WpHG-Novelle 2026: Sind Ihre Compliance-Prozesse nach §§ 24b, 26 WpHG bereits für die zwingende ESAP-Anbindung gerüstet?

Bei der Umsetzung der neuen WpHG-Pflichten und dem Betrieb unter dem ESAP-Regime müssen Compliance-Verantwortliche zwei verschiedene Arten von Fristen unterscheiden: die projektbezogene Umsetzungsfrist (Wann tritt das Gesetz in Kraft?) und die operativen Meldefristen im laufenden Betrieb.

Hier sind die entscheidenden Fristen im Überblick:

1. Die finale Umsetzungsfrist (Inkrafttreten)

10. Juli 2026 (Stichtag): Dies ist der Tag, an dem die WpHG-Änderungen durch das Finanzmarktaufsichts-Digitalisierungsgesetz (FiMauStRndG) offiziell wirksam werden und die technische Anwendung startet. Bis zu diesem Datum müssen die internen Prozesse, Systeme und Richtlinien auf die ESAP-Weiterleitung umgestellt sein.

2. Die operativen Meldefristen (Laufender Betrieb)

Sobald ein meldepflichtiges Ereignis eintritt, greifen extrem enge Zeitschienen für die Übermittlung und Verarbeitung:

• Gleichzeitige Übermittlung (Emittenten): Transparenz- und Stimmrechtsmitteilungen sowie Finanzberichte (Jahres-, Halbjahres- und Zahlungsberichte) müssen gleichzeitig zur Einstellung in das Unternehmensregister und zur Weiterleitung an das ESAP übermittelt werden. Eine zeitliche Verzögerung zwischen nationaler und europäischer Meldung ist unzulässig.
  
  
• 2 bis 4 Handelstage (Aktionäre & Emittenten): Die gesetzlichen Fristen des WpHG zur Veröffentlichung von Stimmrechtsmitteilungen nach einer Schwellenberührung (3 %, 5 % etc.) bleiben unverändert streng. Die technische ESAP-Anbindung darf diesen engen Zeitkorridor keinesfalls verzögern.
  
  
• 60-Minuten-Verarbeitungsfenster (Sammelstellen): Sobald die Daten beim Unternehmensregister eingehen, führt dieses eine automatisierte technische Validierung durch. Das Register muss dem einreichenden Unternehmen innerhalb von maximal 60 Minuten eine detaillierte Rückmeldung über die Annahme oder die Ablehnung (z. B. wegen fehlerhafter Metadaten) ausstellen.
  
  
• 60-Minuten-Weiterleitungsfrist (ESAP): Nach erfolgreicher technischer Validierung muss die Sammelstelle die Informationen ohne unnötige Verzögerung, spätestens jedoch innerhalb von 60 Minuten, an das zentrale europäische ESAP-Portal übertragen.

Compliance-Hinweis: Da das System fehlerhafte Meldungen innerhalb von 60 Minuten automatisiert zurückweist, müssen Ihre internen Prozesse so ausgelegt sein, dass ein korrigierter Datensatz noch innerhalb der gesetzlichen WpHG-Meldefrist (2–4 Handelstage) neu eingereicht werden kann.

Die Pflichten von C-Level (Vorstand/Geschäftsführung) und Compliance greifen bei der ESAP-Umsetzung nahtlos ineinander. Während das C-Level die strategische und rechtliche Gesamtverantwortung (Haftung) trägt, ist die Compliance-Abteilung für die operative Umsetzung und Überwachung zuständig.

Hier sind die gemeinsamen Pflichten und Aufgabenbereiche zusammengefasst:

• Ressourcen- und Budgetfreigabe:

  Das C-Level muss proaktiv die finanziellen und personellen Mittel für die notwendige IT-Umstellung bereitstellen, während Compliance die exakten regulatorischen Anforderungen an die neuen ESAP-Schnittstellen definiert.
  
  

• Vermeidung von Organisationsverschulden (Haftungsprävention):

  Die Geschäftsführung haftet persönlich für die ordnungsgemäße Pflichtpublizität. Compliance muss das interne Kontrollsystem (IKS) so absichern, dass BaFin-Sanktionen, Bußgelder und Reputationsschäden („Naming & Shaming“) durch verpasste oder fehlerhafte Meldungen ausgeschlossen sind.
  
  

• Prozessuale Neuausrichtung der Meldewege:

  Beide Instanzen müssen sicherstellen, dass die internen Prozesse so umgebaut werden, dass Transparenzmitteilungen und Finanzberichte künftig zwingend „gleichzeitig“ an das nationale Unternehmensregister und zur Weiterleitung an das ESAP übermittelt werden.
  
  

• Sicherstellung der technischen Meldefähigkeit:

  Es liegt in der gemeinsamen Verantwortung, die IT so aufzustellen, dass Meldungen in den vorgeschriebenen maschinenlesbaren oder datenextrahierbaren Formaten generiert werden. Zudem muss garantiert sein, dass alle zwingend erforderlichen Metadaten (wie z. B. der Legal Entity Identifier) fehlerfrei an die Dokumente angehängt werden.
  
  

• Etablierung eines Eskalations- und Fehlermanagements:

  Da Sammelstellen fehlerhafte oder unvollständige Datensätze durch automatisierte Validierungen künftig innerhalb von maximal 60 Minuten ablehnen, muss ein robuster Krisenprozess etabliert werden. Dieser muss sicherstellen, dass abgelehnte Meldungen sofort korrigiert und noch innerhalb der strengen gesetzlichen Fristen (z. B. 2–4 Handelstage bei Stimmrechtsmitteilungen) neu eingereicht werden.
  
  

• Aktualisierung der internen Governance:

  Das Compliance-Manual sowie alle internen WpHG-, Disclosure- und Transparenzrichtlinien müssen zwingend um die neuen ESAP-Anforderungen und die angepassten Paragrafen (z. B. §§ 5, 24b, 26, 40 WpHG) erweitert werden.
  
  

• Schulung und Sensibilisierung:

  Compliance muss (mit Rückendeckung des C-Levels) sicherstellen, dass alle relevanten Abteilungen – insbesondere Investor Relations (IR), die Rechtsabteilung, das Reporting-Team und die IT – umfassend zu den neuen technischen Anforderungen und Meldeketten geschult werden.

Bei der Umstellung auf das neue ESAP-Regime zum 10.07.2026 stehen Compliance-Verantwortliche und das C-Level vor handfesten operativen und rechtlichen Herausforderungen. Die Missachtung dieser „Pain Points“ führt durch die Verknüpfung von technischer Infrastruktur und harten gesetzlichen Vorgaben direkt in die Haftungsfalle.

Hier sind die kritischsten Pain Points im Detail, untermauert mit den konkreten normativen Bezügen:

Pain Point 1: Das „60-Minuten-Nadelöhr“ bei der Fehlerkorrektur

• Die Herausforderung: Erreicht eine Meldung das Unternehmensregister mit fehlerhaften Daten, greift eine automatisierte Validierung. Das Register muss innerhalb von 60 Minuten die Ablehnung und die Gründe dafür mitteilen.
  
  
• Normativer Bezug: § 24b WpHG i.V.m. Art. 1 Abs. 6 & Art. 6 Abs. 1 CB-ITS (Entwurf). Erhält das Compliance-Team diese Fehlermeldung freitags um 17:00 Uhr, tickt die Uhr gnadenlos gegen die gesetzlichen Veröffentlichungsfristen. Es muss ein 24/7-fähiger Prozess etabliert werden, um abgelehnte Datensätze sofort neu zu übermitteln.

Pain Point 2: Starre Meldefristen vs. Technische Verzögerung

• Die Herausforderung: Erhält ein Emittent eine Stimmrechtsmitteilung (z.B. bei Schwellenberührung von 3%), muss das Unternehmen diese unverzüglich (innerhalb von max. 3 Handelstagen) veröffentlichen. Die neue Pflicht verlangt, dass dies gleichzeitig zur Weiterleitung an das ESAP geschieht. Verzögert sich die Meldung durch technische IT-Probleme bei der Formatierung, droht sofort ein Fristverstoß.
  
  
• Normativer Bezug: § 40 Abs. 1 WpHG (Veröffentlichungsfrist) i.V.m. §§ 5, 26, 40, 41 WpHG (Erweiterung um die „gleichzeitige“ ESAP-Übermittlung).

Pain Point 3: Rechtliche Haftung für fehlerhafte Metadaten

• Die Herausforderung: Unternehmen neigen dazu, Metadaten als reines „IT-Problem“ abzutun. Rechtlich ist jedoch der Emittent voll für die Richtigkeit der Metadaten verantwortlich. Fehlen Pflichtangaben oder ist der Legal Entity Identifier (LEI) ungültig, wird das gesamte Dokument abgewiesen.
  
  
• Normativer Bezug: Art. 5 Abs. 1 & Tabelle 1 (Annex) CB-ITS. Zu den zwingenden Metadaten gehören u.a. der korrekte ISO 17442 LEI, die Unternehmensgröße, der Industrie-Sektor (NACE-Code-Klassifikation) und die Art der Information. Compliance muss die Datenqualität vor dem Absenden rechtlich validieren.

Pain Point 4: Zwingende Format-Vorgaben („Zero Tolerance“ für eingescannte PDFs)

• Die Herausforderung: Ein einfaches, eingescanntes Dokument oder ein PDF, das den Text als Bild enthält, wird von den automatischen Validierungssystemen der Sammelstellen unweigerlich blockiert, da der Text für Maschinen nicht lesbar oder extrahierbar ist.
  
  
• Normativer Bezug: Art. 1 Abs. 2 i.V.m. Art. 7 Abs. 1 & 2 CB-ITS. Informationen müssen zwingend in datenextrahierbaren Formaten (wie echtem HTML, PDF oder txt) oder maschinenlesbaren Formaten (XML, XBRL, Inline XBRL) vorliegen. Dies betrifft insbesondere auch die Finanzberichterstattung gemäß §§ 114–116 WpHG.

Pain Point 5: Das Sanktionsrisiko durch „Naming & Shaming“

• Die Herausforderung: Scheitert die ESAP-Übermittlung aufgrund technischer Mängel, wertet die BaFin dies als Verstoß gegen die Publizitätspflichten. Neben empfindlichen Geldbußen droht die sofortige Veröffentlichung des Verstoßes auf der BaFin-Website.
  
  
• Normativer Bezug: § 124 WpHG (Bußgeldvorschriften) und § 125 WpHG (Bekanntmachung von Sanktionen / „Naming & Shaming“). Für das C-Level ist dies der kritischste Pain Point, da er zu unmittelbarem Reputationsverlust und Kursstürzen führen kann.