(1) Die Geschäftsleiter eines Instituts müssen für die Leitung eines Instituts fachlich geeignet und zuverlässig sein und der Wahrnehmung ihrer Aufgaben ausreichend Zeit widmen. Die fachliche Eignung setzt voraus, dass die Geschäftsleiter in ausreichendem Maß theoretische und praktische Kenntnisse in den betreffenden Geschäften sowie Leitungserfahrung haben. Das Vorliegen der fachlichen Eignung ist regelmäßig anzunehmen, wenn eine dreijährige leitende Tätigkeit bei einem Institut von vergleichbarer Größe und Geschäftsart nachgewiesen wird.

(1a) Die Geschäftsleiter müssen in ihrer Gesamtheit über ein angemessen breites Spektrum von Kenntnissen, Fähigkeiten und Erfahrungen verfügen, die zum Verständnis der Tätigkeiten des Instituts einschließlich seiner Hauptrisiken notwendig sind.

(1b) Erfüllt eine Person die Voraussetzungen des Absatzes 1 Satz 1 oder des Absatzes 2 nicht, so hat das Institut unverzüglich sicherzustellen, dass

1. 1. sie nicht zum Geschäftsleiter bestellt wird,
2. 2. sie von ihrer Position als Geschäftsleiter abberufen wird oder
3. 3. Maßnahmen ergriffen werden, damit die Person die Voraussetzungen erfüllt.

(1c) Beabsichtigt ein Unternehmen eine Person zu bestellen und liegen Tatsachen vor, aus denen sich ergibt, dass sie nicht die Voraussetzungen des Absatzes 1 Satz 1 oder des Absatzes 2 erfüllt, oder fehlen bei der Anzeige nach § 24 über die Absicht der Bestellung wesentliche Informationen zur Beurteilung der Eignung, Zuverlässigkeit und zeitlichen Verfügbarkeit, kann die Bundesanstalt anordnen, dass die Person nicht bestellt wird.

(2) Bei der Zahl der Leitungs- oder Aufsichtsmandate, die ein Geschäftsleiter gleichzeitig innehaben kann, sind der Einzelfall und die Art, der Umfang und die Komplexität der Geschäfte des Instituts zu berücksichtigen. Geschäftsleiter eines bedeutenden Instituts im Sinne des § 1 Absatz 3c oder einer zugelassenen Finanzholding-Gesellschaft oder gemischten Finanzholding-Gesellschaft, denen ein solches Institut nachgeordnet ist, kann nicht sein,

1. 1. wer in demselben Unternehmen Mitglied des Verwaltungs- oder Aufsichtsorgans oder im Fall einer Europäischen Gesellschaft (SE) mit monistischem System Vorsitzender oder nicht geschäftsführendes Mitglied des Verwaltungsrates ist oder
2. 2. wer in einem anderen Unternehmen Geschäftsleiter ist oder bereits in mehr als zwei Unternehmen Mitglied des Verwaltungs- oder Aufsichtsorgans ist.

Dabei gelten im Sinne von Satz 2 Nummer 2 mehrere Mandate als ein Mandat, wenn die Mandate bei Unternehmen wahrgenommen werden,

1. 1. die derselben Finanzholding-Gruppe oder gemischten Finanzholding-Gruppe angehören oder die verbundene Unternehmen im Sinne des Handelsgesetzbuchs oder in vergleichbarer Weise in einer Gruppe verbunden sind,
2. 2. die demselben institutsbezogenen Sicherungssystem angehören oder
3. 3. an denen das Unternehmen eine bedeutende Beteiligung hält.

Mehrere Mandate gelten auch dann im Sinne von Satz 3 als ein Mandat, wenn sich darunter sowohl Mandate als Geschäftsleiter als auch Mandate als Mitglied des Verwaltungs- oder Aufsichtsorgans befinden. Sie zählen in diesem Fall zusammen als ein Geschäftsleitermandat. Mandate bei Organisationen und Unternehmen, die nicht überwiegend gewerbliche Ziele verfolgen, insbesondere Unternehmen, die der kommunalen Daseinsvorsorge dienen, werden bei den nach Satz 2 Nummer 2 höchstens zulässigen Mandaten nicht berücksichtigt. Die Aufsichtsbehörde kann einem Geschäftsleiter unter Berücksichtigung der Umstände im Einzelfall und der Art, des Umfangs und der Komplexität der Tätigkeiten des Instituts, der Institutsgruppe, der Finanzholding-Gruppe, der Finanzholding-Gesellschaft oder der gemischten Finanzholding-Gesellschaft gestatten, ein zusätzliches Mandat in einem Verwaltungs- oder Aufsichtsorgan innezuhaben, wenn dies das Mitglied nicht daran hindert, der Wahrnehmung seiner Aufgaben in dem betreffenden Unternehmen ausreichend Zeit zu widmen. Das zusätzliche Mandat darf erst nach Erteilung der Gestattung durch die Aufsichtsbehörde angenommen werden.

(3) Im Rahmen ihrer Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation müssen die Geschäftsleiter

1. 1. Grundsätze einer ordnungsgemäßen Geschäftsführung beschließen, die die erforderliche Sorgfalt bei der Führung des Instituts gewährleisten und insbesondere eine Aufgabentrennung in der Organisation und Maßnahmen festlegen, um Interessenkonflikten vorzubeugen, sowie für die Umsetzung dieser Grundsätze Sorge tragen;
2. 2. die Wirksamkeit der unter Nummer 1 festgelegten und umgesetzten Grundsätze überwachen und regelmäßig bewerten; die Geschäftsleiter müssen angemessene Schritte zur Behebung von Mängeln einleiten;
3. 3. der Festlegung der Strategien und den Risiken, insbesondere den Adressenausfallrisiken, den Marktrisiken und den operationellen Risiken, ausreichend Zeit widmen;
4. 4. für eine angemessene und transparente Unternehmensstruktur sorgen, die sich an den Strategien des Unternehmens ausrichtet und der für ein wirksames Risikomanagement erforderlichen Transparenz der Geschäftsaktivitäten des Instituts Rechnung trägt, und die hierfür erforderliche Kenntnis über die Unternehmensstruktur und die damit verbundenen Risiken besitzen; für die Geschäftsleiter eines übergeordneten Unternehmens bezieht sich diese Verpflichtung auch auf die Gruppe gemäß § 25a Absatz 3;
5. 5. die Richtigkeit des Rechnungswesens und der Finanzberichterstattung sicherstellen; dies schließt die dazu erforderlichen Kontrollen und die Übereinstimmung mit den gesetzlichen Bestimmungen und den relevanten Standards ein; und
6. 6. die Prozesse hinsichtlich Offenlegung sowie Kommunikation überwachen.

(4) Die Institute müssen angemessene personelle und finanzielle Ressourcen einsetzen, um den Mitgliedern der Geschäftsleitung die Einführung in ihr Amt zu erleichtern und die Fortbildung zu ermöglichen, die zur Aufrechterhaltung ihrer fachlichen Eignung erforderlich ist, auch in Bezug auf IKT-Risiken im Sinne des Artikels 4 Absatz 1 Unterabsatz 1 Nummer 52c der Verordnung (EU) Nr. 575/2013.

(4a) Im Rahmen ihrer Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation des Instituts nach § 25a Absatz 1 Satz 2 haben die Geschäftsleiter eines Instituts dafür Sorge zu tragen, dass das Institut über folgende Strategien, Prozesse, Verfahren, Funktionen und Konzepte verfügt:

1. 1. eine auf die nachhaltige Entwicklung des Instituts gerichtete Geschäftsstrategie und eine damit konsistente Risikostrategie sowie Prozesse zur Planung, Umsetzung, Beurteilung und Anpassung der Strategien nach § 25a Absatz 1 Satz 3 Nummer 1, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass
   1. a) jederzeit das Gesamtziel, die Ziele des Instituts für jede wesentliche Geschäftsaktivität sowie die Maßnahmen zur Erreichung dieser Ziele dokumentiert werden;
   2. b) die Risikostrategie jederzeit die Ziele der Risikosteuerung der wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele umfasst;
2. 2. Verfahren zur Ermittlung und Sicherstellung der Risikotragfähigkeit nach § 25a Absatz 1 Satz 3 Nummer 2, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass
   1. a) die wesentlichen Risiken des Instituts, insbesondere Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken, regelmäßig und anlassbezogen im Rahmen einer Risikoinventur identifiziert und definiert werden (Gesamtrisikoprofil);
   2. b) im Rahmen der Risikoinventur Risikokonzentrationen berücksichtigt sowie mögliche wesentliche Beeinträchtigungen der Vermögenslage, der Ertragslage oder der Liquiditätslage geprüft werden;
3. 3. interne Kontrollverfahren mit einem internen Kontrollsystem und einer internen Revision nach § 25a Absatz 1 Satz 3 Nummer 3 Buchstabe a bis c, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass
   1. a) im Rahmen der Aufbau- und Ablauforganisation Verantwortungsbereiche klar abgegrenzt werden, wobei wesentliche Prozesse und damit verbundene Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege klar zu definieren sind und sicherzustellen ist, dass Mitarbeiter keine miteinander unvereinbaren Tätigkeiten ausüben;
   2. b) eine grundsätzliche Trennung zwischen dem Bereich, der Kreditgeschäfte initiiert und bei den Kreditentscheidungen über ein Votum verfügt (Markt), sowie dem Bereich Handel einerseits und dem Bereich, der bei den Kreditentscheidungen über ein weiteres Votum verfügt (Marktfolge), und den Funktionen, die dem Risikocontrolling und die der Abwicklung und Kontrolle der Handelsgeschäfte dienen, andererseits besteht;
   3. c) das interne Kontrollsystem Risikosteuerungs- und -controllingprozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der wesentlichen Risiken und damit verbundener Risikokonzentrationen sowie eine Risikocontrolling-Funktion und eine Compliance-Funktion umfasst;
   4. d) in angemessenen Abständen, mindestens aber vierteljährlich, gegenüber der Geschäftsleitung über die Risikosituation einschließlich einer Beurteilung der Risiken berichtet wird;
   5. e) in angemessenen Abständen, mindestens aber vierteljährlich, seitens der Geschäftsleitung gegenüber dem Verwaltungs- oder Aufsichtsorgan über die Risikosituation einschließlich einer Beurteilung der Risiken berichtet wird;
   6. f) regelmäßig angemessene Stresstests für die wesentlichen Risiken sowie das Gesamtrisikoprofil des Instituts durchgeführt werden und auf Grundlage der Ergebnisse möglicher Handlungsbedarf geprüft wird;
   7. g) die interne Revision in angemessenen Abständen, mindestens aber vierteljährlich, an die Geschäftsleitung und an das Aufsichts- oder Verwaltungsorgan berichtet;
   8. h) die Leiter der internen Kontrollfunktionen über eine hinreichende Autorität verfügen, direkten Zugang zum Verwaltungs- und Aufsichtsorgan haben und berechtigt sind, unabhängig von der Geschäftsleitung direkt an das Verwaltungs- oder Aufsichtsorgan zu berichten und insbesondere Warnungen über riskante Entwicklungen auszusprechen, und
   9. i) die Leiter der internen Kontrollfunktionen nicht ohne vorherige Zustimmung durch das Verwaltungs- oder Aufsichtsorgan von ihrer Funktion entbunden werden dürfen; in eilbedürftigen Fällen kann der Vorsitzende des Verwaltungs- oder Aufsichtsorgans die Zustimmung vorläufig erteilen;
4. 4. eine angemessene personelle und technisch-organisatorische Ausstattung des Instituts nach § 25a Absatz 1 Satz 3 Nummer 4, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass die quantitative und qualitative Personalausstattung und der Umfang und die Qualität der technisch-organisatorischen Ausstattung die betriebsinternen Erfordernisse, die Geschäftsaktivitäten und die Risikosituation berücksichtigen;
5. 5. für Notfälle in zeitkritischen Aktivitäten und Prozessen angemessene Notfallkonzepte nach § 25a Absatz 1 Satz 3 Nummer 5, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass regelmäßig Notfalltests zur Überprüfung der Angemessenheit und Wirksamkeit des Notfallkonzeptes durchgeführt werden und über die Ergebnisse den jeweils Verantwortlichen berichtet wird;
6. 6. im Fall einer Auslagerung von Aktivitäten und Prozessen auf ein anderes Unternehmen nach § 25b Absatz 1 Satz 1 mindestens angemessene Verfahren und Konzepte, um übermäßige zusätzliche Risiken sowie eine Beeinträchtigung der Ordnungsmäßigkeit der Geschäfte, Dienstleistungen und der Geschäftsorganisation im Sinne des § 25a Absatz 1 zu vermeiden;
7. 7. angemessene Verfahren und Konzepte, die sicherstellen, dass Inhaber von Schlüsselfunktionen jederzeit die Anforderungen des § 25e Absatz 1 erfüllen; mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass die Eignung der Inhaber von Schlüsselfunktionen vor Übernahme der Funktion sowie regelmäßig und bei Bedarf bewertet wird, und
8. 8. eine Übersicht in Textform über die Aufgaben und individuellen Verantwortlichkeiten der in Artikel 88 Absatz 3 der Richtlinie 2013/36/EU in der Fassung vom 27. November 2024 bestimmten Personen zu erstellen, fortzuführen und zu aktualisieren;
9. 9. konkrete Pläne und quantifizierbare Ziele gemäß den in Artikel 7a der Verordnung (EU) Nr. 648/2012 festgelegten Anforderungen, um das Konzentrationsrisiko zu überwachen und zu bewältigen, das aus Risikopositionen gegenüber zentralen Gegenparteien aus Drittstaaten erwächst, die Dienstleistungen anbieten, die für die Europäische Union oder mindestens einen ihrer Mitgliedstaaten von wesentlicher Systemrelevanz sind.

(4b) Für Institutsgruppen, Finanzholding-Gruppen, gemischte Finanzholding-Gruppen und Institute im Sinne des Artikels 4 der Verordnung (EU) Nr. 575/2013 gilt, dass die Geschäftsleiter des übergeordneten Unternehmens für die Wahrung der Sorgfaltspflichten innerhalb der Institutsgruppe, der Finanzholding-Gruppe, der gemischten Finanzholding-Gruppe oder der Institute im Sinne des Artikels 4 der Verordnung (EU) Nr. 575/2013 verantwortlich sind, wenn das übergeordnete Unternehmen Mutterunternehmen ist, das beherrschenden Einfluss im Sinne des § 290 Absatz 2 des Handelsgesetzbuchs über andere Unternehmen der Gruppe ausübt, ohne dass es auf die Rechtsform der Muttergesellschaft ankommt. Im Rahmen ihrer Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation der Gruppe nach Satz 1 haben die Geschäftsleiter des übergeordneten Unternehmens dafür Sorge zu tragen, dass die Gruppe über folgende Strategien, Prozesse, Verfahren, Funktionen und Konzepte verfügt:

1. 1. eine auf die nachhaltige Entwicklung der Gruppe gerichtete gruppenweite Geschäftsstrategie und eine damit konsistente gruppenweite Risikostrategie sowie Prozesse zur Planung, Umsetzung, Beurteilung und Anpassung der Strategien nach § 25a Absatz 1 Satz 3 Nummer 1, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass
   1. a) jederzeit das Gesamtziel der Gruppe, die Ziele der Gruppe für jede wesentliche Geschäftsaktivität sowie die Maßnahmen zur Erreichung dieser Ziele dokumentiert werden;
   2. b) die Risikostrategie der Gruppe jederzeit die Ziele der Risikosteuerung der wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele umfasst;
   3. c) die strategische Ausrichtung der gruppenangehörigen Unternehmen mit den gruppenweiten Geschäfts- und Risikostrategien abgestimmt wird;
2. 2. Verfahren zur Ermittlung und Sicherstellung der Risikotragfähigkeit der Gruppe nach § 25a Absatz 1 Satz 3 Nummer 2, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass
   1. a) die wesentlichen Risiken der Gruppe, insbesondere Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken, regelmäßig und anlassbezogen im Rahmen einer Risikoinventur identifiziert und definiert werden (Gesamtrisikoprofil der Gruppe);
   2. b) im Rahmen der Risikoinventur Risikokonzentrationen innerhalb der Gruppe berücksichtigt sowie mögliche wesentliche Beeinträchtigungen der Vermögenslage, der Ertragslage oder der Liquiditätslage der Gruppe geprüft werden;
3. 3. interne Kontrollverfahren mit einem internen Kontrollsystem und einer internen Revision nach § 25a Absatz 1 Satz 3 Nummer 3 Buchstabe a bis c, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass
   1. a) im Rahmen der Aufbau- und Ablauforganisation der Gruppe Verantwortungsbereiche klar abgegrenzt werden, wobei wesentliche Prozesse und damit verbundene Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege innerhalb der Gruppe klar zu definieren sind und sicherzustellen ist, dass Mitarbeiter keine miteinander unvereinbaren Tätigkeiten ausüben;
   2. b) bei den gruppenangehörigen Unternehmen eine grundsätzliche Trennung zwischen dem Bereich, der Kreditgeschäfte initiiert und bei den Kreditentscheidungen über ein Votum verfügt (Markt), sowie dem Bereich Handel einerseits und dem Bereich, der bei den Kreditentscheidungen über ein weiteres Votum verfügt (Marktfolge), und den Funktionen, die dem Risikocontrolling und die der Abwicklung und Kontrolle der Handelsgeschäfte dienen, andererseits besteht;
   3. c) in angemessenen Abständen, mindestens aber vierteljährlich, gegenüber der Geschäftsleitung über die Risikosituation einschließlich einer Beurteilung der Risiken berichtet wird;
   4. d) in angemessenen Abständen, mindestens aber vierteljährlich, auf Gruppenebene seitens der Geschäftsleitung gegenüber dem Verwaltungs- oder Aufsichtsorgan über die Risikosituation der Gruppe einschließlich einer Beurteilung der Risiken berichtet wird;
   5. e) das interne Kontrollsystem der Gruppe eine Risikocontrolling-Funktion und eine Compliance-Funktion sowie Risikosteuerungs- und -controllingprozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der wesentlichen Risiken und damit verbundener Risikokonzentrationen umfasst;
   6. f) regelmäßig angemessene Stresstests für die wesentlichen Risiken und das Gesamtrisikoprofil auf Gruppenebene durchgeführt werden und auf Grundlage der Ergebnisse möglicher Handlungsbedarf geprüft wird;
   7. g) die Konzernrevision in angemessenen Abständen, mindestens aber vierteljährlich, an die Geschäftsleitung und an das Verwaltungs- oder Aufsichtsorgan berichtet;
4. 4. eine angemessene personelle und technisch-organisatorische Ausstattung der Gruppe nach § 25a Absatz 1 Satz 3 Nummer 4, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass die quantitative und qualitative Personalausstattung und der Umfang und die Qualität der technisch-organisatorischen Ausstattung der gruppenangehörigen Unternehmen die jeweiligen betriebsinternen Erfordernisse, die Geschäftsaktivitäten und die Risikosituation der gruppenangehörigen Unternehmen berücksichtigen;
5. 5. für Notfälle in zeitkritischen Aktivitäten und Prozessen angemessene Notfallkonzepte nach § 25a Absatz 1 Satz 3 Nummer 5 auf Gruppenebene, mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass regelmäßig Notfalltests zur Überprüfung der Angemessenheit und Wirksamkeit des Notfallkonzeptes auf Gruppenebene durchgeführt werden und über die Ergebnisse den jeweils Verantwortlichen berichtet wird;
6. 6. im Fall einer Auslagerung von Aktivitäten und Prozessen auf ein anderes Unternehmen nach § 25b Absatz 1 Satz 1 mindestens angemessene Verfahren und Konzepte, um übermäßige zusätzliche Risiken sowie eine Beeinträchtigung der Ordnungsmäßigkeit der Geschäfte, Dienstleistungen und der Geschäftsorganisation im Sinne des § 25a Absatz 1 zu vermeiden, und
7. 7. angemessene Verfahren und Konzepte, die sicherstellen, dass Inhaber von Schlüsselfunktionen jederzeit die Anforderungen des § 25e Absatz 1 erfüllen; mindestens haben die Geschäftsleiter dafür Sorge zu tragen, dass die Eignung der Inhaber von Schlüsselfunktionen vor Übernahme der Funktion sowie regelmäßig und bei Bedarf bewertet wird.

(4c) Wenn die Bundesanstalt zu dem Ergebnis kommt, dass das Institut oder die Gruppe nicht über die Strategien, Prozesse, Verfahren, Funktionen und Konzepte nach Absatz 4a und 4b verfügt, kann sie, unabhängig von anderen Maßnahmen nach diesem Gesetz, anordnen, dass geeignete Maßnahmen ergriffen werden, um die festgestellten Mängel innerhalb einer angemessenen Frist zu beseitigen.

(5) In Ausnahmefällen kann die Bundesanstalt auch eine andere mit der Führung der Geschäfte betraute und zur Vertretung ermächtigte Person widerruflich als Geschäftsleiter einsetzen, wenn sie zuverlässig ist und die erforderliche fachliche Eignung hat; Absatz 1 ist anzuwenden. Wird das Institut von einem Einzelkaufmann betrieben, so kann in Ausnahmefällen unter den Voraussetzungen des Satzes 1 eine von dem Inhaber mit der Führung der Geschäfte betraute und zur Vertretung ermächtigte Person widerruflich als Geschäftsleiter eingesetzt werden. Beruht die Einsetzung einer Person als Geschäftsleiter auf einem Antrag des Instituts, so kann sie nur auf Antrag des Instituts oder des Geschäftsleiters widerrufen werden.

(6) (weggefallen)