Finanzinstitute müssen AI Act, DORA und NIS2 mit überlappenden Pflichten und Zeitplänen navigieren. Dieser Leitfaden kartiert die Schnittstellen: wo sich Pflichten überschneiden, wo sie in Konflikt stehen und wie Dual-Mapping-Dokumentation die Compliance-Belastung reduziert.
Drei Verordnungen, ein Compliance-Programm
Finanzorganisationen in der EU stehen vor AI Act, DORA und NIS2 — drei Verordnungen, die unabhängig voneinander konzipiert wurden, sich jedoch im Kontext von KI-Systemen im Finanzbereich erheblich überschneiden. Sie separat zu verwalten, schafft doppelte Dokumentation, inkonsistente Governance und unnötige Kosten.
Dieser Leitfaden kartiert die Überschneidungen und zeigt, wo ein einziger Compliance-Aufwand mehrere Verordnungen gleichzeitig erfüllen kann.
Zeitplanvergleich
| Verordnung | Wichtige Frist | Status |
|---|---|---|
| NIS2 | Oktober 2024 | In Kraft |
| DORA | 17. Januar 2025 | In Kraft |
| AI Act — Verbotene Praktiken | 2. Februar 2025 | In Kraft |
| AI Act — GPAI-Regeln | 2. August 2025 | In Kraft |
| AI Act — Eigenständiger Anhang III | 2. Dezember 2027 | Bevorstehend |
| AI Act — Eingebetteter Anhang I | 2. August 2028 | Bevorstehend |
Wo sich AI Act und DORA überschneiden
Risikomanagement
AI-Act-Art. 9 erfordert ein Risikomanagementsystem für hochriskante KI, das die Identifizierung, Schätzung, Bewertung und Minderung von Risiken über den gesamten Lebenszyklus abdeckt.
DORA Art. 5–16 erfordert einen IKT-Risikomanagementrahmen, der Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung von IKT-Risiken abdeckt.
Überschneidung: Beide gelten für KI-Systeme im Finanzbereich. Ein einziges Risikoregister und ein einziger Governance-Prozess kann beide erfüllen, sofern er die KI-spezifischen Risiken, die von Art. 9 gefordert werden (Genauigkeit, Robustheit, Voreingenommenheit, Grundrechtswirkungen), zusätzlich zu den IKT-Risikokategorien von DORA (Verfügbarkeit, Vertraulichkeit, Integrität, Authentifizierung) abdeckt.
Dual-Mapping-Ansatz: Erweitern Sie Ihr DORA-IKT-Risikoregister um KI-spezifische Risikodimensionen. Dokumentieren Sie die kombinierte Bewertung als Erfüllung der Anforderungen von Art. 9 und DORA Art. 5–16.
Vorfallsmeldung
AI-Act-Art. 73 verpflichtet Anbieter hochriskanter KI, schwerwiegende Vorfälle ohne unangemessene Verzögerung den Marktüberwachungsbehörden zu melden.
DORA Art. 19–23 verpflichtet Finanzunternehmen, größere IKT-bezogene Vorfälle innerhalb strenger Fristen an zuständige Behörden zu melden (initial: 4 Stunden; Zwischenbericht: 72 Stunden; Abschlussbericht: 1 Monat).
Überschneidung: Ein IKT-Vorfall, der durch ein hochriskantes KI-System verursacht wird oder dieses einschließt, kann gleichzeitig beide Meldepflichten auslösen. Erstellen Sie ein einziges Vorfallreaktionsverfahren, das beide Schwellenwerte bewertet und bei Bedarf an beide Regulatoren weiterleitet.
Drittpartei und Lieferkette
AI Act erlegt Anbietern, die KI entwickeln, Pflichten auf. Betreiber, die hochriskante KI-Systeme von Anbietern beschaffen, müssen die Anbieter-Konformität überprüfen.
DORA Art. 28–44 verpflichtet Finanzunternehmen, IKT-Drittparteienrisiken zu verwalten, einschließlich für KI-Anbieter und Cloud-Dienste, die KI-Systeme betreiben.
Überschneidung: Die Beschaffungs-Due-Diligence für von Finanzunternehmen verwendete KI-Systeme muss beide erfüllen: DORA's IKT-Drittparteienrisikobewertung und vertragliche Anforderungen UND die Überprüfung der AI-Act-Konformitätsbewertung und CE-Kennzeichnung.
Praktischer Tipp: Fügen Sie die AI-Act-Konformitätsprüfung zu Ihrer DORA-IKT-Drittpartei-Due-Diligence-Checkliste hinzu. Fordern Sie von KI-Anbietern ihre Konformitätsbewertungsdokumentation und die EU-Datenbankregistrierungsnummer an.
Wo sich AI Act und NIS2 überschneiden
NIS2 gilt umfassend für wesentliche und wichtige Einrichtungen, einschließlich Finanzinstitute, Energieversorger, Gesundheitsorganisationen und Betreiber digitaler Infrastrukturen.
NIS2-Art. 21 Sicherheitsmaßnahmen gelten für alle IKT — einschließlich KI-Systeme. Risikobasierte Sicherheitsmaßnahmen, Lieferkettensicherheit und Geschäftskontinuitätsplanung gelten alle für KI als IKT-Komponenten.
NIS2-Art. 23 Vorfallmeldung (24-Stunden-Frühwarnung, 72-Stunden-Benachrichtigung, 1-Monats-Abschlussbericht) gilt für erhebliche Vorfälle, einschließlich solcher mit KI-Systemen.
Integrationsmöglichkeit: NIS2-Sicherheitsmaßnahmen und AI-Act-Art. 15 (Genauigkeit, Robustheit, Cybersicherheit) für hochriskante KI können durch dasselbe Informationssicherheitsmanagementsystem (ISMS) und Cybersicherheitsprogramm adressiert werden.
Empfohlenes Dual-Mapping-Rahmenwerk
- Einziges KI-Inventar — alle KI-Systeme katalogisieren, jedes auf AI-Act-Risikostufe UND DORA/NIS2-Anwendbarkeit abbilden
- Kombiniertes Risikoregister — IKT-Risikoregister um KI-spezifische Dimensionen erweitern (Voreingenommenheit, Intransparenz, Grundrechtswirkungen)
- Einheitliche Vorfallreaktion — einziges Verfahren mit Dual-Schwellenwert-Bewertung für AI-Act + DORA/NIS2-Meldung
- Gemeinsame Drittpartei-Vorlage — DORA-IKT-Due-Diligence + AI-Act-Konformitätsprüfung in einem einzigen Lieferantenfragebogen
- Gemeinsames QMS — das AI-Act-Qualitätsmanagementsystem (Art. 17) als Erweiterung des DORA-Governance-Rahmens gestalten, nicht als separates Silo
Für DORA-spezifische Orientierung siehe unsere Schwester-Website regulation-dora.eu — die das vollständige IKT-Risikomanagement, die Vorfallmeldung und die Drittpartei-Rahmen von DORA im Detail abdeckt.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Ja — erheblich. Das Risikomanagementsystem des AI Act (Art. 9) für hochriskante KI überschneidet sich mit dem IKT-Risikomanagementrahmen von DORA (Art. 5–16) für IKT-Systeme. KI-Systeme im Finanzbereich, die nach Anhang III als hochriskant qualifizieren, unterliegen beiden. Dual-Mapping ist möglich: ein einziges QMS kann die Risikomanagementanforderungen beider Verordnungen erfüllen.
DORA befreit KI nicht. Jedes IKT-System — einschließlich KI — das Teil der IKT-Infrastruktur eines Finanzunternehmens ist, unterliegt den Betriebsresilienzanforderungen von DORA. Die Vorfallsmeldung von DORA (Art. 19–23), das IKT-Drittparteienrisikomanagement (Art. 28–44) und die Resilienztests (Art. 25–27) gelten alle für KI-gesteuerte IKT-Systeme.
Keine hat Vorrang; beide gelten gleichzeitig. Der AI Act ist eine Produktverordnung (regelt das KI-System); DORA ist eine Betriebsresilienz-Verordnung (regelt das IKT-Umfeld des Finanzunternehmens). Eine Kreditwürdigkeits-KI, die von einer Bank verwendet wird, muss beide einhalten: AI-Act-Anhang-III-Pflichten als hochriskantes KI-System und DORA als IKT-System.
NIS2 gilt für wesentliche und wichtige Einrichtungen in Sektoren wie Finanzen, Energie, Gesundheit und digitale Infrastruktur. KI-Systeme, die in Betriebsabläufe dieser Einrichtungen eingesetzt werden, fallen unter die Sicherheitsmaßnahmen von NIS2 (Art. 21) und die Vorfallsmeldung (Art. 23). NIS2 befasst sich nicht speziell mit KI, aber ihr risikobasierter Sicherheitsrahmen deckt KI-Systeme als IKT-Komponenten ab.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.