Compliance-Trends in Europa – worauf sollten Sie achten?

Der regulatorische Druck nimmt zu – mit neuen Pflichten für Unternehmen

Unternehmen stehen vor schweren Geldbußen, einer verstärkten regulatorischen Kontrolle und erheblichen Compliance-Verpflichtungen aufgrund einer Reihe von Rechtsvorschriften der Europäischen Union (EU) und nationaler Gesetze, die entweder kürzlich in Kraft getreten sind oder 2026 in Kraft treten werden. Zu den wichtigsten Anforderungen gehören die Pflicht, die Cyber-Resilienz von externen IT-Dienstleistern zu prüfen, die Sorgfaltspflichten in der Lieferkette zu stärken und tatsächliche oder potenzielle Schäden zu erkennen, zu verhindern und zu beheben sowie den Schutz von Whistleblowern zu verbessern. 

Mit dem Digital Operational Resilience Act (DORA) versucht die EU, Finanzdienstleistungsunternehmen dazu zu bewegen, mehr Kontrolle über IT-Risiken zu übernehmen – und auch mehr Verantwortung dafür –, um den Sektor insgesamt besser vor potenziellen Cyberangriffen zu schützen. Früher waren Finanzinstitute verpflichtet, die wichtigsten Kategorien operationeller Risiken vor allem durch die Bereitstellung von Kapital zu steuern – und weniger durch Maßnahmen der operativen Resilienz wie etwa einen angemessenen technologischen Reifegrad. 

Die am 17. Januar 2025 in Kraft getretenen Vorschriften legen strenge Anforderungen an das Risikomanagement der Informations- und Kommunikationstechnologie (IKT), die Meldung von Vorfällen, die Prüfung der operativen Resilienz und den Austausch von Informationen und Informationen mit Aufsichtsbehörden fest. Entscheidend ist, dass die Gesetzgebung Finanzdienstleister auch für die Risikoüberwachung von „kritischen“ IT-Drittanbietern verantwortlich macht. 

Da die Regeln jedoch mit erheblichen finanziellen Sanktionen verbunden sind, hat dies weniger zu einer stärkeren Compliance geführt. Stattdessen versuchen Unternehmen, die Verantwortung auf externe IT-Anbieter zurückzuverlagern, indem sie Vertragsbedingungen verschärfen, wenn diese die Geschäftsbeziehung aufrechterhalten wollen. Und für Finanzunternehmen mit genügend finanziellen Mitteln deuten die Anzeichen darauf hin, dass die Anbieter von Technologiedienstleistungen unter dem Druck zusammenbrechen. Infolgedessen kann DORA-Technologieanbieter einer enormen regulatorischen Kontrolle unterziehen.

Sorgfaltspflichten in der Lieferkette rücken in den Vordergrund

Die Sorgfaltspflichten in der Lieferkette werden 2026 ebenfalls stärker in den Vordergrund treten, da sich sowohl nationale als auch EU-weite Vorgaben zunehmend in den Unternehmensabläufen verankern und Aufsichtsbehörden ein größeres Augenmerk auf deren Durchsetzung legen.  Das deutsche Gesetz zur Sorgfaltsprüfung der Lieferkette ist am 1. Januar 2023 in Kraft getreten und erlaubt es Staatsanwälten, Geldbußen von bis zu 2% des weltweiten Umsatzes eines Unternehmens zu verhängen, wenn sie Menschenrechts- und Umweltauswirkungen in ihren Lieferketten nicht erkennen und verhindern. Sie gilt für Unternehmen mit einem Sitz oder einer Hauptniederlassung in Deutschland sowie für ausländische Unternehmen mit einer dortigen Zweigniederlassung. Sie gilt für Unternehmen mit mindestens 1.000 Arbeitnehmern. 

Obwohl das Gesetz keine neue zivilrechtliche Haftung begründet, ist zu erwarten, dass Nichtregierungsorganisationen künftig häufiger Klagen wegen mutmaßlicher Menschenrechtsverletzungen vor deutschen Gerichten einreichen werden. Im Jahr 2023, dem ersten Jahr nach Inkrafttreten des Gesetzes, wurden lediglich 30 Beschwerden eingereicht – und 22 davon wurden abgewiesen. 2025 wurden 75 Fälle eingereicht. 

Stellen Sie dem das ähnliche französische Gesetz zur Sorgfaltspflicht gegenüber, das 2019 in Kraft getreten ist. Bis Mai 2025 wurden lediglich 16 Klagen eingereicht. Unabhängig davon, wie viele Unternehmen durch eines der beiden Gesetze tatsächlich sanktioniert wurden, haben beide dazu geführt, dass große Unternehmen Menschenrechts- und Umweltaspekte in ihren Lieferketten deutlich stärker priorisieren als zuvor.

Whistleblowing-Regelungen entwickeln sich im Vereinigten Königreich und in der EU weiter

Whistleblowing wird seit langem als wirksamer Mechanismus für Mitarbeiter und Dritte anerkannt, um eine Meldung zu machen, aber das Schutzniveau, das sie erwarten können, bleibt oft problematisch. Und so geht es auch mit den Plänen des Vereinigten Königreichs, Whistleblowing zu fördern.

Im September 2025 trat im Rahmen des Economic Crime and Corporate Transparency Act (ECCTA) das dritte britische „Failure to Prevent“-Delikt in Kraft. Zwei ähnliche Straftaten – das Versäumnis, Bestechung und Steuerhinterziehung zu verhindern – sind bereits unter unterschiedlichen Rechtsvorschriften in Kraft, nämlich dem Bribery Act 2010 und dem Criminal Finances Act 2017. Jede dieser Vorschriften verpflichtet Unternehmen dazu, sich selbst, ihre Mitarbeiter und die Drittparteien, mit denen sie Geschäfte machen, zu kontrollieren. Gemeinsam zielen diese Gesetze darauf ab, den Geltungsbereich der Unternehmenshaftung zu erweitern.

Die britische Regierung hofft, dass das neue Delikt – zusammen mit den beiden bereits bestehenden – den Blick erneut darauf lenkt, wie wichtig es ist, Whistleblowing zu unterstützen, weil Mitarbeiter auf mutmaßlich illegale Geschäftstätigkeiten aufmerksam machen.

Das Hauptproblem bei ECCTA besteht jedoch darin, dass Whistleblowing zwar gefördert, die Offenlegung jedoch nicht gefördert und der Schutz der Mitarbeiter nicht verbessert wird. Auch andere Hindernisse können den Erfolg verhindern. Beispielsweise gab es im Vereinigten Königreich historisch gesehen nur begrenzte Transparenz über die Ergebnisse von Whistleblower-Meldungen. Ein Grund dafür ist, dass die britischen Behörden – anders als in den USA – keine finanziellen Anreize für Hinweise bieten. Dadurch gibt es wenig öffentliche Aufmerksamkeit für die Rolle, die Whistleblower bei der Aufdeckung von Fehlverhalten in Unternehmen oder bei deren Führungskräften möglicherweise gespielt haben.  

Auch die Erfolgsbilanz erfolgreicher Strafverfolgungen ist bislang überschaubar. Seit Inkrafttreten des Gesetzes zur Bekämpfung von Bestechung (Bribery Act) im Juli 2011 gab es im Durchschnitt nur 10 Strafverfolgungen pro Jahr und bis Anfang 2025 lediglich 10 Vereinbarungen über die aufgeschobene Strafverfolgung wegen „Versäumnis, Bestechung zu verhindern.“ Darüber hinaus wurden die ersten Strafverfolgungsmaßnahmen im Rahmen des Criminal Finances Acts erst fast acht Jahre, nachdem das „Versäumnis, Steuerhinterziehung zu verhindern“ als Straftat eingeführt worden war, erhoben, und das Verfahren läuft noch.

Zudem fehlt es sowohl an ausreichendem Schutz als auch an Anreizen für Mitarbeiter, sich zu melden. Der Office of the Whistleblower Bill, der eine unabhängige Behörde schaffen soll, um den Schutz für Hinweisgeber zu verbessern, ist ins Stocken geraten und noch weit davon entfernt, Realität zu werden. In seiner gegenwärtigen Form würde der Gesetzentwurf die Anzahl der Einrichtungen erweitern, die eine Whistleblowing-Meldung erhalten können, und eine Straftat für diejenigen einführen, die Hinweisgebern schaden, mit einer vorgeschlagenen Höchststrafe in Form einer Geldstrafe oder 18 Monaten Freiheitsstrafe. Die zweite Lesung ist für das Frühjahr 2026 vorgesehen.

Währenddessen stößt die Diskussion über finanzielle Anreize für Whistleblower auf gemischte Reaktionen: Das Serious Fraud Office (SFO) als wichtigste britische Behörde zur Korruptionsbekämpfung, die Financial Conduct Authority (FCA) und die britische Steuerbehörde HMRC unterstützen den Ansatz. Viele andere jedoch nicht, und zahlreiche Experten sind der Ansicht, dass ein solcher Ansatz eine gesetzliche Änderung erfordern würde. Daher gibt es Bedenken, dass die drei „Failure to Prevent“-Delikte wenig Wirkung entfalten könnten, wenn der Schutz für Whistleblower nicht ebenfalls verbessert wird.

Die EU überprüft auch, ob ihre Richtlinie zum Schutz von Hinweisgebern wirksam ist. Im August 2025 startete die Europäische Kommission einen Aufruf zur Stellungnahme, um zu bewerten, wie gut die Richtlinie seit ihrer Verabschiedung im Jahr 2019 in allen EU-Mitgliedstaaten umgesetzt wurde. Insbesondere wird bewertet, ob:

• die Richtlinie den Schutz von Hinweisgebern gestärkt und Meldungen gefördert hat
• der Nutzen in einem angemessenen Verhältnis zu den Kosten steht; ob er den heutigen Herausforderungen und zukünftigen Bedürfnissen gerecht wird
• sie mit anderen EU- und internationalen Richtlinien übereinstimmt
• sie mehr erreicht hat, als die Mitgliedstaaten einzeln hätten erreichen können

Die Bewertung soll bis Ende 2026 abgeschlossen sein – fünf Jahre nachdem die Richtlinie eigentlich in nationales Recht überführt werden sollte. Seit Langem gibt es Kritik – und Besorgnis –, dass einige Mitgliedstaaten nur zögerlich entsprechende Gesetze verabschiedet haben und dass in manchen Ländern weiterhin Unklarheit darüber besteht, was der Begriff „Whistleblower“ überhaupt bedeutet. Das lässt keine hohen Erwartungen an den Schutz zu, den betroffene Personen erhalten könnten.  

Es besteht kaum Zweifel daran, dass das Jahr 2026 für Unternehmen, die in der EU und im Vereinigten Königreich tätig sind, in verschiedenen operativen Bereichen erhebliche Compliance-Herausforderungen mit sich bringen wird. DORA verpflichtet betroffene Unternehmen nicht nur dazu, ihre eigene operative Resilienz und Berichtsprozesse zu überprüfen, sondern auch die ihrer wichtigsten IT-Dienstleister. Gleichzeitig erfordern die Vorgaben zur Sorgfaltspflicht in der Lieferkette – sowohl auf nationaler als auch auf EU-Ebene – wesentlich tiefere Prüfungen von Drittparteienbeziehungen. Gleichzeitig wird der neue Schwerpunkt des Vereinigten Königreichs auf Unternehmensbetrug Unternehmen dazu veranlassen, ihre Whistleblower-Hotlines sowie die bestehenden Schutzmaßnahmen für Hinweisgeber zu überprüfen. Auch die EU befasst sich damit, wie ihre eigenen Regeln zum Schutz von Whistleblowern weiter gestärkt und verbessert werden können.