FIDA Compliance Programme

Ein FIDA Compliance Programm ist ein strukturierter Rahmen, mit dem Banken, Versicherer und andere Finanzdienstleister die Anforderungen der EU-Verordnung über den Finanzdatenzugang (Financial Data Access) umsetzen. FIDA verpflichtet Finanzinstitute ab 250 Mitarbeitenden oder 50 Mio. Euro Umsatz, Kundendaten über standardisierte APIs mit zugelassenen Dritten zu teilen. Ein Compliance-Programm umfasst Governance-Strukturen, technische API-Umsetzung, Consent-Management, Mitarbeiterschulungen und fortlaufendes Monitoring. Ohne ein solches Programm drohen regulatorische Sanktionen und der Ausschluss von der Teilnahme am Open-Finance-Ökosystem.

Nach Inkrafttreten der FIDA-Verordnung müssen Finanzinstitute innerhalb von 18 Monaten einem Financial Data Sharing Scheme (FDSS) beitreten. Innerhalb von 12 Monaten sind die allgemeinen Regelwerke festzulegen, nach 26 Monaten die technischen Standards und Kompensationsmodelle, und nach 30 Monaten muss der vollständige Betrieb sichergestellt sein. Die Trilog-Verhandlungen laufen seit April 2025, sodass mit einem Inkrafttreten im Laufe von 2026 zu rechnen ist. Finanzinstitute sollten jetzt mit der Analyse ihrer Datenhäuser und der Planung von Governance-Strukturen beginnen.

PSD2 beschränkte sich auf Zahlungsverkehrsdaten und Kontoinformationen. FIDA erweitert den Datenzugang auf das gesamte Finanzwesen: Spareinlagen, Kredite, Hypotheken, Versicherungen, Altersvorsorge, Investments und Krypto-Assets. FIDA führt zudem das Konzept der Financial Data Sharing Schemes (FDSS) ein, über die Dateninhaber und -nutzer standardisierte Regeln für Datenzugang, Kompensation und technische Schnittstellen vereinbaren. Die Compliance-Kosten werden laut Branchenanalysen auf das Dreifache der PSD2-Umsetzung geschätzt.

Ein wirksames FIDA-Governance-Framework basiert auf dem Three-Lines-of-Defense-Modell: Die erste Linie umfasst die operativen Geschäftsbereiche, die Datenzugangsprozesse umsetzen. Die zweite Linie stellt Compliance- und Risikomanagement-Funktionen bereit, die Richtlinien vorgeben und überwachen. Die dritte Linie liefert unabhängige Prüfung durch Internal Audit. Ergänzend braucht es ein FIDA-spezifisches Compliance-Committee, klare Eskalationswege, eine RACI-Matrix für alle Beteiligten und regelmäßiges Board-Reporting zur Steuerung des Programms.

FIDA verlangt, dass Finanzinstitute Kundendaten unverzüglich, kontinuierlich und in Echtzeit über standardisierte APIs bereitstellen. Die APIs müssen die im FDSS vereinbarten technischen Standards erfüllen und ein Kundendashboard für die Echtzeit-Überwachung und -Verwaltung von Datenfreigaben bereitstellen. Dateninhaber müssen Consent-Management-Systeme implementieren, die granulare Einwilligungen und Widerrufe abbilden. Die technische Infrastruktur muss zudem die Anforderungen der DORA-Verordnung an operative Resilienz erfüllen.

FIDA ist Teil des EU-Pakets für digitale Finanzen und steht in engem Zusammenhang mit DORA (Digital Operational Resilience Act) und PSD3 (Payment Services Directive 3). DORA regelt die operativen Resilienzanforderungen an IT-Systeme, die auch für FIDA-Datenzugangsinfrastrukturen gelten. PSD3 aktualisiert den Zahlungsverkehrsrahmen und ergänzt FIDA im Bereich der Zahlungsdaten. Ein Compliance-Programm sollte diese Regulierungen integriert betrachten, um Doppelarbeit zu vermeiden und Synergien bei Governance, Risikomanagement und technischer Umsetzung zu nutzen.

Die Kosten hängen von Größe und Komplexität des Instituts ab. Branchenanalysen erwarten FIDA-Compliance-Kosten, die das Dreifache der PSD2-Umsetzung betragen, da FIDA die meisten Finanzprodukte und zahlreiche IT-Systeme betrifft. Wesentliche Kostentreiber sind API-Entwicklung und -Integration, Consent-Management-Systeme, Governance-Aufbau, Mitarbeiterschulungen und laufendes Monitoring. Frühzeitige Planung und die Nutzung bestehender PSD2-Infrastruktur können die Kosten deutlich senken. ADVISORI unterstützt bei der Budgetplanung mit realistischen Kostenschätzungen und Implementierungszeitplänen.