Systemrisiko

Begriff und Bedeutung des Systemrisikos

Das Systemrisiko ist ein zentraler Begriff im Wirtschafts- und Finanzrecht und beschreibt die Gefahr, dass die Störung oder der Ausfall einzelner Akteure innerhalb eines vernetzten Systems zu weitreichenden, destabilisierten Folgen für das Gesamtsystem führt. Im rechtlichen Kontext bezieht sich das Systemrisiko in erster Linie auf den Finanzmarkt, kann jedoch auch auf andere Bereiche wie Energierecht, Telekommunikationsrecht oder das Recht kritischer Infrastrukturen übertragen werden.

Systemrisiken stehen im Gegensatz zu Einzelrisiken, die lediglich den unmittelbar betroffenen Akteur treffen, während Systemrisiken auf das gesamte Netzwerk abstrahlen können.

Rechtliche Einordnung des Systemrisikos

Finanzmarktregulierung

Im Bereich des Finanzmarktrechts kommt der Erfassung, Begrenzung und Kontrolle von Systemrisiken eine zentrale Bedeutung zu. International geregelt sind Systemrisiken im Finanzsektor insbesondere durch die Vorschriften des Basel III-Regimes sowie durch die europäische Gesetzgebung, wie die Verordnung (EU) Nr. 575/2013 (CRR) und die Richtlinie 2013/36/EU (CRD IV). Diese Regularien legen spezielle Anforderungen an Eigenkapital, Liquidität und Risikoüberwachung bei Banken und systemrelevanten Finanzinstituten fest.

Die Europäische Zentralbank (EZB) und die Europäische Bankenaufsichtsbehörde (EBA) überwachen die Einhaltung dieser Pflichten und können Maßnahmen anordnen, um Systemrisiken vorzubeugen oder zu begrenzen. Auf nationaler Ebene wird das Thema im Kreditwesengesetz (KWG) aufgegriffen, insbesondere in Hinblick auf die Pflichten systemrelevanter Institute.

Systemrelevante Institute

Einzelne Akteure, deren Ausfall erhebliche Auswirkungen auf das Finanzsystem haben könnte, werden als systemrelevant klassifiziert. Auf diese Institute finden verschärfte regulatorische Anforderungen Anwendung. Das KWG unterscheidet beispielsweise zwischen Global Systemically Important Institutions (G-SIIs) sowie national systemrelevanten Instituten (national SIFIs).

Sanktionsmechanismen und Eingriffsbefugnisse

Zur Minimierung von Systemrisiken stehen den Aufsichtsbehörden umfangreiche Befugnisse zu. Diese reichen von der Anordnung zusätzlicher Kapitalpuffer über Limitierungen von Geschäftsaktivitäten bis zur Möglichkeit des geordneten Abwicklungsverfahrens (siehe EU-Richtlinie über die Sanierung und Abwicklung von Kreditinstituten – BRRD).

Systemrisiko im Zivilrecht und Haftungsfragen

Im Zivilrecht gewinnt das Systemrisiko insbesondere im gesellschaftsrechtlichen Haftungskontext an Bedeutung. Hierzu zählt die Haftung von Leitungsorganen (Vorstand, Geschäftsführung) für unterlassene Risikovorsorge bei systemischer Gefährdung. Diese Pflicht ergibt sich insbesondere aus dem Grundsatz der ordnungsgemäßen Unternehmensführung (§ 93 AktG, § 43 GmbHG), der die Einrichtung eines angemessenen Risikomanagementsystems beinhaltet.

Energierecht und Kritische Infrastrukturen

Systemrisiken sind ebenfalls im Energierecht und im Bereich kritischer Infrastrukturen von großer Bedeutung. Die Strom- und Gasnetze werden als systemkritisch eingestuft. § 11 Energiewirtschaftsgesetz (EnWG) verpflichtet Netzbetreiber zur Gewährleistung der Systemsicherheit. Dies schließt die Prävention und das Management von Risiken ein, die das Gesamtsystem gefährden könnten.

Die Betreiber solcher kritischen Infrastrukturen unterliegen besonderen Pflichten nach dem IT-Sicherheitsgesetz (IT-SiG) und dem BSI-Gesetz, um neue und bestehende Systemrisiken, insbesondere im IT-Bereich, aktiv zu managen und meldepflichtige Vorfälle den Behörden anzuzeigen.

Europarechtliche Einbindung

Systemrisiken unterliegen nicht nur nationalen, sondern zunehmend auch supranationalen Regulierungen. Die EU hat mit der Verordnung (EU) 2019/876 systemische Risiken in den Finanzsektorregulierungen weiter adressiert. Die Europäische Union verfügt zudem mit dem Europäischen Ausschuss für Systemrisiken (ESRB) über ein spezialisiertes Gremium, das Risiken für die Finanzstabilität auf europäischer Ebene identifiziert und Empfehlungen für legislative oder administrative Maßnahmen erarbeitet.

Typische Erscheinungsformen des Systemrisikos

Dominoeffekt und Kettenreaktionen

Das zentrale Merkmal des Systemrisikos ist der Dominoeffekt, bei dem der Ausfall eines Akteurs zu Folgeausfällen weiterer Marktteilnehmer führen kann. Diese Kettenreaktionen können zu massiven Störungen in gesamten Wirtschaftszweigen führen, wie beispielsweise während der globalen Finanzkrise 2007/2008 beobachtet.

Interdependenz von Akteuren

Die rechtliche Bewertung von Systemrisiken berücksichtigt zudem die wachsende Vernetzung und Interdependenz zwischen den Akteuren. Dies erhöht die Anforderungen an Transparenz, Meldepflichten sowie an die Einführung und regelmäßige Überprüfung von Notfall- und Abwicklungsplänen (Living Wills).

Maßnahmen zur Begrenzung und Kontrolle von Systemrisiken

Regulatorische Vorschriften

Die primären Strategien zur Beschränkung von Systemrisiken bestehen aus regulatorischen Vorgaben, laufender Beaufsichtigung, verpflichtender Meldung von Risiken und Störungen sowie der Einführung von Eigenkapitalpuffern.

Melde- und Veröffentlichungspflichten

Im Finanzmarkt bestehen umfangreiche Melde- und Veröffentlichungspflichten, die der Überwachung und frühzeitigen Erkennung von Systemrisiken dienen (§ 25a, 25n KWG; Art. 99 CRR). Ähnliche Pflichten bestehen im Energierecht und bei Betreibern kritischer Infrastrukturen gemäß § 8a BSIG.

Zusammenfassung und Ausblick

Das Systemrisiko stellt eine der zentralen Herausforderungen innerhalb stark vernetzter und komplexer Systeme dar, insbesondere im Finanzwesen und in Bereichen kritischer Infrastrukturen. Die umfassende rechtliche Regulierung auf nationaler, europäischer und internationaler Ebene zielt darauf ab, die Entstehung, Verstärkung und Realisierung von Systemrisiken zu verhindern und die Stabilität des Gesamtsystems zu gewährleisten. Zukünftige Entwicklungen konzentrieren sich zunehmend auf präventive Maßnahmen durch Digitalisierung, Automatisierung und den kontinuierlichen Ausbau von Überwachungs- und Meldesystemen.

Literatur und weiterführende Hinweise

• Verordnung (EU) Nr. 575/2013 (CRR)
• Richtlinie 2013/36/EU (CRD IV)
• EU-Richtlinie über die Sanierung und Abwicklung von Kreditinstituten (BRRD)
• Kreditwesengesetz (KWG)
• Energiewirtschaftsgesetz (EnWG)
• BSIG – Gesetz über das Bundesamt für Sicherheit in der Informationstechnik
• IT-Sicherheitsgesetz (IT-SiG)
• AktG (Aktiengesetz)
• GmbHG (Gesetz betreffend die Gesellschaften mit beschränkter Haftung)

Dieser Artikel liefert eine umfassende Darstellung des Begriffs Systemrisiko aus rechtlicher Sicht und behandelt dessen Relevanz und Regulierung in verschiedenen Rechtsgebieten.

Häufig gestellte Fragen

Welche rechtlichen Pflichten treffen Unternehmen zur Identifikation und Überwachung von Systemrisiken?

Unternehmen unterliegen in vielen Rechtsordnungen spezifischen Pflichten zur Identifikation und Überwachung von Systemrisiken, insbesondere wenn sie in regulierten Sektoren wie dem Finanzwesen, der kritischen Infrastruktur oder der Energieversorgung tätig sind. Die einschlägigen Gesetze, zum Beispiel das Kreditwesengesetz (KWG), das Wertpapierhandelsgesetz (WpHG) oder das IT-Sicherheitsgesetz, sehen umfangreiche Anforderung an das Risikomanagement vor. Unternehmen müssen systemische Risiken durch geeignete Prozesse frühzeitig erkennen, ihre Wahrscheinlichkeit und potenzielle Auswirkungen bewerten und Maßnahmen zur Risikominderung entwickeln. Dazu gehören Meldepflichten gegenüber den Aufsichtsbehörden, Pflicht zur Einrichtung interner Kontrollsysteme sowie die Durchführung regelmäßiger Audits. Das Versäumnis dieser Pflichten kann aufsichtsrechtliche Maßnahmen, Bußgelder oder zivilrechtliche Haftungsfolgen nach sich ziehen.

Wie haften Unternehmen oder deren Leitungsorgane bei Verletzung von Pflichten im Zusammenhang mit Systemrisiken?

Die Haftung von Unternehmen und ihren Leitungsorganen bei einer Pflichtverletzung im Zusammenhang mit Systemrisiken ergibt sich im Regelfall aus spezialgesetzlichen Regelungen sowie dem allgemeinen Zivilrecht. Geschäftsleiter und Vorstände haften beispielsweise nach § 93 AktG und § 43 GmbHG, sofern sie ihre Sorgfaltspflichten verletzen und dadurch Schäden entstehen. Unterbleibt die Identifikation, das Monitoring oder die Meldung von Systemrisiken entgegen gesetzlicher Vorgaben, können neben Schadensersatzansprüchen auch strafrechtliche Konsequenzen (z. B. nach § 54 KWG) und aufsichtsrechtliche Maßnahmen verhängt werden. Je nach Grad des Verschuldens und der Organisationsstruktur kann die Haftung auch auf das Unternehmen selbst übergehen, insbesondere im Rahmen der Überwachungspflichten.

Welche Meldepflichten existieren im Zusammenhang mit Systemrisiken?

Für Unternehmen bestimmter Branchen bestehen nach verschiedenen Rechtsvorschriften umfassende Meldepflichten bei Erkennen von Systemrisiken. Im Finanzsektor sieht beispielsweise das Gesetz über das Kreditwesen (KWG) sowie das Wertpapierhandelsgesetz (WpHG) sowohl Ad-hoc-Meldepflichten als auch regelmäßige Berichtsanforderungen an die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) vor. Im Bereich kritischer Infrastrukturen normiert das IT-Sicherheitsgesetz umfangreiche Pflichten zur Meldung von Störungen oder Vorfällen, die Auswirkungen auf die Funktionsfähigkeit des Gesamtsystems haben könnten. Die Nichterfüllung dieser Meldepflichten kann zu erheblichen Sanktionen und Bußgeldern führen und stellt zugleich eine Verletzung von Organisationspflichten dar.

Welche Rolle spielt die Compliance im Kontext von Systemrisiken aus rechtlicher Sicht?

Compliance beschreibt die Einhaltung von gesetzlichen und regulatorischen Vorgaben sowie interner Regeln und Standards. Im Kontext von Systemrisiken betrifft Compliance die Implementierung und laufende Überwachung von Regelwerken, die geeignet sind, Risiken für das Gesamtsystem frühzeitig zu erkennen und wirksam zu adressieren. Dazu zählen insbesondere die Implementierung von Kontrollmechanismen, Berichtswegen und unabhängigen Überwachungseinrichtungen, wie z. B. Compliance-Officer oder interne Revision. Ein wirksames Compliance-Managementsystem kann im Schadensfall haftungsreduzierend wirken, während mangelhafte Compliance als gravierende Organisationsverschuldung mit straf- und zivilrechtlichen Folgen gewertet wird.

Welche rechtlichen Konsequenzen drohen bei unzureichender Kontrolle von Systemrisiken?

Rechtliche Konsequenzen bei unzureichender Kontrolle von Systemrisiken beinhalten sowohl administrative Aufsichtsmaßnahmen (z. B. Anordnungen, Untersagungsverfügungen, Abberufung von Geschäftsleitern) als auch erhebliche Bußgelder und im Einzelfall sogar strafrechtliche Sanktionen. Daneben sind zivilrechtliche Schadensersatzansprüche nicht auszuschließen, etwa von geschädigten Kunden, Geschäftspartnern oder anderen von Systemausfällen betroffenen Dritten. In bestimmten Sektoren, wie der Finanzbranche oder im Bereich der kritischen Infrastrukturen, besteht zudem die Möglichkeit, dass staatliche Stellen temporär in die Steuerung von Unternehmen eingreifen, um Systemrisiken zu mitigieren, bis hin zu einer möglichen staatlichen Übernahme der Betriebsführung.

Wie sind Systemrisiken im Rahmen von Vertragsverhältnissen rechtlich zu berücksichtigen?

Innerhalb von Vertragsverhältnissen, besonders bei komplexen Liefer- und Leistungsketten oder bei Dienstleistungen, wird die Bewältigung von Systemrisiken zunehmend vertraglich geregelt. Dies geschieht durch sog. Risikoklauseln, Haftungsregelungen, Force-Majeure-Klauseln und spezifische vertragliche Regelungen zu Melde- und Kooperationspflichten bei Auftreten systemischer Risiken. Vertragsparteien sind aus Treu und Glauben (§ 242 BGB) gehalten, Systemrisiken in ihre vertragliche Zusammenarbeit einzupreisen und transparent zu regeln. Das Unterlassen kann zu Ansprüchen auf Schadensersatz, Rücktrittsrechten und im Falle systemrelevanter Dienstleistungen zu besonderen Überwachungspflichten führen.

Inwieweit beeinflussen internationale Regelungen und Standards den rechtlichen Rahmen für Systemrisiken?

Systemrisiken betreffen oftmals grenzüberschreitende Zusammenhänge, weshalb internationale Vorgaben und Standards wie die Baseler Rahmenwerke (Basel III/IV), die Vorgaben der Europäischen Union (wie die DORA-Verordnung oder die NIS-2-Richtlinie) sowie internationale Standards wie ISO/IEC 27001 zu beachten sind. Diese Regelwerke werden zunehmend in das nationale Recht übernommen oder in nationales Recht transformiert und wirken somit unmittelbar oder mittelbar auf die Pflichtenlage der Unternehmen ein. Verstöße gegen international anerkannte Standards können sich im Rahmen von Haftungsfragen und behördlichen Verfahren belastend auswirken und führen regelmäßig zu einer Verschärfung der zu beachtenden Sorgfaltsanforderungen.