treasury:symposium der Commerzbank AG am in München Dr. Markus Escher, Rechtsanwalt, GSK STOCKMANN+KOLLEGEN

Transkript

1 treasury:symposium der Commerzbank AG am in München Dr. Markus Escher, Rechtsanwalt, GSK STOCKMANN+KOLLEGEN

2 Neue EU-Regulierung der Zahlungssicherheit im Internet und Treasury als Schattenbank? Dr. Markus Escher, Rechtsanwalt, GSK STOCKMANN+KOLLEGEN

3 Bedeutung der Finanzregulierung für Treasurer Der Treasurer 15/2015 Regulierung: Treasury-Lobbyisten unter Druck Regulierungswelle fordert VDT und EACT / Künftig mehr Hauptamt in den Verbänden? GSK

4 Gliederung / Die Themen I. Die neue Regulierung der Zahlungssicherheit im Internet 1. Bedeutung der Regulierung der Zahlungssicherheit für nicht regulierte Unternehmen 2. Wie spielen MaSI und PSD 2 zusammen? 3. Praktische Auswirkungen der MaSI auf den Zahlungsverkehr gewerblicher Unternehmen II. Inhouse-Bank, Treasury und Schattenbankregulierung 1. Funktionale Regulierung im Schattenbankwesen Stand EBA-Guidelines 2015 Großkredite an Schattenbanken 3. Aktuelle Entwicklungen GSK

5 Die neue Regulierung der Zahlungssicherheit im Internet 1. Bedeutung der Regulierung der Zahlungssicherheit für nicht regulierte Unternehmen

6 Bedeutung der Regulierung der Zahlungssicherheit für nicht regulierte Unternehmen (1) Bisherige Organisationsfreiheit für IT-Sicherheit bei nichtregulierten Unternehmen als Zahlungsempfänger Kreditkartenacquirer bietet KK-Akzeptanz und Sicherheit an Zahlungsempfänger / Händler entscheidet heute selbst über Zahlungsakzeptanz und Sicherheitsprodukte. Zahler / Kunde entscheidet heute selbst über Zahlungsprodukte und Sicherheit GSK

7 Bedeutung der Regulierung für nicht regulierte Unternehmen (2) Künftige Erstreckung der Regulierung der IT-Sicherheit auch auf nichtregulierte Unternehmen als Zahlungsempfänger nach PSD-2 / MaSI Gesetzgeber verpflichtet Banken und KK-Acquirer Banken / Zahlungsdienstleister / Kreditkartenacquirer werden zu bestimmten Sicherheitsprodukten verpflichtet ( strong customer authentication ) Zahlungsempfänger / Händler verlieren Entscheidungsfreiheit und werden von Banken/KK-Acqu zu bestimmten Sicherheitsprodukten verpflichtet. Zahler / Kunde verliert Entscheidungsfreiheit und wird von Bank / KK-Issuer zu bestimmten Sicherheitsprodukten verpflichtet GSK

8 Die neue Regulierung der Zahlungssicherheit im Internet 2. Wie spielen MaSI und PSD 2 zusammen? PSD 2 (Revision der ersten EU- Zahlungsdiensterichtlinie 2007/64 PSD 1 ) Frühestens in Kraft Ende 2017

9 Die drei Muske(l)tiere der EU-Zahlungsregulierung PSD 2 Richtlinie / Entwurf EZB/EBA/BaFin /MaSI security requirements for Internet Payments EU Interchange Verordnung GSK

10 Zahlungsregulierung und EU-Initiativen: Überblick Bedeutung für nicht-regulierte Unternehmen Initiative Regelung Status PSD Richtlinie 2 -ersetzt PSD 1 -zusätzliche Regelungen EZB/EBA/BaFin security recommendations IF Verordnung (Interchange) -allg. IT-Sicherheit -Authentifizierung Internet payments -Interchange- Deckelung - co-badging - Verabschiedung nach Trilog-Verfahren - Durch EU-Parlaments- und Ratsbeschluss 8./ (PE-Cons 35/15) (Verkündung Abl. steht aus) -Final, BaFin Rdschr 4/2015 v ( MaSI ), prüfungsrelevant in D ab Final, EU VO 751/2015 in Kraft seit Interchange-Regulierung ab GSK

11 PSD 2 neu Strong customer authentication (1) Art. 97 Abs. 2, 98 Kommentar Pflicht für Banken / Kreditkartenunternehmen Strong Customer Authentication bei electronic remote payment transaction anzuwenden neu /finale Version ( ): verpflichtend für Jede aktion im Fernabsatz, die Risiko des Zahlungsbetrugs mit sich bringt auch mit Unternehmen nicht abdingbar! erheblicher Einfluss auf alle Zahlungen im E-Commerce mit Folge unzulässiger Transaktion oder erheblichen Kostenbelastung für Issuer, Acquirer, Zahler/Unternehmen und Zahlungsempfänger (!) electronic payment transaction kann auch online-elv umfassen Deutsche Gesetzeskraft ca. 2017/2018 GSK

12 PSD 2 neu Strong customer authentication (2) Was ist das? Art. 4 Nr. 30 Kommentar zwei voneinander unabhängige Authentifizierungsmethoden Besitz / Karte, smartphone Wissen / PIN oder Biometrie / Fingerabdruck, Iris-scan, Stimme zahlreiche heutige Methoden werden unzulässig: z.b. nur Kreditkartendaten z.b. statischer SecureCode (Kreditkartennummer und PIN, da kein Besitz) GSK

13 PSD 2 neu Strong customer authentication (3) Was ist zulässig? Art. 4 Nr. 30 Kommentar zulässig ist z.b. mobile TAN auf smartphone (Besitz) + PIN (Wissen ) TAN-generator (Besitz) + PIN (Wissen) smartphone (Besitz) + fingerprint (Biometrie) Zwei Instrumente- Authentifizierung wird IT-set up der Unternehmen herausfordern Auswirkungen für Unternehmen als Zahler und Zahlungsempfänger GSK

14 PSD 2 neu Strong customer authentication (2) Art. 97 Abs. 2, 98 Kommentar EBA/EZB sind zum Erlass weiterer Regulatory Technical Standards (RTS) befugt zu strong customer authentication/techniken und Ausnahmen; von EU-KOM anzunehmen Heutige EBA/BaFin Guidelines/Rundschreiben ( MaSI ) werden zu RTS weiterentwickelt werden / 2. Definitionswelle GSK

15 PSD 2 neu Haftung des Zahlers im Internet Zwang zur strong customer authentication Art. 74 Abs. 2 Kommentar Reduzierung der Haftungsgrenze des ZD-Nutzers auf 50 bei unautorisierten Transaktionen Falls Issuer keine strong customer authentication verlangt, dann nur Haftung des Nutzers bei Betrug erhebliche Auswirkungen für den E-Commerce-Markt Händler/Acquirer ohne strong customer authentication mit Rückzahlungspflicht an Issuer bei Schäden GSK

16 Die neue Regulierung der Zahlungssicherheit im Internet 3. Praktische Auswirkungen der MaSI auf den Zahlungsverkehr gewerblicher Unternehmen EZB / EBA / BaFin Mindestanforderungen an die Sicherheit von Internetzahlungen ( MaSI ) / guidelines on security of internet payments

17 Zusammenspiel EZB/EBA/BaFin-MaSI/PSD 2 neu Kundenauthentifizierung EZB (2013)/EBA (2014) internet payments security requirements Art. 97 PSD 2 (EU: 2015; D: 2017) BaFin- Rundschreiben 4/2015 ( MaSI ) GSK

18 BaFin Rundschreiben Mindestanforderungen an die Sicherheit von Internetzahlungen ( MaSI ) Rundschreiben 4/2015 (1) veröffentlicht mit unmittelbarer aufsichtlicher Prüfungsrelevanz für Banken/Zahlungsdienstleister ab dient der Umsetzung der EZB /EBA guidelines on the security of internet payments vom nach Marktkonsultation sah die BaFin davon ab, einen eigenen BaFin-Text zu erlassen. Sie veröffentlichte als ihr Rundschreiben 4/2015 zu Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSI) schlicht die deutsche Textfassung der EBA-guidelines (vgl. auch BaFin FAQ MaSI ) GSK

19 BaFin MaSI Rundschreiben 4/2015 (2) Anwendungsbereich Künftige Aufsichtspraxis über ZDL, die der BaFin-Aufsicht unterliegen (Deutsche Banken und Zahlungsinstiute) analoge Regelungen für nahezu alle EU-Staaten UK, Estland und Slowakei setzen EBA-guidelines nicht um, also bis zur nationalen Implementierung der PSD-2 (2017) fragmentierte EU-Aufsichtspraxis zur Sicherheit von Internet-Zahlungen und zur Anwendung der strong customer authentication GSK

20 BaFin MaSI Rundschreiben 4/2015 (3) Anwendungsbereich Persönlich unmittelbar nur gegenüber beaufsichtigten ZDL anwendbar mittelbar betrifft Verbraucher und Unternehmen (BaFin-MaSI FAQ ) Sachlich Internet Zahlungen mittels Karte, Überweisung, Lastschrift (nur E-Mandate ) oder E-Geld GSK

21 BaFin MaSI Rundschreiben 4/2015 (4) Anwendungsbereich Ausnahmen: Zahlungen mit SMS-Technologie SWIFT-Zahlungen, DFÜ-Zahlungen, soweit nicht browserbasiert FinTS /EBICS, soweit nicht browserbasier Mobile Zahlungen, es sei denn browserbasiert anonyme pre-paid cards Zahlungen mit Zugriff Dritter auf Konten (PISP bis PSD-2 im Internet wirklich ausgenommen?) Lastschriften ohne E-Mandat Rechtliche Wirkungen in Deutschland wegen erheblicher verfassungsrechtlicher Bedenken zweifelhaft. Wie sollten originär neue Verhaltens- und Organisationspflichten ohne wirksames deutsches Gesetz in Kraft gesetzt werden? GSK

22 BaFin MaSI Rundschreiben 4/2015 (5) Vertragliche Erstreckungen auf Händler? Incident Monitoring & Reporting: ZDL und Zahlungssysteme sollten eine umfassende und integrierte Überwachung, Bearbeitung und Nachprüfung von Sicherheitsvorfällen (Security Incidents) sicherstellen, einschließlich sicherheitsbezogener Kundenbeschwerden. ZDL sollten Verfahren einrichten, um solche Vorfälle an die Geschäftsführung zu berichten und im Falle größerer Zahlungssicherheitsvorfälle an die zuständige Aufsichtsbehörde. Es wird erwartet, dass ZDL Händler, die sensible Zahlungsdaten verwalten, vertraglich zur Kooperation bei schwerwiegenden Sicherheitsvorfällen verpflichten und sich bei non-compliance von diesen vertraglich lösen (3.4) In gleicher Weise sollten ZDL diese Händler zur Umsetzung von IT-Sicherheitsanforderungen verpflichten und sich bei noncompliance von diesen vertraglich lösen (4.8) GSK

23 BaFin MaSI Rundschreiben 4/2015 (6) Strong Customer Authentication und erste Auswirkungen Strong Customer Authentication (SCA) (Ziff. 7 MaSI): Die Einleitung (Initiation) von Internet-Zahlungen sowie der Zugang zu sensiblen Zahlungsdaten sollten durch starke Kundenauthentifizierung geschützt werden. SCA sollte bei Überweisungen und Erteilung elektronischer Einzugsermächtigung angewandt werden (7.1) Regelungswirkung/Erwartungshaltung für Kreditkartentransaktionen (Ziff. 7.3, 7.4 MaSI) zweifelhaft, mind. Pflicht von Issuer und Aquirer SCA zu unterstützen und Karten auszustatten. BaFin erkennt Abhängigkeiten zwischen Issuer, Acquirer, Zahler und Händler an ( Der eine kann nicht ohne den anderen ) (vgl. BaFin MaSI FAQ, , Nr. 4h) GSK

24 BaFin MaSI Rundschreiben 4/2015 (7) Strong Customer Authentication und erste Auswirkungen Ausnahmen: vertrauenswürdige Begünstigte / white lists Kleinbetragszahlungen nach PSD (1)/(2) (<30 per Tx oder spending limit 150 oder höhere Freistellungen nach Mitgliedsstaat) es wird erwartet, dass ZDL von E-Händlern vertraglich Unterstützung von SCA-Technologien fordern GSK

25 BaFin MaSI Rundschreiben 4/2015 (8) Sonstige Sicherheitsanforderungen Kundenschnittstelle (Website des Zahlungsdienstleisters oder des E-Händlers) sollten angemessen gegen Diebstahl und unbefugten Zugriff oder Änderungen gesichert werden (Ziff MaSI) Falls E-Händler mit sensiblen Zahlungsdaten umgehen, d. h. diese speichern, verarbeiten oder übermitteln, sollten sie von den ZDL vertraglich zur Einrichtung der zum Schutz dieser Daten erforderlichen Maßnahmen verpflichtet werden (Ziff MaSI) und ZDL sollten sich bei non-compliance von diesen vertraglich lösen. ZDL sollten E-Händler verpflichten, dass sie Zahlungsprozesse klar vom Online-Shop trennen, um Kunden die Feststellung zu erleichtern, wann sie mit dem ZDL und nicht dem Händler kommunizieren (z. B. durch Weiterleitung des Kunden und Öffnen eines neuen Fensters, so dass der Zahlungsprozess nicht innerhalb eines Frames des Händlers angezeigt wird)(ziff MaSI) GSK

26 Fazit zur Regulierung der IT-Sicherheitsanforderungen von Zahlungen im Internet Die Regulierung kommt mit Gesetzeskraft auf jeden Fall, spätestens 2017mit PSD 2 (ggf. 2018, falls noch keine Verkündung 2015) MaSI der BaFin sind seit prüfungsrelevant für Banken und ZDL und werden bereits im Vorfeld von PSD 2 vertragliche und technologische Anpassungen bringen Browsergestützte Zahlungstechniken sind Schlüsselkriterien für Anwendbarkeit der MaSI Fragmentierte Umsetzung in Europa ohne UK ist zu beachten erhebliche technologische Auswirkungen auf E-commerce zu erwarten GSK

27 Inhouse-Bank, Treasury und Schattenbankregulierung 1. Funktionale Regulierung im Schattenbankwesen Stand 2014

28 Finanzaufsichtsrecht und In-house Bank Zusammenfassung / Vortrag treasury Symposium 2014: Die In-house-Bank erbringt eigentlich zahlreiche regulierte Geschäfte (Kredit, Einlagen, Garantie, Zahlungsdienste) Die In-house-Bank ist daher im wesentlichen nur auf Konzernunternehmen beschränkt ( Konzernprivileg / Ausnahme Finanzaufsicht) Auch sinnvolle Tätigkeiten im Einzelfall bringen kein Argument einer Branchen- oder Handelsüblichkeit gegen Finanzregulierung, so dass leicht bei externen Dritten Bankgeschäfte betrieben werden, insbesondere Kreditgeschäft GSK

29 Ausblick: In-house Bank und Schattenbankregulierung (2) Regulierungstypik in der Neuen Welt / Nach der Finanzkrise: Regulierung geht über die Frage einer Erlaubnispflicht hinaus und greift auf Finanzaktivitäten der Realwirtschaft über (1): Kern Erlaubnispflicht Organisations- /Melde- /Prüfpflichten Ziel Geschäft Regulierung Ziel: Vollregulierung Bank- /FDI-/ZI- /Fondstätigkeit Allg. Bankenaufsicht Ziel: Transparenz OTC-Derivate EMIR Betroffene Banken, ZI u.a. Banken + Realwirtschaft ( nicht-finanzielle Gegenpartei ) GSK

30 Ausblick: In-house Bank und Schattenbankregulierung (3) EU-Kommission / EBA: Schattenbankwesen ist ein System der Kreditvermittlung unter Beteiligung von Unternehmen und Tätigkeiten außerhalb des regulären Bankensystems Mit anderen Worten: Finanzintermediäre, die bankähnlich, auch nur wirtschaftlich Kredit gewähren / vermitteln, Kredit-, Fristen- oder Liquiditätstransformation betreiben, ohne Zugang zu Zentralbankrefinanzierung und ohne Bankerlaubnis. Funktionaler Ansatz entscheidet, also Anknüpfung der Finanzregulierung nur an aufsichtskritische Tätigkeit und NICHT an Unternehmensform oder Branche GSK

31 Ausblick: In-house Bank und Schattenbankregulierung (4) Regulierungsbedarf im Schattenbankwesen nach dem Financial Stability Board, 2012: Regulierungs -bedarf Infektionseffekte allg. + Schattenbanken Geldmarktfonds Andere Schattenbanken Verbriefungen Wertpapierleihe, Repogeschäfte - Kredit ohne Einlagen - Kreditkauf - Schuldscheingeschäft - Kreditvermittlung - Leasing, Factoring GSK

32 Ausblick: In-house Bank und Schattenbankregulierung (5) Maßnahmen der EU-Kommission 09/2013: - (1) ( ) Indirekte Regulierung über Banken: Aufsichtsverschärfung bei Geschäften mit (bestimmten) Schattenbanken / Hedgefonds - (= Regulierung, die über die Frage einer Erlaubnispflicht hinausgeht und auf Finanzaktivitäten der Realwirtschaft übergreifen kann (2)) - (2) ( ) Markttransparenz: Weitere Analysearbeiten - (3) ( ) Geldmarktfonds: Vorschlag EU-Verordnung 09/ (4) EU-Verordnung: Wertpapierfinanzierungsgeschäfte (EU-KOM 1/2014, EU-Parlament (Wertpapierleihe, Repo- Geschäfte), Ziel: Transparenz, Meldepflichten an zentrale Transaktionsregister, Transparenz zu Verwendung und Rechten an Sicherheiten - (= Regulierung, die über die Frage einer Erlaubnispflicht hinausgeht und auf Finanzaktivitäten der Realwirtschaft übergreift (3)) - anwendbar auch auf nicht-finanzielle Gegenpartei / Realwirtschaft entsprechend Art. 2 Nr. 9 EMIR GSK

33 Ausblick: In-house bank und Schattenbankregulierung (6) Maßnahmen der EU-Kommission 09/2013 (2): - (5) Welches Kreditgeschäft soll eigentlich reguliert werden? Bewertungsauftrag an EBA, unterschiedliche Kredittypen und Kreditaufsicht in der EU zu ermitteln Hieraus: Entscheidung über künftige Regulierung rechtliche Kreditierung ohne Einlagen (= Deutsches KWG- Kreditgeschäft ) und wirtschaftliche Kreditierung ohne Darlehen (Kreditkauf, Verbriefungen, Zweckgesellschaften, Leasing, Factoring etc.) kann ggf. künftig auch für treasury Abteilungen zu einer Regulierungsverschärfung führen, mit Erlaubnispflichten und / oder Organisations-, Melde- und Prüfpflichten (analog EMIR) GSK

34 Inhouse-Bank, Treasury und Schattenbankregulierung 2. EBA-Guidelines 2015 Großkredite an Schattenbanken

35 EBA-Konsultation Großkredite an Schattenbanken 03/2015 (1): Der Treasurer titelte am 2. Juli 2015: Das Treasury als Schattenbank? EBA-Definition von Schattenbanken sorgt für Verunsicherung im Corporate Treasury. GSK

36 EBA-Konsultation Großkredite an Schattenbanken 03/2015 (2) - Um was geht es? Neue Großkreditregeln für Banken, Art. 395 Abs. 2 CRR (EU Verordnung 575/2013) Kredite an Schattenbanken sollen besondere Behandlung bei der Großkreditüberwachung erhalten. EBA (European Banking Authority) hat Auftrag aus der CRR Regulierungsvorschläge / Guidelines hierzu zu machen a) Principal approach: Individuelle Bankenlimits für Schattenbanksektor bzw. einzelne Schattenbanken b) Fallback approach: Alle Kredite zusammen an Schattenbanksektor wie an einen Kreditnehmer, also maximal bis zu 25% des haftenden Eigenkapitals m.a.w. Bankkredite an Schattenbanken werden aufwändiger und teuer GSK

37 EBA-Konsultation Großkredite an Schattenbanken (3) EBA : Schattenbank gegeben bei wirtschaftlicher Kredittätigkeit / credit intermediation, leverage immer bei Kredittätigkeit wie in CRD-IV definiert EBA kennt (bisher) kein Konzernprivileg! Aufgrund umfangreicher Kreditttätigkeit einer in-house Bank würden sich daher nach Konsultationsstand 3/2015 corporate treasuries als Schattenbanken qualifizieren GSK

38 EBA-Konsultation Großkredite an Schattenbanken (4) Aktuelle Entwicklungen Verteidigungs-/Lobbyingversuche des BDI und DAI, Ziel: Herausnahme von Realunternehmen / in-house Banks Herausnahme von Kreditgeschäft auf der Grundlage Konzernprivileg BMF / BaFin unterstützen Vorstoß BaFin (1): Leasingunternehmen sollen keine Schattenbanken sein BaFin (2): Vorschlag einer zusätzlichen Ausnahme Ziff. 3 (o) an EBA: Grundlage Konzernprivileg Begründeter Anlass zur Hoffnung auf ein happy end. GSK

39 Vielen Dank für Ihre Aufmerksamkeit! GSK. Der Unterschied.

40 Ansprechpartner Dr. Markus Escher Karl-Scharnagl-Ring München MÜNCHEN Tel Fax Mail escher@gsk.de GSK

41 GSK. Der Unterschied.

42 2014. Alle Rechte vorbehalten Disclaimer Diese Präsentation dient ausschließlich zu Informationszwecken. Sie gibt ausschließlich einen allgemeinen Überblick zu den ausgewählten Themen, ersetzt jedoch keinesfalls eine rechtliche und steuerrechtliche Würdigung. Die zum Ausdruck gebrachten Meinungen können sich ohne vorherige Ankündigung ändern. Der Verfasser übernimmt keinerlei Haftung für die Verwendung dieser Präsentation und garantiert auch nicht die inhaltliche Richtigkeit. GSK