Bereits anwendbar
DORA: DORA-Pflichten in Kraft
Risikomanagement, Register, Meldungen und Tests für die IKT.
Finanzsektor
KI und Plattformen, die vor der Aufsicht bestehen.
Für Banken, Investmentfonds und Fondsverwalter, Versicherer und Zahlungsinstitute am Finanzplatz Luxemburg bauen wir KI, deren Ergebnisse sich der CSSF oder dem CAA erklären lassen, Integrationen, die das Kernsystem schonen, und einen Betrieb, der DORA schon bei der ersten Architekturentscheidung berücksichtigt.
Für Finanzunternehmen am Finanzplatz Luxemburg unter der Aufsicht von CSSF und CAA und im Zusammenspiel mit EZB, EBA, EIOPA, ESMA und AMLA.
17. Januar 2025
DORA ist anwendbar
IKT-Risikomanagement, Informationsregister, Meldung schwerwiegender Vorfälle und Resilienztests; in Luxemburg zuständig sind CSSF und CAA.
10. Juli 2027
EU-Geldwäscheverordnung gilt
Sorgfaltspflichten bei Kundinnen und Kunden werden EU-weit gleich geregelt; die neue Behörde AMLA wacht mit.
2. Dezember 2027
Hochrisiko-KI bei Kredit und Versicherung
Die Bonitätsbewertung von Privatpersonen und die Tarifierung nach Risiko bei Lebens- und Krankenpolicen zählen zur Hochrisiko-KI; Datum nach der Änderung von 2026.
Was sich am Finanzplatz verschiebt
Resilienz ist Rechtspflicht
DORA übersetzt Resilienz in prüfbare Pflichten: ein IKT-Risikomanagement, ein Verzeichnis jeder Vereinbarung mit IKT-Drittanbietern, eingestufte Vorfallmeldungen, in Luxemburg für Unternehmen unter CSSF-Aufsicht über das eDesk der CSSF, und Tests in festen Abständen. Wer Cloud-Dienste oder KI liefert, steht dadurch selbst im Blick der CSSF oder des CAA.
KI-Entscheidungen brauchen einen Prüfpfad
Die KI-Verordnung stuft Kreditscoring und die Tarifierung mancher Versicherungen als hochriskant ein. Ein Modellrisikomanagement, das nur klassische Statistik kennt, reicht dann nicht: Auch Machine-Learning- und generative Modelle brauchen Unterlagen, laufende Kontrolle und menschliche Aufsicht, je nachdem, wie viel von der Entscheidung abhängt.
Kundschaft in mehreren Sprachen und Ländern
Sofortzahlungen, die Prüfung des Empfängernamens und Open Banking setzen neue Maßstäbe für Geschwindigkeit und Klarheit, und am Finanzplatz kommen Kundschaft und Investoren aus vielen Ländern und Sprachräumen. Mit den kommenden Zahlungsdiensteregeln steigen die Anforderungen an Betrugsabwehr und Schnittstellen erneut.
Kernsysteme mit jahrzehntealter Logik
Die Bücher führen nach wie vor Großrechner, Kernbanken- und Fondsbuchhaltungssysteme. Neues entsteht daneben, angebunden über Schnittstellen und Ereignisse, ohne dass Stabilität oder Meldungen an die Aufsicht leiden.
Engpässe und unsere Lösungen
- Die Herausforderung
Onboarding und periodische KYC-Reviews binden Analystinnen und Analysten, die mehrsprachige Unterlagen Seite für Seite lesen.
Unsere AntwortDie Dokumentenverarbeitung liest Ausweise, Nachweise zu wirtschaftlich Berechtigten und zur Herkunft der Mittel aus und gleicht sie ab, egal ob auf Deutsch, Französisch oder Englisch. Markierte Fälle prüft das Compliance-Team, und jede Kontrolle ist für Audit und das künftige EU-Geldwäscheregelwerk protokolliert.
- Die Herausforderung
Für eine einzige Kundenfrage durchsucht die Beratung fünf Systeme.
Unsere AntwortEin Assistent mit Rechteprüfung beantwortet Fragen aus Produktunterlagen, internen Richtlinien und CSSF-Rundschreiben, mit Quellenangabe und einem Protokoll der angezeigten Inhalte, damit die Beratungsakte lückenlos ist.
- Die Herausforderung
Jede Änderung am Kernsystem dauert lange, kostet viel und birgt Risiken.
Unsere AntwortKernfunktionen stellen wir über APIs und Ereignisströme bereit, lösen Teile Schritt für Schritt heraus und gleichen alte und neue Ergebnisse ab, solange beide Wege parallel laufen.
- Die Herausforderung
DORA-Informationsregister und Vorfallprozess leben in Tabellenkalkulationen.
Unsere AntwortWir verankern Informationsregister, Vorfallklassifizierung und Meldeablauf in Ihrem Service-Management und Ihren Cloud-Werkzeugen, verknüpft mit den kritischen oder wichtigen Funktionen, die sie unterstützen.
- Die Herausforderung
Ein Modell ohne nachvollziehbare Begründung kommt nicht durch die Validierung.
Unsere AntwortGemeinsam mit Risikocontrolling und Validierung legen wir Testfälle, das nötige Maß an Erklärbarkeit je Entscheidung, Drift-Überwachung und ein beschriebenes Übersteuern durch Menschen fest.
- Die Herausforderung
Das aufsichtliche Meldewesen wird jedes Quartal von Hand abgestimmt.
Unsere AntwortDatenpipelines mit dokumentierter Lineage und automatischen Prüfregeln, ausgerichtet an BCBS 239. Jede gemeldete Zahl lässt sich bis in das Quellsystem verfolgen.
Referenzlandschaft mit Kontrolle zuerst
Wo die KI zwischen Kanälen und Kernsystemen sitzt, mit einer Freigabe vor folgenreichen Schritten und DORA-Kontrollen neben jeder Schicht.
Beispiel zur Veranschaulichung
Zwischen KI und Kernsystemen steht immer die Integrationsschicht; DORA-Kontrollen umfassen alle Bausteine.
Diagramm als Text lesen
Kundschaft, Beratung und Service arbeiten über App, Website, Filiale und Kundenservice.
Dahinter arbeiten drei KI-Dienste: Dokumenteneingang für Onboarding und KYC, ein Assistent für Beratung und Service sowie ein Freigabeschritt durch Fachleute, den jede folgenreiche Entscheidung durchläuft.
Zugang zu den Kernsystemen haben diese Dienste nur über eine Schicht aus APIs und Ereignisströmen. Kernsysteme sind das Kernbanken- oder Bestandsführungssystem, die CRM- und Serviceplattform und eine Datenplattform mit nachvollziehbarer Datenherkunft.
Neben allen Schichten laufen die DORA-Kontrollen: IKT-Risikomanagement, Register der IKT-Drittdienstleister, Klassifizierung und Meldung von Vorfällen sowie Resilienztests. Jedes Modell wird im Rahmen des Modellrisikomanagements registriert, validiert und überwacht.
Freigabe vor der Wirkung
KI erstellt Entwürfe, extrahiert Daten und macht Vorschläge. Über Kredit, Schadenzahlung oder Kontosperre entscheidet ein Mensch mit Namen und Verantwortung.
Erklärbar von Anfang an
Das Maß an Erklärbarkeit bestimmen wir je Entscheidungstyp schon beim Design, nicht erst vor der Validierung.
Ausstieg und Konzentrationsrisiko
Bei der Wahl von Cloud- und Modellanbietern stehen Ausstieg und Ersatz von Anfang an fest und sind im Informationsregister belegt.
Protokolle als Nachweis
Wir speichern Eingaben, Ergebnisse, Modellstände und Freigaben, sodass CSSF, CAA und Wirtschaftsprüfer jeden Fall rekonstruieren können.
Fristen für Finanzunternehmen
Mit jedem dieser Daten ändert sich, welche Belege ein Dienstleister liefern muss. Dazu kommen Rundschreiben der CSSF und des CAA sowie Leitlinien und technische Standards der EU-Aufsichtsbehörden.
Bereits anwendbar
KI-Verordnung: Verbotene Praktiken untersagt, KI-Kompetenz Pflicht
Bereits anwendbar
AMLA: EU-Behörde zur Geldwäschebekämpfung nimmt Arbeit auf
Vorbereitung des gemeinsamen Regelwerks und der eigenen Aufsicht über einzelne Institute.
Bereits anwendbar
Verordnung über Sofortzahlungen: Empfängerüberprüfung bei Euro-Überweisungen
Zahlungsdienstleister im Euroraum gleichen den Namen des Empfängers ab, bevor sie eine Überweisung ausführen.
Bereits anwendbar
KI-Verordnung: Transparenzpflichten gelten
Wer mit einem KI-System kommuniziert, wird darauf hingewiesen.
Stand: 2. Oktober 2026
Steht bevor
Geldwäscheverordnung: Einheitliches EU-Regelwerk gilt
Gleiche Regeln für Kundensorgfalt, wirtschaftlich Berechtigte und Aufbewahrungsfristen.
Steht bevor
KI-Verordnung: Hochrisiko-Pflichten gelten
Betrifft etwa Bonitätsprüfungen und Risikotarife bei Lebens- und Krankenpolicen, nach der Änderung von 2026.
Steht bevor
AMLA: AMLA beaufsichtigt erste Institute selbst
Vorschriften und Standards im Überblick
Die Regelwerke, die KI- und Plattformprojekte bei Banken, Fonds und Versicherern in Luxemburg am stärksten prägen, und ihre Folgen für die Umsetzung.
Die Übersicht hilft bei der Planung und ersetzt keine rechtliche oder aufsichtsrechtliche Beratung. Stand der Daten: 2. Oktober 2026.
- DORAGeltungsbereichEU-weit
Seit dem 17. Januar 2025 müssen Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und andere Finanzunternehmen die Verordnung über die digitale operationale Resilienz einhalten. Sie umfasst das Management von IKT-Risiken, Meldungen, Tests und die Steuerung von Drittanbietern, bis hin zu Pflichtklauseln in Verträgen (Artikel 30). In Luxemburg sind die Commission de Surveillance du Secteur Financier (CSSF) und das Commissariat aux Assurances (CAA) die zuständigen Behörden. Unternehmen unter CSSF-Aufsicht melden schwerwiegende Vorfälle nach dem Rundschreiben CSSF 25/893 über das eDesk der CSSF.
Was das für Ihr Vorhaben heißtAls Ihr IKT-Dienstleister übernehmen wir unseren Teil: passende Vertragsklauseln, rasche Information bei Vorfällen, ein Ausstiegsplan, die Teilnahme an Tests und alle Daten, die in Ihr Informationsregister gehören. Eine eigene Zulassung durch die CSSF haben wir nicht; wir arbeiten für Häuser, die beaufsichtigt werden.
QuelleVerordnung (EU) 2022/2554, EUR-Lex (öffnet externe Website)
- KI-Verordnung (AI Act)GeltungsbereichEU-weit
Hochriskant ist KI, die die Bonität von Privatpersonen bewertet oder Prämien in Lebens- und Krankenversicherungen nach Risiko festlegt. Wer solche Systeme anbietet oder einsetzt, muss ab dem 2. Dezember 2027 (Stand nach der Änderung von 2026) Risiken steuern, Daten sauber verwalten, Protokolle führen, menschliche Aufsicht sichern und alles dokumentieren. Für die nationale Aufsicht sieht der luxemburgische Gesetzentwurf Nr. 8476 die CNPD als horizontale Marktüberwachungsbehörde vor, ergänzt um Behörden für einzelne Sektoren; verabschiedet ist er noch nicht.
Was das für Ihr Vorhaben heißtDie Einstufung machen wir zu Projektbeginn. Die Aufsicht durch Menschen ist Teil des Ablaufs, und die Dokumentation folgt der Struktur Ihres Modellrisiko-Rahmenwerks.
QuelleVerordnung (EU) 2024/1689, EUR-Lex (öffnet externe Website)
- EU-Geldwäschepaket (AMLR und AMLA)GeltungsbereichEU-weit
Vom 10. Juli 2027 an gilt für die Kundensorgfalt eine EU-Verordnung statt nationaler Regeln. Die AMLA stimmt die Arbeit der nationalen Aufseher ab und übernimmt bei einigen besonders risikoreichen Instituten selbst die Aufsicht.
Was das für Ihr Vorhaben heißtFür Onboarding und Reviews heißt das: Belege überall gleich behandeln und jeden Schritt nachweisen. Danach richten wir Dokumenteneingang und Fallbearbeitung aus.
QuelleVerordnung (EU) 2024/1624, EUR-Lex (öffnet externe Website)
- DSGVO und automatisierte EntscheidungenGeltungsbereichEU-weit
Artikel 22 schützt Menschen vor Entscheidungen, die allein eine Maschine trifft und die sie erheblich betreffen. Wo Ausnahmen greifen, sind Sicherungen nötig, etwa ein menschlicher Eingriff und ein Widerspruchsrecht. Zuständige Datenschutzbehörde in Luxemburg ist die CNPD.
Was das für Ihr Vorhaben heißtIn unseren Abläufen kann ein Mensch jedes automatisch erzeugte Ergebnis ansehen, erläutern und korrigieren, und das System hält fest, dass es geschehen ist.
QuelleVerordnung (EU) 2016/679, EUR-Lex (öffnet externe Website)
- Beratungsakte nach MiFID II und IDDGeltungsbereichEU-weit
Wer Anlagen oder Versicherungen vertreibt, prüft Eignung oder Wünsche und Bedürfnisse und dokumentiert die Beratung. Hilft eine KI dabei, gehört ihr Beitrag in diese Dokumentation.
Was das für Ihr Vorhaben heißtUnsere Assistenten speichern angezeigte Inhalte und verwendete Quellen, sodass die Akte vollständig bleibt und sich prüfen lässt.
QuelleRichtlinie 2014/65/EU, EUR-Lex (öffnet externe Website)
- PSD2 und die nächsten ZahlungsdiensteregelnGeltungsbereichEU-weit
Derzeit bestimmt die PSD2 die Regeln für Zahlungsdienste und Open-Banking-Zugänge. Auf PSD3 und eine Zahlungsdiensteverordnung hat man sich 2025 vorläufig geeinigt; nach einer Übergangsfrist werden Betrugsabwehr und Schnittstellenleistung strenger geregelt.
Was das für Ihr Vorhaben heißtWer heute eine API-Plattform aufbaut, plant höhere Leistungswerte, engeres Monitoring und den Austausch von Betrugsinformationen am besten gleich ein.
QuelleRichtlinie (EU) 2015/2366, EUR-Lex (öffnet externe Website)
Anwendungsbeispiele (zur Veranschaulichung)
Beispiel zur VeranschaulichungKYC-Prüfung bei der Kundenaufnahme einer Bank
Ausweise und Unterlagen zu wirtschaftlich Berechtigten in mehreren Sprachen werden ausgelesen und abgeglichen; über jeden markierten Fall entscheidet die Compliance.
Wissensassistent für Compliance und Beratung
Beantwortet Fragen zu Produkten, Richtlinien und CSSF-Rundschreiben, zeigt die Quelle und respektiert die Berechtigungen jeder Person.
Eingang und Verteilung von Beschwerden
Eingehende Beschwerden erhalten Thema, Priorität und eine Kurzfassung und gehen ans richtige Team; die Antwortfristen behält das System im Auge.
Investorendokumente bei einer Fondsadministration
Zeichnungsformulare, Ausweise und Belege von Investoren aus vielen Ländern werden gelesen und dem Register zugeordnet; die Freigabe erteilt das zuständige Team.
Kernfunktionen hinter Schnittstellen
Großrechner-Transaktionen stehen als dokumentierte APIs und Events zur Verfügung; neue Kanäle warten nicht länger auf nächtliche Batch-Läufe.
Plattformen im Finanzsektor
Salesforce
Summit PartnerArbeitsplätze für Beratung, Onboarding-Strecken und Kundenservice auf Deutsch, Französisch und Englisch, angebunden an Kernsysteme und Dokumenteneingang.
SAP
Gold PartnerFinanzen und Konzernberichterstattung für Gruppen mit Luxemburger Holding- oder Fondsstrukturen, mit SAP-Daten für Risiko- und Aufsichtsmeldungen samt nachvollziehbarer Herkunft.
Die Partnerstufen sind die von FromNine. Produktnamen sind Marken ihrer jeweiligen Inhaber.
Luxemburg
Finanzplatz Luxemburg: CSSF, CAA und EU-Aufsicht
In Luxemburg beaufsichtigt die CSSF (Commission de Surveillance du Secteur Financier) Banken, Investmentfonds und Zahlungsinstitute, das Commissariat aux Assurances (CAA) die Versicherer. Beide sind die zuständigen Behörden für DORA; Vorfälle der von der CSSF beaufsichtigten Unternehmen gehen nach dem Rundschreiben CSSF 25/893 über das eDesk der CSSF. Ab 2028 wird die AMLA einzelne Institute direkt beaufsichtigen.
DORA, KI-Verordnung und Geldwäschepaket gelten EU-weit, Erwartungen der Aufsicht, Meldeformate und Auslagerungspraxis unterscheiden sich aber weiterhin von Land zu Land. Viele Häuser am Finanzplatz arbeiten zudem mit Unterlagen auf Französisch, Deutsch und Englisch und mit Gruppengesellschaften in mehreren Staaten.
Wir legen die Umsetzung so an, dass Nachweise einmal entstehen und jeder Stelle vorgelegt werden können: Architektur- und Modelldokumentation, Protokolle, Testergebnisse und Ausstiegspläne, die mit dem System aktuell bleiben.
- DORAVerordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) (öffnet externe Website)
- KI-Verordnung (AI Act)Verordnung (EU) 2024/1689 über künstliche Intelligenz (öffnet externe Website)
- Gesetzentwurf Nr. 8476Gesetzentwurf Nr. 8476: CNPD als horizontale Marktüberwachungsbehörde und zentrale Anlaufstelle für die KI-Verordnung (noch nicht verabschiedet) (öffnet externe Website)
- Geldwäscheverordnung (AMLR)Verordnung (EU) 2024/1624 zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (einheitliches Regelwerk), mit der AMLA (öffnet externe Website)
- DSGVODatenschutz-Grundverordnung (DSGVO) (öffnet externe Website)
Häufige Fragen
Wie unterstützen Sie als Dienstleister unsere DORA-Pflichten gegenüber CSSF oder CAA?
Die von DORA verlangten Vertragsklauseln nehmen wir auf. Vorfälle melden wir Ihnen auf dem vereinbarten Weg so früh, dass Ihre Meldung an die CSSF oder das CAA rechtzeitig erfolgen kann. Ausstiegspläne sind dokumentiert, an Resilienztests nehmen wir teil, und Ihr Register der IKT-Drittdienstleister erhält alle nötigen Angaben. Wir selbst sind kein beaufsichtigtes Unternehmen des Finanzsektors.
Darf KI bei Kredit- oder Zeichnungsentscheidungen mitwirken?
Ja, allerdings als Hochrisiko-Anwendung im Sinne der KI-Verordnung: mit Risikosteuerung, Datenqualität, Protokollen, Aufsicht durch Menschen und Unterlagen. Bei uns trifft und begründet ein Mensch die Entscheidung, und die DSGVO-Regeln zu automatisierten Entscheidungen werden eingehalten.
Wo laufen Modelle und Daten?
Wo Ihr Risikoappetit es erlaubt: in Ihrem Cloud-Tenant, in einer EU-Region eines Hyperscalers oder, für besonders sensible Daten, on premises. Die Wahl von Modell und Hosting halten wir samt Ausstiegsweg für Ihr Informationsregister fest.
Müssen wir unser Kernsystem ersetzen?
Nein. Wir binden das bestehende System an und erneuern in Etappen: erst APIs und Events um den Kern herum, dann einzelne Funktionen, wo sich der Umbau rechnet. Bis der alte Pfad wegfällt, prüft ein Abgleich die Ergebnisse.
Wie bewerten Sie generative KI in beaufsichtigten Prozessen?
Vor dem Go-live einigen wir uns mit Risikocontrolling und Validierung auf Testfälle und Qualitätsmaßstäbe; danach überwachen wir laufend, und unsichere Ergebnisse gehen in eine Prüfung. Wir gehen davon aus, dass ein Teil der Antworten fehlerhaft ist, und lassen solche Fälle von Menschen bearbeiten.
Ihr Vorhaben im Finanzsektor besprechen
Sie planen KI in Onboarding, Beratung oder Schadenbearbeitung oder bereiten Ihre IT auf DORA-Tests vor? Sprechen Sie mit einem Team, das für die Aufsicht ebenso entwickelt wie für die Menschen, die das System täglich nutzen. Das erste Gespräch führen wir auf Deutsch oder Französisch.