Redaktionell geprüft: 22. Oktober 2026 · Rechtslage geprüft bis: 22. Oktober 2026. Zeitgebundene Aussagen sind datiert; angekündigte, aber noch nicht veröffentlichte Rechtsakte sind als solche gekennzeichnet.
Für wen: Banken (SI) Banken (LSI) Versicherungen Meldewesen-Dienstleister Kryptowerte-Dienstleister Jeder Termin nennt im Text, für wen er gilt.
Drei Daten tragen das Jahr 2027: der 1. Jänner (SREP-Leitlinien, Output Floor, FRTB), der 10. Juli (Geldwäscheverordnung) und der 2. Dezember (Hochrisiko-Pflichten der KI-Verordnung). Dazwischen liegen die Meldestichtage, die ohnehin laufen – und einige angekündigte Rechtsakte, deren Inhalt noch niemand kennt.
Wie ist der Fahrplan zu lesen?
geltendes Recht ist kundgemacht und anwendbar oder hat einen gesetzlich fixierten Anwendungsbeginn. politisch geeinigt ist politisch geeinigt oder förmlich beschlossen, der Rechtstext aber noch nicht in Kraft. amtliche Frist ist eine von der Behörde bekanntgegebene Frist, die ein Gesetz nur als relative Frist nennt. aufsichtliche Erwartung ist eine Anforderung aus einem aufsichtlichen Schreiben oder einer Erhebung – kein Rechtsakt, aber eine Frist. angekündigt / erwartet beruht auf einer Ankündigung der Behörde oder einer Erwartung aus Sekundärquellen. abgeleitete Frist ist ein Kalenderdatum, das wir aus einer relativen gesetzlichen Frist errechnet haben – das Gesetz selbst nennt es nicht. Leitlinien der EBA binden die zuständigen Behörden; auf Institute wirken sie über die Aufsichtspraxis und das geltende Recht, nicht wie eine unmittelbar geltende Verordnung. Bei Meldungen sind Referenzstichtag und Übermittlungsfrist getrennt angegeben.
Was läuft 2026 bereits?
Unter anderem die MiCAR-CASP-MV (seit 15. Juni), die KI-Transparenzpflichten (seit 2. August) und die NISG-Registrierung bis 31. Dezember 2026.
| Datum | Status | Regelwerk · Was gilt – und für wen |
|---|---|---|
| 15.06.2026 | geltendes Recht | MiCAR-CASP-MV, BGBl. II Nr. 71/2026 – In Kraft; erster Stichtag 30.06.2026, erste Übermittlung bis 11.08.2026. Zugelassene CASP halbjährlich, Finanzunternehmen nach Art. 60 MiCAR nur jährlich. |
| 26.06.2026 | geltendes Recht | EBA/GL/2026/06 – Revidierte SREP-Leitlinien veröffentlicht; neuer Abschnitt 5.7 „ICT systems, risk data aggregation and risk reporting“. Am selben Tag kündigt die EZB die Überarbeitung ihres RDARR-Leitfadens an. |
| 27.07.2026 | geltendes Recht | VO (EU) 2026/1744 (Digital Omnibus on AI) – In Kraft. Hochrisiko-Pflichten für Anhang-III-Systeme auf 02.12.2027 verschoben, Anhang I auf 02.08.2028 – feste Kalenderdaten, kein Auslösemechanismus mehr. |
| 02.08.2026 | geltendes Recht | KI-Verordnung – Transparenzpflichten nach Art. 50 und das Sanktionsregime gelten; die Kommission übt ihre Befugnisse gegenüber GPAI-Anbietern aus. |
| 11.09.2026 | geltendes Recht | Cyber Resilience Act, Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle – auch für Bestandsprodukte. CERT.at ist koordinierendes CSIRT. |
| 01.10.2026 | geltendes Recht | NISG 2026, BGBl. I Nr. 94/2025 – In Kraft. Registrierung binnen drei Monaten ab Inkrafttreten (§ 29 Abs. 3) über das Unternehmensserviceportal. Für Finanzunternehmen gehen die DORA-Bestimmungen nach § 24 Abs. 7 vor; Governance, Risikomanagement, Nachweis und Berichtspflichten des NISG entfallen, die Registrierung nach § 29 Abs. 2 bleibt (FMA, BMI, OeNB). Ob ein Unternehmen überhaupt wesentliche oder wichtige Einrichtung ist, entscheiden Tätigkeit und Größe – nicht DORA. |
| 21.10.2026 | politisch geeinigt | Verbriefungsreform – Politische Einigung von Rat und Parlament: Kategorie „resilient“, gestärktes STS-Label, risikosensitiv rekalibrierte Eigenmittel, EU-Aufsicht über STS-Drittprüfer. Rechtstexte in Finalisierung; Anwendungsbeginn offen. |
| 31.10.2026 | aufsichtliche Erwartung | EZB-Schreiben SSM-2026-0301 – Aktionspläne zu KI-gestützten Cyberbedrohungen beim Joint Supervisory Team – nur bedeutende Institute. Kernstück: vollständige Identifikation der IKT-Assets einschließlich Fremd- und Open-Source-Software. |
| November 2026 | angekündigt / erwartet | SSM-Aufsichtsprioritäten 2027–2029 – Jährliche Fortschreibung. 2026–2028 stehen Risikodatenaggregation, IKT-Resilienz und KI-Governance gemeinsam unter Priorität 2. |
| Q4 2026 | angekündigt / erwartet | Revidierter EZB-RDARR-Leitfaden – Angekündigt am 26.06.2026 mit Präzisierungen zum Anwendungsbereich des Data-Governance-Rahmens und zur integrierten Datenarchitektur; bei substanziellen Änderungen mit Konsultation. Inhalt noch nicht bekannt. |
| 02.12.2026 | geltendes Recht | KI-Verordnung – Neue Verbotstatbestände; Kennzeichnungspflicht für vor dem 02.08.2026 in Verkehr gebrachte generative Systeme. |
| 31.12.2026 | amtliche Frist | NISG 2026, § 29 Abs. 3 – Registrierungsfrist – Das Bundesamt für Cybersicherheit nennt die Registrierung „ab 1. Oktober 2026 bis spätestens 31. Dezember 2026 über das USP“ (FAQ, Stand 25.09.2026); im Gesetz steht nur die relative Frist von drei Monaten. Jede Einrichtung registriert sich einzeln, eine Konzernregistrierung ist nicht vorgesehen; Strafrahmen bis 50.000 Euro, im Wiederholungsfall 100.000 Euro (§ 45 Abs. 4). |
Was bringt 2027, das Jahr der Konvergenz?
SREP-Abschnitt 5.7 und Output Floor (1. Jänner), Solvency-II-Review (30. Jänner), AMLR (10. Juli) und KI-Hochrisiko für Kredit-Scoring (2. Dezember).
| Datum | Status | Regelwerk · Was gilt – und für wen |
|---|---|---|
| 01.01.2027 | geltendes Recht | EBA/GL/2026/06, Abschnitt 5.7 – Anwendungsbeginn. IKT-Systeme, Risikodatenaggregation und Risikoberichterstattung werden in einem Prüfungsblock bewertet – adressiert an FMA und OeNB, unabhängig von der Einstufung als bedeutendes Institut. |
| 01.01.2027 | geltendes Recht | CRR III – Output Floor – 60 % der Standardansatz-RWA (2028: 65 %, 2029: 70 %, 2030: 72,5 %). Die Kommission hat mit COM(2026) 615 eine Überprüfung angekündigt; Vorschläge werden für Q1 2027 erwartet. |
| 01.01.2027 | geltendes Recht | CRR III – FRTB – Verbindliche Eigenmittelunterlegung des Marktrisikos (seit 2025 nur Meldepflicht). Befristete Erleichterungen nach DelVO (EU) 2026/1221 bis Ende 2029. |
| 11.01.2027 | geltendes Recht | EBA/GL/2025/01 (ESG-Risiken) – Anwendung für kleine und nicht komplexe Institute. |
| 30.01.2027 | geltendes Recht | Solvency-II-Review (RL (EU) 2025/2) – Anwendungsbeginn. Revidierte Quartals- und Jahres-QRT ab Referenzperiode Q1 2027 mit Taxonomie 2.10.0; für die Jahresmeldung 2026 (Abgabe 2027) gilt noch Taxonomie 2.8.2. Übermittlungsfristen Solo 16 und Gruppe 22 Wochen erstmals ab Jahresende 2027. Nur Versicherungen. |
| 11.02.2027 | geltendes Recht | MiCAR-CASP-MV – Übermittlung der Stammdaten (Stichtag 31.12.2026) und der ersten Jahresmeldung der Finanzunternehmen nach Art. 60 MiCAR (Anlage 3). |
| Februar 2027 | aufsichtliche Erwartung | EZB IT-Risikofragebogen – Verschobener Erhebungstermin (ursprünglich September 2026) – bedeutende Institute. |
| März 2027 | angekündigt / erwartet | DORA-Informationsregister – Einreichung mit Stichtag 31.12.2026; Fehlerprotokolle unverzüglich bereinigen. Fenster nach dem Muster der Vorjahre, von den ESAs jährlich bekannt gegeben. |
| Q1 2027 | angekündigt / erwartet | Kommission – Output Floor – Legislativvorschläge zum Output Floor, seinen Übergangsregeln sowie zur Vereinfachung von MREL, Puffern und Säule 2 erwartet (AFME, 2026). |
| 30.06.2027 | geltendes Recht | MiCAR Art. 140 · TFR Art. 37 Abs. 3 – Bericht der Kommission zur MiCAR (u. a. Frage eines regelmäßigen CASP-Reportings) und Anwendungsbericht zur Geldtransfer-Verordnung einschließlich Analysewerkzeugen und Geringfügigkeitsschwellen. |
| 01.07.2027 | geltendes Recht | AMLA-Verordnung, Art. 13 – Die AMLA leitet das erste Auswahlverfahren für die unmittelbar beaufsichtigten Verpflichteten ein; Abschluss binnen sechs Monaten. |
| 10.07.2027 | geltendes Recht | Geldwäscheverordnung (AMLR) – Unmittelbar anwendbar: 1.000-Euro-Schwelle für CASP (Art. 19 Abs. 3), Korrespondenzbeziehungen (Art. 37), selbst gehostete Adressen (Art. 40), Verbot anonymer Kryptokonten (Art. 79). AMLA-Leitlinien zu Art. 37 und 40 bis zu diesem Tag fällig – bisher kein Entwurf. |
| 31.07.2027 | geltendes Recht | Krypto-MPfG, BGBl. I Nr. 96/2025 – Erste Meldung der Kryptowerte-Dienstleister nach dem Krypto-Meldepflichtgesetz. |
| September 2027 | angekündigt / erwartet | EBA-Vereinfachungspaket (EBA/REP/2026/07) – Angestrebte Umsetzung der reduzierten ITS; Ziel der Vorschläge sind netto rund 50 % weniger EU-harmonisierte Datenpunkte – eine angestrebte Wirkung, keine bereits geltende Reduktion und kein Wert je Institut. Bis dahin zweijährige Stabilitätsphase. OeNB-Umsetzung in GMD/Basic Cube und AuRep noch nicht beschrieben. |
| 30.09.2027 | geltendes Recht | DAC8 – Erster automatischer Informationsaustausch zu Kryptowerten zwischen den Mitgliedstaaten. |
| 30.09.2027 | abgeleitete Frist | NISG 2026, § 33 – Selbstdeklaration zwölf Monate nach Eintritt der Registrierungspflicht – für Finanzunternehmen nach § 24 Abs. 7 nicht anwendbar (FMA); relevant für Konzerngesellschaften, die selbst wesentliche oder wichtige Einrichtungen sind, etwa Rechenzentren oder IT-Dienstleister nach Anhang I Nr. 8 und 9, sofern sie die Schwellen erreichen. |
| 2. Halbjahr 2027 | angekündigt / erwartet | Digitaler Euro · IReF – Pilot des digitalen Euro mit 36 Zahlungsdienstleistern (zwölf Monate) laut EZB-Planung; IReF-Konsultation. Beides abhängig vom Gesetzgebungsverfahren. Was der digitale Euro für das Meldewesen bedeutet: Wer die Zahlung sieht – die LinkedIn-Serie. |
| 02.12.2027 | geltendes Recht | KI-Verordnung, Anhang III – Hochrisiko-Pflichten für Kredit-Scoring natürlicher Personen (Nr. 5 lit. b): Art. 9–15, 17, 26, 27, Konformitätsbewertung, EU-Datenbank. FMA ist Marktüberwachungsbehörde. |
| 11.12.2027 | geltendes Recht | Cyber Resilience Act – Übrige Herstellerpflichten: Anhang I, SBOM, Unterstützungszeitraum – für Institute als Hersteller eigener Apps. |
Was kommt 2028 und danach?
Unter anderem der Output Floor mit 65 % (1. Jänner 2028), KI-Pflichten für Anhang-I-Produkte (2. August 2028) und der IReF-Meldebetrieb ab 2031.
| Datum | Status | Regelwerk · Was gilt – und für wen |
|---|---|---|
| 01.01.2028 | geltendes Recht | CRR III – Output Floor – 65 % der Standardansatz-RWA (vorbehaltlich der angekündigten Überprüfung). |
| 01.01.2028 | geltendes Recht | DAC8 / Krypto-MPfG – TIN-Vorgaben für die Meldungen. |
| 2028 | geltendes Recht | AMLA-Verordnung – Beginn der Direktaufsicht sechs Monate nach Veröffentlichung der Liste der ausgewählten Verpflichteten (Art. 13); Kryptowerte-Dienstleister sind eine eigene Kategorie der Risikoeinstufung (Art. 12 Abs. 4 lit. j). |
| 02.08.2028 | geltendes Recht | KI-Verordnung, Anhang I – Hochrisiko-Pflichten für in regulierte Produkte eingebettete Systeme – für Banken nachrangig, im Inventar zu führen. |
| 01.10.2028 | geltendes Recht | NISG 2026 – Erste Nachweisaufforderungen der Cybersicherheitsbehörde an erfasste Einrichtungen – konzerneigene Rechenzentren und IT-Gesellschaften. |
| Q2 2030 / 2031 | angekündigt / erwartet | EZB IReF – Pilot des Integrated Reporting Framework im zweiten Quartal 2030, Meldebetrieb 2031 laut EZB-Planung. Kryptowerte und digitaler Euro sind im Zielbild nicht enthalten. |
Die Termine 2027 sind keine Reihe von Projekten, sondern eine Reihe von Nachweisen über dieselbe Datenbasis. Wer das Informationsregister (März), die SREP-Datenfähigkeit (ab Jänner), die AMLR-Sorgfalt (Juli) und das Kredit-Scoring (Dezember) aus einem Inventar bedient, erhebt einmal. Wie das geht, beschreibt die Seite zum Datenkern.
Häufige Fragen
Bis wann muss die NISG-Registrierung erfolgen?
Das Gesetz nennt eine relative Frist von drei Monaten ab Inkrafttreten (§ 29 Abs. 3). Das Bundesamt für Cybersicherheit gibt daraus die Frist 31. Dezember 2026 bekannt; registriert wird über das Unternehmensserviceportal, jede Einrichtung einzeln. Für Finanzunternehmen bleibt diese Registrierung nach Darstellung von FMA, BMI und OeNB bestehen, die materiellen NISG-Pflichten werden von DORA verdrängt (§ 24 Abs. 7).
Ist der revidierte RDARR-Leitfaden schon da?
Zum Stand dieser Seite nicht. Belegt sind nur die Ankündigung der EZB vom 26. Juni 2026, der erwartete Zeitraum (viertes Quartal 2026) und die beiden Schwerpunkte der Überarbeitung: Anwendungsbereich des Data-Governance-Rahmens und integrierte Datenarchitektur.
Welche Termine betreffen weniger bedeutende Institute nicht?
Das EZB-Schreiben vom 7. Juli 2026 mit den Aktionsplänen bis 31. Oktober 2026 und der IT-Risikofragebogen richten sich an bedeutende Institute. Die SREP-Leitlinien ab 1. Jänner 2027 gelten dagegen über FMA und OeNB für alle.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).