Compliance Management · Grundlagen und Fristen

Startseite Seminare News Compliance 2027: Bedeutung, Aufgaben & Agiles Management

Was ist Compliance? Pflichten, Kennzahlen und Fristen 2027

  • Rechtsstand: September 2026
  • Lesezeit: rund 12 Minuten
  • S+P Fachredaktion

Compliance ist die Einhaltung rechtlicher und interner Vorgaben durch ein Unternehmen und seine Mitarbeitenden. 2027 ist das keine Definitionsfrage mehr, sondern eine Terminfrage: Innerhalb weniger Monate treffen ein neues Geldwäscheregime, ein neuer Berichtskreis in der Nachhaltigkeitsberichterstattung und die verschobenen Hochrisikopflichten der KI-Verordnung aufeinander.

Dieser Beitrag beantwortet zwei Fragen zusammen. Erstens: Was ist Compliance im rechtlichen Sinn, welche Bausteine gehören zu einem Compliance-Management-System und wer haftet wofür. Zweitens: Welche Stichtage stehen 2027 tatsächlich fest, welche sind verschoben worden und welche Arbeit muss davor erledigt sein.

Der zentrale Termin ist der 10. Juli 2027. Ab diesem Tag gilt die Verordnung (EU) 2024/1624 unmittelbar in allen Mitgliedstaaten und löst wesentliche Teile des deutschen Geldwäschegesetzes ab. Parallel läuft die Umsetzungsfrist der Richtlinie (EU) 2024/1640 aus, und die Berichtspflicht für den neu zugeschnittenen CSRD-Anwenderkreis beginnt mit dem Geschäftsjahr 2027. Für Institute außerhalb der CRR-Aufsicht endet zum 31. Dezember 2026 zudem die BAIT-Welt.

Eine Entwarnung gibt es an einer Stelle: Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung greifen nicht mehr im August 2026, sondern erst am 2. Dezember 2027. Verschoben wurde jedoch nur der Anwendungszeitpunkt, nicht das Pflichtenprogramm. Wer die Zeit nicht nutzt, verliert sie.

Der Beitrag richtet sich an Compliance-Verantwortliche, Geldwäschebeauftragte, Interne Revision, Geschäftsführung und Aufsichtsorgane in Finanzdienstleistung, Industrie und Handel. Er ordnet die Rechtslage ein und ersetzt keine Rechtsberatung im Einzelfall.

  • ✓AMLR gilt unmittelbar ab 10. Juli 2027
  • ✓BAIT enden mit Ablauf des 31. Dezember 2026
  • ✓CSRD-Berichtspflicht ab Geschäftsjahr 2027
  • ✓KI-Hochrisikopflichten ab 2. Dezember 2027

Was ist Compliance? Definition und rechtlicher Rahmen

Compliance bezeichnet die Einhaltung von Gesetzen, aufsichtsrechtlichen Vorgaben, vertraglichen Pflichten und selbst gesetzten internen Regeln. Der Begriff steht im deutschen Recht nicht in einer eigenen Legaldefinition. Seine Verbindlichkeit ergibt sich aus dem Zusammenspiel mehrerer Normen, die dieselbe Erwartung in unterschiedlicher Sprache formulieren.

Gesellschaftsrechtlich folgt die Pflicht aus der Sorgfalt eines ordentlichen Geschäftsleiters nach § 93 Abs. 1 AktG und § 43 Abs. 1 GmbHG. Ordnungswidrigkeitenrechtlich greift § 130 OWiG: Wer als Inhaber eines Betriebs die erforderlichen Aufsichtsmaßnahmen unterlässt und dadurch eine Zuwiderhandlung ermöglicht, handelt ordnungswidrig. In Verbindung mit § 30 OWiG trifft die Geldbuße zusätzlich das Unternehmen selbst. Für beaufsichtigte Institute konkretisiert § 25a Abs. 1 KWG dieselbe Erwartung als ordnungsgemäße Geschäftsorganisation mit angemessenem Risikomanagement.

Daraus ergibt sich der praktische Zuschnitt eines Compliance-Management-Systems. Es braucht eine dokumentierte Risikoanalyse, klare Zuständigkeiten, Richtlinien, Schulungen, Kontrollen, einen Meldeweg und eine Wirksamkeitsprüfung. Als methodische Referenz haben sich der Prüfungsstandard IDW PS 980 und die Norm ISO 37301 etabliert. Beide sind keine Rechtsnormen, liefern aber den Rahmen, an dem Revision und Abschlussprüfer die Angemessenheit messen.

Neu ist seit einigen Jahren, dass einzelne Rechtsakte die Geschäftsleitung ausdrücklich adressieren, statt sie nur mittelbar über die Organhaftung zu erfassen. Artikel 5 DORA weist dem Leitungsorgan die Letztverantwortung für das IKT-Risikomanagement zu und verpflichtet seine Mitglieder zu regelmäßiger Schulung. § 38 BSIG verlangt von der Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Die Pflicht lässt sich also nicht mehr allein an eine Fachabteilung delegieren.

Fristen und Zeitpunkte von 2026 bis 2028

Die Tabelle enthält nur Zeitpunkte aus verkündeten Rechtsakten oder veröffentlichten Aufsichtsmitteilungen. Angekündigte, aber noch nicht verkündete Vorhaben sind bewusst nicht aufgenommen.

Zeitpunkt Rechtsgrundlage Was gilt Wen es betrifft
Seit 6. Dezember 2025 BSIG in der Fassung des NIS2UmsuCG Risikomanagement-, Melde- und Registrierungspflichten ohne Übergangsfrist; Registrierung nach § 33 BSIG binnen drei Monaten ab Betroffenheit Besonders wichtige und wichtige Einrichtungen
Seit 2. August 2026 Artikel 50 Verordnung (EU) 2024/1689 Transparenzpflichten bei KI-Systemen; die allgemeine Geltung der Verordnung ist eingetreten Anbieter und Betreiber von KI-Systemen
31. Dezember 2026 Aufsichtsmitteilung der BaFin zu den BAIT Vollständige Aufhebung der Bankaufsichtlichen Anforderungen an die IT mit Ablauf des Tages Institute, die bislang die BAIT anwenden
1. Januar 2027 § 1a Abs. 2 KWG in der Fassung des FinmadiG, Artikel 16 DORA Weitere Institute wenden DORA an; für sie gilt der vereinfachte IKT-Risikomanagementrahmen statt der BAIT Institute außerhalb der CRR-Aufsicht
Erstes Quartal 2027 Artikel 28 Abs. 3 DORA Einreichung des Informationsregisters über das MVP-Portal der BaFin; Stichtag der Vertragsdaten ist der 31. Dezember 2026 Finanzunternehmen im Anwendungsbereich von DORA
19. März 2027 Richtlinie (EU) 2026/470 Ende der Frist zur Umsetzung der geänderten Vorgaben zur Nachhaltigkeitsberichterstattung in nationales Recht Mitgliedstaaten; mittelbar alle berichtspflichtigen Unternehmen
10. Juli 2027 Verordnung (EU) 2024/1624 (AMLR) Unmittelbare Geltung des einheitlichen Regelwerks; wesentliche Regelungen des GwG werden abgelöst Alle Verpflichteten im Sinne der Verordnung
10. Juli 2027 Richtlinie (EU) 2024/1640 (AMLD6) Ende der Umsetzungsfrist für Aufsichtsstrukturen, FIU-Zusammenarbeit und Sanktionsrahmen Mitgliedstaaten; mittelbar alle Verpflichteten
Geschäftsjahr 2027 Bilanzrichtlinie in der Fassung der Richtlinie (EU) 2026/470 Erstmalige Berichtspflicht des neu zugeschnittenen Anwenderkreises; Veröffentlichung im Jahr 2028 Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. Euro Nettoumsatz
2. Dezember 2027 Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III Anbieter und Betreiber, unter anderem bei Kreditwürdigkeitsprüfung und Personalauswahl
2. August 2028 Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 Pflichten für in Produkte eingebettete Hochrisiko-KI-Systeme nach Anhang I Hersteller und Betreiber produktintegrierter Systeme

Die Registrierungspflicht nach § 33 BSIG ist keine einmalige Frist. Wer erst später in den Anwendungsbereich hineinwächst, hat ab diesem Zeitpunkt erneut drei Monate.

Pflichten nach Funktion getrennt

Dieselbe Frist trifft unterschiedliche Rollen mit unterschiedlichen Aufgaben. Die folgende Trennung verhindert, dass Arbeitspakete zwischen den Funktionen liegen bleiben.

Funktion 01

Geldwäscheprävention

Die Umstellung auf die AMLR ist kein Textabgleich, sondern ein Prozessprojekt. Die Risikoanalyse, der Sorgfaltspflichtenkatalog und die internen Sicherungsmaßnahmen müssen bis zum 10. Juli 2027 auf den Wortlaut der Verordnung umgestellt sein.

  • Abgleich der Risikoanalyse nach § 5 GwG mit den Vorgaben der Verordnung
  • Neuzuschnitt von Identifizierung, Verstärkten Sorgfaltspflichten und Aktualisierungszyklen
  • Schulungskonzept nach § 6 Abs. 2 Nr. 6 GwG auf das neue Regelwerk umstellen
  • Meldewege für Verdachtsmeldungen nach § 43 GwG unverändert vorhalten und dokumentieren
§§ 4 bis 7, 43 GwG · VO (EU) 2024/1624

Funktion 02

Compliance-Funktion

Die Compliance-Funktion hält das System zusammen, das die Fachbereiche bedienen. Ihr Engpass ist 2027 weniger das Fachwissen als die Nachweisführung über mehrere Regelwerke hinweg.

  • Richtlinienlandschaft konsolidieren, statt je Rechtsakt ein eigenes Handbuch zu führen
  • Interne Meldestelle nach § 12 HinSchG betreiben und die Fachkunde nach § 15 Abs. 2 HinSchG nachweisen
  • KI-Kompetenz nach Artikel 4 der KI-Verordnung fördern und dokumentieren
  • Wirksamkeitsprüfung entlang IDW PS 980 oder ISO 37301 planen und protokollieren
§§ 12, 15 HinSchG · Art. 4 VO (EU) 2024/1689

Funktion 03

Geschäftsleitung

Mehrere Rechtsakte adressieren die Leitungsebene inzwischen unmittelbar. Billigung, Überwachung und eigene Fortbildung sind damit selbst dokumentationspflichtige Vorgänge und keine Formalie.

  • Sorgfaltspflicht nach § 93 Abs. 1 AktG und § 43 Abs. 1 GmbHG sowie Aufsichtspflicht nach § 130 OWiG
  • Letztverantwortung für das IKT-Risikomanagement und eigene Schulung nach Artikel 5 DORA
  • Billigung und Überwachung der Risikomanagementmaßnahmen nach § 38 BSIG
  • Ressourcen-, Budget- und Eskalationsentscheidungen aktenkundig treffen
§ 93 AktG · § 43 GmbHG · § 130 OWiG · § 38 BSIG

Sechs Pain Points mit konkretem Normbezug

Die folgenden Muster begegnen uns regelmäßig in Seminaren und Inhouse-Trainings. Sie sind kein Ersatz für die Prüfung des Einzelfalls in deinem Unternehmen.

Zwei Projekte, ein Team, ein Halbjahr

Die AMLR wird am 10. Juli 2027 unmittelbar anwendbar, im selben Geschäftsjahr beginnt die Berichtspflicht des neuen CSRD-Anwenderkreises. In vielen Häusern bedienen dieselben Personen beide Vorhaben. Wer die Ressourcenplanung erst 2027 aufsetzt, plant zu spät.

VO (EU) 2024/1624 · RL (EU) 2026/470

Handbücher zitieren bald totes Recht

Die AMLR ist eine Verordnung. Sie gilt ohne nationalen Umsetzungsakt und lässt kaum Auslegungsspielraum. Interne Richtlinien, die durchgehend auf GwG-Paragrafen verweisen, verlieren mit dem Geltungsbeginn ihren Anker und müssen vorher umgeschrieben sein.

VO (EU) 2024/1624

Das Ende der BAIT wird unterschätzt

Mit Ablauf des 31. Dezember 2026 hebt die BaFin die BAIT vollständig auf, weil ab dem 1. Januar 2027 weitere Institute DORA anwenden. Wer sein IT-Regelwerk bis dahin nicht auf den vereinfachten Rahmen nach Artikel 16 DORA umgestellt hat, steht ohne Bezugsrahmen da.

§ 1a Abs. 2 KWG · Art. 16 DORA

NIS-2-Registrierung als Einmalakt missverstanden

§ 33 BSIG knüpft die Dreimonatsfrist an den eigenen Stichtag der Einrichtung, nicht an ein festes Datum. Wer durch Wachstum, neue Dienste oder einen Sektorwechsel erst später hineinwächst, muss erneut registrieren. Änderungen sind binnen zwei Wochen nachzuziehen.

§ 33 BSIG

Fristverschiebung als Pause gelesen

Die Verordnung (EU) 2026/1744 hat die Hochrisikopflichten nach Anhang III auf den 2. Dezember 2027 geschoben. Verschoben wurde der Anwendungszeitpunkt, nicht das Pflichtenprogramm. Risikomanagement, Daten-Governance, Protokollierung und menschliche Aufsicht bleiben unverändert.

VO (EU) 2026/1744

Schulungsquote ohne Wirksamkeitsaussage

Eine Teilnahmequote belegt Anwesenheit, nicht Kompetenz. § 6 Abs. 2 Nr. 6 GwG, Artikel 5 DORA und § 15 Abs. 2 HinSchG verlangen jeweils fachkundige Personen. Ohne Lernerfolgsmessung und Rollenzuordnung trägt die Quote im Prüfungsgespräch nicht.

§ 6 GwG · Art. 5 DORA · § 15 HinSchG

Quick-Check: Ampel-Selbsteinschätzung mit To-dos

Neun Prüffelder, an denen sich in Prüfungen regelmäßig entscheidet, ob ein System als angemessen gilt. Wähle je Feld eine Einstufung – die passende Empfehlung erscheint direkt darunter.

Die Einstufung bleibt in deinem Browser und wird nicht übertragen oder gespeichert. Beim Neuladen der Seite beginnst du von vorn.

  • Erfüllt und dokumentiert
  • Teilweise, Nachweis unvollständig
  • Offen oder ungeprüft

Risikoanalyse

Ist die Analyse aktuell, dokumentiert und methodisch hergeleitet?

§ 5 GwG

Stand haltenTermin für die nächste Aktualisierung setzen und den Anlass festhalten. Anlassbezogene Fortschreibung schlägt den jährlichen Pflichttermin.
NacharbeitenHerleitung der Bewertungslogik nachziehen: Warum führt welcher Faktor zu welcher Risikoklasse? Eine Analyse ohne dokumentierte Methodik trägt im Prüfungsgespräch nicht.
Sofort angehenAnalyse aufsetzen, bevor die AMLR-Umstellung beginnt – sonst baust du den neuen Sorgfaltspflichtenkatalog auf einer unbelegten Grundlage. Einstieg: Seminare Geldwäscheprävention.

Wähle eine Einstufung, um die Empfehlung zu sehen.

AMLR-Bereitschaft

Liegt ein Abgleich der internen Vorgaben mit dem Verordnungstext vor?

VO (EU) 2024/1624

Stand haltenTermin- und Zuständigkeitsplan bis zum 10. Juli 2027 fortschreiben und die Zwischenstände protokollieren.
NacharbeitenArbeitspakete, Termine und Verantwortliche zuordnen. „Thema ist bekannt“ ist kein Umsetzungsstand, den du gegenüber der Aufsicht belegen kannst.
Sofort angehenGap-Abgleich starten: interne Vorgaben Zeile für Zeile gegen den Verordnungstext. Bis Juli 2027 bleiben weniger Monate, als der Umbau der Sorgfaltspflichten braucht. Fachlicher Rahmen: Seminare Geldwäscheprävention.

Wähle eine Einstufung, um die Empfehlung zu sehen.

Ressourcen der Funktionsträger

Sind Zeit, Budget und Unabhängigkeit schriftlich geregelt?

§ 7 GwG · § 25a KWG

Stand haltenRegelung bei der nächsten Organisationsprüfung gegen den tatsächlichen Zeitanteil spiegeln.
NacharbeitenRessourcenzusage schriftlich fassen: Zeitanteil, Budget, Vertretungsregelung. Mündliche Zusagen sind im Prüfungsfall nicht verwertbar.
Sofort angehenBestellung, Mandat und Ressourcen in einem Beschluss der Geschäftsleitung dokumentieren. Ohne diesen Nachweis fällt eine Organisationsprüfung regelmäßig auf die Leitungsebene zurück.

Wähle eine Einstufung, um die Empfehlung zu sehen.

IKT-Regelwerk

Ist der Wechsel von den BAIT auf den DORA-Rahmen vollzogen oder terminiert?

§ 1a Abs. 2 KWG · Art. 16 DORA

Stand haltenUmstellung dokumentieren und die abgelösten BAIT-Verweise in Richtlinien und Arbeitsanweisungen bereinigen.
NacharbeitenStichtag und Zuständigen benennen. Die BAIT enden mit Ablauf des 31. Dezember 2026 – danach fehlt ohne Umstellung der Bezugsrahmen.
Sofort angehenSofort einplanen: Ab dem 1. Januar 2027 wenden weitere Institute DORA an. Fachliche Grundlage: DORA- und NIS-2-Seminare.

Wähle eine Einstufung, um die Empfehlung zu sehen.

Informationsregister

Sind Vertrags-, Dienstleister- und Unterauftragsdaten zum Stichtag vollständig?

Art. 28 Abs. 3 DORA

Stand haltenProbeexport zum Stichtag 31. Dezember 2026 ziehen, bevor das Einreichungsfenster im ersten Quartal 2027 öffnet.
NacharbeitenUnterauftragsketten schließen. Lücken zeigen sich erst beim Export, nicht in der Vertragsakte – und dann läuft das Fenster bereits.
Sofort angehenDatenhaushalt aufbauen: Wer hält welche Vertragsdaten, und wer führt sie zusammen? Vertiefung: Auslagerungscontrolling und Third Party Risk.

Wähle eine Einstufung, um die Empfehlung zu sehen.

NIS-2-Status

Ist die Betroffenheit geprüft, dokumentiert und die Registrierung erfolgt?

§§ 30, 33 BSIG

Stand haltenWiedervorlage einrichten: Wachstum, neue Dienste oder ein Sektorwechsel lösen die Dreimonatsfrist erneut aus.
NacharbeitenBetroffenheitsprüfung schriftlich festhalten. Eine dokumentierte Negativprüfung ist im Zweifel mehr wert als eine unterlassene Registrierung.
Sofort angehenPrüfung und gegebenenfalls Registrierung nachholen. Die Frist ist abgelaufen, die Pflicht besteht fort; eine verspätete Registrierung ist selbst eine Ordnungswidrigkeit. Einordnung: DORA- und NIS-2-Seminare.

Wähle eine Einstufung, um die Empfehlung zu sehen.

Hinweisgebersystem

Ist der Meldekanal eingerichtet und die Fachkunde der Bearbeiter nachgewiesen?

§§ 12, 15 HinSchG

Stand haltenBearbeitungsdauer als Kennzahl mitführen – sie zeigt, ob der Kanal in der Praxis funktioniert.
NacharbeitenFachkundenachweis nach § 15 Abs. 2 HinSchG in die Personalakte legen. Der eingerichtete Kanal allein erfüllt die Anforderung nicht.
Sofort angehenMeldekanal einrichten und die zuständige Person benennen. Für Beschäftigungsgeber ab 50 Beschäftigten ist das Pflicht, nicht Kür. Qualifizierung: Compliance-Weiterbildung.

Wähle eine Einstufung, um die Empfehlung zu sehen.

KI-Einsatz

Gibt es ein Verzeichnis der eingesetzten KI-Systeme mit Einstufung?

Art. 4, 6, 50 VO (EU) 2024/1689

Stand haltenEinstufungen vor dem 2. Dezember 2027 gegen die endgültige Fassung des Anhangs III spiegeln.
NacharbeitenVerzeichnis zentral zusammenführen. Verstreutes Wissen in den Fachbereichen ersetzt keine Bestandsaufnahme, auf der eine Einstufung aufsetzen kann.
Sofort angehenBestandsaufnahme starten. Die Frist für Hochrisikosysteme wurde auf Dezember 2027 verschoben – das ist Zeit für die Bewertung, nicht für das Suchen der Systeme.

Wähle eine Einstufung, um die Empfehlung zu sehen.

Wirksamkeitsprüfung

Werden Kontrollen stichprobenhaft geprüft und die Ergebnisse protokolliert?

§ 130 OWiG · IDW PS 980

Stand haltenPrüfplan rollierend fortschreiben und Feststellungen mit Termin und Verantwortlichem nachhalten.
NacharbeitenWirksamkeitsnachweis dokumentieren. Eine beschriebene Kontrolle belegt das Soll, nicht das Ist – genau darauf zielt § 130 OWiG.
Sofort angehenStichprobenprüfung aufsetzen. Ohne sie lässt sich die Angemessenheit des Systems gegenüber Revision und Abschlussprüfer nicht belegen. Methodik: Compliance-Seminare für BaFin-Institute.

Wähle eine Einstufung, um die Empfehlung zu sehen.

Auswertung

Zähle nicht die Punkte, sondern lies die Verteilung. Jedes Rot ist ein Arbeitspaket mit Verantwortlichem und Termin – nicht mehr, aber auch nicht weniger. Ein einzelnes Rot bei einem Thema mit fester Frist wiegt schwerer als drei Gelb in Feldern ohne Stichtag.

Gelb bedeutet fast immer dasselbe: Die Sache läuft, der Nachweis fehlt. Das ist der Zustand, der in Prüfungen die meisten Feststellungen auslöst, weil sich Wirksamkeit ohne Dokumentation nicht belegen lässt.

Rot in den Feldern IKT-Regelwerk, Informationsregister oder AMLR-Bereitschaft gehört zuerst in die Planung: Dort stehen die Termine 1. Januar 2027, erstes Quartal 2027 und 10. Juli 2027 bereits fest. Wenn du die Themen mit deinem Team aufarbeiten willst, ist das der Inhalt der Compliance-Seminare und der Compliance-Weiterbildung.

Compliance messbar machen: Kennzahlen mit Aussagekraft

Kennzahlen sind nur brauchbar, wenn Datenquelle und Aussage feststehen. Die folgenden sechs lassen sich aus vorhandenen Systemen erheben und im Berichtsweg an die Geschäftsleitung erklären.

Kennzahl Definition Datenquelle Was sie zeigt
Kontrollabdeckung Anteil der als wesentlich eingestuften Risiken mit mindestens einer wirksam getesteten Kontrolle Risikoinventar und IKS-Dokumentation Ob die Kontrollen dort sitzen, wo die Risiken bewertet wurden
Reaktionszeit auf Rechtsänderungen Tage von der Verkündung eines relevanten Rechtsakts bis zur angepassten internen Richtlinie Regulatory-Change-Log und Versionsstand der Richtlinien Ob das System auf Veränderung reagiert oder nur beschrieben ist
Schulungswirksamkeit Anteil der Teilnehmenden mit bestandener Lernerfolgskontrolle je Rolle, nicht nur Teilnahmequote Lernplattform und Rollenzuordnung im Personalsystem Ob Fachkunde belegt ist oder nur Anwesenheit
Bearbeitungsdauer von Hinweisen Median der Tage von Eingang bis zur dokumentierten Rückmeldung an die hinweisgebende Person Fallakte der internen Meldestelle Ob der Meldekanal in der Praxis funktioniert
Feststellungsalter Anteil offener Prüfungsfeststellungen älter als die vereinbarte Umsetzungsfrist Maßnahmenverfolgung der Internen Revision Ob Abhilfe tatsächlich stattfindet oder nur zugesagt wird
Datenqualität im Meldewesen Anteil der Einreichungen ohne Fehlermeldung im Erstversuch, etwa beim Informationsregister Rückmeldungen aus dem Meldeportal Ob die zugrunde liegenden Stammdaten belastbar sind

Zwei Kennzahlen aus vielen Entwürfen haben wir bewusst weggelassen: eine pauschale „Übereinstimmungsrate“ ohne definierte Grundgesamtheit und die reine Zahl eingegangener Hinweise. Beide lassen sich ohne Bezugsgröße nicht interpretieren und werden in Prüfungen regelmäßig hinterfragt.

No-Regret-Maßnahmen bis zum Sommer 2027

Diese Maßnahmen wirken unabhängig davon, wie einzelne Umsetzungsakte am Ende ausfallen. Sie zahlen auf Nachweisfähigkeit ein, die ohnehin verlangt wird.

Betroffenheit schriftlich klären

Halte je Rechtsakt fest, ob und warum dein Unternehmen erfasst ist. Eine dokumentierte Negativprüfung ist im Zweifel mehr wert als eine unterlassene Registrierung, die als Ordnungswidrigkeit gewertet werden kann.

Grundlage

Regulatory-Change-Log führen

Ein einfaches Register mit Rechtsakt, Fundstelle, Stichtag, Zuständigem und Status ersetzt die Suche in E-Mails. Es liefert zugleich die Datenbasis für die Kennzahl zur Reaktionszeit.

Steuerung

Richtlinien entkoppeln

Verweise in internen Vorgaben auf Normstellen statt auf ganze Gesetzeswerke. So lässt sich der Wechsel vom GwG auf die AMLR gezielt nachziehen, ohne jedes Handbuch neu zu schreiben.

Dokumentation

Stammdaten vor der Frist testen

Ziehe die Daten für das Informationsregister zum Stichtag 31. Dezember 2026 probeweise, bevor das Einreichungsfenster im ersten Quartal 2027 öffnet. Fehler in Unterauftragsketten zeigen sich erst beim Export.

Meldewesen

KI-Verzeichnis anlegen

Erfasse eingesetzte Systeme, Zweck, Datenquellen und die vorläufige Einstufung nach der KI-Verordnung. Bis Dezember 2027 bleibt Zeit für die Bewertung, nicht für die Bestandsaufnahme.

KI-Governance

Fachkunde nachweisbar machen

Ordne Schulungen den Rollen zu, dokumentiere Inhalt, Umfang und Lernerfolg und lege die Nachweise revisionsfest ab. Das gilt für die Meldestelle ebenso wie für die Geschäftsleitung nach Artikel 5 DORA.

Nachweis

Fazit: Compliance 2027 ist eine Terminfrage

Die Frage, was ist Compliance, lässt sich in einem Satz beantworten: die Einhaltung rechtlicher und interner Vorgaben, abgesichert durch eine Organisation, die das nachweisen kann. Der Nachweis ist der schwierige Teil, und er wird 2027 an mehreren Stellen gleichzeitig verlangt.

Drei Kernbotschaften bleiben. Erstens: Der 10. Juli 2027 ist gesetzt. Die AMLR gilt unmittelbar, ohne nationalen Umsetzungsakt, und interne Vorgaben müssen vorher umgeschrieben sein. Zweitens: Der Jahreswechsel 2026/2027 verschiebt für einen Teil der Institute den gesamten IT-Bezugsrahmen von den BAIT auf DORA. Drittens: Die Verschiebung der KI-Hochrisikopflichten auf den 2. Dezember 2027 ist ein Umsetzungsfenster, keine Aussetzung.

Wer jetzt Betroffenheit dokumentiert, ein Change-Log führt, Richtlinien von Gesetzeswerken entkoppelt und Fachkunde nachweisbar macht, arbeitet in jeder dieser Baustellen an derselben Sache. Das ist der Grund, warum sich diese Maßnahmen auch dann lohnen, wenn einzelne Umsetzungsgesetze anders ausfallen als erwartet.

Häufige Fragen zu Compliance und den Fristen 2027

Die Antworten beziehen sich auf den Rechtsstand September 2026 und ersetzen keine Rechtsberatung im Einzelfall.

Was ist Compliance kurz erklärt?+−

Compliance ist die Einhaltung von Gesetzen, aufsichtsrechtlichen Vorgaben, Verträgen und internen Regeln durch ein Unternehmen und seine Mitarbeitenden. Eine eigene Legaldefinition gibt es im deutschen Recht nicht. Die Verbindlichkeit folgt aus § 93 Abs. 1 AktG und § 43 Abs. 1 GmbHG für die Geschäftsleitung, aus § 130 OWiG für die Aufsichtspflicht im Betrieb und für beaufsichtigte Institute aus § 25a Abs. 1 KWG.

Was ändert sich für Compliance 2027 konkret?+−

Drei Punkte bestimmen das Jahr. Am 10. Juli 2027 wird die Verordnung (EU) 2024/1624 unmittelbar anwendbar und löst wesentliche Regelungen des Geldwäschegesetzes ab; am selben Tag endet die Umsetzungsfrist der Richtlinie (EU) 2024/1640. Mit dem Geschäftsjahr 2027 beginnt die Berichtspflicht des durch die Richtlinie (EU) 2026/470 neu zugeschnittenen Anwenderkreises. Und am 2. Dezember 2027 greifen die Pflichten für Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung.

Löst die AMLR das deutsche Geldwäschegesetz ab?+−

In wesentlichen Teilen ja. Die Verordnung (EU) 2024/1624 gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten und schafft ein einheitliches Regelwerk für die Verpflichteten; die entsprechenden Regelungen des Geldwäschegesetzes werden abgelöst. Nationales Recht bleibt dort erforderlich, wo die Richtlinie (EU) 2024/1640 Aufsicht, Zusammenarbeit der Zentralstellen und Sanktionsrahmen den Mitgliedstaaten überlässt. Gleiche den Umsetzungsstand vor internen Freigaben gegen die jeweils aktuelle amtliche Fassung ab.

Ist die NIS-2-Registrierung nach dem 6. März 2026 erledigt?+−

Nein. § 33 BSIG knüpft die Dreimonatsfrist an den Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für die am 6. Dezember 2025 bereits betroffenen Einrichtungen lief die Frist bis zum 6. März 2026. Wer später hineinwächst, hat ab diesem Zeitpunkt erneut drei Monate. Änderungen der gemeldeten Angaben sind unverzüglich, spätestens innerhalb von zwei Wochen zu übermitteln.

Bringt die verschobene KI-Hochrisikofrist eine Pause?+−

Nein. Die Verordnung (EU) 2026/1744 verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für produkteingebettete Systeme nach Anhang I auf den 2. August 2028. Verschoben wurde ausschließlich der Anwendungszeitpunkt. Die Verbote nach Artikel 5, die Transparenzpflichten nach Artikel 50 und die Pflichten für Modelle mit allgemeinem Verwendungszweck bleiben davon unberührt.

Wer trägt die Verantwortung, wenn Aufgaben ausgelagert werden?+−

Die Verantwortung bleibt im Unternehmen. Externe Unterstützung kann Sachverhalte aufbereiten, Entwürfe erstellen, Fristen überwachen und Nachweise dokumentieren. Die Abgabe einer Verdachtsmeldung nach § 43 GwG, die Sperre oder Freigabe von Transaktionen im Sanktionskontext, die Unstimmigkeitsmeldung zum Transparenzregister und die Freigabe von Szenarien und Schwellenwerten sind Entscheidungen der Geschäftsleitung. Die Auslagerung verlagert die Aufgabe, nicht die aufsichtsrechtliche Verantwortung; sie bleibt in deinem Institut.

Quellen und weiterführende Dokumente

Amtliche Rechtsakte stehen an erster Stelle, danach Veröffentlichungen der zuständigen Aufsichtsbehörden. Alle Angaben in diesem Beitrag lassen sich an diesen Stellen nachvollziehen.

  1. Verordnung (EU) 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der TerrorismusfinanzierungMaßgeblich für den Geltungsbeginn am 10. Juli 2027 und für die unmittelbar anwendbaren Sorgfalts- und Organisationspflichten.eur-lex.europa.eu
  2. Richtlinie (EU) 2024/1640 über die von den Mitgliedstaaten einzurichtenden MechanismenMaßgeblich für die Umsetzungsfrist zum 10. Juli 2027 sowie für Aufsicht, Zusammenarbeit der Zentralstellen und Sanktionsrahmen.eur-lex.europa.eu
  3. Richtlinie (EU) 2026/470 zur Änderung der Anforderungen an die Nachhaltigkeitsberichterstattung und die SorgfaltspflichtenMaßgeblich für den neuen Anwenderkreis, die Umsetzungsfrist zum 19. März 2027 und den Beginn der Berichtspflicht mit dem Geschäftsjahr 2027.eur-lex.europa.eu
  4. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche IntelligenzGrundfassung der KI-Verordnung, unter anderem mit Artikel 4 zur KI-Kompetenz und Artikel 50 zu den Transparenzpflichten.eur-lex.europa.eu
  5. Verordnung (EU) 2026/1744 zur Vereinfachung der Umsetzung harmonisierter Vorschriften für künstliche IntelligenzÄnderungsrechtsakt mit den verschobenen Anwendungszeitpunkten für Hochrisiko-Systeme nach Anhang III und Anhang I.eur-lex.europa.eu
  6. BaFin: DORA kommt – Änderungen bei den aufsichtlichen Anforderungen an die ITMaßgeblich für die vollständige Aufhebung der BAIT mit Ablauf des 31. Dezember 2026 und den Bezug auf § 1a Abs. 2 KWG.bafin.de
  7. BaFin: Informationsregister und Anzeigepflichten nach DORAEinreichungsweg über das MVP-Portal, zulässige Formate und der Stichtag zum 31. Dezember des Vorjahres.bafin.de
  8. BaFin: Interview zur Aufsichtsmitteilung zum vereinfachten IKT-RisikomanagementrahmenEinordnung des Adressatenkreises von Artikel 16 DORA und der Übergangslage bis Ende 2026.bafin.de
  9. BSI: Allgemeine Fragen und Antworten zu NIS-2Maßgeblich für die Dreimonatsfrist nach § 33 Abs. 1 BSIG und den zweistufigen Registrierungsprozess.bsi.bund.de
  10. BSI: NIS-2-PflichtenÜbersicht zu Registrierung, Melde- und Risikomanagementpflichten sowie zur Aktualisierung gemeldeter Angaben.bsi.bund.de

Hinweis zum Rechtsstand: Dieser Beitrag gibt den Stand September 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall. Gleiche sämtliche Angaben zu Normen, Anwendungsbereichen, Übergangsfristen, Bußgeldern und Anwendungszeitpunkten gegen die jeweils aktuelle amtliche Fassung ab. Nationale Umsetzungsakte zu AMLD6 und zur Richtlinie (EU) 2026/470 waren zum Redaktionsschluss noch nicht abgeschlossen.

Weiterbildung und Zertifizierung

Die folgenden Programme vertiefen einzelne Themen dieses Beitrags. Sie bereiten vor und liefern Nachweise; die Entscheidungen bleiben in deinem Unternehmen.

Compliance-Seminare

Update zu den Anforderungen 2027, internen Kontrollen und der Wirksamkeitsprüfung des Compliance-Management-Systems.

Compliance-Seminare ansehen

Compliance Officer Lehrgang

Zertifizierter Lehrgang mit Fallstudien zu Aufbau, Steuerung und Dokumentation eines CMS einschließlich Prüfungsvorbereitung.

Lehrgang ansehen

Geldwäscheprävention

Seminare zu Risikoanalyse, Sorgfaltspflichten und Meldewesen – mit Blick auf die Umstellung auf das europäische Regelwerk.

Seminare Geldwäsche ansehen

Lehrgang Geldwäsche-Beauftragter

Sachkunde für die Bestellung nach § 7 GwG, einschließlich Dokumentation der Fachkunde für die Personalakte.

Lehrgang ansehen

DORA und NIS-2

Information Security und digitale operationale Resilienz: IKT-Risikomanagement, Informationsregister und Meldewege.

DORA- und NIS-2-Seminare ansehen

Auslagerungscontrolling

Third-Party-Risk-Management nach MaRisk und DORA, von der Risikoanalyse bis zur laufenden Dienstleistersteuerung.

Auslagerungscontrolling ansehen

MaRisk- und WpHG-Compliance

Vertiefung zu aufsichtsrechtlichen Anforderungen an die Compliance-Funktion und zur Vorbereitung auf Prüfungen.

Lehrgang ansehen

Compliance für BaFin-Institute

Seminarreihe für Banken, Kapitalverwaltungsgesellschaften und Versicherer: MaRisk, WpHG und DORA im Zusammenspiel.

Seminare für Finanzinstitute ansehen

Compliance-Weiterbildung

Vertiefung zu MaRisk, DORA, ESG und Sorgfaltspflichten – für alle, die einzelne Themen nachziehen wollen.

Weiterbildung ansehen

Kapitalmarkt-Compliance

WpHG, Marktmissbrauchsverordnung und MiFID II: Insiderrecht, Marktmissbrauch und Interessenkonflikte in der Praxis.

Kapitalmarkt-Compliance ansehen

E-Learning und Nachweise

Digitale Pflichtschulungen mit Lernerfolgskontrolle – die Datenbasis für die Kennzahl zur Schulungswirksamkeit.

E-Learning ansehen

Compliance 2027 vorbereiten, solange Zeit bleibt

Der Terminplan für 2027 steht in weiten Teilen fest. Wer heute die Betroffenheit dokumentiert, ein Change-Log führt und Fachkunde nachweisbar macht, arbeitet an genau den Nachweisen, die Aufsicht, Revision und Abschlussprüfung ohnehin verlangen.

S+P bereitet diese Arbeit vor: mit Einordnung der Rechtslage, Arbeitshilfen und dokumentierter Fachkunde. Die Entscheidungen und die Verantwortung dafür bleiben dort, wo sie hingehören – in deinem Unternehmen.

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com