Regulatorische Quellen & Dokumente

Leasing- und Factoring-Gesellschaften fallen zum 1. Januar 2027 vollständig unter DORA und müssen binnen weniger Monate ein komplettes Rahmenwerk aufbauen: IKT-Risikomanagement, Vorfallmanagement, Resilience Testing, Informationsregister und Auslagerungssteuerung. Diese Häuser haben weder Verbundplattform noch Hausberater. Das ist der härteste Termin im Markt und zugleich die größte Lücke. Der Aufbau sollte jetzt beginnen, nicht erst im Dezember.

Das BSI hat den 31. Juli 2026 als Abschluss der Toleranzfrist für ausstehende NIS-2-Registrierungen gesetzt. Ab August 2026 leitet das BSI verstärkt Aufsichtsverfahren gegen nicht registrierte Einrichtungen ein. Unternehmen, die sich noch nicht registriert haben, riskieren Bußgelder bis zu 10 Mio. EUR oder 2 % des Jahresumsatzes sowie persönliche Geschäftsführerhaftung. Registrierung und erste Audits sind nun zwingend.

Die Pflichten für Hochrisiko-KI-Systeme gemäß EU AI Act (Art. 9–17) sind seit dem 2. August 2026 voll anwendbar. Finanzinstitute müssen KI-Systeme in der Kreditwürdigkeitsprüfung, Betrugserkennung und Versicherungstarifierung vollständig konform haben – mit Risikomanagement-System, technischer Dokumentation, menschlicher Aufsicht und Robustheitsanforderungen. Die BaFin prüft jetzt die KI-Inventare und Konformitätsdokumentation beaufsichtigter Institute.

Die Übergangsfrist für DORA ist beendet. Nationale Aufsichtsbehörden haben ab Juli 2026 mit automatisierten sektorübergreifenden Analysen des IKT-Informationsregisters begonnen und erste Aufsichtsbescheide mit Beanstandungen verschickt. Institute mit Lücken im Register müssen eine Resubmission durchführen. Schwerpunkte: Vertragsanpassungen bei IKT-Drittdienstleistern, TLPT-Nachweise und Vorfallmanagement-Prozesse.

Die EBA hat ein Factsheet zu den Auswirkungen des EU AI Act auf den Banken- und Zahlungssektor veröffentlicht. Es beschreibt die Klassifizierung hochriskanter KI-Anwendungen (Kreditscoring, Betrugserkennung, AML-Systeme), Schnittstellen zu DORA-Pflichten für KI als IKT-Komponente sowie die Rolle der nationalen Aufsichtsbehörden. Die Europäische Kommission muss bis 2. Februar 2027 Leitlinien zur Klassifizierung hochriskanter Anwendungsfälle veröffentlichen.

Die EBA hat aktualisierte Leitlinien zum IKT-Risikomanagement-Framework nach DORA sowie überarbeitete technische Durchführungsstandards (ITS) zum DORA-Informationsregister veröffentlicht. Die Leitlinien präzisieren Mindestanforderungen an Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung sowie Vorgaben zur Klassifizierung von IKT-Vorfällen und Konzentrationsrisiken bei Cloud-Anbietern.

Die BaFin hat ihre Erwartungen an KI-Governance für beaufsichtigte Institute konkretisiert: KI-Inventar, Risikoklassifizierung nach EU AI Act, Integration in MaRisk-konforme Risikostrukturen sowie menschliche Aufsicht bei automatisierten Kreditentscheidungen. Finanzinstitute sollten ihre KI-Systeme bis zur Hochrisiko-Frist (August 2026) vollständig inventarisiert und klassifiziert haben.

Die EBA hat Banken zusätzliche Vorbereitungszeit bis Ende Juni 2026 eingeräumt, um neue erweiterte Meldepflichten für operationelle Risiken nach CRR3/Basel IV zu erfüllen. Die neuen Anforderungen umfassen detailliertere Datenmeldungen zu Verlusten aus operationellen Risiken und IKT-Vorfällen.

Die EBA hat ein Diskussionspapier zu den Anforderungen an KI-Governance und Hochrisiko-KI-Systeme im Finanzsektor veröffentlicht. Es konkretisiert, welche KI-Anwendungen (u. a. Kreditscoring, Betrugserkennung, AML-Systeme) als hochriskant gemäß EU AI Act einzustufen sind und welche Governance-, Risikomanagement- und Dokumentationspflichten daraus folgen. Das Papier adressiert zudem die Abgrenzung zu DORA-Pflichten für KI als IKT-Komponente.

Das Institut der Wirtschaftsprüfer (IDW) hat Hinweise zur Berücksichtigung von DORA-Anforderungen im Rahmen der Abschlussprüfung veröffentlicht. Die Verlautbarung richtet sich an Wirtschaftsprüfer und Revisoren und gibt Orientierung zu Prüfungshandlungen für die fünf DORA-Säulen, das Informationsregister sowie die Prüfung von IKT-Drittparteienrisiken. Für DORA-pflichtige Institute relevant als Maßstab für die prüfungssichere Dokumentation.

Das BSI befindet sich ab Q2 2026 in der operativen Aufsichtsphase. Institute ohne fristgerechte Registrierung (Frist: 6. März 2026) riskieren Bußgelder. Besonders kritische Einrichtungen haften mit bis zu 10 Mio. EUR oder 2 % des Jahresumsatzes; Geschäftsführer können persönlich haftbar gemacht werden. Die NIS-2-Aufsicht liegt bei nationalen Behörden, das BSI koordiniert für kritische Infrastrukturen.

Die BaFin hat eine Orientierungshilfe zum Umgang mit IKT-Risiken beim Einsatz von KI veröffentlicht und das Thema in ihren Fokusrisiken 2026 hervorgehoben. Die nicht-bindende Hilfestellung unterstützt Finanzinstitute bei der Umsetzung der DORA-Anforderungen im KI-Kontext – u. a. bei der Einordnung von KI-Systemen als IKT-Komponente, dem Risikomanagement und der Überwachung von KI-Drittanbietern.

Im April 2026 wurde der finale Code of Practice für General Purpose AI (GPAI) Modelle verabschiedet. Er konkretisiert Transparenz- und Dokumentationspflichten nach Art. 53 EU AI Act sowie Maßnahmen zur Minderung systemischer Risiken für GPAI-Modelle mit hohem Einfluss. Für Finanzinstitute relevant: Eigenentwicklungen auf Basis von Foundation Models können unter GPAI-Regeln fallen.

Am 7. April 2026 hat das BSI den aktualisierten C5:2026 veröffentlicht. Der neue Katalog enthält erweiterte Anforderungen an Standortwahl von Rechenzentren sowie strengere Vorgaben zu Datensouveränität und Subunternehmerketten. Relevant für alle DORA-pflichtigen Institute, die Cloud-Dienstleister einsetzen – der C5 gilt als anerkannter Nachweis für Cloud-Sicherheit im deutschen Aufsichtskontext.

Die BaFin hat am 1. April 2026 den Entwurf zur 9. MaRisk-Novelle (Konsultation 02/2026) veröffentlicht. Kernthema: deutliche Ausweitung der Proportionalität – ca. 85 % der Institute sollen künftig von vereinfachten Anforderungen profitieren. Weitere Schwerpunkte: Überarbeitung der Anforderungen an IT-Governance und Auslagerungsmanagement im Einklang mit DORA.

Finanzinstitute mussten ihr DORA-Register über IKT-Drittdienstleister erstmals bis zum 20. März 2026 im xBRL-CSV-Format bei der zuständigen Aufsichtsbehörde einreichen. Die EBA hat begleitende Guidance zur korrekten Befüllung sowie häufigen Fehlern veröffentlicht. Lücken im Register sind ein zentrales Prüfungsthema der nationalen Aufsichtsbehörden.

Die EU-Kommission hat im März 2026 Änderungen zur Solvency II Delegierten Verordnung verabschiedet. In Kraft seit 10. März 2026, Anwendung ab 30. Januar 2027. EIOPA hat parallel 13 Leitlinien zur Konsultation gestellt und Anforderungen an das Aufsichtsreporting für Versicherer vereinfacht.

Seit Januar 2026 konnten sich betroffene Unternehmen im BSI-Portal als NIS-2-regulierte Einrichtung registrieren. Die Registrierungspflicht galt bis 6. März 2026. Das Portal informiert über Meldepflichten und technisch-organisatorische Maßnahmen nach § 30 BSIG. Nicht registrierte Einrichtungen riskieren aufsichtliche Maßnahmen.

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Es überführt die EU-NIS-2-Richtlinie in deutsches Recht, erweitert den KRITIS-Anwendungsbereich erheblich und verschärft Pflichten für Cybersicherheit, Vorfallmeldung und Lieferkettensicherheit. Für Finanzunternehmen gelten die spezifischeren DORA-Anforderungen vorrangig (Lex specialis).

Seit 31. Oktober 2025 ist die dreijährige Übergangsfrist für ISO/IEC 27001:2022 abgelaufen. Zertifikate nach der alten 2013er-Fassung sind nicht mehr gültig. Unternehmen müssen nun vollständig nach der aktuellen Fassung mit 93 Controls (Annex A) zertifiziert sein. Für Finanzunternehmen ist die Zertifizierung oft Voraussetzung für ISMS-Nachweise gegenüber der Aufsicht.

Die EBA hat sich wiederholt zum Stand der DORA-Umsetzung in der EU geäußert und aufsichtliche Erwartungen für 2025 kommuniziert. Häufig identifizierte Lücken: unvollständige IKT-Informationsregister, fehlende Vertragsanpassungen bei IKT-Drittdienstleistern, unzureichende Vorfallklassifizierung. Nationale Aufsichtsbehörden intensivieren die Prüfungen.

Die BaFin hat ihre Erwartungen an den Einsatz von KI in beaufsichtigten Instituten veröffentlicht. Im Fokus: Governance-Anforderungen, Risikomanagement für KI-Modelle, Erklärbarkeit automatisierter Entscheidungen und die Pflicht zur KI-Kompetenz nach Art. 4 EU AI Act (gültig seit Februar 2025).

Volltext der EU-Verordnung über die digitale operationale Resilienz im Finanzsektor. Verbindlich seit 17. Januar 2025.

Praxisorientierte Antworten der BaFin zu Auslegungsfragen rund um DORA, IKT-Risikomanagement und Meldepflichten.

Technische Regulierungsstandards der EBA zu den DORA-Anforderungen, u.a. zu IKT-Risikomanagement, Vorfallklassifizierung und Drittparteienmanagement.

Aufsichtliche Hinweise der BaFin zur Steuerung und Überwachung von IKT-Drittdienstleistern im Kontext von DORA und MaRisk AT 9.

Leitlinien und Q&A der EIOPA zu den DORA-Anforderungen für Versicherungsunternehmen, inkl. Zusammenspiel mit VAIT und Solvency II.

ISO/IEC 42001 ist der erste internationale Standard für KI-Managementsysteme (AIMS). Er legt Anforderungen an Governance, Risikomanagement und Compliance für den verantwortungsvollen KI-Einsatz fest – besonders relevant für Finanzdienstleister im Kontext von EU AI Act und DORA.

Volltext der EU-Verordnung zur Regulierung von Künstlicher Intelligenz. Risikobasierter Ansatz mit stufenweiser Anwendbarkeit ab 2025/2026.

Aufsichtliche Hinweise und Erwartungen der BaFin zum Einsatz von KI-Systemen in Finanzunternehmen, inkl. Risikomanagement und Governance.

Durchführungsstandards zur Umsetzung des IKT-Risikomanagement-Frameworks nach DORA Art. 5–16, inkl. Anforderungen an das Informationsregister.

Konsolidierter Text der MaRisk inkl. aktueller Novellierung. Besonders relevant: AT 7 (Ressourcen), AT 7.2 (IT), AT 7.3 (Notfallmanagement), AT 9 (Auslagerungen).

Internationaler Standard für ISMS. Referenzrahmen für den Aufbau, die Implementierung und Zertifizierung von Informationssicherheits-Managementsystemen.

Praxishinweise des BSI zur Umsetzung der NIS-2-Richtlinie. Für Finanzunternehmen relevant: Abgrenzung zu DORA und sektorspezifischen Anforderungen.

EBA/GL/2019/02 – Verbindliche Leitlinien zu Governance, Risikoanalyse und Berichterstattung bei Auslagerungen für EBA-beaufsichtigte Institute.