# VAE: Neue OpRisk-Regel verschiebt GRC von Kontrolle zu Resilienz > Swiss GRC erklärt die Regulation No. C 1/2026 der Zentralbank der VAE, die seit 14. September 2026 gilt. Der Beitrag richtet sich an GRC-Funktionen lizenzierter Finanzinstitute und zeigt, wie der Massstab von Verlustvermeidung zu belegbarer Wiederherstellung wechselt. - URL: https://swissgrc.com/vae-oprisk-regel-resilienz-grc-rollenwechsel/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-09-18 - Zuletzt aktualisiert: 2026-09-20 ## Kernaussagen - Die Operational Risk and Operational Resilience Regulation der Zentralbank der VAE (Regulation No. C 1/2026) ist am 14. September 2026 in Kraft getreten und ersetzt Circular No. 163/2018 vollständig. - Die Regulierung gilt für alle lizenzierten Finanzinstitute mit eigener Rechtspersönlichkeit, nicht nur für Banken. - Institute müssen für jeden kritischen Betriebsablauf eine Störungstoleranz festlegen, bestehend aus maximal akzeptabler Unterbrechungsdauer und tragbarem Ausmass der Auswirkung. - Bei erheblichen Auswirkungen auf kritische Betriebsabläufe ist die Zentralbank binnen vier Stunden zu benachrichtigen, ein Kurzbericht folgt binnen 24 Stunden, für Vorfälle hoher Schwere zusätzlich eine Meldung binnen 72 Stunden. - Für kritische Funktionen ist ein Penetrationstest durch eine unabhängige externe Partei vorgeschrieben, dessen Ergebnisse dem Verwaltungsrat vorzulegen sind. - Verstösse können Sanktionen auslösen, die von Geldstrafen über die Absetzung von Führungspersonen bis zur temporären Fremdverwaltung des Instituts reichen. Am 14. September 2026 ist die Operational Risk and Operational Resilience Regulation der Zentralbank der Vereinigten Arabischen Emirate in Kraft getreten, wie Gulf News berichtet. Regulation No. C 1/2026 wurde bereits im Februar 2026 erlassen und ersetzt den Rahmen von 2018. Sie gilt für alle lizenzierten Finanzinstitute mit eigener Rechtspersönlichkeit, nicht nur für Banken. Im Zentrum steht ein Massstabwechsel: Nicht mehr die Vermeidung operativer Verluste zählt, sondern die nachweisbare Fähigkeit, Betrieb aufrechtzuerhalten, sich anzupassen, sich zu erholen und aus Vorfällen zu lernen. Für GRC-Funktionen lohnt sich der Blick darauf, was dieser Rollenwechsel strukturell verlangt. Kurz zusammengefasst Die Operational Risk and Operational Resilience Regulation der Zentralbank der VAE, seit 14. September 2026 in Kraft, misst Institute nicht mehr an der Vermeidung von Verlusten, sondern an der belegbaren Fähigkeit zur Wiederherstellung. Institute müssen für jeden kritischen Betriebsablauf Störungstoleranzen festlegen, Wiederherstellung testen statt dokumentieren und schwere Vorfälle binnen vier Stunden melden, gefolgt von einem Kurzbericht binnen 24 Stunden. ## Was ersetzt die neue Regulierung konkret? Die [Operational Risk Management Regulation](https://gulfnews.com/business/banking/uae-overhauls-bank-risk-rules-4-hour-reporting-cyber-tests-and-tougher-penalties-1.500675080) der Zentralbank der VAE, bekannt als Regulation No. C 1/2026, löst Circular No. 163/2018 zum Operational Risk Management samt zugehörigen Standards vollständig ab. Die Regulierung gilt für alle lizenzierten Finanzinstitute mit eigener Rechtspersönlichkeit und beschränkt sich damit nicht auf Banken. Die Zentralbank kann bei Bedarf zusätzliche Anforderungen auferlegen und weitere Standards oder Leitlinien erlassen. Der Rahmen bleibt damit ausbaufähig, statt mit dem Inkrafttreten abgeschlossen zu sein. Zeitlich fügt sie sich in ein grösseres Bild. Die Regulierung wurde bereits im Februar 2026 als eine der Ausführungsregulierungen zum neuen Zentralbankgesetz erlassen, dem Federal Decree-Law No. 6 of 2025, das am 16. September 2025 in Kraft trat, wie die Kanzlei Hadef & Partners aufschlüsselt. Artikel 184 dieses Gesetzes räumte den betroffenen Instituten ein Jahr ein, um ihre Verhältnisse mit dem Gesetz in Einklang zu bringen, was zur Frist vom 15. September 2026 führte. Die neue Operational-Risk-Regulierung wird also genau einen Tag vor dieser Frist wirksam. Wer den Stichtag als reinen Lizenz- und Gesellschaftsrechtstermin behandelt hat, hat den operativen Teil möglicherweise unterschätzt. ## Warum wird operative Resilienz zum neuen Massstab? Der Rahmen verschiebt den Fokus vom traditionellen Vermeiden operativer Verluste hin zum Aufbau von Institutionen, die Betrieb aufrechterhalten, sich anpassen, sich erholen und aus Vorfällen lernen können. Der konkrete Hebel dafür sind Störungstoleranzen. Institute müssen kritische Betriebsabläufe identifizieren, deren Ausfall Kunden, dem Institut selbst oder dem Finanzsystem erheblich schaden könnte, und für jeden dieser Abläufe eine klar definierte Toleranz festlegen: die maximal akzeptable Dauer einer Unterbrechung und das Ausmass an Auswirkung, das noch getragen werden kann. Je nach Geschäftstätigkeit zählen dazu Überweisungen und Zahlungen, Kontozugang und Lohnverarbeitung sowie der Betrieb sämtlicher Kartenarten. Damit verschiebt sich der Nachweis von der Existenz eines Wiederanlaufplans zur Fähigkeit, den Dienst innerhalb vorab definierter Zeiten und Toleranzen zu erbringen oder wiederherzustellen. Gegenüber dem Rahmen von 2018 sind operative Resilienz, die Identifikation kritischer Betriebsabläufe, das Mapping von Abhängigkeiten, Cybersicherheit, Drittparteirisikomanagement, Stress- und Penetrationstests, die Vier-Stunden-Meldung, Change Management, Kundenschutz, Data Governance und öffentliche Offenlegung neu hinzugekommen. Die Meldepflicht ist dabei gestaffelt und nicht auf eine Frist beschränkt. Hat ein Ereignis erhebliche oder wahrscheinlich erhebliche Auswirkungen auf die Kontinuität und Sicherheit kritischer Betriebsabläufe, muss das Institut die Zentralbank innerhalb von [vier Stunden](https://gulfnews.com/business/banking/new-uae-central-bank-rules-target-outages-fraud-and-cyberattacks-1.500674991) benachrichtigen und dabei die betroffenen Abläufe benennen. Innerhalb von 24 Stunden folgt ein Kurzbericht zu Art des Vorfalls, ergriffenen Massnahmen, möglicher Auswirkung und erwartetem Zeitrahmen bis zur Rückkehr zum Normalbetrieb. Ist dieser wiederhergestellt, ist die Zentralbank erneut zu informieren. Für Vorfälle hoher Schwere nach den institutseigenen Klassifikationskriterien gilt zusätzlich eine Meldung binnen 72 Stunden. Welche Betriebsabläufe als kritisch gelten und wie sie priorisiert werden, ist eine Frage, die auch die [EBA-Leitlinien zu kritischen Funktionen](https://swissgrc.com/eba-leitlinien-kritische-funktionen-zuerst/) für europäische Institute stellen. ## Was bedeutet das für die drei Verteidigungslinien? Die Regulierung bekräftigt das Modell der drei Verteidigungslinien, verlangt eine unabhängige Operational-Risk-Funktion unter Leitung des Chief Risk Officer und reicht die Verantwortlichkeit ausdrücklich bis zu Geschäftsleitung und Verwaltungsrat. Geschäftsbereiche bilden als erste Linie die kontinuierliche Identifikation, Bewertung und Kontrolle von Risiken im Tagesgeschäft. Risikomanagement und Compliance sorgen als zweite Linie für relativ unabhängige Aufsicht und stellen Entscheidungen der ersten Linie wo nötig infrage. Die interne Revision gibt als dritte Linie unabhängige Zusicherung zur Wirksamkeit des Rahmens. Die unabhängige Operational-Risk-Funktion muss ausreichend ausgestattet sein und eine eigene Sicht auf wesentliche Risiken entwickeln, die Wirksamkeit interner Kontrollen beurteilen, das Risikoprofil überprüfen, Bedrohungen und Schwachstellen für kritische Betriebsabläufe identifizieren sowie Schulung und Risikobewusstsein fördern. Die Rollenteilung an der Spitze ist dabei ausdrücklich: Der Verwaltungsrat genehmigt Strategien, Richtlinien und Risikoappetit, die Geschäftsleitung setzt sie um und stellt geeignete Systeme, Ressourcen und qualifiziertes Personal bereit. Diese Struktur ist nicht neu, sie erhält aber ein schärferes Prüfkriterium: Nicht die Existenz der drei Linien zählt, sondern ob sie im Ernstfall innerhalb von vier Stunden ein gemeinsames Lagebild liefern können. Wie sich das Zusammenspiel der drei Linien insgesamt verschiebt, beschreibt das neue [Three Lines Model](https://swissgrc.com/drei-linien-ein-bild-three-lines-model-iia-guidance/) der IIA-Guidance. ## Welche Konsequenzen drohen bei Verstössen? Es handelt sich um durchsetzbare aufsichtsrechtliche Pflichten, nicht um freiwillige Leitlinien. Verstösse können aufsichtliche Massnahmen und administrative oder finanzielle Sanktionen auslösen, die bis zur temporären Fremdverwaltung des Instituts reichen. Zum Massnahmenkatalog gehören auch die Absetzung, Ersetzung oder Beschränkung der Befugnisse von Geschäftsleitung oder Verwaltungsratsmitgliedern, Geldstrafen sowie ein Tätigkeitsverbot im Finanzsektor der VAE. Diese Bandbreite zeigt, dass die Aufsicht nicht allein das Institut, sondern die handelnden Personen an der Spitze adressiert. Für die GRC-Funktion bedeutet das, dass Nachweise nicht mehr nur für die Compliance-Abteilung, sondern für die persönliche Rechenschaftspflicht der Geschäftsleitung dokumentiert werden müssen. ## Was heisst das strukturell für eine GRC-Funktion? Eine GRC-Funktion muss belegen können, dass sie kritische Abläufe kennt, deren Abhängigkeiten kartiert und die Wiederherstellung testet, statt Risiken nur zu dokumentieren. Der Test wird dabei konkret vorgegeben. Institute müssen periodische Stresstests für operationelle Risiken durchführen, einschliesslich der Prüfung des Kontrollumfelds und von Penetrationstests. Für kritische Funktionen muss die periodische Prüfung einen Penetrationstest durch eine unabhängige externe Partei umfassen, dessen Ergebnisse dem Verwaltungsrat vorzulegen sind. Business-Continuity- und Disaster-Recovery-Pläne sind nicht nur zu führen, sondern unter schweren, aber plausiblen Szenarien zu erproben. Finanzinstitute müssen zudem einen Rahmen für IKT- und Cybersicherheitsrisiken umsetzen, der Risikoidentifikation und -bewertung, Minderungsmassnahmen, Vorfallreaktion und Wiederherstellung, Change Management, Daten- und Technologiedienste sowie Patch-Management abdeckt. Das Incident Management muss den gesamten Vorfallzyklus abdecken, von Erkennung, Klassifikation und Eindämmung über die Wiederherstellung des Dienstes bis zur Ursachenanalyse und zu Massnahmen gegen eine Wiederholung. Interner und externer Betrug wird ausdrücklich Teil des operationellen Rahmens und damit zu einem Thema, das identifiziert, bewertet, überwacht, berichtet und gemindert werden muss, statt allein bei Sicherheit oder Compliance zu liegen. Neu ist auch die Verbindung zum Kundenschutz. Führen operative Störungen dazu, dass Kunden wesentlich falsche Informationen erhalten, etwa zu Zahlungsbestätigungen, Belastungen und Gutschriften oder Kontoständen, müssen Institute klar erläutern, wie Konten und Transaktionen betroffen sind. Für Verluste, die Kunden durch Fehler des Instituts erleiden, haftet das Institut nach den Verbraucherschutzvorschriften der Zentralbank. Wo Drittparteien Teil kritischer Abläufe sind, verlangt das Drittparteirisikomanagement eine Steuerung, die über ein reines Lieferantenverzeichnis hinausgeht, wie es auch der Beitrag zur [Third-Party Risk Governance](https://swissgrc.com/third-party-risk-governance-vom-lieferantenkataster-zur-steuerung/) beschreibt. ## Wie lässt sich der Rollenwechsel konkret vorbereiten? Ein erster, überprüfbarer Schritt ist, dass der Risikoausschuss das Verzeichnis kritischer Betriebsabläufe binnen der nächsten ordentlichen Sitzung validiert und für jeden Ablauf eine Störungstoleranz beschliesst, also eine maximale Ausfalldauer und ein tragbares Ausmass an Auswirkung. Darauf aufbauend lohnt sich eine Abhängigkeitskarte, die Systeme, Daten, Personal und Drittanbieter je kritischem Ablauf zusammenführt, sowie ein Testlauf der Business-Continuity-Pläne, der nicht die Dokumentation, sondern die tatsächliche Wiederherstellungszeit gegen die beschlossene Toleranz misst. Ebenso sinnvoll ist, die Eskalationskette einmal vollständig durchzuspielen, vom erkannten Vorfall über die Vier-Stunden-Meldung bis zum Kurzbericht nach 24 Stunden. Institute ausserhalb der VAE tun gut daran, den gleichen Massstab schon jetzt anzulegen, auch ohne unmittelbare Meldepflicht gegenüber einer dortigen Aufsicht. Wer die Wiederherstellungsfähigkeit erst dann prüft, wenn eine Aufsicht danach fragt, prüft zu spät. Passend dazu ### Nachweisbare Resilienz statt reiner Risikokontrolle Die Lösung für Operational Resilience bildet kritische Betriebsabläufe, deren Abhängigkeiten und die festgelegten Störungstoleranzen ab. Sie dokumentiert Wiederherstellungszeiten und Testergebnisse nachvollziehbar. [Operational Resilience](https://swissgrc.com/operational-resilience-software/) Für die Praxis ## Das Wichtigste in Kürze - Der Massstab wechselt von Verlustvermeidung zu belegbarer Wiederherstellungsfähigkeit kritischer Betriebsabläufe. - Für jeden kritischen Ablauf sind eine maximale Ausfalldauer und ein tragbares Ausmass an Auswirkung festzulegen. - Die Meldung ist gestaffelt: vier Stunden für die Erstmeldung, 24 Stunden für den Kurzbericht, 72 Stunden für Vorfälle hoher Schwere. - Kritische Funktionen brauchen einen Penetrationstest durch eine unabhängige externe Partei, mit Ergebnisvorlage an den Verwaltungsrat. - Verantwortlichkeit reicht bis zu Geschäftsleitung und Verwaltungsrat und wird entsprechend sanktioniert. - Kundenschutz wird Teil des operationellen Risikos: Das Institut haftet für Kundenverluste aus eigenen Fehlern. FAQ ## Häufige Fragen Seit wann gilt die neue Operational Risk Management Regulation der VAE-Zentralbank? Regulation No. C 1/2026 wurde im Februar 2026 erlassen und ist am 14. September 2026 in Kraft getreten. Sie ersetzt den bisherigen Rahmen von 2018 vollständig und gilt seither unmittelbar für alle lizenzierten Finanzinstitute im Land. Für welche Institute gilt Regulation No. C 1/2026? Regulation No. C 1/2026 gilt für alle lizenzierten Finanzinstitute mit eigener Rechtspersönlichkeit in den Vereinigten Arabischen Emiraten, nicht nur für Banken. Die Zentralbank kann darüber hinaus jederzeit zusätzliche Anforderungen auferlegen oder weitere Standards und Leitlinien erlassen, wodurch der Rahmen ausbaufähig bleibt. Was ist eine Störungstoleranz und wofür muss sie festgelegt werden? Für jeden kritischen Betriebsablauf müssen Institute eine klar definierte Störungstoleranz festlegen, bestehend aus der maximal akzeptablen Dauer einer Unterbrechung und dem Ausmass an Auswirkung, das noch getragen werden kann. Damit verschiebt sich der Nachweis von der Existenz eines Wiederanlaufplans hin zur Fähigkeit, den Dienst innerhalb vorab definierter Zeiten und Toleranzen zu erbringen oder wiederherzustellen. Wie viel Zeit haben Institute, einen kritischen Betriebsvorfall zu melden? Die Erstmeldung an die Zentralbank muss innerhalb von vier Stunden erfolgen, samt Benennung der betroffenen kritischen Abläufe. Innerhalb von 24 Stunden folgt ein Kurzbericht zu Art des Vorfalls, Massnahmen, möglicher Auswirkung und erwartetem Zeitrahmen bis zur Rückkehr zum Normalbetrieb; die Rückkehr selbst ist ebenfalls zu melden. Für Vorfälle hoher Schwere nach eigenen Klassifikationskriterien gilt zusätzlich eine Frist von 72 Stunden. Welche Tests verlangt die Regulierung konkret? Verlangt werden periodische Stresstests für operationelle Risiken einschliesslich der Prüfung des Kontrollumfelds sowie Penetrationstests. Für kritische Funktionen muss die periodische Prüfung einen Penetrationstest durch eine unabhängige externe Partei umfassen, dessen Ergebnisse dem Verwaltungsrat vorgelegt werden. Business-Continuity- und Disaster-Recovery-Pläne sind unter schweren, aber plausiblen Szenarien zu erproben. Was ist gegenüber dem bisherigen Rahmen von 2018 neu hinzugekommen? Neu hinzugekommen sind operative Resilienz, die Identifikation kritischer Betriebsabläufe, das Mapping von Abhängigkeiten, Cybersicherheit, Drittparteirisikomanagement, Stress- und Penetrationstests, die Vier-Stunden-Meldung, Change Management, Kundenschutz, Data Governance und öffentliche Offenlegung. Diese Themen werden damit von freiwilligen Ergänzungen zu Pflichtbestandteilen, die Institute nachweisbar umsetzen müssen. Müssen Institute ausserhalb der VAE die neue Regulierung ebenfalls beachten? Die Regulierung begründet ausserhalb der VAE keine unmittelbare Meldepflicht gegenüber einer dortigen Aufsicht. Empfehlenswert ist dennoch, den gleichen Massstab der belegbaren Wiederherstellungsfähigkeit schon jetzt anzulegen, da eine Prüfung erst nach Anfrage einer Aufsicht zu spät kommt, statt vorausschauend zu handeln. Quellen 1. [UAE overhauls bank risk rules: 4-hour reporting, cyber tests and tougher penalties](https://gulfnews.com/business/banking/uae-overhauls-bank-risk-rules-4-hour-reporting-cyber-tests-and-tougher-penalties-1.500675080)Gulf News 2. [New UAE Central Bank rules target outages, fraud and cyberattacks](https://gulfnews.com/business/banking/new-uae-central-bank-rules-target-outages-fraud-and-cyberattacks-1.500674991)Gulf News 3. [UAE Central Bank targets banking apps and card disruption with tougher risk rules](https://www.arabianbusiness.com/finance/banking/uae-central-bank-targets-banking-apps-and-card-disruption-with-tougher-risk-rules)Arabian Business 4. [UAE Central Bank Law: 2026 Developments and the September 2026 Reconciliation Deadline](https://hadefpartners.com/news-insights/insights/uae-central-bank-law-2026-developments-and-the-september-2026-reconciliation-deadline/)Hadef & Partners 5. [Operational Risk Regulation C 163/2018](https://rulebook.centralbank.ae/en/rulebook/operational-risk-regulation)Central Bank of the UAE, Rulebook 6. [UAE Overhauls Bank Risk Rules With Four-Hour Reporting, Cyber Tests and Tougher Penalties](https://www.dubaistandard.com/uae-overhauls-bank-risk-rules-with-four-hour-reporting-cyber-tests-and-tougher-penalties/)Dubai Standard ## Häufige Fragen ### Seit wann gilt die neue Operational Risk Regulation der Zentralbank der VAE? Regulation No. C 1/2026 wurde im Februar 2026 erlassen und ist am 14. September 2026 in Kraft getreten. Sie ersetzt den Rahmen von 2018 vollständig. ### Für welche Institute gilt Regulation No. C 1/2026? Sie gilt für alle lizenzierten Finanzinstitute mit eigener Rechtspersönlichkeit in den VAE, nicht nur für Banken. Die Zentralbank kann zusätzliche Anforderungen auferlegen und weitere Standards oder Leitlinien erlassen. ### Was ist eine Störungstoleranz? Eine Störungstoleranz legt für einen kritischen Betriebsablauf die maximal akzeptable Dauer einer Unterbrechung und das noch tragbare Ausmass an Auswirkung fest. Der Nachweis verschiebt sich damit von der Existenz eines Wiederanlaufplans zur Fähigkeit, den Dienst innerhalb der definierten Zeiten wiederherzustellen. ### Wie schnell müssen Institute einen schweren Vorfall der VAE-Zentralbank melden? Die Erstmeldung erfolgt innerhalb von vier Stunden, ein Kurzbericht innerhalb von 24 Stunden. Für Vorfälle hoher Schwere nach den eigenen Klassifikationskriterien gilt zusätzlich eine Meldung binnen 72 Stunden. ### Welche Tests verlangt die Regulierung? Verlangt werden periodische Stresstests für operationelle Risiken inklusive Penetrationstests. Für kritische Funktionen muss ein Penetrationstest durch eine unabhängige externe Partei erfolgen, und Business-Continuity- und Disaster-Recovery-Pläne sind unter schweren, aber plausiblen Szenarien zu erproben.