Europa befindet sich mitten in der wahrscheinlich grössten regulatorischen Transformationswelle seit der Finanzkrise 2008. Banken und Versicherer stehen nicht vor einer, sondern vor einer Vielzahl nahezu gleichzeitig anlaufender Regulierungen – von digitaler Operationsresilienz über Künstliche Intelligenz bis hin zu Kapitalmarktinfrastruktur und Nachhaltigkeit. Wer die kommenden 24 Monate nicht gezielt angeht, riskiert nicht nur Compliance-Defizite und Findings, sondern verliert Boden gegenüber anderen Instituten, die regulatorischen Wandel als Transformationshebel nutzen.
Zeitraum: 2025–2027, mit Schwerpunkt auf den Jahren 2026 und 2027
Regulierungen im Scope: DORA, Basel IV/CRR III, MiCA, EU AI Act, AML-Paket/AMLA, PSD3/PSR, MiFIR Review, FiDA, CSRD, T+1 Settlement, Solvency II Review, IDD
Geografischer Fokus: EU (mit direkter Wirkung in Deutschland) und Schweiz (eigener Rechtsrahmen, aber enger regulatorischer Austausch mit der EU)
Kritischer Stichtag: 2. August 2026 – EU AI Act für Hochrisiko-KI und GPAI-Systeme in Finanzdienstleistungen voll anwendbar
Wichtiger Stichtag: 11. Oktober 2027 – T+1 Settlement Go-live (EU, UK und Schweiz koordiniert)
Die regulatorische Roadmap
Die besondere Herausforderung des aktuellen Regulierungszyklus liegt nicht in der Komplexität einzelner Vorgaben, sondern in ihrer Gleichzeitigkeit. In den Jahren 2025 bis 2027 werden europäische Finanzinstitute mit über zehn wesentlichen Regulierungsinitiativen konfrontiert, die nicht sequenziell, sondern parallel umgesetzt werden müssen. DORA ist seit Januar 2025 vollständig anwendbar und erfordert laufende Anpassungen. Gleichzeitig laufen die Implementierungsarbeiten für den EU AI Act, das AML-Paket und die T+1-Settlement-Umstellung – mit divergierenden Fristen, unterschiedlichen Zuständigkeiten und massiven IT-Implikationen.
Für Deutschland gilt ein Großteil dieser Regulierungen unmittelbar als EU-Recht. Institute in der Schweiz stehen vor einer anderen Ausgangslage: Die Schweiz ist kein EU-Mitglied und entwickelt regulatorische Äquivalente häufig eigenständig, orientiert sich dabei jedoch eng an europäischen Standards, um den Marktzugang zu erhalten. Diese regulatorische Parallelwelt bringt für international tätige Schweizer Institute und für Banken und Versicherer, die gleichzeitig in Deutschland und der Schweiz operieren, erhebliche Zusatzkomplexität.
Regulatorische Timeline 2024–2027
Die folgende Übersicht zeigt die wichtigsten Termine der europäischen Finanzregulierung von Ende 2024 bis Oktober 2027 – gegliedert nach Zeitphasen und unterschieden nach Geltung in der EU, in Deutschland (als EU-Mitglied mit nationalen Umsetzungsaspekten) und in der Schweiz.
Als Ergänzung zur Timeline steht eine interaktive Regulatory Matrix zur Verfügung. Sie positioniert alle 12 Regulierungen nach regulatorischem Handlungsdruck und Tiefe der erforderlichen IT-Transformation – analog zu einer BCG-Portfolio-Matrix.
Banken und Versicherungen im Vergleich
Obwohl viele Regulierungen übergreifend gelten, unterscheiden sich Betroffenheitsgrad und Handlungsdringlichkeit zwischen Banken und Versicherern erheblich. Die folgende Gegenüberstellung zeigt die wichtigsten Regulierungen und ihre primären Auswirkungen je Institutionstyp.
DORA – Vollständig anwendbar seit Jan 2025. IKT-Risikomanagement, Incident-Reporting, Drittpartei-Management und TLPT.
Basel IV / CRR III – Phase-in 2025–2030. Neue Kapitalanforderungen, Output Floor, FRTB (Marktrisiko), SA-CCR (Derivate).
MiCA – CASP-Lizenzpflicht, Emittentenanforderungen, Custody-Regeln für Krypto-Verwahrung.
EU AI Act – Kredit-Scoring, AML-Screening, algorithmischer Handel als Hochrisiko-KI. Konformitätspflichten ab Aug 2026.
AML/AMLA – Verschärfte KYC/KYB-Anforderungen, direkte AMLA-Aufsicht für größte Institute.
PSD3 / PSR – Open Banking, starke Kundenauthentifizierung, neue Haftungsregeln für Zahlungsauslösung.
MiFIR Review – Consolidated Tape, Transparenzpflichten, SI-Regime-Anpassungen.
FiDA / Open Finance – Datenzugangspflichten für alle Finanzdaten (über PSD3 hinaus).
CSRD – Nachhaltigkeitsberichterstattung inkl. doppelter Wesentlichkeit und ESRS-Standards.
T+1 Settlement – Fundamentale Prozessumstellung in Post-Trade, FX, Custody und Fondsverwaltung bis Okt 2027.
DORA – Gilt ab Jan 2025 auch für Versicherungsunternehmen. IKT-Resilienz, Incident-Meldepflicht, Third-Party-Risk-Management.
Solvency II Review (Omnibus I) – Neue Kapitalanforderungen, vereinfachte FLAOR, Proportionalitätsprinzip gestärkt, Langzeitgarantiepaket überarbeitet.
IDD Update – Überarbeitete Anforderungen an Produktinformation (IPID, KID), Nachhaltigkeitspräferenzen im Beratungsprozess.
EU AI Act – KI im Underwriting, Schadensbewertung, Betrugserkennung und Preisgestaltung als Hochrisiko-Anwendungen ab Aug 2026.
AML/AMLA – Lebensversicherer als verpflichtete Unternehmen. Verschärfte Sorgfaltspflichten bei Versicherungsprodukten mit Anlagecharakter.
CSRD – Nachhaltigkeitsberichterstattung; Versicherer als institutionelle Investoren: doppelte Betroffenheit (eigene Berichtspflicht + ESG-Integration in Kapitalanlagen).
SFDR / ESG-Offenlegung – Nachhaltigkeitspräferenzen in Produktklassifizierung (Art. 6, 8, 9) und Beratungsprozess (IDD-Ergänzung).
T+1 Settlement – Indirekte Betroffenheit: Kapitalanlagen (Fixed Income, Aktien) und ALM-Prozesse (Asset-Liability-Management) müssen angepasst werden.
Die am stärksten betroffenen Geschäftsbereiche
Regulatorische Anforderungen treffen verschiedene Geschäftsbereiche mit sehr unterschiedlicher Intensität. Die folgende Übersicht zeigt, welche Bereiche eines Finanzinstituts mit dem höchsten Handlungsdruck konfrontiert sind – und durch welche Regulierungen.
Regulatorischer Druck: Sehr hoch
Dieser Bereich ist durch die Kombination aus T+1 Settlement (vollständige Prozessumstellung in Post-Trade bis Oktober 2027), MiFIR Review (Transparenzpflichten, SI-Regime, Consolidated Tape) und CSRD (Reporting-Pflichten für Emittenten und Investmentbanken) am stärksten gefordert. Die Verkürzung des Settlement-Zyklus auf einen Tag erfordert eine fundamentale Überarbeitung von Trade-Allokation, FX-Modell, Collateral-Management und Securities-Lending-Prozessen. Hinzu kommen neue Marktrisiko-Anforderungen durch Basel IV / FRTB, die erhebliche Modell- und Systemanpassungen erfordern.
Prioritäten: T+1 Settlement, Basel IV/FRTB, MiFIR Review, CSRD
Regulatorischer Druck: Sehr hoch
Compliance und Risk sind de facto die Querschnittsfunktionen aller regulatorischen Anforderungen. DORA verlangt eine vollständig dokumentierte IKT-Risikolandschaft, laufendes Third-Party-Risk-Monitoring und Incident-Meldeketten in Echtzeit. Das AML-Paket verschärft KYC/KYB-Anforderungen, führt eine direkte AMLA-Aufsicht für die systemrelevantesten Institute ein und verlangt harmonisierte Risikobewertungsrahmen. Der EU AI Act verlangt von Risk-Funktionen eine vollständig neue Governance-Ebene für KI-Systeme: Risikomanagement, Datengouvernanz und menschliche Überwachung nach DSGVO-ähnlichem Muster. Basel IV erfordert die Überarbeitung interner Ratingmodelle (IRB) und die Implementierung des Output Floors als Kapitaluntergrenze.
Prioritäten: DORA, AML/AMLA, EU AI Act, Basel IV/CRR III
Regulatorischer Druck: Sehr hoch
DORA macht IT-Abteilungen und IKT-Drittanbieter erstmals zum direkten Objekt der Finanzregulierung. Anforderungen an IKT-Risikomanagement-Rahmenwerke, TLPT (Threat-Led Penetration Testing), Incident-Klassifizierung und Register aller IKT-Drittparteien betreffen die gesamte Technologieorganisation. Der EU AI Act schafft für IT zusätzliche Anforderungen: Technische Dokumentation für Hochrisiko-KI-Systeme, Konformitätsbewertungen, Protokollierungspflichten und laufende Überwachung der Systemperformance. Cloud-Outsourcing-Governance (EBA/EIOPA-Leitlinien) bleibt ein Dauerthema. T+1 erfordert den Umbau von Batch-Systemen auf Intraday-Echtzeit-Verarbeitung.
Prioritäten: DORA, EU AI Act, T+1, Basel IV (IT-Systeme für neue Modelle)
Regulatorischer Druck: Hoch
PSD3 und die begleitende Payment Services Regulation (PSR) reformieren den europäischen Zahlungsverkehrsmarkt grundlegend: Open Banking wird ausgeweitet, Haftungsregeln für autorisierte Push-Payment-Betrug (APP-Fraud) werden harmonisiert, und die starke Kundenauthentifizierung (SCA) wird weiterentwickelt. FiDA geht weit über PSD3 hinaus und verpflichtet Banken dazu, auch Sparkonten-, Kredit-, Wertpapierdepot- und Versicherungsdaten über APIs bereitzustellen. KI im Kundenservice und Kreditentscheidungssystem fällt unter die Hochrisiko-Kategorie des AI Acts. AML-Anforderungen betreffen intensiv die Kontoeröffnung, Transaktionsmonitoring und Verdachtsmeldeprozesse.
Prioritäten: PSD3/PSR, FiDA, EU AI Act, AML/AMLA
Regulatorischer Druck: Hoch
Asset Manager sind durch T+1 Settlement indirekt massiv betroffen: NAV-Berechnung, ETF-Funding-Gaps und Zeichnungs-/Rücknahmeprozesse müssen grundlegend beschleunigt werden. FiDA schafft neue Datenzugangspflichten auch für Wertpapierdepots und Fondspositionen. CSRD und SFDR verlangen sowohl die eigene Nachhaltigkeitsberichterstattung als auch die ESG-Integration in alle Investmententscheidungsprozesse. Der EU AI Act betrifft algorithmische Anlagestrategien und KI-basierte Anlageberatung. Hinzu kommen MiFIR-Transparenzpflichten für OTC-Geschäfte und neue Anforderungen aus dem SI-Regime.
Prioritäten: T+1, FiDA, CSRD/SFDR, EU AI Act, MiFIR Review
Regulatorischer Druck: Hoch
Der Solvency-II-Review überarbeitet die Kapitalanforderungen und stärkt das Proportionalitätsprinzip für kleinere Versicherer – gleichzeitig werden neue Anforderungen an die Bewertung langfristiger Garantien eingeführt. Das IDD-Update harmonisiert Produktinformationspflichten und verlangt die explizite Abfrage und Dokumentation von Nachhaltigkeitspräferenzen im Beratungsgespräch. Der EU AI Act klassifiziert KI-gestützte Schadensregulierung, Underwriting-Modelle und automatisierte Preisgestaltung als Hochrisiko-Anwendungen. Lebensversicherer mit Anlageprodukten unterliegen zudem AML-Sorgfaltspflichten und SFDR-Offenlegungspflichten.
Prioritäten: Solvency II Review, IDD, EU AI Act, AML/AMLA, CSRD/SFDR
Deutschland und die Schweiz im regulatorischen Länder-Vergleich
Für Institute, die in beiden Märkten operieren, ist das Verständnis der regulatorischen Unterschiede zwischen Deutschland und der Schweiz essenziell. Deutschland ist EU-Mitglied und unterliegt EU-Verordnungen unmittelbar; die Schweiz entwickelt eigenständige Äquivalenzlösungen, orientiert sich dabei aber eng am europäischen Standard.
| Regulierung | Deutschland (EU) | Schweiz |
|---|---|---|
| DORA | Direkt anwendbar seit 17. Jan 2025. BaFin überwacht Umsetzung. EBA/EIOPA-RTS bindend. | FINMA RS 2023/1 „Operationelle Risiken und Resilienz" seit Jan 2024 als funktionales Äquivalent. TLPT-Anforderungen ähnlich, aber eigenständiges Aufsichtsregime. |
| Basel IV / Solvency II | CRR III (Banken): Output Floor Phase-in 2025–2030. Solvency II Review (Versicherer): neue Kapitalregeln 2026. | FINMA setzt Basel IV eigenständig um (paralleler Zeitplan). Versicherer: SST (Swiss Solvency Test) statt Solvency II – eigenes Modell, keine direkte Angleichung geplant. |
| EU AI Act | Direkt anwendbar. BaFin und nationale Marktüberwachungsbehörden zuständig. Konformitätsbewertung ab Aug 2026 Pflicht. | Kein AI-spezifisches Bundesgesetz. DSG 2023 als Datenschutzrahmen. FINMA-Guidance erwartet. Faktische Alignment-Pflicht für Institute mit EU-Marktzugang. |
| MiCA / Krypto | MiCA direkt anwendbar seit Dez 2024. CASP-Lizenz über BaFin. Bestandsschutz für bestehende Anbieter ausgelaufen. | DLT-Gesetz (2021) und FINMA-Praxis für Virtual Assets. Kein MiCA-Äquivalent, aber enge FINMA-Aufsicht. Zug gilt als europäisches Krypto-Hub mit eigenem Regulierungsansatz. |
| AML / AMLA | AMLR direkt anwendbar 2027. AMLA-Sitz in Frankfurt. GwG wird durch AMLD6-Umsetzung überarbeitet. FIU Deutschland. | GwG (Geldwäschereigesetz), FINMA RS 2011/1 – eigenständiger Rahmen. Revision im Gange zur Annäherung an FATF-Standards und EU-Äquivalenz. |
| PSD3 / Payments | PSR direkt anwendbar; PSD3 durch nationales Recht umzusetzen. ZAG (Zahlungsdiensteaufsichtsgesetz) wird novelliert. | Eigenes Zahlungsverkehrsrecht. Keine PSD3-Pflicht; Open-Finance-Initiative Schweiz läuft als Brancheninitiative (SIX, Swiss Fintech-Akteure). Regulatorische Angleichung freiwillig. |
| CSRD / ESG | CSRD direkt anwendbar (nach Umsetzung HGB-Änderung). ESRS-Standards verpflichtend. BaFin überwacht Finanzinstitute. | OR Art. 964a–c: Nachhaltigkeitsbericht für große Unternehmen. Inhaltlich ähnlich CSRD, aber eigenständige Norm. Schweizer Banken mit EU-Listing: Doppelberichterstattung möglich. |
| T+1 Settlement | CSDR-Änderung direkt anwendbar. Go-live 11. Oktober 2027. Clearstream, Euroclear koordiniert. | SIX SIS koordiniert mit EU und UK. Schweiz setzt T+1 gleichzeitig um (11. Oktober 2027). Eigenes rechtliches Instrument, gleicher Stichtag. |
Handlungsempfehlungen
Die regulatorische Agenda 2026–2027 lässt keinen Raum für ein einfaches Abarbeiten der Themen. Finanzinstitute müssen parallele Workstreams aufsetzen, regulatorische Programme bereichsübergreifend verankern und Regulatorik konsequent mit strategischer Transformation verbinden. Die folgenden Empfehlungen adressieren die wichtigsten Handlungsfelder.
Sofort: Kein Institut kann ohne eine vollständige Übersicht seiner Betroffenheit durch alle laufenden Regulierungen sinnvoll priorisieren. Erste Aufgabe ist ein konsolidiertes Regulatory Inventory: Welche Regulierungen gelten wann, in welchen Jurisdiktionen und für welche Geschäftsbereiche? Darauf aufbauend ist eine Gap-Analyse nach Compliance-Reife je Regulierung durchzuführen – idealerweise mit einem Heat-Map-Ansatz, der Dringlichkeit (Frist) und Handlungsbedarf (Lücke) kombiniert. Programme ohne klares Ownership und Budget sollten sofort gestoppt und neu aufgesetzt werden. Für Institute in Deutschland und der Schweiz ist zudem eine doppelte Betroffenheitsanalyse notwendig: Was gilt EU-rechtlich, was eigenständig im Schweizer Rahmen?
Q2 2026: DORA ist seit Januar 2025 in Kraft – aber Anwendbarkeit bedeutet nicht Compliance. Die meisten Institute befinden sich noch in der Nachschärfungsphase: IKT-Drittparteien-Register vervollständigen, TLPT-Planung für den ersten Testzyklus, Incident-Response-Prozesse mit den neuen Meldepflichten synchronisieren. Gleichzeitig muss die Vorbereitung auf den EU AI Act ab August 2026 in denselben Governance-Rahmen integriert werden. KI-Systeme in regulierten Anwendungsfällen (Kredit, AML, Underwriting) brauchen jetzt: Risikoeinstufung, technische Dokumentation, Konformitätsbewertungsplanung und Verantwortliche im Sinne des AI Acts. Wer DORA und AI Act getrennt behandelt, verschwendet Ressourcen und baut parallele Governance-Strukturen auf.
Q2–Q3 2026: Der 11. Oktober 2027 ist weniger als 20 Monate entfernt. Laut ISSA-Branchenbefragung sollten 65 % der Projektarbeit bis Ende 2026 abgeschlossen sein. Das bedeutet: Wer heute noch keine Programmstruktur hat, ist bereits im Verzug. Das T+1-Programm muss die Intraday-Verarbeitungsfähigkeit als architekturisches Fundament adressieren: STP-Automatisierung für Allokation und Matching am Handelstag T+0, FX-Modell auf Same-Day-Settlement umstellen, SSI-Qualität (Standard Settlement Instructions) bereinigen und Custodian-/Counterparty-Abhängigkeiten dokumentieren. Für Asset Manager bedeutet T+1 auch: NAV-Berechnung beschleunigen, ETF-Funding-Gap-Strategie entwickeln und Fondsadministrations-Prozesse auf T+2 (und perspektivisch T+1) umstellen.
H2 2026: Die neu gegründete Anti-Money Laundering Authority (AMLA) mit Sitz in Frankfurt wird die größten und grenzüberschreitend tätigen Institute in Europa direkt beaufsichtigen. Erste Aufsichtszuweisungen werden 2026 bekannt. Das bedeutet konkret: Harmonisierte Risikobewertungsrahmen nach AMLR-Anforderungen implementieren, KYC/KYB-Prozesse auf den neuen EU-Standard heben, Verdachtsmeldeprozesse (SARs) auf FIU-Anforderungen ausrichten und – entscheidend – die Qualität der AML-KI-Systeme nach EU AI Act-Hochrisiko-Anforderungen absichern. Schweizer Institute, die im EU-Markt tätig sind, sollten die AMLA-Äquivalenzfrage proaktiv mit FINMA klären.
Laufend, mit Fokus Q3–Q4 2026: CSRD, SFDR und die ESG-Dimensionen von MiFID II und IDD schaffen gemeinsam eine neue Datenrealität: Finanzinstitute müssen die Nachhaltigkeitsdaten ihrer Portfoliounternehmen, Kreditnehmer und Versicherungsnehmer systematisch erfassen, validieren und berichten. Das ist kein Reporting-Problem, sondern ein Datenproblem – und ein Geschäftsmodellproblem. Institute, die Nachhaltigkeitsanforderungen als Pflichtübung behandeln, verpassen die strategische Dimension: ESG-Daten werden zu einem zentralen Wettbewerbsfaktor in der Kreditvergabe, im Asset Management und in der Versicherung. Die Schnittstellen zwischen ESG-Daten, Risikomanagement (Klimarisiko) und Produktentwicklung sollten jetzt bewusst gestaltet werden.
Strategische Daueraufgabe: Institute, die in beiden Märkten operieren, müssen die wachsende regulatorische Divergenz zwischen EU und Schweiz als eigenständiges Risiko steuern. Die Schweiz verfolgt in zentralen Bereichen (AI, AML, Payments) einen eigenständigen regulatorischen Pfad – mit dem Ziel der funktionalen Äquivalenz, aber ohne formale EU-Bindung. Das schafft operative Komplexität: Unterschiedliche Compliance-Frameworks, potenzielle Doppelmeldepflichten und strategische Fragezeichen beim Marktzugang. Empfehlung: Bilaterale Mapping-Tabellen (EU-Regulierung vs. Schweizer Äquivalent) aufbauen, regulatorische Frühwarnsysteme für beide Jurisdiktionen etablieren und die Kommunikation mit BaFin und FINMA koordinieren, statt sie parallel zu führen.