OptiRisk Consulting
Laufende Interne Revision
DORA, KI-Einsatz und Tokenisierung sind feste Prüffelder im Jahresvertrag.
New Technologies: DORA, AI Act, Tokenisierung im Finanzsektor
Wir prüfen, was die Aufsicht bei neuen Technologien sehen will: digitale Resilienz nach DORA, KI-Einsatz nach dem AI Act und Kontrollen rund um tokenisierte Werte. Als Interne Revision prüfen wir laufend, im Co-Sourcing oder anlassbezogen.
Fachlich verantwortlich: Thomas Michalik, Interner Revisor · über zehn Jahre Revision in Bank und Versicherung · Fit-&-Proper-geschult · Stand
Was bekommen Sie von OptiRisk Consulting zu DORA, AI Act und Tokenisierung?
Die Interne Revision ist der Kern. Die Risikomanagement-Funktion kommt je nach Bedarf dazu. Revision und Risikomanagement machen wir nie für dasselbe Institut.
OptiRisk Consulting
Co-Sourcing
Sie haben eine Revision, wir bringen IKT- und DLT-Wissen dazu.
OptiRisk Consulting
Anlassbezogene Prüfung
Eine einzelne Prüfung, zum Beispiel der DORA-Umsetzung oder eines Tokenisierungsvorhabens.
OptiRisk Consulting
Risikomanagement-Funktion
Ergänzend: IKT-, KI- und DLT-Risiken in Risikoinventar, Limitsystem und Reporting.
OptiRisk Consulting
Readiness-Check mit Gap-Analyse
Gap-Analyse zu DORA, AI Act und DLT Pilot Regime. Nur, wo wir nicht Ihre Revision führen.
OptiRisk Consulting
New Technologies Desk
Regulatorik-Radar, Readiness-Checks, Schulungen und Pooled Audits.
Regelwerke im Detail
DORA: IKT-Risiko und Drittparteien
Gap-Analyse, IKT-Risikomanagementrahmen, Informationsregister, Vorfallmeldung und Prüfung nach Art. 6 Abs. 6 DORA.
AI Act: KI-Governance im Finanzsektor
KI-Inventar, Risikoklasse, Governance und Prüfung des KI-Einsatzes.
Tokenisierung und DLT
Tokenisierte Wertpapiere, Einlagen und Fonds, DLT Pilot Regime, Stablecoins.
Für welche Unternehmen ist New Technologies gedacht?
- Anbieter von Kryptowerte-Dienstleistungen (CASPs) nach MiCAR
- Zahlungsinstitute und E-Geld-Institute
- Kapitalanlagegesellschaften, AIFM und Wertpapierfirmen
- Andere regulierte Unternehmen im Finanzsektor
Wichtige Zahlen
Welche Verordnungen gehören zu den neuen Technologien im Finanzsektor?
Die Normen im Wortlaut.
Die Regeln für neue Technologien wachsen schneller als kleine Institute. DORA gilt seit 2025 unmittelbar, der AI Act gilt gestaffelt. Mit dem DLT Pilot Regime, MiCAR und den Eurosystem-Initiativen zu tokenisiertem Geld wird Tokenisierung zum Geschäft mit eigenen Prüffeldern. Alle Regelwerke fragen nach Governance. Wer ist verantwortlich, welche Kontrollen bestehen, und wer prüft unabhängig, ob sie wirken?
Hier setzen wir an. Wir übersetzen DORA, AI Act und Tokenisierung in Prüffelder und Rahmenwerke, die zu Ihren Kontrollfunktionen passen.
Alle Rechtsgrundlagen im Wortlaut (7)
- DORAVerordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor
- AI ActVerordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz
- DLT Pilot RegimeVerordnung (EU) 2022/858 über eine Pilotregelung für DLT-Marktinfrastrukturen
- MiCAR Titel III und IVVerordnung (EU) 2023/1114, vermögenswertereferenzierte Token und E-Geld-Token
- Delegierte Verordnungen und technische Standards der ESAs zu DORA
- DSGVO (Verordnung (EU) 2016/679)Art. 22, automatisierte Einzelentscheidungen
- EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02)Schnittstelle zum IKT-Drittparteienrisiko
Häufige Fragen zu DORA, AI Act und Tokenisierung
01Warum gehören DORA, AI Act und Tokenisierung in die Interne Revision und nicht nur in die IT?
DORA verlangt die unabhängige Prüfung ausdrücklich: Art. 6 Abs. 6 schreibt die regelmäßige interne Prüfung des IKT-Risikomanagementrahmens vor (Kleinstunternehmen ausgenommen). Der AI Act kennt keine Revisionspflicht, verlangt aber Überwachung und menschliche Aufsicht. Ob die wirken, beurteilt nur eine Stelle außerhalb der Fachabteilung.
02Was hat die FMA 2026 bei neuen Technologien im Blick?
FMA und OeNB nennen für 2026 mehr IKT-Sicherheit, auch mit begleiteten Cyber-Simulationen, und den Austausch zu KI-Anwendungen als Schwerpunkte der Bankenaufsicht. Auch kleinere Institute sollten solche Fragen erwarten.
03Gilt DORA auch für kleine Institute und CASPs?
Ja. DORA erfasst die meisten beaufsichtigten Finanzunternehmen, CASPs ausdrücklich (Art. 2 Abs. 1 lit. f). Nach Art. 2 Abs. 3 sind unter anderem registrierte kleine AIFM und Versicherungsvermittler, die KMU sind, ausgenommen. Nur bestimmte kleine Unternehmen nutzen den vereinfachten Rahmen nach Art. 16. Für alle anderen gilt Verhältnismäßigkeit nach Art. 4.
04Betrifft der AI Act ein Institut, das nur eingekaufte KI-Werkzeuge nutzt?
Ja, als Betreiber. Für alle Systeme gilt die Förderung der KI-Kompetenz (Art. 4). Für Hochrisiko-Systeme nach Anhang III kommen ab 2. Dezember 2027 Aufsicht, Überwachung, Protokollierung und Information der Betroffenen dazu (Art. 26, Geltungsbeginn nach Verordnung (EU) 2026/1744). Erster Schritt ist ein Inventar aller KI-Systeme.
05Wo steht Tokenisierung in Europa und warum ist das jetzt ein Prüfthema?
Das DLT Pilot Regime erlaubt seit 2023 Handel und Abwicklung tokenisierter Wertpapiere mit Ausnahmen von MiFID II und CSDR, gedeckelt bei 6 Mrd € je Infrastruktur. Die Kommission schlug im Dezember 2025 100 Mrd € vor. Das Eurosystem akzeptiert seit März 2026 DLT-Wertpapiere als Sicherheiten.
06Wie hängen DORA, AI Act, MiCAR und Tokenisierung zusammen?
MiCAR verweist für das IKT-Risiko der CASPs direkt auf DORA. Der AI Act greift, sobald ein Institut KI im Betrugsmonitoring oder Kundenservice einsetzt. DORA erfasst KI-Anbieter und DLT-Betreiber als IKT-Drittdienstleister. Eine Kontrollfunktion für alle vermeidet doppelte Register.
Quellen und Normtexte
Konsolidierte Fassungen im RIS und auf EUR-Lex, dazu Informationen der FMA.
- Verordnung (EU) 2022/2554 (DORA), EUR-Lex
- Verordnung (EU) 2024/1689 (AI Act), EUR-Lex
- Verordnung (EU) 2022/858 (DLT Pilot Regime), EUR-Lex
- FMA/OeNB: Aufsichtsschwerpunkte Bankenaufsicht 2026 (15. Dezember 2025)
- EZB: Building the rails for Europe's tokenised financial markets (23. März 2026)
- Durchführungsverordnung (EU) 2024/2956 (Informationsregister), EUR-Lex
Leistungen und weitere Themen
Interne Revision auslagern
Wir sind Ihre Interne Revision, arbeiten in Ihrer Revision mit oder prüfen einzelne Themen. Berichte für Vorstand und FMA.
Risikomanagement-Funktion
Ergänzende Leistung: Risikostrategie, Risikoinventar und Reporting für die zweite Verteidigungslinie, als Aufbauprojekt oder im Co-Sourcing.
Aufbau und Zulassungsantrag
Wir richten Ihre Interne Revision ein und liefern die Unterlagen für den Zulassungsantrag, auch an Kanzleien und Berater.
Interne Revision (Grundlagen)
Was Interne Revision ist, wer sie braucht, wie eine Prüfung abläuft und wann sich Auslagerung lohnt.
MiCAR und Kryptowerte
Interne Revision, Risikomanagement und Zulassungsunterlagen für Kryptodienstleister (CASPs) nach MiCAR.
Zahlungsdienste und E-Geld
Interne Revision, Risikomanagement und Zulassungsunterlagen für Zahlungs- und E-Geld-Institute nach ZaDiG 2018 und PSD2.
Erstgespräch vereinbaren
In 30 Minuten klären wir Ihre Lage und wie wir zusammenarbeiten. Unverbindlich und vertraulich.