ZAG-MaRisk: Risikomanagement für Zahlungs- und E-Geld-Institute

Mit dem Rundschreiben 07/2024 (BA) hat die BaFin erstmals eigene Mindestanforderungen an das Risikomanagement von Zahlungs- und E-Geld-Instituten aufgestellt. Sie folgen dem Aufbau der Banken-MaRisk mit einem Allgemeinen Teil (Organisation, Risikosteuerung, Auslagerung, IT) und Besonderen Teilen, sind aber auf die Geschäftsmodelle von ZAG-Instituten zugeschnitten: Sicherung von Kundengeldern, Betrugsprävention, Sicherheitsvorfälle, Haftungsrisiken, Kundenbeschwerden und Agentensteuerung.

Rechtsgrundlage ist § 27 Abs. 1 ZAG; daneben konkretisiert das Rundschreiben die Sicherungsanforderungen der §§ 17, 18 ZAG und die Auslagerungsregeln des § 26 ZAG. Die früheren IT-Anforderungen (ZAIT) wurden mit dem Geltungsbeginn von DORA am 17.01.2025 aufgehoben, sodass ZAG-MaRisk und DORA gemeinsam den Rahmen für Governance und operationelle Resilienz bilden.