Anwendbar
DORA: Regeln zur digitalen operationalen Resilienz gelten
IKT-Risiko, Register der Drittdienstleister, Meldung von Vorfällen und Tests.
Finanzdienstleistungen
KI und Plattformen, die einer Prüfung durch die Aufsicht standhalten.
Banken, Versicherungen, Pensionskassen, Vermögensverwaltern und Zahlungsinstituten liefern wir KI, deren Ergebnisse sich der FMA erklären lassen, Integrationen, die das Kernsystem schonen, und einen Betrieb, bei dem DORA schon die erste Architekturentscheidung mitbestimmt.
Für Finanzinstitute unter europäischer und österreichischer Aufsicht, von FMA und OeNB bis zu EZB, EBA, EIOPA, ESMA und AMLA.
17. Jänner 2025
DORA anwendbar
IKT-Risikomanagement, Register der IKT-Drittdienstleister, Meldung von Vorfällen und Resilienztests für Finanzunternehmen, in Österreich unter Aufsicht der FMA.
10. Juli 2027
EU-Geldwäscheverordnung gilt
Ein einheitliches Regelwerk für die Sorgfaltspflichten gegenüber Kundinnen und Kunden in der ganzen EU, mit der neuen Behörde AMLA.
2. Dezember 2027
Hochrisiko-Pflichten für Kredit und Versicherung
Bonitätsprüfung und Prämienberechnung in der Lebens- und Krankenversicherung gelten als Hochrisiko-Anwendungen; Geltungsbeginn in der 2026 geänderten Fassung.
Was sich für Banken und Versicherungen ändert
Widerstandsfähigkeit ist jetzt Rechtspflicht
DORA macht aus operationaler Resilienz konkrete Pflichten: IKT-Risikomanagement, ein Register jeder Vereinbarung mit IKT-Drittdienstleistern, eingestufte Meldungen von Vorfällen und regelmäßige Tests. Anbieter von Cloud und KI stehen damit ebenfalls im Blickfeld von FMA und OeNB.
KI-Entscheidungen brauchen einen Prüfpfad
Mit der KI-Verordnung zählen Kreditscoring und Prämienberechnung zu den Hochrisiko-Anwendungen. Das Modellrisikomanagement muss deshalb auch Machine Learning und generative Modelle erfassen, und Dokumentation, Monitoring und menschliche Kontrolle richten sich danach, wie viel von der Entscheidung abhängt.
Der Maßstab ist die beste App am Handy
Sofortüberweisung, Prüfung des Empfängernamens und Open Banking haben die Messlatte für Geschwindigkeit und Nachvollziehbarkeit angehoben. Mit den kommenden Zahlungsdiensteregeln werden Betrugsabwehr und Qualität der Schnittstellen noch strenger geregelt.
Kernsysteme tragen Jahrzehnte an Logik
Großrechner und Kernbankensysteme führen nach wie vor die Bücher. Veränderung muss rund um sie geschehen, über APIs und Ereignisse, ohne Stabilität oder Meldewesen zu gefährden.
Herausforderungen und was wir bauen
- Die Herausforderung
Kundenaufnahme und laufende Überprüfungen hängen davon ab, dass Fachleute Unterlagen von Hand lesen.
Unsere AntwortDie Dokumentenverarbeitung zieht Angaben zu Identität, wirtschaftlichem Eigentum und Herkunft der Mittel aus den Nachweisen und gleicht sie ab. Auffällige Fälle landen bei Ihren Fachleuten, und jeder Prüfschritt bleibt für die Revision und das künftige EU-Geldwäscherecht dokumentiert.
- Die Herausforderung
Beratung und Kundenservice durchsuchen fünf Systeme, um eine einzige Frage zu beantworten.
Unsere AntwortEin Assistent für Produkte, interne Richtlinien und Abläufe, der Zugriffsrechte respektiert, seine Quellen angibt und mitschreibt, was er angezeigt hat. Das Beratungsprotokoll bleibt damit lückenlos.
- Die Herausforderung
Jede Änderung am Kernsystem ist langsam, teuer und riskant.
Unsere AntwortWir machen Kernfunktionen über APIs und Ereignisströme zugänglich, lagern Funktionen schrittweise aus und gleichen laufend ab, bis der alte Weg abgeschaltet werden kann.
- Die Herausforderung
Das DORA-Informationsregister und die Vorfallsbearbeitung liegen in Tabellenkalkulationen.
Unsere AntwortInformationsregister, Einstufung von Vorfällen und Meldewege verankern wir in Ihrem Service-Management und Ihren Cloud-Werkzeugen und verbinden sie mit den kritischen oder wichtigen Funktionen, um die es geht. Schwerwiegende IKT-Vorfälle meldet man in Österreich über die Incoming Platform der FMA.
- Die Herausforderung
Modelle, die sich nicht erklären lassen, fallen bei der Validierung durch.
Unsere AntwortGemeinsam mit Risikocontrolling und Validierung legen wir einen Bewertungsrahmen fest: Testdaten, Erklärbarkeit dort, wo eine Entscheidung sie verlangt, Drift-Monitoring und ein dokumentiertes Eingreifen durch Menschen.
- Die Herausforderung
Aufsichtsmeldungen werden jedes Quartal von Hand abgestimmt.
Unsere AntwortDatenstrecken mit dokumentierter Herkunft und automatischen Qualitätsprüfungen nach den Grundsätzen von BCBS 239, damit sich jede Zahl bis zur Quelle zurückverfolgen lässt.
Eine Referenzlandschaft, in der Kontrolle vorgeht
Wo KI zwischen Kanälen und Kernsystemen liegt, mit einer Freigabe vor jedem folgenreichen Schritt und den DORA-Kontrollen neben jeder Schicht.
Beispiel zur Veranschaulichung
KI-Services erreichen Kernsysteme nur über die Integrationsschicht. DORA-Kontrollen gelten für jede Komponente.
Diagramm als Text lesen
Kundinnen, Kunden, Beratung und Service nutzen App, Web, Filiale und Kundencenter als Kanäle.
Hinter diesen Kanälen arbeiten drei KI-Services: die Erfassung von Unterlagen für Kundenaufnahme und KYC, ein Assistent für Beratung und Kundendienst sowie ein Freigabeschritt durch Fachleute der Analyse, den jede folgenreiche Entscheidung passiert.
Zu den Kernsystemen kommen die KI-Services ausschließlich über eine Integrationsschicht mit APIs und Event-Streams. Dahinter liegen Kernbanken- oder Bestandsführung, CRM und Serviceplattform sowie eine Datenplattform, deren Datenherkunft dokumentiert ist.
Quer zu allen Schichten wirken die Kontrollen nach DORA: IKT-Risikomanagement, das Drittdienstleisterregister, die Einstufung und Meldung von Vorfällen und Resilienztests. Im Modellrisikomanagement ist jedes Modell erfasst, validiert und unter Beobachtung.
Freigabe vor der Wirkung
KI entwirft, liest aus und schlägt vor. Entscheidungen über Kredite, Schäden oder Kontosperren bleiben bei einer namentlich verantwortlichen Person.
Von Anfang an erklärbar
Wie viel Erklärung eine Entscheidungsart braucht, legen wir im Entwurf fest, nicht kurz vor der Validierung.
Ausstieg und Konzentrationsrisiko
Cloud- und Modellanbieter wählen wir mit Ausstiegsplänen und Ersatzwegen, die für das Register dokumentiert sind.
Protokolle als Nachweis
Eingaben, Ergebnisse, Modellstände und Freigaben bleiben gespeichert, sodass Aufsicht und Innenrevision jeden Fall rekonstruieren können.
Die Termine für Finanzinstitute
Diese Termine bestimmen, was ein Umsetzungspartner belegen muss. Leitlinien und technische Standards von FMA, OeNB und den europäischen Aufsehern kommen noch dazu.
Anwendbar
KI-Verordnung: Verbotene Praktiken untersagt, KI-Kompetenz verpflichtend
Anwendbar
AMLA: EU-Behörde zur Geldwäschebekämpfung nimmt die Arbeit auf
Ihre Aufgaben: das einheitliche Regelwerk vorbereiten und die direkte Aufsicht über einzelne Institute aufbauen.
Anwendbar
Verordnung über Sofortzahlungen: Empfängerprüfung für Euro-Überweisungen
Zahlungsdienstleister im Euroraum prüfen den Namen der Empfängerin oder des Empfängers, bevor eine Überweisung ausgeführt wird.
Anwendbar
KI-Verordnung: Transparenzpflichten gelten
Wer mit einem KI-System kommuniziert, muss das erfahren.
Stand 2. Oktober 2026
Bevorstehend
Geldwäscheverordnung: Einheitliches EU-Regelwerk gilt
Sorgfaltspflichten, wirtschaftliche Eigentümer und Aufbewahrung werden vereinheitlicht.
Bevorstehend
KI-Verordnung: Hochrisiko-Pflichten gelten
Auch für Bonitätsprüfung und Prämienberechnung in der Lebens- und Krankenversicherung, in der 2026 geänderten Fassung.
Bevorstehend
AMLA: Direkte Aufsicht über ausgewählte Institute beginnt
Regelwerke und Standards im Überblick
Die Vorschriften, die KI- und Plattformprojekte in Banken und Versicherungen am häufigsten prägen, und was sie für die Umsetzung bedeuten.
Diese Übersicht dient als Grundlage für Planungsgespräche und ist weder Rechts- noch Aufsichtsberatung. Termine geprüft am 2. Oktober 2026.
- DORAGeltungsbereichEU-weit
Seit 17. Jänner 2025 gilt DORA für Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute und weitere Finanzunternehmen. Die Verordnung verlangt IKT-Risikomanagement, Vorfallsmeldungen und Resilienztests und regelt das Risiko aus IKT-Drittdienstleistern bis zu den Mindestinhalten der Verträge (Artikel 30). Zuständig ist in Österreich die FMA, die dabei mit der OeNB zusammenarbeitet.
Was das für Ihr Vorhaben bedeutetAls IKT-Dienstleister tragen wir zu Ihren Pflichten bei: mit passenden Vertragsklauseln, Vorfallsmeldungen, Ausstiegsplänen, unserer Teilnahme an Tests und den Daten für Ihr Informationsregister.
QuelleVerordnung (EU) 2022/2554, EUR-Lex (öffnet externe Website)
- KI-Verordnung der EUGeltungsbereichEU-weit
Hochriskant ist KI, die die Bonität von Privatpersonen beurteilt oder in der Lebens- und Krankenversicherung risikobasierte Prämien bestimmt. Wer sie anbietet oder einsetzt, braucht Risikomanagement, Data Governance, Protokolle, menschliche Kontrolle und Dokumentation. In der 2026 geänderten Fassung gilt das ab 2. Dezember 2027.
Was das für Ihr Vorhaben bedeutetWir stufen jeden Anwendungsfall früh ein, planen menschliche Aufsicht in den Ablauf ein und liefern eine Dokumentation, die in Ihren Rahmen für das Modellrisiko passt.
QuelleVerordnung (EU) 2024/1689, EUR-Lex (öffnet externe Website)
- EU-Geldwäschepaket (AMLR und AMLA)GeltungsbereichEU-weit
Ab 10. Juli 2027 gelten für die Sorgfaltspflichten keine nationalen Einzelregeln mehr, sondern die Geldwäscheverordnung als ein EU-Regelwerk. Die neue Behörde AMLA stimmt die nationalen Aufseher ab und übernimmt für einige Institute mit hohem Risiko selbst die Aufsicht.
Was das für Ihr Vorhaben bedeutetAufnahme- und Überprüfungsprozesse brauchen einen einheitlichen Umgang mit Nachweisen und lückenlose Prüfpfade. Dafür gestalten wir Dokumenteneingang und Fallbearbeitung.
QuelleVerordnung (EU) 2024/1624, EUR-Lex (öffnet externe Website)
- DSGVO und automatisierte EntscheidungenGeltungsbereichEU-weit
Nach Artikel 22 muss sich niemand einer ausschließlich automatisierten Entscheidung mit erheblicher Wirkung unterwerfen. Ausnahmen verlangen Schutzvorkehrungen wie das Eingreifen einer Person und das Recht, die Entscheidung anzufechten. In Österreich ergänzt das DSG die DSGVO, die Aufsicht liegt bei der Datenschutzbehörde (DSB).
Was das für Ihr Vorhaben bedeutetWir gestalten Abläufe so, dass eine Person ein automatisiertes Ergebnis prüfen, begründen und ändern kann, und halten fest, dass sie es getan hat.
QuelleVerordnung (EU) 2016/679, EUR-Lex (öffnet externe Website)
- MiFID II, IDD und BeratungsprotokolleGeltungsbereichEU-weit
Wer Anlagen oder Versicherungen vertreibt, muss Geeignetheit beziehungsweise Wünsche und Bedürfnisse prüfen und die Beratung dokumentieren. Unterstützt KI die Beraterin oder den Berater, gehört sie zu dieser Dokumentation.
Was das für Ihr Vorhaben bedeutetAssistenten halten fest, was sie angezeigt und welche Quellen sie genutzt haben. Der Beratungsakt bleibt so vollständig und prüfbar.
QuelleRichtlinie 2014/65/EU, EUR-Lex (öffnet externe Website)
- PSD2 und die nächsten ZahlungsdiensteregelnGeltungsbereichEU-weit
Zahlungsdienste und der Zugang für Open Banking richten sich derzeit nach PSD2. Die Nachfolgeregeln, PSD3 und die Zahlungsdiensteverordnung, sind seit 2025 vorläufig vereinbart und bringen nach einer Übergangsphase strengere Vorgaben zu Betrugsabwehr und Leistung der Schnittstellen.
Was das für Ihr Vorhaben bedeutetWer jetzt eine API-Plattform baut, sollte höhere Anforderungen an Leistung, Monitoring und den Austausch von Betrugsdaten schon einplanen.
QuelleRichtlinie (EU) 2015/2366, EUR-Lex (öffnet externe Website)
Anwendungsfälle zur Veranschaulichung
Beispiel zur VeranschaulichungUnterlagenprüfung bei der Kundenaufnahme
Ausweis- und Eigentümerunterlagen werden ausgelesen und gegengeprüft; über jeden markierten Fall entscheidet eine Analystin oder ein Analyst.
Wissensassistent für die Beratung
Antworten zu Produkten, Richtlinien und Abläufen mit Quellenangabe, im Rahmen der Zugriffsrechte der jeweiligen Beraterin oder des Beraters.
Beschwerden erfassen und zuordnen
Beschwerden werden nach Thema und Dringlichkeit eingestuft und mit einer Zusammenfassung im Entwurf weitergeleitet; die Fristen für die Beschwerdebearbeitung bleiben im Blick.
Schadenmeldungen in der Versicherung
Schadenformulare, Rechnungen und Berichte werden gelesen und der Polizze zugeordnet; die Auszahlung gibt die Schadenbearbeitung frei.
Kernfunktionen hinter APIs
Transaktionen am Großrechner stehen als dokumentierte APIs und Ereignisse bereit, sodass neue Kanäle nicht mehr von Batch-Dateien abhängen.
Plattformen bei Banken und Versicherungen
Salesforce
Summit PartnerArbeitsplätze für die Beratung, Abläufe für die Kundenaufnahme und den Servicebetrieb, verbunden mit Kernsystemen und Dokumenteneingang.
SAP
Gold PartnerFinanzen und Konzernberichterstattung, mit SAP-Daten, die mit dokumentierter Herkunft für Risiko und Meldewesen bereitstehen.
Die Partnerstufen sind jene von FromNine. Produktnamen sind Marken ihrer jeweiligen Inhaber.
Österreich
Aufsicht in Österreich, Regeln aus Brüssel
In Österreich beaufsichtigt die Finanzmarktaufsicht (FMA) Banken, Versicherungen und Wertpapierfirmen; die Oesterreichische Nationalbank (OeNB) führt bei Banken IT-Prüfungen vor Ort durch. Für DORA ist die FMA die zuständige Behörde, gemeinsam mit der OeNB, und schwerwiegende IKT-Vorfälle werden über die Incoming Platform der FMA gemeldet.
DORA, KI-Verordnung und Geldwäschepaket gelten in der ganzen EU, ab 2028 kommt für einzelne Institute die direkte Aufsicht durch die AMLA dazu. Wir richten die Umsetzung so ein, dass jeder Nachweis nur einmal erstellt wird und jeder Stelle vorgelegt werden kann: Dokumentation von Architektur und Modellen, Protokolle, Testergebnisse und Ausstiegspläne, die mit dem System mitwachsen.
- DORAVerordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) (öffnet externe Website)
- KI-Verordnung (AI Act)Verordnung (EU) 2024/1689 über künstliche Intelligenz (öffnet externe Website)
- Geldwäscheverordnung (AMLR)Verordnung (EU) 2024/1624 zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (einheitliches Regelwerk), mit der AMLA (öffnet externe Website)
- DSGVODatenschutz-Grundverordnung (DSGVO) (öffnet externe Website)
Häufige Fragen
Wie unterstützen Sie als Dienstleister unsere DORA-Pflichten?
Die von DORA geforderten Vertragsinhalte vereinbaren wir mit Ihnen, Vorfälle melden wir auf dem festgelegten Weg, Ausstiegspläne halten wir schriftlich fest, an Resilienztests nehmen wir teil, und für Ihr Drittdienstleisterregister liefern wir die Angaben. Damit haben Sie die Nachweise für FMA und OeNB beisammen.
Darf KI bei Kredit- oder Zeichnungsentscheidungen mitwirken?
Ja, allerdings als Hochrisiko-Anwendung im Sinne der KI-Verordnung, also mit Risikomanagement, Data Governance, Protokollen, menschlicher Kontrolle und Dokumentation. Die Entscheidung trifft und begründet bei uns ein Mensch, und die Schutzregeln der DSGVO zu automatisierten Entscheidungen bleiben gewahrt.
Wo laufen Modelle und Daten?
Dort, wo es Ihre Risikobereitschaft zulässt: in Ihrem eigenen Cloud-Mandanten, in einer EU-Region eines großen Cloud-Anbieters oder für sensible Lasten im eigenen Rechenzentrum. Modell- und Hosting-Entscheidungen dokumentieren wir samt Ausstiegsoptionen für Ihr Register.
Müssen wir unser Kernsystem ersetzen?
Nein. Wir setzen zuerst auf Integration und modernisieren schrittweise: APIs und Ereignisse rund um den Kern, Funktionen nur dort auslagern, wo es sich rechnet, und abgleichen, bis der alte Weg abgeschaltet ist.
Wie bewerten Sie generative KI in regulierten Abläufen?
Mit Testdatensätzen und Qualitätskriterien, die vor dem Release mit Risikomanagement und Validierung abgestimmt sind, mit Überwachung im Betrieb und mit Prüfschritten für unsichere Ergebnisse. Der Ablauf rechnet damit, dass manche Ausgaben falsch sind, und leitet sie an Menschen weiter.
Ihr Vorhaben in Bank oder Versicherung besprechen
Ob KI in Kundenaufnahme, Beratung oder Schadenregulierung oder die Vorbereitung Ihrer IT auf DORA-Tests: Reden Sie mit Fachleuten, die Aufsicht und Anwender gleichermaßen im Blick haben.