time.

VI. Conclusion

Regulatory and supervisory requirements continue to increase. The increased staffing at BaFin, new FATF risk countries, and the substantive requirements of the AI Regulation necessitate timely action. To proactively avoid fines and sanctions, you must now make your IT processes more flexible, modify your KYC systems, and ensure your AI tools are legally compliant. Only through proactive preparation can your institution remain protected from these intensified audits.

Author: Predrag Savic

Predrag Savic drives the topics of regulatory compliance, governance, and risk management at S+P Compliance Services. His goal: to translate complex regulatory requirements into pragmatic solutions so that companies remain operationally excellent and legally compliant, even with new standards such as DORA or ESG.

The 9th amendment to the MaRisk (Minimum Requirements for Risk Management) sets the standard for proper business organization and risk management — and thereby directly determines the personal liability risk of management, compliance officers, and money laundering officers. Ignoring MaRisk 2026 exposes institutions to organizational negligence and heightened civil, regulatory, and criminal liability.

II. Deadlines, timeframes and cycles

Supervisory timeframe: The consultation ran until 8 May 2026; the final version has been available since 30 June 2026 and is immediately applicable. Supervisory authorities usually distinguish "clarifying" provisions (immediately effective) from new requirements with transitional periods; for earlier amendments these extended in some cases to 31 December of the following year (e.g. NPL rules, outsourcing contracts), and similar transitions are expected in 2026.
Strategic and technical timelines: ESG and environmental risks must be assessed short-, medium- and long-term using scenarios spanning at least ten years (resilience analyses). Capital planning must be reviewed annually with a multi-year horizon and key assumptions updated as needed. NPE strategies require short-, medium- and long-term reduction targets plus quarterly KPI reviews. Emergency management and significant outsourcing require at least annual reviews, with quarterly reporting to management.
Operational audit and reporting cycles: Risk inventory, risk classification and credit rating must be conducted at least annually, including a review of materiality and ESG impacts. Internal Audit follows a risk-oriented plan on a 3-year cycle for all activities and a 5-year cycle for non-material areas; material deficiencies must be addressed no later than the next quarterly report. Risk reports go to senior management at least quarterly for all material risk types, with far more frequent reporting during periods of stress.

III. Duties for C-level executives and compliance

MaRisk 2026 specifies key organizational, risk and outsourcing obligations affecting management, supervisory bodies and control functions.

1. Management and supervisory body: Management must ensure proper business organization and effective risk management, and must define and regularly review business, risk, ICT and — where applicable — DOR strategies, including risk appetite, capital planning and, for high NPL portfolios, an NPE strategy. The supervisory body must be informed at least quarterly about business situation, risk profile and specific risks.

2. Risk management and internal control systems: Institutions must establish a risk-bearing capacity concept with an ICAAP process, run regular stress and resilience analyses, and identify, assess, manage and monitor all material risks, including ESG and ICT risks. The structure must reflect a clear separation of functions (market, back office, trading, risk control, compliance, audit), underpinned by binding organizational guidelines.

3. Special functions, resources and documentation: Risk control, compliance and internal audit are mandatory, organizationally independent and adequately resourced. Internal audit works risk-based on a 3- to 5-year cycle, monitors remediation and reports at least quarterly. Institutions must ensure sufficient staffing, suitable technical infrastructure and an emergency management system with an annually reviewed emergency plan and quarterly reporting to senior management. Records must be kept systematically and transparently and retained for several years.

4. Adaptation processes, outsourcing and reporting: New products, new markets and significant organizational or ICT changes trigger a structured new-product/adaptation process involving risk controlling, compliance and audit. Significant outsourcing requires a risk analysis, clearly defined agreements, centralized outsourcing management, contingency and exit planning, and ongoing monitoring — with senior management’s responsibility remaining non-transferable. Risk controlling must prepare comprehensive risk reports and specific reports on credit, market-price, liquidity and operational risks at least quarterly.

IV. Liability risks and critical areas

MaRisk 2026 is not itself a liability provision but a more specific standard for judging whether corporate bodies and their functions have properly fulfilled their duties. The core risks:

1. Management (Board / Executive): Breaches of duty in business organization, risk management, outsourcing, ESG and IT can constitute a breach of the duty of care (internal liability under § 43 GmbHG, § 93 AktG). Violations of Section 25a KWG (organization, risk management), Section 25b KWG (outsourcing), Sections 25c and 25d KWG (requirements for managers and supervisory bodies) and Section 26c KWG (ESG risks) form the basis for supervisory measures, fines and withdrawal of "fit and proper" suitability. Organizational omissions can trigger criminal liability for omission under Section 13 StGB together with relevant offenses, plus breach of supervisory duties under Section 130 OWiG.

2. Supervisory body: Insufficient oversight of management and risk management — particularly with obvious MaRisk deficiencies (missing segregation of functions, inadequate outsourcing control, ignored ESG risks) — can lead to liability under Sections 116 and 93 AktG. Breaches also affect personal reliability and professional suitability, indirectly via Section 25d KWG.

3. Compliance function: Compliance must systematically identify essential legal requirements and ensure their monitoring; system failures or "blind spots" count as organizational deficiencies, with consequences for management and, in serious cases, for the responsible compliance officers. Relevant provisions: Section 25a KWG, Section 80 WpHG in conjunction with Article 16 of MiFID II. In extreme cases, employment-law and criminal liability may arise if serious violations are deliberately tolerated or concealed (Section 13 StGB, Section 130 OWiG).

4. Money Laundering Officer: Failure to report suspected cases or to implement appropriate AML processes can trigger personal liability under Sections 43 et seq. GwG, supplemented by the AML Regulation (EU) 2024/1624. Missing, late or inadequate controls can lead to personal criminal or administrative liability under Section 130 OWiG and Section 13 StGB (guarantor status from legally transferred duty).

5. Outsourcing, ESG and IT/DORA: "Empty shell" structures, missing risk analysis, insufficient controllability or absent contingency/exit planning for significant outsourcing violate Section 25b KWG and corresponding WpIG provisions (e.g. Sections 4 and 82 WpIG). Insufficient integration of ESG risks can breach Section 26c KWG and the MaRisk-derived obligations. Missing or inadequate ICT risk and emergency management sits in the tension between Section 25a KWG and the DORA Regulation (EU) 2022/2554, raising both corporate and criminal/administrative risk after security incidents.

V. Recommendations for action

The aim is twofold: meet supervisory expectations while refuting typical liability claims.

1. Governance and clarity of accountability: Update and formally adopt a governance map (management, supervisory body, special functions, outsourcing management) with clear responsibility and reporting lines, anchored in organizational guidelines and individual declarations of responsibility; document an annual review of responsibilities, resources and reporting cycles. This counters the charge of improper business organization (§ 25a KWG, § 43 GmbHG, § 93 AktG) and the "empty shell" allegation.

2. Structured implementation and a "chain of justification": Develop an institution-wide MaRisk implementation concept with gap analysis, priorities, timelines and owners (risk management, ESG, ICT/DORA, outsourcing, reporting). For every essential principle (proportionality, simplifications, model use, stress tests), record a written "why so?" rationale and decide it at management (and, where relevant, supervisory-body) level. This reduces exposure to the charge of only formal — not effective — implementation of Sections 25a, 25b and 26c KWG, to supervisory-audit findings of no comprehensible decision basis, and to negligence charges under § 13 StGB for "looking the other way".

3. Strengthen ESG, ICT and model governance: Integrate ESG as an explicit risk driver into inventory, strategy and stress tests with documented methodology; adopt an ICT/DORA strategy with clear objectives, risk appetite and emergency/outsourcing frameworks; document the model register, validation plan, data-quality processes and override policy. This defuses allegations of inadequate consideration of ESG risks (§ 26c KWG), of insufficient IT organization or digital resilience (Section 25a KWG and DORA), and of model liability.

4. Make outsourcing management "liability-proof": Run a central risk analysis for all outsourcing (including onward outsourcing) with materiality classification and scenario analysis; maintain a complete outsourcing register, standardized contract clauses (information, audit, instruction, termination, exit) and coordinated emergency/exit strategies; report at least annually to the board with a per-provider traffic-light rating. This addresses the "empty shell" charge under § 25a, § 25b KWG, controllability-related liability (fines, Section 82 WpIG for securities institutions), and breach of guarantor/supervisory duties on outsourcing failure.

5. Sharpen the reporting and escalation chain: Produce quarterly comprehensive risk reports focused on risk appetite, limit breaches, stress-test results, ESG and ICT risks and key outsourcing/emergency issues; set binding escalation rules; verifiably track all significant audit and compliance findings (action plan, deadlines, status). This reduces liability from missing or delayed information of the supervisory body (breach of Section 25a KWG) and the "known defects not rectified" starting point for Section 13 StGB and Section 130 OWiG.

6. Specifically for compliance and money laundering officers: Maintain a risk-based compliance risk atlas classifying key norms (AML, AMLR, sanctions, ESG, IT and data-protection law) with regular updates; keep a clear separation of roles (compliance, MLRO, data protection) with written reporting lines; for AML, establish clear suspicious-case reporting, training, random checks and a documented no-tolerance policy. This avoids the charge of structural omission in compliance/AML systems (§ 25a KWG, § 80 WpHG, GwG) and personal allegations against MLROs and compliance officers (§ 43 GwG, § 13 StGB, § 130 OWiG).

VI. Conclusion

MaRisk 2026 is not merely a supervisory document but a liability-critical organizational benchmark for management, supervisory bodies, compliance officers and money laundering officers. Institutions that visibly align and justify their governance, risk management, ESG and ICT structures, outsourcing and reporting with these principles materially reduce their exposure. The decisive factor is documented, risk-based implementation — not a merely formal adaptation of guidelines.

VII. List of Sources

BaFin, Circular 06/2026 (BA) – Minimum Requirements for Risk Management – ​​MaRisk: https://www.bafin.de/… , accessed on 02.07.2026

Deutsche Bundesbank, Circular 06/2026 (BA): Minimum requirements for risk management – ​​MaRisk (PDF): https://www.bundesbank.de/… , accessed on 02.07.2026

BaFin, press release “BaFin consults on 9th MaRisk amendment” (Consultation 02/2026): https://www.bafin.de/… , accessed on 02.07.2026

Der aktuelle AMLA-Leitlinienentwurf definiert die künftigen EU-Standards für KYC-Refresh und Transaktionsmonitoring und löst bisherige BaFin-Vorgaben schrittweise ab. Er bringt strengere Prüfpflichten, neue KI-Governance-Regeln und eine erweiterte Überwachung von Geschäftsbeziehungen. Solange die Konsultationsphase läuft, besteht die Chance, aktiv Stellung zu beziehen – bevor die prozessualen und technischen Änderungen rechtlich bindend werden.

II. Fristen und zeitliche Vorgaben

2. Juli 2026 (10:00–12:00 Uhr MESZ): Virtuelle öffentliche Anhörung der AMLA zu den Leitlinienentwürfen.
31. August 2026: Interne Wunschfrist des VIB – bis dahin sollen Mitglieder ihre Anmerkungen per E-Mail einreichen, damit der Verband sie bündeln kann.
3. September 2026 (23:59 Uhr MESZ): Offizielle und verbindliche Frist der AMLA für Stellungnahmen im Konsultationsverfahren.

III. Pflichten für C-Level, Geldwäschebeauftragte und Compliance

Aus den vorgeschlagenen Leitlinien ergeben sich für die drei Rollen unterschiedliche Pflichtenpakete – vom operativen Detail bis zur strategischen und finanziellen Verantwortung.

1. Geldwäschebeauftragte (AML Officer) – operative Umsetzung Sie übersetzen die Leitlinien in tägliche Prozesse und Arbeitsanweisungen: Aufsetzen eines Prozesses zur ID-Erneuerung mit Risikokriterien, wann ein abgelaufenes Ausweisdokument akzeptiert wird und wann ein neues zwingend anzufordern ist; Erweiterung des Ad-hoc-Katalogs um Ereignisse, die eine sofortige außerordentliche Kundenüberprüfung auslösen (z. B. Änderungen der Eigentümerverhältnisse); Etablierung eines Aussetzungs-Prozesses zum temporären Einfrieren von Transaktionen als Zwischenstufe vor endgültiger Kündigung (Abschnitt 2.5); und – im Nicht-Finanzsektor – Kontrollen für Kunden-„Aktivitäten" auch ohne permanente Geldbewegungen.

2. Compliance – regulatorische Steuerung Compliance koordiniert die Stellungnahme (interne Rückmeldungen sammeln und bis 31. August 2026 an den VIB steuern), setzt gemeinsam mit der IT Prüfprozesse für Algorithmen und ML-Modelle auf (die Pflicht zur „Erklärbarkeit" gegenüber der Aufsicht erfordert lückenlose Dokumentation der Systemlogik) und passt die internen Richtlinien an, da die AMLA-Leitlinien Vorrang vor nationalen Auslegungshinweisen (BaFin-AuAs zum GwG) erhalten.

3. C-Level (Vorstand/Geschäftsführung) – strategische Absicherung Die Geschäftsführung haftet persönlich für die ordnungsgemäße Organisation: Sie muss Budget und Ressourcen für neue IT-Systeme, Software-Updates und Fachpersonal freigeben, die KI-Governance-Struktur für das Monitoring formell absegnen und die regulatorische Verantwortung dafür übernehmen sowie den Rahmen definieren, in dem der Geldwäschebeauftragte Geschäftseinschränkungen eigenständig verhängen darf.

IV. Haftungsrisiken bei der Pflichtenerfüllung

Die haftungskritischen Risiken entstehen an der Brücke zwischen neuem EU-Recht und bestehenden nationalen Haftungsnormen.

1. Operative Kernnormen (EU-Ebene) Die Leitlinien konkretisieren die EU-Geldwäscheverordnung (AMLR – Verordnung (EU) 2024/1624). Art. 26 Abs. 1 AMLR (laufende Überwachung) – die Ausweitung auf „Aktivitäten" erhöht das Risiko, Auffälligkeiten im Nicht-Finanzsektor zu übersehen. Art. 26 Abs. 5 AMLR (Aktualisierungspflicht) – ein lückenhaftes System beim Ad-hoc-Refresh ist ein direkter Verstoß.

2. Haftungsnormen für den Geldwäschebeauftragten (GwB) § 261 StGB (Geldwäsche): Winkt das Monitoring-System – etwa wegen mangelhafter KI-Governance – eine offensichtliche Transaktion durch, droht Strafbarkeit wegen leichtfertiger Geldwäsche (§ 261 Abs. 6 StGB). § 56 GwG (Bußgeld): Systematische Mängel bei KYC-Refresh oder Monitoring sind Ordnungswidrigkeiten mit Bußgeldern bis zu 5 Mio. Euro oder 10 % des Gesamtumsatzes. § 13 StGB (Unterlassen/Garantenstellung): Setzt der GwB die Leitlinien (z. B. Sperrung bei fehlenden Kundendaten) nicht oder verspätet um, haftet er persönlich durch Unterlassen.

3. Haftungsnormen für Compliance & C-Level § 130 OWiG (Verletzung der Aufsichtspflicht): Kernrisiko für C-Level und CCO – etwa wenn Budgets für KI-Governance-Tools oder Daten-Feeds nicht bereitgestellt werden und es dadurch zu Verstößen kommt. § 91 Abs. 2 AktG / § 43 GmbHG (Risiko-Frühwarnsystem, Sorgfaltspflicht): Eine Geschäftsführung, die technische Upgrades für komplexe, aggregierte Zahlungsströme blockiert, haftet zivilrechtlich (Innenhaftung). § 9 Abs. 1 Nr. 2 OWiG (Haftung von Beauftragten): Mit ausdrücklicher Pflichtenübertragung geht die bußgeldrechtliche Verantwortung auf GwB bzw. Compliance-Leitung über.

Haftungs-Fazit: Die größte Gefahr droht dem GwB über den Vorwurf der Leichtfertigkeit (§ 261 StGB) bei fehlerhaft dokumentierter Risikoanalyse oder KI-Monitoring; dem C-Level drohen Bußgelder über § 130 OWiG, wenn die IT-Infrastruktur nicht an die AMLA-Standards angepasst wird.

V. Umsetzungsfahrplan und Lösungsempfehlungen

Unternehmen sollten bereits die Konsultationsphase zur Vorbereitung nutzen; das Fenster für aktive Einflussnahme über den Verband schließt am 31. August.

1. Sofortmaßnahmen für Compliance & Legal (kurzfristig) Gap-Analyse starten: den Status quo der internen Richtlinien (BaFin-AuAs) mit den AMLA-Entwürfen vergleichen und dokumentieren, welche neuen Anforderungen (z. B. Überwachung von „Aktivitäten" statt nur Transaktionen) technisch noch nicht umsetzbar sind. Stellungnahme rechtzeitig vor dem 31. August 2026 beim VIB einreichen und dabei praxisferne, unklare Formulierungen benennen, um Auslegungsrisiken zu minimieren. KI-Dienstleister in die Pflicht nehmen: schriftliche Nachweise zur „Erklärbarkeit" der Algorithmen anfordern, um dem Vorwurf der Blackbox-Nutzung vorzubeugen.

2. Operative Vorbereitung für den Geldwäschebeauftragten (mittelfristig) Matrixbasierten Kriterienkatalog für abgelaufene Ausweise definieren (schützt vor dem Vorwurf der Leichtfertigkeit nach § 261 StGB). Trigger-Liste für Ad-hoc-Prüfungen erstellen (z. B. Änderung der Gesellschafterstruktur > 25 %, plötzliche Transaktionen in Drittstaaten). Eskalationsprozess für Kontosperrungen (Abschnitt 2.5) skizzieren: Wer entscheidet über die Aussetzung, und welche Kundenkommunikation vermeidet Reputationsschäden ohne den Verdacht des „Tipping-off"?

3. Strategische Weichenstellungen für das C-Level (Budget & Risiko) Sonderbudget für IT-Upgrades einplanen: Die manuelle Überwachung aggregierter Zahlungsströme und kontinuierlicher Ad-hoc-Prüfungen ist bei größeren Kundenbeständen personell nicht leistbar – bereits für 2027 Budgets für automatisierte KYC-Feeds (z. B. Handelsregister-Anbindungen) und bessere Monitoring-Tools vorsehen. Risikoappetit für den Nicht-Finanzsektor klären und abwägen, ab wann eine lückenlose Überwachung von „Aktivitäten" datenschutzrechtlich (DSGVO) bedenklich wird oder das Kerngeschäft blockiert.

VI. Resümee

Die neuen AMLA-Leitlinien zu KYC-Refresh und Transaktionsmonitoring verschärfen die Pflichten der Verpflichteten drastisch: Geldwäschebeauftragte passen ihre Prozesse an, Compliance sichert die rechtliche KI-Erklärbarkeit ab, und das C-Level muss die notwendigen IT-Budgets freigeben. Die Konsultationsphase bis Ende August 2026 sollte aktiv genutzt werden, um Haftungsrisiken abzuwehren.

VII. Quellenverzeichnis

Anti-Money Laundering Authority (AMLA), Consultation Paper Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624, veröffentlicht am 03.06.2026:https://www.amla.europa.eu/…, abgerufen am 06.07.2026.

2026 rollt eine massive Regulierungswelle zu ESG, Cyber-Resilienz und Lieferketten auf CFOs zu, die aus reinen Organpflichten schnell eine persönliche Einstandspflicht macht. Klassische D&O-Policen decken diese Risiken nur noch lückenhaft. Der Beitrag zeigt kompakt die entscheidenden Fristen, die neuen Pflichten und die Schritte, mit denen CFOs rechtssichere Prozesse gewährleisten und ihr Privatvermögen wirksam schützen.

II. Fristen und Zeitfenster 2026

Mehrere Stichtage des ersten Halbjahrs sind bereits verstrichen. CFOs müssen jetzt akut prüfen, ob Meldungen und Implementierungen rechtzeitig erfolgt sind, um ein fortlaufendes Organisationsverschulden auszuschließen.

NIS-2-Registrierung beim BSI – 6. März 2026 (verstrichen): Betroffene Unternehmen mussten sich zwingend beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Ein Versäumnis ist ein fortlaufender, direkter Haftungshebel für die Geschäftsleitung und kann gesetzlich nicht an den CISO delegiert werden.
CSDDD & EU-»Omnibus I« – 18. März 2026: Die geänderte Lieferkettenrichtlinie ist in Kraft. Das Omnibus-Paket hob zugleich die CSRD-Schwellenwerte deutlich an (z. B. 1.000 Mitarbeitende / 450 Mio. € Umsatz). Unternehmen müssen ihren Status umgehend neu bewerten.
Aufbau des ESG-IKS (CSRD Wave 2) – laufend 2026: Für ab 2027 erstmals CSRD-Pflichtige ist 2026 das Vorbereitungsjahr. Das Interne Kontrollsystem für nicht-finanzielle Daten muss revisionssicher aufgesetzt und getestet werden – sonst droht ab 2027 die Greenwashing-Haftung.
B2B-E-Rechnung & DORA-Übergang – 31. Dezember 2026: Die Kulanzfristen für Empfang und Verarbeitung von E-Rechnungen enden; fehlerhafte Systeme führen ab 2027 zu Vorsteuerverlusten. Im Finanzsektor lösen die neuen DORA-Vorgaben die alten BAIT final ab und machen den Vorstand unmittelbar für das IKT-Risikomanagement verantwortlich.

Prüfauftrag für das C-Level: Wurde die NIS-2-Frist (6. März) intern verpasst, ist dies unverzüglich und rechtssicher dokumentiert nachzuholen, um persönliche Bußgelder zu minimieren.

III. Pflichten für C-Level und Compliance samt normativen Bezügen

Der CFO ist 2026 primär Risiko- und Governance-Manager mit weitreichender Organisations- und Überwachungspflicht – nicht mehr nur Verwalter von Zahlen und Bilanzen. Vier Kernbereiche:

Aufstellungs- und Prüfungspflicht (ESG/CSRD): Der Nachhaltigkeitsbericht ist mit derselben Sorgfalt aufzustellen wie der Jahresabschluss (§ 289b ff. HGB). Erforderlich ist ein prüfungsfestes ESG-IKS für nicht-finanzielle Daten; sein Fehlen gilt als schwerwiegendes Organisationsverschulden. Der CFO haftet persönlich für die Freiheit der ESG-Kennzahlen von Falschangaben (Greenwashing).
Überwachungs- und Budgetierungspflicht (NIS-2/DORA): Trotz operativer Umsetzung durch CIO/CISO trägt der CFO die Gesamtverantwortung; ein Haftungsausschluss durch vollständige Delegation ist bei NIS-2 ausgeschlossen. Ein ausreichendes Budget für IT-Sicherheit ist verpflichtend – Kürzungen begründen im Schadensfall die private Haftung. Hinzu kommt die persönliche Schulungspflicht zum Cybersicherheits-Risikomanagement.
Sorgfalts- und Durchsetzungspflicht in der Lieferkette (LkSG/CSDDD): In Einkauf und Supply-Chain-Management müssen wirksame Risikoanalysen zu Menschenrechten und Umweltstandards verankert sein. Bei bekannt gewordenen Verstößen sind unverzüglich Abhilfemaßnahmen einzuleiten und zu dokumentieren; Untätigkeit kann persönliche Bußgelder durch das BAFA auslösen.
Risikofrüherkennungs- und Kriseninterventionspflicht (FISG/StaRUG): Erforderlich ist ein rollierendes 24-Monats-Forecasting (§ 1 StaRUG), das bestandsgefährdende Entwicklungen früh erkennt, fortlaufend überwacht wird und – bei Krisenanzeichen – zu Gegenmaßnahmen führt. Andernfalls droht persönliche Haftung für Zahlungen nach Eintritt der Insolvenzreife.

Fazit: Jede Pflicht verlangt das Prinzip der beweisbaren Sorgfalt. Wer im Schadensfall die Erfüllung seiner Überwachungs- und Organisationspflichten nicht lückenlos dokumentieren kann, verliert den Schutz der Business Judgment Rule – die private Einstandspflicht wird real.

IV. Haftungsrisiken und kritische Felder

Fünf zentrale Pain Points bergen 2026 das höchste Risiko für ein Organisationsverschulden:

Daten- und Schnittstellen-Dilemma: ESG- und LkSG-Reporting brauchen auditable Daten aus Bereichen (HR, IT, Einkauf, Facility Management), die nicht auf finanzielle Präzision getrimmt sind. Manuelle Excel-Prozesse halten der Wirtschaftsprüfung nicht stand.
Haftung durch Fremdressorts: Der CFO haftet für Cybersicherheit (NIS-2) und Lieferketten mit, obwohl die Umsetzung bei CISO oder CPO liegt. Exkulpation durch bloße Delegation ist ausgeschlossen – ohne dokumentierte Überwachung und klare Reporting-Linien droht die Haftungsfalle.
Zielkonflikt Kostenkontrolle vs. Compliance-Budget: NIS-2, DORA und CSRD erzwingen hohe Investitionen. Budgetkürzungen bei IT-Sicherheit oder Compliance-Systemen (z. B. gestrichene Penetrationstests oder AML-Scans) werden im Schadensfall als grobe Fahrlässigkeit ausgelegt.
Illusion der D&O-Deckung: Policen enthalten 2026 zunehmend harte Ausschlüsse für Cyber- und ESG-Klagen (Climate Litigation) und greifen wegen des Regressverbots nie bei persönlichen Bußgeldern (NIS-2, Geldwäsche, LkSG).
Echtzeit-Paradoxon der Krisenfrüherkennung (StaRUG): Rückwärtsgewandte Monatsabschlüsse genügen § 1 StaRUG nicht. Ohne rollierendes, szenariobasiertes 24-Monats-Forecasting gerät die Geschäftsleitung bei schnellen Markteinbrüchen in den Bereich der Insolvenzverschleppung.

Kernproblem: Fast alle Pain Points resultieren aus mangelnder Systemintegration und Automatisierung. Wer die Regulierungswelle 2026 manuell bewältigen will, riskiert die persönliche Einstandspflicht.

V. Handlungsempfehlungen

1. Organisation & Prozesse Feste, dokumentierte Reporting-Linien der Fremdressorts (CISO für NIS-2, CPO für CSDDD) an das Finanzressort etablieren. Organbeschlüsse über Protokoll-Vorlagen zur Business Judgment Rule standardisieren (Informationsbasis, Befangenheitsfreiheit, Abwägung). Schriftliche, an Mindeststandards orientierte Bedarfsmeldungen der Fachbereiche einfordern, um dem Vorwurf fahrlässiger Unterbudgetierung vorzubeugen. Geldwäsche-Compliance über klare Red-Flag-Prozesse (Vier-Augen-Prinzip, Auszahlungsstopps) verankern.

2. Technologie & Datenmanagement Softwaregestütztes ESG-IKS für eine revisionssichere CSRD-Datenbasis aufbauen. AML-Prozesse durch automatisierte Sanktionslisten-Scans und KYC-Prüfungen automatisieren. Risikomanagement auf szenariobasiertes, in Echtzeit aktualisiertes 24-Monats-Forecasting (StaRUG) umstellen.

3. Absicherung & Versicherung Die D&O-Police durch einen spezialisierten Makler auf versteckte Cyber- und ESG-Ausschlüsse auditieren lassen. Zusätzlich eine separate Firmen-Strafrechtsschutz-Versicherung für das C-Level prüfen, da D&O bei behördlichen Bußgeldern (Regressverbot) nicht greift.

VI. Aufgliederung zentraler Normen

Wer die genannten Maßnahmen umsetzt, errichtet rechtliche Schutzschilde gegen die Haftungsrisiken folgender Normen:

Organhaftung & Business Judgment Rule: § 93 Abs. 2 AktG / § 43 Abs. 2 GmbHG begründen die Grundhaftung mit dem Privatvermögen – lückenlose Dokumentation blockiert den Vorwurf. § 93 Abs. 1 Satz 2 AktG ist der gesetzliche Safe Harbor: Expertenberichte und protokollierte Abwägungen machen unternehmerische Entscheidungen rechtlich unangreifbar.
Krisenfrüherkennung & Insolvenz: § 1 Abs. 1 StaRUG wird durch szenariobasiertes 24-Monats-Forecasting erfüllt. § 15b InsO verhindert Haftung für Zahlungen nach Insolvenzreife, § 15a InsO den strafrechtlichen Vorwurf der Insolvenzverschleppung.
Rechnungslegung & ESG-Reporting: § 289b ff. HGB wird durch ein funktionierendes ESG-IKS rechtssicher im Lagebericht abgebildet. § 331 HGB (unrichtige Darstellung) wird durch systemgeprüfte Daten (Vier-Augen-Prinzip) ausgeschlossen.
Geldwäscheprävention & Compliance: § 261 StGB – automatisierte Sanktionslisten-Scans und KYC-Prüfungen schützen vor dem Vorwurf leichtfertiger Geldwäsche. § 56 GwG – klare Risikoanalysen und Sicherungsmaßnahmen vermeiden persönliche Bußgelder.
Cybersicherheit & Lieferkette: § 38 BSIG-E / NIS-2UmsCG – gesicherte Budgetierung und Überwachung des CISO erfüllen die Pflicht des C-Levels, Cyber-Risikomanagement aktiv zu billigen und zu überwachen. § 24 LkSG – klare Meldewege und Risikoanalysen im Einkauf bewahren vor BAFA-Bußgeldern.

VII. Fazit
Das Jahr 2026 transformiert den CFO vom reinen Finanzverwalter zum zentralen Risikomanager. Durch scharfe EU-Regularien wie CSRD, NIS-2 und verschärfte Geldwäschegesetze drohen bei Pflichtverletzungen direkte Bußgelder sowie eine persönliche Schadensersatzpflicht. Um das eigene Privatvermögen wirksam zu schützen, reichen klassische D&O-Policen nicht mehr aus. Zwingend erforderlich sind heute softwaregestützte Kontrollsysteme, prädiktives Forecasting und die rechtssichere, lückenlose Dokumentation jeder einzelnen strategischen Unternehmensentscheidung.

VIII. Quellenverzeichnis

BSI, NIS-2-Richtlinie – Cybersicherheit für Unternehmen:https://www.bsi.bund.de/…, abgerufen am 07.07.2026

BAFA, Lieferkettensorgfaltspflichtengesetz (LkSG):https://www.bafa.de/…, abgerufen am 07.07.2026

Bundesministerium der Justiz, Gesetz über den Stabilisierungs- und Restrukturierungsrahmen für Unternehmen (StaRUG):https://www.gesetze-im-internet.de/…, abgerufen am 07.07.2026

EUR-Lex, Richtlinie (EU) 2022/2464 (Corporate Sustainability Reporting Directive – CSRD):https://eur-lex.europa.eu/…:32022L2464, abgerufen am 07.07.2026

BaFin, Digital Operational Resilience Act (DORA):https://www.bafin.de/…, abgerufen am 07.07.2026

Bundesministerium der Justiz, Aktiengesetz (AktG) § 93 Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder:https://www.gesetze-im-internet.de/…, abgerufen am 07.07.2026

Why should CEOs read this article? Because by 2026, compliance will no longer be a back-office issue, but a personal liability risk. Transparency registers, supply chain obligations, chemicals legislation, cyber reporting requirements, and sanctions directly impact strategy, governance, and reputation. Those who fail to properly document responsibilities, evidence, and controls risk fines, directors‘ and officers‘ liability, and a loss of trust.

II. Time constraints, expired and upcoming deadlines

In 2026, Swiss CEOs must keep several deadlines in mind: ensuring ongoing sanctions screenings and cyber reporting processes, in particular the 24-hour reporting to the BACS for critical infrastructure. The consultation period for the NUFG (New Financial Markets Act) ends on July 9. Transparency registers and the revised AML Act (Anti-Money Laundering Act) come into effect on October 1. EUDR readiness for EU business transactions must be achieved by December 30. Chemicals Risk Reduction Ordinance (ChemRRV) obligations must also be reviewed on a product- and substance-specific basis.

III. Duties for C-level executives and compliance, including normative aspects

For Swiss CEOs, several specific compliance obligations with direct liability implications will arise in 2026. The focus is on the new transparency register under the Transparency and Justice Act (TJPG) and the revised Money Laundering Act, both of which will come into force on October 1, 2026. Companies must identify, verify, document, and keep up-to-date their beneficial owners. At the same time, KYC, risk, and control processes must be adapted.

In addition, there are obligations arising from existing and new sustainability, product, and cyber regimes. The draft Federal Act on Sustainable Corporate Governance increases the pressure to systematically record human rights and environmental risks along the value chain. The Chemicals Risk Reduction Ordinance requires testing for PFAS, microplastics, and other restricted substances. Operators of critical infrastructure must report notifiable cyberattacks to the BACS within 24 hours.

For internationally active companies, EU regulations also apply, in particular the EU Deforestation Regulation, which comes into effect on December 30, 2026, for affected EU business activities. CEOs should not treat these obligations as a departmental issue, but rather as a governance task: defining responsibilities, documenting controls, establishing escalation procedures, and ensuring auditable documentation.

The most important regulatory references are: the TJPG and the revised GwG from 1 October 2026 for transparency registers, beneficial owners and money laundering prevention; the Information Security Act / BACS reporting obligation for cyberattacks on critical infrastructures; the ChemRRV for PFAS, microplastics and substance restrictions; the NUFG draft on sustainable corporate management; and the EU Deforestation Regulation , insofar as Swiss companies place, trade or export products in the EU.

• Identifying beneficial owners: Identification, verification, documentation and updating of beneficial owners according to TJPG .
• Use of the transparency register: Reporting and updating obligations for affected legal entities from 1 October 2026 .
• Adapting AML processes: KYC, risk analysis, internal controls, documentation and, where applicable, reporting processes according to the revised Money Laundering Act .
• Preparing ESG due diligence: identifying human rights and environmental risks along the value chain, defining responsibilities and establishing reporting structures; relevant in the context of the NUFG draft .
• Check product compliance: Check materials, products and supply chains for restricted substances such as PFAS and microplastics according to ChemRRV .
• Establish cyber reporting processes: For critical infrastructures, reportable cyberattacks must be reported to the BACS within 24 hours .
• Ensure sanctions compliance: Continuously check business partners, ownership structures, payments and goods flows against applicable Swiss sanctions regulations.
• Establish EUDR readiness: Prepare deforestation-free, traceable and due diligence documentation for EU transactions involving timber, coffee, cocoa, soy, palm oil, beef, rubber and derivative products.
• Demonstrate governance: For CEOs, what is crucial is not only the implementation, but also the reliable documentation: Who checks what, when, with what result and what escalation occurs.

IV. Problem areas within the scope of the obligations to be implemented

1.) Organizational and supervisory liability:

Art. 716a OR: non-transferable duties of the board of directors, in particular overall management, organization, financial control and overall supervision.

Art. 717 OR: Duty of care and loyalty.

Article 754 of the Swiss Code of Obligations (OR): Liability for intentional or negligent breach of duty. These provisions form the core of personal liability for corporate officers in Switzerland.

2.) Transparency Register / Beneficial Owners:

TJPG, in particular obligations to identify, verify and report beneficial owners. The law enters into force on October 1, 2026 and applies to legal entities under Swiss private law as well as certain foreign legal entities and trusts.

3.) Money laundering / KYC:

The German Money Laundering Act (GwG) and revised anti-money laundering regulations: The scope of application is being extended to certain advisory services, such as those related to real estate transactions and the formation or structuring of legal entities. This increases liability risks in cases of incomplete identification, risk analysis, or documentation.

4.) Cyber ​​reporting obligation:

Information Security Act (ISG) and Cybersecurity Ordinance (CSV): Operators of critical infrastructure must report cyberattacks to the BACS within 24 hours of discovery. For CEOs, the risk here lies in the lack of an incident response and escalation process.

5.) Product and fabric compliance:

ChemRRV, SR 814.81: The revision concerns, among other things, PFAS and microplastics. Liability risks arise in the case of untested materials, incorrect supplier declarations, sales stoppages, recalls, or regulatory proceedings.

6.) Sanctions compliance:

Embargo Act (EmbG) and the sanctions ordinances based on it: Switzerland implements international sanctions; companies must check business partners, ownership structures, payments, and flows of goods. Violations can have serious criminal and reputational consequences.

7.) ESG / Greenwashing / Sustainability:

Article 3, paragraph 1, letter x of the Unfair Competition Act (UWG) is relevant for climate-related statements: Climate impact claims must be objectively and verifiably substantiated. Additionally, the draft Environmental Impact Assessment Act (NUFG) is politically relevant, but not yet legally binding; therefore, it is better formulated as a "preparatory obligation from a governance perspective," not as an already existing legal obligation.

8.) EU business / Deforestation:

EUDR, Regulation (EU) 2023/1115, in particular Articles 3, 4 and 8: Affected products may only be made available on the EU market or exported if they are deforestation-free, legally produced and covered by a due diligence declaration. Applies from 30 December 2026 to many companies with EU ties.

V. Implementation roadmap and solution recommendations

The most important solution for CEOs in 2026 is: Compliance must be demonstrably managed. This means prioritizing risks, assigning responsibilities in writing, documenting controls, and testing escalation procedures. With regard to Articles 716a, 717, and 754 of the Swiss Code of Obligations (OR), the board of directors and management should be able to demonstrate that transparency registers, anti-money laundering/Know Your Customer (KYC) regulations, cyber reporting obligations, the Chemical Risk Reduction Ordinance (ChemRRV), sanctions, and ESG risks are actively monitored. A robust compliance dashboard with deadlines, owners, audit status, and measures taken is crucial.

• 1. Implement a CEO compliance dashboard. Create a monthly dashboard for management and the board of directors outlining top risks, deadlines, responsible owners, status, open measures, and escalations. This helps to demonstrably fulfill the supervisory and monitoring obligations under Art. 716a of the Swiss Code of Obligations (OR) and the duty of care under Art. 717 OR .
• 2. Launch Transparency Register Readiness: By the time the Transparency and Profit Sharing Act (TJPG) and the revised Money Laundering Act (GwG) come into force on October 1, 2026, beneficial owners should be identified, shareholding structures clarified, evidence collected, and reporting processes tested. The new transparency register is intended to create transparency regarding beneficial owners.
• 3. Recalibrate KYC and AML processes. Review whether new or expanded obligations are relevant for financial intermediaries, trustees, legal, tax, or business advisors. Clear risk categories, documented client files, update cycles, and escalation procedures for ambiguities are essential.
• 4. Test the Cyber ​​Incident Playbook. Operators of critical infrastructure must report cyberattacks to the BACS within 24 hours of discovery ; this is regulated in the ISG and the Cyber ​​Security Ordinance . CEOs should therefore have a tested reporting process: Who detects, who decides, who reports, and who informs the board, legal, IT, communications, and insurance departments?
• 5. Conduct product and supply chain screening. Companies involved in production, import, trade, or brand responsibility should conduct material testing for PFAS, microplastics, and other substances relevant to the German Chemicals Risk Reduction Ordinance (ChemRRV ) by 2026. The ChemRRV amendments address, among other things, PFAS and microplastics. In practical terms, this means updating supplier declarations, reviewing product data sheets, defining alternatives, and preparing recall/supply stoppage scenarios.
• 6. Automate sanctions screening: Business partners, beneficial owners, payments, goods flows, and country connections should be continuously checked against applicable Swiss sanctions regulations. It is particularly important to check not only direct contractual partners but also ownership and control structures.
• 7. Prepare ESG due diligence, but classify it correctly. The NUFG ( New Public Management Act) is still a legislative project in 2026; the Federal Council opened the consultation process on April 1, 2026. Nevertheless, large and internationally active companies should already be mapping human rights and environmental risks along their value chain, defining responsibilities, and preparing complaint and redress processes.
• 8. Check EUDR readiness for EU business. Anyone placing affected products such as wood, coffee, cocoa, soy, palm oil, beef, rubber or derivative products in the EU or exporting them should set up traceability, supplier data and due diligence documentation early on.
• 9. Review D&O insurance and liability gaps. CEOs and board members should clarify whether new risks arising from transparency registers, anti-money laundering regulations, cyber risks, sanctions, ESG, and product compliance are covered. It is also important to understand which exclusions apply in cases of intentional breaches of duty, sanctions, or cyber incidents.
• 10. Create evidence files for each risk area. For each top risk, there should be a digital "evidence file": policy, risk analysis, responsible parties, controls, training records, audit reports, escalations, and board meeting minutes. This is because, in liability cases under Art. 754 of the Swiss Code of Obligations , it is not only what was done that counts, but also whether it can be proven later.

In short: CEOs in 2026 should not accumulate even more individual measures, but rather create a system that demonstrates: risks have been identified, responsibilities clarified, controls implemented, and the board of directors informed. This is the most effective defense against personal liability.

VI. Conclusion

For Swiss CEOs, compliance will become a personal leadership responsibility by 2026. Transparency registers, the Anti-Money Laundering Act (AML), cyber reporting obligations, the Chemicals Risk Reduction Ordinance (ChemRRV), sanctions, and ESG risks demand clear responsibilities, robust controls, and auditable documentation. The crucial factor is not whether compliance has been delegated, but whether the board of directors and management have effectively monitored compliance in accordance with Articles 716a, 717, and 754 of the Swiss Code of Obligations (OR).

I. Warum Du den Text lesen solltest

Für Vorstände und Compliance-Verantwortliche markiert der am 12. Juni 2026 veröffentlichte ESMA-Jahresbericht eine Zäsur. Er verdeutlicht, dass die europäischen DORA-Vorgaben (Digital Operational Resilience Act) nicht mehr nur ein abstraktes regulatorisches Projekt sind, sondern unmittelbare Auswirkungen auf die persönliche Haftung haben. Dieser Text zeigt auf, warum IT-Ausfälle bei externen Dienstleistern – die im Fokus der Aufsicht stehen – nun zur direkten persönlichen Organhaftung nach § 93 AktG oder § 43 GmbHG führen können und warum eine sofortige Anpassung der internen Meldeprozesse für IKT-Vorfälle zwingend erforderlich ist.

II. Zeitliche Vorgaben und wiederkehrende Zeitfenster

Aufsichtspflichten: Gemäß Artikel 22 Absatz 2 DORA sind die Europäischen Aufsichtsbehörden (ESAs) verpflichtet, jährlich einen konsolidierten Bericht über schwerwiegende IKT-bezogene Vorfälle zu veröffentlichen.

Operative Meldefristen für Unternehmen: Während die PR-Texte zur DORA-Umsetzung oft keine spezifischen Stundenzahlen nennen, definieren die technischen Regulierungsstandards (RTS) ein extrem enges Zeitfenster:

Erstmeldung: Spätestens 24 Stunden nach Entdeckung bzw. in der Regel innerhalb von 4 Stunden nach der internen Klassifizierung als „schwerwiegend“.

Zwischenbericht: Bei signifikanten Statusänderungen oder spätestens 72 Stunden nach Beginn.

Abschlussbericht: Spätestens einen Monat nach vollständiger Behebung des Vorfalls.

Aufsichtserwartung: Die Aufsicht prüft heute nicht mehr nur die Existenz von Richtlinien, sondern fordert den Nachweis, dass Ihre internen Meldeketten in der Lage sind, diese strikten Fristen in der Krisenpraxis einzuhalten.

III. Pflichten für C-Level und Compliance

1. Pflichten für das C-Level (Vorstand / Geschäftsführung)

Die IT-Sicherheit wandelt sich von einer operativen IT-Aufgabe zur strategischen Kernpflicht:

Unübertragbare Gesamtverantwortung (Art. 5 DORA): Die finale Verantwortung für das Management von IKT-Risiken ist nicht delegierbar. Der Vorstand muss die digitale Resilienz aktiv steuern, statt sie an den CIO oder externe IT-Dienstleister auszulagern.

Schutz vor persönlicher Haftung: Eine „sound corporate governance“ im Bereich der digitalen Resilienz ist Voraussetzung, um sich gegen Haftungsklagen nach § 93 AktG oder § 43 GmbHG abzusichern.

Investitionspflicht: Angesichts von KI-gestützten Bedrohungsszenarien ist das Management verpflichtet, ausreichende Budgets und Ressourcen bereitzustellen, um einen Status quo zu halten, der den aktuellen Cybersecurity-Standards entspricht.

2. Pflichten für die Compliance-Organisation

Die Compliance-Abteilung fungiert als „Haftungsschild“ durch:

Striktes Drittparteien-Risikomanagement (Art. 28 DORA): Da Systemausfälle bei Dienstleistern primäre Risikotreiber sind, muss Compliance die Überwachung von IT-Auslagerungen („third-party dependencies“) lückenlos absichern.

Implementierung der Meldekette (Art. 17–19 DORA): Compliance muss Prozesse etablieren, die sicherstellen, dass IKT-Vorfälle („Major Incidents“) sofort erkannt, klassifiziert und fristgerecht an die Aufsicht gemeldet werden.

Regulatorische Übersetzung: Compliance ist dafür verantwortlich, die abstrakten Aufsichtserwartungen (wie sie der ESMA-Bericht 2025/2026 definiert) in konkrete, prüfbare interne Richtlinien zu überführen.

IV. Problemfelder (Pain Points)

Die Umsetzung der DORA-Vorgaben stellt eine tiefgreifende organisatorische Transformation dar, die häufig an vier zentralen Punkten scheitert:

Kommunikations-Silo (Art. 5 DORA): Vorständen fehlt oft das technische Vokabular, um Cyberrisiken als betriebswirtschaftliche Gefahr zu verstehen. Wenn Risiken ohne tiefes Verständnis abgenickt werden, entsteht eine Haftungsfalle.

Ohnmacht gegenüber Tech-Giganten (Art. 28 DORA): Die Verhandlungsmacht ist oft asymmetrisch. Verträge mit großen Cloud-Anbietern lassen sich schwer individuell anpassen, und die Transparenz über „Sub-Outsourcing“-Ketten der Dienstleister ist oft unzureichend.

Zeitdruck im Meldewesen (Art. 17–19 DORA): Die Klassifizierung eines Vorfalls als „Major Incident“ ist oft ein langwieriger Prozess. Die Kette von der IT über den Krisenstab bis zur Compliance ist in den meisten Häusern zu silohaft organisiert, um in Echtzeit zu agieren.

Ressourcenmangel vs. KI-Gefahr: Hochleistungsfähige, KI-gesteuerte Angriffe erfordern massive Investitionen. Der Fachkräftemangel im Bereich Cybersicherheit macht es schwierig, das notwendige Expertenwissen intern aufzubauen.

V. Umsetzungsfahrplan und Lösungsempfehlungen

Um die Haftungsrisiken zu minimieren, müssen die Barrieren zwischen IT, Rechtsabteilung und Vorstand aufgebrochen werden:

C-Level-Governance: Implementieren Sie ein Management-Dashboard, das technische Bedrohungen in finanzielle und operative Impact-Szenarien übersetzt. Richten Sie ein „ICT Risk Committee“ ein, in dem Budgetentscheidungen und die Akzeptanz von Restrisiken revisionsfest protokolliert werden.

Dienstleister-Steuerung: Führen Sie ein rigides „Vendor-Tiering“ ein. Konzentrieren Sie Audit-Ressourcen nur auf Dienstleister, die kritische Funktionen stützen. Nutzen Sie Branchen-Audit-Pools, um gegenüber großen Anbietern Stärke zu zeigen, und entwickeln Sie praxiserprobte „Exit-Pläne“.

Krisen-Melde-Management: Etablieren Sie klare Entscheidungsbäume, um zeitraubende Diskussionen über die Klassifizierung zu vermeiden. Führen Sie regelmäßig „Tabletop Exercises“ (Krisensimulationen) durch und nutzen Sie vorab juristisch geprüfte Templates für die Aufsichtsmeldungen.

Ressourcen & KI: Setzen Sie auf automatisierte SOAR-Systeme (Security Orchestration, Automation and Response), um das IT-Team von Standardaufgaben zu entlasten. Beim Einsatz externer Security-Dienstleister gilt: Die Ausführung kann „co-sourced“ werden, die finale Kontrollverantwortung verbleibt immer bei Ihnen.

VI. Fazit

Der jüngste ESA-Bericht zeigt unmissverständlich: IT-Risiken sind grenzüberschreitend, systemrelevant und der Haupttreiber für operative Störungen im Finanzsektor. Mit über 3.300 Vorfällen ist das Drittparteien-Management zum Aufsichtsfokus geworden. Für das C-Level und die Compliance bedeutet dies: Digitale Resilienz ist keine IT-Aufgabe mehr, sondern eine geschäftskritische Verpflichtung, um die Zukunftsfähigkeit des Unternehmens zu sichern und persönliche Haftungsrisiken abzuwenden.

VII. Quellenverzeichnis

European Securities and Markets Authority (ESMA), Annual Report 2025 (Dokumentennummer: ESMA22-50751485-1657) vom 12.06.2026:

https://www.esma.europa.eu, und

www.esma.europa.eu/… abgerufen am 24.06.2026

I. Warum dieser Text für Sie essenziell ist

Die Einführung der Corporate Sustainability Reporting Directive (CSRD) markiert einen historischen Wendepunkt: Nachhaltigkeitsberichterstattung wird der klassischen Finanzberichterstattung rechtlich gleichgestellt. Die durch die EFRAG entwickelten European Sustainability Reporting Standards (ESRS) sind dabei weit mehr als eine reine Compliance-Aufgabe – sie sind eine strategische Notwendigkeit:

Haftungsrisiken minimieren: Die Verantwortung für die Richtigkeit und Offenlegung der Berichte liegt kollektiv beim C-Level (Verwaltungs-, Leitungs- und Aufsichtsorgane).

Finanzierung sichern: Da Investoren und Banken zur Erfüllung eigener regulatorischer Pflichten auf valide ESG-Daten angewiesen sind, bestimmt die Qualität Ihres Berichts direkt Ihren Kapitalzugang.

Greenwashing vermeiden: Die obligatorische externe Prüfung durch Wirtschaftsprüfer deckt fehlerhafte Angaben unweigerlich auf und erzwingt ein Höchstmaß an Transparenz.

II. Aktueller Zeitplan (Stand: Juni 2026)

Die CSRD befindet sich in einer rollierenden Umsetzungsphase:

Seit 2024: Große, kapitalmarktorientierte Unternehmen (> 500 Mitarbeiter) berichten bereits gemäß den neuen Standards.

Seit 2025: Für alle anderen großen Unternehmen läuft die Pflicht, Daten für den Bericht des Geschäftsjahres 2025 zu erfassen (Veröffentlichung 2026).

Seit 2026: Börsennotierte KMU (ohne Kleinstunternehmen) sowie Kreditinstitute und Versicherungen sind nun berichtspflichtig. Eine Opt-out-Option erlaubt hier unter Auflagen ein Aufschieben bis 2028.

Ab 2028: Drittstaatsunternehmen mit signifikanten Umsätzen in der EU werden einbezogen. Die sektorspezifischen Standards der EFRAG befinden sich in der finalen Phase der Verabschiedung.

III. Das rechtliche Fundament

Die Pflichten basieren auf einem eng verzahnten Regelwerk:

CSRD (Richtlinie 2022/2464): Die gesetzliche Rahmenrichtlinie, die die bestehende Bilanzrichtlinie (2013/34/EU) maßgeblich erweitert.

ESRS (Verordnung 2023/2772): Die direkt anwendbaren, verbindlichen Berichtsstandards.

Doppelte Wesentlichkeit: Das zentrale Konzept. Unternehmen müssen sowohl ihre Auswirkungen auf Mensch und Umwelt (Inside-Out) als auch die finanziellen Auswirkungen von Nachhaltigkeitsaspekten auf den Unternehmenserfolg (Outside-In) offenlegen.

Organverantwortung: Die Geschäftsführung und der Aufsichtsrat sind kollektiv verpflichtet, die Einhaltung dieser Standards sicherzustellen.

IV. Risiken bei Nichtbeachtung

Das Ignorieren dieser Vorgaben führt zu direkten unternehmerischen und persönlichen Konsequenzen:

Rechtliche Sanktionen: Die Mitgliedstaaten sind zur Einführung wirksamer und abschreckender Strafen verpflichtet; für das C-Level kann dies eine persönliche Haftung bedeuten.

Kapitalmarkt-Ausschluss: Fehlende ESG-Daten führen zu schlechteren Finanzierungskonditionen oder zum Ausschluss von Kreditvergaben.

Reputationsverlust: NGO-Analysen und die öffentliche Prüfung durch Dritte machen intransparentes Verhalten (Greenwashing) schnell sichtbar.

V. Pflichten für Führung und Compliance

Die Verantwortlichkeiten sind klar definiert:

C-Level: Sie tragen die kollektive Gesamtverantwortung. Erforderlich sind zudem Angaben zur ESG-Kompetenz der Gremien, zur Kopplung von Vergütungssystemen an Nachhaltigkeitsziele sowie ein strukturierter Dialog mit Arbeitnehmervertretern.

Compliance: Erforderlich ist der Aufbau robuster Kontroll- und Risikomanagementsysteme, die Durchführung von Due-Diligence-Prozessen entlang der Lieferkette sowie die explizite Berichterstattung zu Unternehmensethik und Korruptionsprävention. Zudem ist der Bericht digital in einem einheitlichen Format zu taggen.

VI. Herausforderungen in der Praxis

Auf C-Level-Ebene: Der Fokus liegt auf der strategischen Widerstandsfähigkeit (z. B. Nachweis der 1,5-°C-Kompatibilität) und der enormen Ressourcenbindung für die externe Prüfung.

Auf Compliance-Ebene: Die Komplexität liegt in der "Doppelten Wesentlichkeit", der lückenlosen Audit-Readiness sowie der technischen Herausforderung, ESG-Daten aus dem gesamten Unternehmen (und der Lieferkette) in die IT-Systeme zu integrieren.

VII. Strategischer Fahrplan

Governance anpassen: Etablieren Sie ein ESG-Steering-Committee unter direkter Anbindung an den Vorstand.

Lieferkette managen: Nutzen Sie die Übergangsregelungen für die Datenerhebung bei Zulieferern strategisch und transparent.

Audit Readiness: Binden Sie Prüfer frühzeitig („Dry Runs“) in den Aufbau der Berichtsprozesse ein, um negative Prüfungsvermerke zu vermeiden.

Digitale Transformation: Investieren Sie in automatisierte, integrierte IT-Systeme (ERP-Anbindung), statt auf manuelle Datenaufbereitung zu setzen.

VIII. Fazit

Die CSRD macht Nachhaltigkeit zu einer prüfungspflichtigen Kernaufgabe. Für das C-Level bedeutet dies, das Thema aus der „grünen Nische“ in den strategischen Kern zu heben. Wer jetzt in Governance, saubere Datenprozesse und Digitalisierung investiert, sichert sich langfristig den Zugang zu Kapital und die rechtliche Stabilität des Unternehmens.