DORA + KI-Verordnung: Pflichten der CSSF-Häuser

Zuletzt geprüft: 12. September 2026.

Zwei Verordnungen liegen über jeder KI-Initiative in einem Luxemburger Finanzunternehmen: der Digital Operational Resilience Act (DORA), vollumfänglich anwendbar seit dem 17. Januar 2025, und die KI-Verordnung. Die meisten von der CSSF beaufsichtigten Einrichtungen und vom CAA regulierten Versicherer — auch jene, die KI in Schaden, Underwriting und Betrugserkennung einsetzen — behandeln beides als zwei getrennte Compliance-Projekte mit zwei Budgets und zwei Zeitplänen. Das ist der teure Weg.

Die Daten der KI-Verordnung haben sich im Juli 2026 geändert

Wenn Ihr Programm auf den 2. August 2026 geplant ist, planen Sie neu. Der Digital-Omnibus zur KI — Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026 — hat die Anwendungsdaten neu gefasst:

Für eine Luxemburger Bank oder einen Versicherer ändert das die Reihenfolge, nicht das Ziel. Die heute lebendige Pflicht ist Artikel 50: Ihr Kundenchatbot, Ihr Sprachkanal, jede KI-erzeugte Kundenkommunikation. Die schwere Arbeit — das Kredit-Scoring-Modell, die Underwriting-Engine für Leben und Kranken — läuft auf die Uhr bis Dezember 2027, und sie braucht fast die ganze Zeit.

Dieser Leitfaden erklärt, wo DORA und die KI-Verordnung sich überschneiden, wo nicht, und wie Sie die Arbeit so staffeln, dass Sie die zugrunde liegenden Kontrollen einmal bezahlen.

Warum diese beiden Verordnungen in dasselbe Gespräch gehören

DORA und die KI-Verordnung wurden in Brüssel von verschiedenen Teams aus verschiedenen Gründen verfasst. DORA ist eine IKT-Resilienzverordnung für den Finanzsektor: die digitale Infrastruktur am Laufen halten, Vorfälle eindämmen, Abhängigkeiten von Dritten steuern. Die KI-Verordnung ist eine horizontale Produktsicherheitsverordnung: das Risiko von KI-Systemen klassifizieren und die hochriskanten durch Dokumentation, Tests und menschliche Aufsicht begrenzen.

Für eine Luxemburger Bank, einen Fondsadministrator, einen Versicherer oder ein PSF laufen beide Regime jedoch auf dieselben Artefakte hinaus:

• ein Verzeichnis jedes KI-Systems im Produktivbetrieb;
• eine Risikoklassifizierung je System;
• eine Beschreibung jedes Drittanbieters, der KI-Komponenten liefert;
• einen Notfallplan, der KI-Ausfälle abdeckt;
• einen Prüfpfad der Modellentscheidungen und der menschlichen Übersteuerungen;
• einen Überwachungs- und Meldeprozess an die zuständige Behörde (CSSF für DORA, Marktüberwachung für die KI-Verordnung, CNPD bei personenbezogenen Daten).

Sie können diese Artefakte zweimal bauen — einmal im DORA-Register und noch einmal in der technischen Akte der KI-Verordnung — und Ihrer Compliance-Rechnung beim Verdoppeln zusehen. Oder Sie bauen ein einziges System of Record, das beiden genügt.

Die vier Bereiche echter Überschneidung

1. Drittparteienrisiko. Unter DORA muss jeder „IKT-Drittdienstleister" verzeichnet, vertraglich an konkrete Resilienzstandards gebunden und im Ausstieg getestet werden. Jeder externe KI-Anbieter — Ihr Modellanbieter, Ihre Orchestrierungsplattform, Ihre Hosting-Umgebung — fällt unter diese Definition. Unter der KI-Verordnung sind dieselben Anbieter Teil Ihrer Anbieter-/Betreiberkette, und Sie schulden zu jedem Dokumentation. Bauen Sie ein einziges Anbieterregister, versehen Sie es mit beiden regulatorischen Sichten, und die Arbeit ist einmal getan.

In Luxemburg muss diese Akte zusätzlich dem Rundschreiben CSSF 22/806 zu Auslagerungsvereinbarungen genügen, in der Fassung des Rundschreibens CSSF 25/883. Die CSSF hat ihr Regelwerk 2025 um DORA herum neu ausgerichtet (Rundschreiben 25/880 und 25/882), gerade um DORA-Pflichten von Nicht-DORA-Pflichten zu trennen — klären Sie, auf welcher Seite Ihre Vereinbarung liegt, bevor Sie die Akte bauen, denn die Anforderungen unterscheiden sich.

2. Vorfallmeldung. DORA verlangt die Meldung schwerwiegender IKT-Vorfälle an die CSSF in engen Fristen. Die KI-Verordnung ergänzt die Pflicht, schwerwiegende KI-Vorfälle zu melden (Fehlfunktionen, verzerrte Ergebnisse mit Schadensfolge). Für eine Luxemburger Bank betreffen beide Meldungen in vielen Fällen dasselbe zugrunde liegende Ereignis. Eine einzige Klassifikationstaxonomie für Vorfälle, die auf beide Regime abbildet, ist weit sauberer als zwei parallele Prozesse.

3. Kontinuität und Resilienztests. DORA schreibt bedrohungsgeleitete Penetrationstests (TLPT) und Tests der digitalen operationalen Resilienz vor. Die KI-Verordnung schreibt Tests von Hochrisikosystemen auf Genauigkeit, Robustheit und Cybersicherheit vor. Die Methoden überschneiden sich erheblich: Wer ein KI-System mit einem Red Team auf adversariale Eingaben prüft, erfüllt Teile beider Regime — und einen guten Teil der Überschneidung von NIS2 und KI-Verordnung dazu, falls NIS2 ebenfalls für Sie gilt.

4. Menschliche Aufsicht und Verantwortlichkeit. Beide Regime verlangen letztlich eine namentlich benannte verantwortliche Person für das System. DORA will einen IKT-Verantwortlichen auf Leitungsebene; Artikel 26 der KI-Verordnung will betreiberseitig eine Person mit der Fachkunde, der Schulung und der Befugnis, die Aufsicht auszuüben. In einem Luxemburger KMU oder mittelgroßen Haus ist das meist dieselbe Person. Dokumentieren Sie sie als eine Rolle mit zwei regulatorischen Hüten.

Die Zusammenlegung ist ausdrücklich erlaubt. Artikel 9 Absatz 10 der KI-Verordnung erlaubt, das für Hochrisiko-KI erforderliche Risikomanagementsystem in die Risikomanagementverfahren zu integrieren, die ein Finanzunternehmen nach dem Finanzdienstleistungsrecht der Union ohnehin unterhält — einschließlich des IKT-Risikorahmens unter DORA. Das ist keine Graubereichsauslegung; es steht so in der Verordnung. Wer ein separates KI-Risikoregister von Grund auf baut, entscheidet sich dafür, die Arbeit zweimal zu machen.

Wo DORA und die KI-Verordnung auseinandergehen

Ebenso wichtig ist Klarheit darüber, wo sich beides nicht überschneidet, damit Sie nichts erzwingen:

• Die Klassifikationslogik unterscheidet sich. DORA stuft Ihre Dienste nach Kritikalität ein. Die KI-Verordnung stuft Ihre KI-Systeme nach Anwendungsfall ein. Ein nach DORA „nicht kritischer Dienst" kann sehr wohl ein „Hochrisiko-KI-System" im Sinne der Verordnung enthalten (etwa ein intern genutztes HR-Sichtungswerkzeug).
• DORA erfasst die gesamte IKT, nicht nur KI. Der Großteil Ihrer DORA-Arbeit betrifft Ihr Kernbankensystem, Ihre Handelsplattform, Ihr Verwahrsystem. KI ist ein kleiner Ausschnitt.
• Die KI-Verordnung erfasst alle KI, nicht nur die finanzbezogene. Ein Chatbot auf Ihrer öffentlichen Website löst Transparenzpflichten aus, unabhängig von DORA.
• Die Meldebehörden unterscheiden sich. DORA-Meldungen gehen an die CSSF (oder für Versicherer an das CAA). Meldungen nach der KI-Verordnung gehen an die nationale Marktüberwachungsbehörde — die nach dem Gesetzentwurf Nr. 8476 standardmäßig die CNPD wäre, wobei die CSSF KI-Systeme innerhalb ihres bestehenden Finanzsektormandats behält und das CAA die Versicherung. Der Entwurf befand sich zum Redaktionszeitpunkt noch im parlamentarischen Verfahren; rechnen Sie vorerst damit, dass Fragen zuerst über Ihre bestehende Aufsichtsbeziehung eintreffen.

Lieber in einem Gespräch klären? Buchen Sie ein kostenloses 30-Minuten-Gespräch — bringen Sie Ihren Anwendungsfall mit, und wir gehen ihn gemeinsam durch, in klarer Sprache.

Genauigkeit der Klassifizierung, vor allem anderen

Bei Luxemburger Finanzhäusern geht mehr Geld durch falsches Zuschneiden verloren als durch zu enges. Vier Feststellungen entscheiden über die Größe des Programms:

• Kredit-Scoring natürlicher Personen — Anhang III Nummer 5 Buchstabe b. Hochriskant ab dem 2. Dezember 2027. Und eine Grundrechte-Folgenabschätzung nach Artikel 27 trifft Sie als Betreiber, privat oder nicht: Betreiber nach 5 b und 5 c sind in Artikel 27 Absatz 1 neben öffentlichen Stellen ausdrücklich genannt.
• Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung — Anhang III Nummer 5 Buchstabe c. Hochriskant, Folgenabschätzung anwendbar. Kfz-, Sach- und Haftpflichtpreisbildung fällt nicht unter diese Rubrik. Nehmen Sie nicht das gesamte Buch in den Anwendungsbereich.
• Betrugserkennung — ausdrücklich ausgenommen von Anhang III 5 b. Auf dieser Grundlage nicht hochriskant. Interne Geldwäsche- und Eigenkapitalmodelle richten sich nach Sektorrecht, nicht nach Anhang III. Die Falle ist die hybride Strecke, in der Kredit-Scoring-Logik und Anomalieerkennung architektonisch untrennbar sind — dann von Einbeziehung ausgehen.
• Kundenseitige Chatbots und Sprachkanäle — nicht hochriskant, aber mitten in Artikel 50, der jetzt fällig ist. Das ist der wahrscheinlichste erste Durchsetzungskontakt, weil ein nicht offengelegter Chatbot von außen sichtbar ist.

Der Filter des Artikels 6 Absatz 3 kann ein gelistetes System aus dem Anwendungsbereich nehmen, wenn es kein erhebliches Schadensrisiko birgt — nie jedoch, wenn es natürliche Personen profiliert, was die meisten Kredit- und Underwriting-Anwendungen ausschließt. Wo Sie sich darauf stützen, ist die Bewertung zu dokumentieren und zu registrieren.

Die Reihenfolge, die Geld spart

Schritt 1 — Artikel 50 jetzt schließen. Er gilt. Gehen Sie jede kundenseitige KI-Oberfläche durch, prüfen Sie, dass der Hinweis bei der ersten Interaktion in FR / DE / EN vorhanden ist, und dokumentieren Sie, wer die redaktionelle Verantwortung für KI-erzeugte Kundenkommunikation abgezeichnet hat. Ein halber Tag bis eine Woche — und die einzige derzeit durchsetzbare Exponierung ist geschlossen.

Schritt 2 — Das vereinheitlichte Verzeichnis bauen. Jedes KI-System im Haus, vom produktiven Betrugserkennungsmodell bis zum ChatGPT-Abo des Marketings. Je System: fachlicher Eigentümer, Anbieter, Eingabedaten, Entscheidungswirkung, Anbieter- oder Betreiberrolle und Klasse nach der KI-Verordnung (verboten / hochriskant / nach Artikel 6 Absatz 3 gefiltert / begrenzt / minimal). Dieses eine Verzeichnis speist Ihr DORA-IKT-Register, Ihre Auslagerungsakte nach 22/806 und Ihre Aufzeichnungen zur KI-Verordnung.

Schritt 3 — Klassifizieren und gegen Dezember 2027 priorisieren. Die Hochrisikosysteme sind der Engpass. Für jedes schulden Sie ein Risikomanagementverfahren (nach Artikel 9 Absatz 10 in Ihren DORA-Rahmen integriert), Daten-Governance, technische Dokumentation nach Anhang IV, Protokollierung, Transparenz, ein Design der menschlichen Aufsicht, Genauigkeits- und Robustheitstests, Beobachtung nach dem Inverkehrbringen und — für Betreiber nach 5 b und 5 c — eine Grundrechte-Folgenabschätzung. Das sind zwölf bis achtzehn Monate echte Arbeit je komplexem System, keine Checkliste.

Schritt 4 — Einmal Vorlagen bauen, überall wiederverwenden. Ein Satz Vorlagen — Risikobewertung, Modellkarte, DSFA, Vorfall-Playbook, Überwachungshandbuch, Fragebogen zur Anbieterprüfung — der DORA, die KI-Verordnung, Rundschreiben 22/806 und die DSGVO gleichzeitig bedient. Die meisten Luxemburger Häuser, die wir begleiten, landen bei rund einem Dutzend wiederverwendbarer Dokumente, die 80 % der wiederkehrenden Pflichten abdecken.

Schritt 5 — Überwachung in den Betrieb überführen. Compliance wird zur laufenden Betriebsdisziplin statt zum Projekt: vierteljährliche Überprüfung der Modellleistung, jährlicher DORA-Testzyklus, laufende Neubewertung der Anbieter und ein Reporting der Übersteuerungsquote, das belegt, dass Ihre menschliche Aufsicht echt und nicht dekorativ ist.

Mehr Tiefe zur Seite der KI-Verordnung bietet unser Leitfaden dazu, was aktuell tatsächlich gilt.

Was die CSSF tatsächlich zu KI gesagt hat

Es gibt kein eigenes CSSF-Rundschreiben zu künstlicher Intelligenz. Die aufsichtlichen Erwartungen ergeben sich aus zwei gemeinsamen thematischen Untersuchungen von CSSF und BCL zum KI-Einsatz im Luxemburger Finanzsektor: die erste im Mai 2023 veröffentlicht, für Kreditinstitute, E-Geld-Institute und Zahlungsinstitute; die zweite im Mai 2025, deutlich breiter, ergänzt um Wertpapierfirmen und zugelassene Verwalter alternativer Investmentfonds — eine mehr als verdreifachte Beteiligung.

Die konstante Botschaft beider Ausgaben: Governance, menschliche Aufsicht und Erklärbarkeit müssen für jede KI-Lösung nachweisbar sein, auf die sich ein beaufsichtigtes Unternehmen stützt. Das ist derselbe Dreiklang, den die KI-Verordnung kodifiziert — praktisch, denn die Nachweise für das eine dienen dem anderen. Lesen Sie beide Berichte; sie kommen einem CSSF-Regelwerk zu KI am nächsten und sagen Ihnen, was Ihre Aufsicht Ihre Wettbewerber bereits fragt.

Drei Fehlermuster, die zu vermeiden sind

Bei Luxemburger Finanzhäusern sehen wir immer wieder dieselben drei Fehler:

DORA als „erledigt" betrachten, weil die Frist im Januar 2025 verstrichen ist. DORA ist ein Dauerbetriebsregime, keine einmalige Zertifizierung. Ihre KI-Einführungen seit Januar 2025 sollten bereits im DORA-IKT-Register stehen; falls nicht, beheben Sie das, bevor Sie die Arbeit zur KI-Verordnung obendrauf legen.

Die Arbeit zur KI-Verordnung allein der Rechtsabteilung überlassen. Die KI-Verordnung ist ebenso technisch wie juristisch. Juristen können ohne Beitrag der Technik keine belastbare technische Akte schreiben. Eine gemeinsame Arbeitsgruppe aus Recht, Technik und Risiko ist die einzige Struktur, die termingerecht konforme Systeme liefert.

Den Drittparteienumfang unterschätzen. Jeder KI-Anbieter in Ihrem Stack löst DORA-Vertragsanpassungen, Auslagerungsdokumentation nach 22/806 und Lieferkettennachweise nach der KI-Verordnung aus. Bei fünf oder mehr KI-Anbietern planen Sie allein 4 bis 8 Wochen für die vertragliche Nachbesserung ein.

Die Verschiebung als Freibrief lesen. Das ist das neue Muster, und es wird mehrere Luxemburger Häuser ihren Dezember-2027-Termin kosten. Die Hochrisikopflichten sind um sechzehn Monate gerückt; eine erste Hochrisiko-Akte braucht zwölf bis achtzehn. Die Verschiebung hat Ihnen die Zeit gekauft, die die Arbeit braucht — nicht Zeit frei.

---

Klären Sie, wo Ihr KI-Fußabdruck wirklich steht — gegen die realen Daten

Das 20 More AI Act Readiness Assessment, zugeschnitten auf von der CSSF beaufsichtigte Einrichtungen und vom CAA regulierte Versicherer. Zehn Arbeitstage, fester Umfang:

1. Das vereinheitlichte KI-Verzeichnis — jedes KI-System und jede KI-Funktion im Haus, so strukturiert, dass dieselben Zeilen Ihrem DORA-IKT-Register, Ihrer Auslagerungsakte nach 22/806 und Ihren Aufzeichnungen zur KI-Verordnung dienen. Ein System of Record, drei regulatorische Sichten.
2. Die Klassifizierungsentscheidung — Anbieter oder Betreiber je System; Anhang III 5 b / 5 c im Anwendungsbereich oder außerhalb; Betrugserkennungs- und Geldwäschemodelle korrekt ausgenommen; Filter nach Artikel 6 Absatz 3 bewertet und dokumentiert, wo einschlägig; Grundrechte-Folgenabschätzung nach Artikel 27 markiert, wo sie Ihnen obliegt.
3. Der Artikel-50-Lückenbericht — die Hinweise, die auf Ihren kundenseitigen Kanälen heute rechtlich fällig sind, zugeordnet zu den konkreten Chatbot-Strecken, Sprachskripten und Kundenmitteilungen, in denen sie fehlen.
4. Ein bezifferter Plan bis zum 2. Dezember 2027 — abgeglichen mit Ihrem bestehenden DORA-Kontrollsystem, mit ausdrücklicher Angabe, welche Pflichten der KI-Verordnung Sie über die Integration nach Artikel 9 Absatz 10 erfüllen können und welche neue Arbeit erfordern, in einem einseitigen Vermerk für Ihren Risikoausschuss.

Wir bauen außerdem KI-Systeme für Luxemburger Finanzhäuser auf EU-gehosteter Infrastruktur, wobei die Dokumentation zu DORA, KI-Verordnung und DSGVO parallel zur Umsetzung entsteht und nicht nachträglich angeschraubt wird.

→ Zum AI-Act-Readiness-Service, oder ein kostenloses 30-Minuten-Gespräch buchen. Wir machen einen kurzen Inventurtermin und sagen Ihnen ehrlich, ob Sie im Plan oder im Rückstand sind — ohne Verkaufstheater.

Weiterführende Lektüre:

• Frist der KI-Verordnung im August 2026: die Luxemburger Compliance-Checkliste
• KI in Finanzdienstleistungen in Luxemburg: die CSSF-Anwendungsfälle
• Privater KI-Betrieb für Luxemburgs regulierte Branchen
• DSGVO-konforme KI für Luxemburger KMU
• KI-Wissenszentrum — 20 More