Compliance-Kalender
EU-Regulierungsfristen 2024–2028 — auf einen Blick.
Jede verbindliche Anwendungs- und Umsetzungsfrist, die heute auf dem Tisch eines europäischen Finanzinstituts liegt — mit Rechtsquelle, verlinkt auf das jeweilige Briefing. Was geltendes Recht ist, halten wir streng getrennt von dem, was nur vorgeschlagen ist.
- 7
- Fristen in Kraft
- 7
- anstehend bis 2028
- 10
- Regelwerke abgedeckt
Anstehend
Verbindliche Stichtage, die im Amtsblatt stehen und für die Sie heute planen. Die Vorlauf-Veröffentlichungen (delegierte Rechtsakte, technische Standards, Leitlinien) erscheinen laufend davor.
- CRD VIAnstehend
CRD VI: Umsetzung + Anwendung
CRD VI ist bis zum 10. Januar 2026 in nationales Recht zu überführen; die meisten Vorschriften gelten ab dem 11. Januar 2026 — darunter die neuen Regeln zu Drittstaaten-Zweigstellen und die geschärften Fit-&-Proper-Anforderungen.
- MiCAAnstehend
MiCA: Übergangsfrist endet (spätestens)
Die Übergangsbestimmung (Art. 143 MiCA) lässt Bestandsanbieter längstens bis zum 1. Juli 2026 unter altem nationalem Recht weiterarbeiten — sofern der Mitgliedstaat die Frist nicht verkürzt. Der genaue Stichtag steht in nationalem Recht, nicht in MiCA selbst.
- AI ActAnstehend
AI Act: Hochrisiko (Anhang III) + Transparenz
Der entscheidende Stichtag für Finanzinstitute: Ab dem 2. August 2026 greifen die Hochrisiko-Pflichten für Anhang-III-Systeme (Kreditscoring natürlicher Personen, Lebens-/Krankenversicherungs-Tarifierung) und die Transparenzpflichten nach Art. 50. Der Digital Omnibus würde dies auf den 2. Dezember 2027 verschieben — noch nicht verabschiedet, daher gilt August 2026.
- Solvency IIAnstehend
Solvency-II-Überarbeitung gilt
Die Änderungsrichtlinie (Richtlinie (EU) 2025/2) ist ab dem 30. Januar 2027 anzuwenden: mehr Proportionalität für kleinere Unternehmen, neue Regeln für langfristige Garantien und angepasste Berichterstattung. Die Level-2- und Level-3-Maßnahmen erscheinen schon davor und laufend.
- AMLRAnstehend
AMLR: einheitliches Regelwerk gilt
Das einheitliche Geldwäsche-Regelwerk (AMLR, Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 — unmittelbar anwendbare, EU-weit harmonisierte Kundensorgfalt, UBO-Feststellung und Meldepflichten für alle Verpflichteten, einschließlich CASPs.
- AI ActAnstehend
AI Act: Hochrisiko Anhang-I-Produkte
Dritte Stufe der Hochrisiko-Regeln: Ab dem 2. August 2027 gelten die Pflichten für KI, die ein Sicherheitsbauteil regulierter Produkte ist (Anhang-I-Route), sowie die verlängerte Übergangsfrist für GPAI-Modelle, die vor August 2025 in Verkehr gebracht wurden.
- AMLAAnstehend
AMLA: direkte Aufsicht beginnt
Die neue EU-Behörde zur Bekämpfung der Geldwäsche (AMLA) mit Sitz in Frankfurt nimmt 2028 die direkte Aufsicht über ausgewählte risikoreiche, grenzüberschreitend tätige Institute auf — die Auswahlrunde läuft davor.
Bereits in Kraft
Diese Rechtsakte sind anwendbar. Die Arbeit verlagert sich von der Umsetzung auf Durchsetzung, Prüfung und laufende Level-2-/Level-3-Maßnahmen.
- MiCAIn Kraft
MiCA: CASP-Regeln gelten
Die Markets-in-Crypto-Assets-Verordnung gilt für Krypto-Dienstleister seit dem 30. Dezember 2024 — Zulassung, Wohlverhaltens- und Organisationspflichten. Die Übergangsfrist für Bestandsanbieter läuft parallel (siehe Juli 2026).
- Travel RuleIn Kraft
Travel Rule (Geldtransfer-VO) gilt
Die Geldtransfer-Verordnung verlangt seit dem 30. Dezember 2024 Auftraggeber- und Begünstigtendaten bei jedem Krypto-Transfer — parallel zu MiCA, mit besonderen Regeln für selbst-gehostete Wallets.
- CRR IIIIn Kraft
CRR III gilt (Output Floor)
Die EU-Umsetzung von Basel III gilt seit dem 1. Januar 2025, einschließlich des Output Floors, der den Kapitalvorteil interner Modelle begrenzt. Die begleitende Richtlinie CRD VI folgt im Januar 2026.
- DORAIn Kraft
DORA gilt
Der Digital Operational Resilience Act gilt seit dem 17. Januar 2025 für Banken, Versicherer und CASPs. Jetzt in der Durchsetzungsphase: Register der Informationen, Vorfallmeldewesen und — für bedeutende Institute — bedrohungsorientierte Penetrationstests (TLPT).
- AI ActIn Kraft
AI Act: verbotene Praktiken + KI-Kompetenz
Erste Stufe der KI-Verordnung: Seit dem 2. Februar 2025 gelten die verbotenen KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz der Beschäftigten (Art. 4).
- AI ActIn Kraft
AI Act: GPAI, Governance, Sanktionen
Zweite Stufe: Seit dem 2. August 2025 gelten die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI, Kapitel V), die Governance-Struktur (KI-Büro, KI-Gremium) und die Sanktionsvorschriften. Betreiber sollten die GPAI-Dokumentation der Anbieter aktiv einfordern.
- NIS2In Kraft
NIS2: deutsche Umsetzung in Kraft
Deutschland hat NIS2 mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, in Kraft seit dem 6. Dezember 2025. Die nationale Umsetzung erfolgt EU-weit zeitversetzt — für Banken verdrängt DORA als Lex specialis die IKT-Sicherheitsschicht.
Im Fluss — noch kein festes Datum
Diese Vorhaben bewegen sich. Wir führen sie bewusst ohne Stichtag, bis sie geltendes Recht sind — und tracken ihren Status wöchentlich.
Digital Omnibus on AI — geplante Verschiebung
Würde die Anhang-III-Hochrisiko-Frist vom 2. August 2026 auf den 2. Dezember 2027 verschieben (COM(2025) 836, Verfahren 2025/0359(COD)). Stand Juni 2026: vorläufige politische Einigung, aber noch nicht verabschiedet und nicht im Amtsblatt — bis dahin bleibt der 2. August 2026 das geltende Datum.
Zum BriefingCSRD/ESRS nach dem Omnibus
Das Omnibus-Paket hat den Berichtszeitplan verschoben und den Anwendungsbereich verengt; die überarbeiteten ESRS sind noch im Entwurf. Welche Welle wann und nach welchem Standard berichtet, ist im Fluss — ein festes Datum vergeben wir bewusst noch nicht.
Zum BriefingSFDR-Review (SFDR 2.0)
Die Kommission hat eine grundlegende Überarbeitung der Offenlegungsverordnung angekündigt; ein förmlicher Gesetzgebungsvorschlag ist noch nicht verabschiedet. Bis dahin gelten die bestehenden Pflichten zu Art.-8/9-Produkten und PAI unverändert.
Zum BriefingStand 3. Juni 2026. Die Daten folgen den im Amtsblatt der EU veröffentlichten Rechtsakten; vorgeschlagene, aber noch nicht verabschiedete Änderungen sind als solche gekennzeichnet und nicht datiert. Nationale Umsetzungsfristen können je Mitgliedstaat abweichen. Keine Rechtsberatung.
Verpassen Sie keine dieser Fristen.
Horizon Scanner erkennt jede Änderung am Tag der Veröffentlichung und routet sie an das zuständige Team — mit Audit-Spur.