Britische Finanzaufsicht bekommt direkte Kontrolle über Cloud-Riesen

Am 10. Juli 2026 hat das britische Schatzamt (HM Treasury) vier Cloud-Dienstleister offiziell als „Critical Third Parties“ (CTPs) für das britische Finanzsystem eingestuft. Der Beschluss tritt am 13. Juli 2026 in Kraft . Betroffen sind:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

Es ist das erste Mal, dass Grossbritannien von seinen neuen gesetzlichen Befugnissen Gebrauch macht, um externe Technologieanbieter der direkten Aufsicht durch Finanzregulierungsbehörden zu unterstellen. Die Regierung erklärte, die Einstufung werde „dazu beitragen, das Risiko weitreichender Störungen zu verringern“. Weitere Anbieter könnten im Laufe der Zeit folgen .

Warum das Regime existiert: Konzentrationsrisiken in der Cloud

Die politische Begründung geht auf eine Schlussfolgerung des Ausschusses für Finanzpolitik (Financial Policy Committee, FPC) aus dem Jahr 2021 zurück. Das Gremium warnte damals, dass die zunehmende Abhängigkeit von wenigen Cloud-Anbietern für wichtige Dienstleistungen die Finanzstabilität gefährden könne, wenn keine stärkere direkte regulatorische Aufsicht erfolge . Das CTP-Regime wurde speziell geschaffen, um dieses Risiko zu adressieren. Die Regulierer nutzen dabei die Kriterien Konzentration (concentration) und Bedeutung (materiality), um CTPs zu identifizieren und dem Schatzamt zu empfehlen .

Welche neuen Befugnisse erhalten die Bank of England, PRA und FCA?

Der Financial Services and Markets Act 2023 führte ein neues Kapitel 3C in Teil XVIII des FSMA 2000 ein. Damit erhalten die Bank of England, die Prudential Regulation Authority (PRA) und die Financial Conduct Authority (FCA) – gemeinsam „die Regulierer“ genannt – eine Reihe neuer direkter Aufsichtsbefugnisse über designierte CTPs :

• Regelsetzungsbefugnis – Jeder Regulierer kann CTPs Pflichten auferlegen, die im Zusammenhang mit den Dienstleistungen stehen, die sie Finanzunternehmen erbringen, sofern dies zur Förderung seiner gesetzlichen Ziele erforderlich ist .
• Anordnungsbefugnis – Ein Regulierer kann einem CTP schriftlich vorschreiben, bestimmte Handlungen vorzunehmen oder zu unterlassen. Richtet sich die Anordnung gegen eine Gefahr für die Stabilität oder Integrität des britischen Finanzsystems, geniessen der CTP, seine Führungskräfte und Mitarbeiter Schadensersatzimmunität für gesetzeskonformes Handeln .
• Informationserhebung und Überprüfungen durch Sachverständige – Die Regulierer können von CTPs die Herausgabe von Informationen verlangen und Berichte durch Sachverständige in Auftrag geben .
• Durchsetzungs- und Disziplinarmassnahmen – Die Regulierer können bei Verstössen gegen CTP-Regeln Geldstrafen verhängen und disziplinarische Massnahmen ergreifen, auch im Rahmen einer speziellen Durchsetzungsrichtlinie für CTPs .

Können Regulierer einem Cloud-Anbieter die Erbringung eines Dienstes verbieten?

Der FSMA 2023 enthält keine explizite eigenständige Befugnis, die „Erbringung von Dienstleistungen“ namentlich zu verbieten. Die Anordnungsbefugnis gemäss Abschnitt 312N des FSMA ist jedoch weit genug gefasst, um ein solches Ergebnis abzudecken: Ein Regulierer kann einen CTP anweisen, eine bestimmte Handlung zu unterlassen, wenn dies zur Förderung seiner Ziele notwendig oder zweckmässig erscheint – was in der Praxis auch das Verbot der Erbringung eines systemgefährdenden Dienstes umfassen kann .

Resilienzstandards und Testpflichten ab Tag eins

Die detaillierten Anforderungen sind in der gemeinsamen Stellungnahme der Regulierer PS16/24 und der Aufsichtsmitteilung SS6/24 festgelegt, die beide im November 2024 veröffentlicht wurden . Zu den wichtigsten, ab dem Datum der Einstufung geltenden Pflichten gehören:

• CTP-Grundregeln (Fundamental Rules) – Sechs ergebnisorientierte Regeln auf hoher Ebene, die Governance, Risikomanagement, operative Resilienz und die Zusammenarbeit mit den Regulierern abdecken und für alle Dienstleistungen gelten, die der CTP Finanzunternehmen erbringt .
• Anforderungen an operationelles Risiko und Resilienz – CTPs müssen Störungen ihrer „systemrelevanten Drittparteiendienste“ identifizieren, managen und beheben. Für jeden dieser Dienste müssen sie eine maximal tolerierbare Störungsgrenze festlegen .
• Szenariotests – CTPs müssen Szenariotests durchführen, um zu bewerten, ob sie bei schwerwiegenden, aber plausiblen Szenarien innerhalb ihrer maximal tolerierbaren Störungsgrenzen bleiben können .
• Meldepflicht bei Vorfällen – CTPs müssen den Regulierern wesentliche Betriebsstörungen melden, die systemrelevante Drittparteiendienste betreffen .
• Jährliche Selbstbewertungen – CTPs müssen jährliche Selbstbewertungen im Hinblick auf die Erwartungen der Regulierer vorlegen. Zudem unterliegen sie vertieften und thematischen Überprüfungen, einschliesslich Berichten von Sachverständigen .

Übergangsfrist und Ausblick

Das erste Jahr nach der Einstufung ist eine „Mobilisierungsphase“, in der die Regulierer zunächst ein Verständnis für die Geschäftstätigkeit und das Risikoprofil jedes CTP aufbauen. Die vollständige Einhaltung aller Anforderungen wird schrittweise über die Zeit eingeführt . Ein wichtiger Hinweis: Die spezifischen Resilienzstandards und Testanforderungen wurden bereits vor der Einstufung der CTPs finalisiert . Die genauen Kennzahlen, Schwellenwerte und maximal tolerierbaren Störungsgrenzen werden im Laufe des ersten Jahres durch individuelle Aufsichtsgespräche mit jedem der vier Anbieter festgelegt .