--- adresse: "https://qvestcon.com/dora-update-markus-junge/vertrag-banken_0185efd4/" titel: "Aufsicht 2027: Vier Prüffelder für…" beschreibung: "Die europäischen Aufsichtsbehörden EBA, EIOPA und ESMA haben im September 2026 ihre strategischen…" sprache: "de-DE" stand: "2026-11-02" --- Qvestcon News # Aufsicht 2027: Vier Prüffelder für Versicherer und Banken Die europäischen Auf­sichts­be­hör­den EBA, EIOPA und ESMA haben im September 2026 ihre strategischen Auf­sichts­prio­ri­tä­ten für 2027 ver­öf­fent­licht. Die nationalen Auf­sichts­be­hör­den sollen sie in ihre Arbeits­pro­gramme übernehmen. Vier Prüffelder stehen im Mittelpunkt: Cyber­si­cher­heit und IKT-Vorfälle, das Risi­ko­ma­nage­ment bei IKT-Dritt­dienst­leis­tern, Geschäfts­fort­füh­rung und Kri­sen­vor­sorge sowie KI und neue Technologien. Für die Praxis heißt das: Eine Strategie allein genügt nicht. Beim Ausstieg aus einem Dienstleister braucht jede IKT-Dienst­leis­tung, die eine kritische oder wichtige Funktion stützt, einen eigenen Exit-Plan. Nach Art. 28 Abs. 8 DORA und der Delegierten Verordnung (EU) 2024/1773 muss er dokumentiert und umfassend sein, Alternativen bewerten und Über­gangs­pläne enthalten. Er muss realistisch durchführbar sein, einen Zeitplan haben, der zu den Kün­di­gungs­be­din­gun­gen im Vertrag passt, und getestet sowie regelmäßig überprüft werden. Bei Versicherern prüft die Aufsicht zusätzlich die Abhän­gig­kei­ten aus Auslagerungen und die Einhaltung der EIOPA-Vorgaben zu KI-Governance und KI-Risi­ko­ma­nage­ment. Banken sollen unter anderem zeigen, wie das Leitungsorgan in Not­fall­ma­nage­ment und Wie­der­her­stel­lungs­pla­nung eingebunden ist. Hintergrund: BaFin und Bundesbank berichteten im Dezember 2025 aus den ersten DORA-Prüfungen von nicht vollständig iden­ti­fi­zier­ten kritischen oder wichtigen Funktionen, lückenhaften Inventaren, fehlenden Umset­zungs­nach­wei­sen sowie veralteten oder ungetesteten Notfallplänen. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, jede Anforderung bis auf die Detailebene zu zerlegen, jeweils eine ver­ant­wort­li­che Person und einen Nachweis zu benennen und offene Punkte nach Prü­fungs­re­le­vanz abzuarbeiten. Umgesetzt ist eine Anforderung erst dann, wenn der Nachweis vorliegt und der Plan getestet wurde. [Dienstleister](https://qvestcon.com/news/dienstleister/)06.10.2026 Die europäischen Auf­sichts­be­hör­den EBA, EIOPA und ESMA haben im September 2026 ihre strategischen Auf­sichts­prio­ri­tä­ten für 2027 ver­öf­fent­licht. Die nationalen Auf­sichts­be­hör­den sollen sie in ihre Arbeits­pro­gramme übernehmen. Vier Prüffelder stehen im Mittelpunkt: Cyber­si­cher­heit und IKT-Vorfälle, das Risi­ko­ma­nage­ment bei IKT-Dritt­dienst­leis­tern, Geschäfts­fort­füh­rung und Kri­sen­vor­sorge sowie KI und neue Technologien. Für die Praxis heißt das: Eine Strategie allein genügt nicht. Beim Ausstieg aus einem Dienstleister braucht jede IKT-Dienst­leis­tung, die eine kritische oder wichtige Funktion stützt, einen eigenen Exit-Plan. Nach Art. 28 Abs. 8 DORA und der Delegierten Verordnung (EU) 2024/1773 muss er dokumentiert und umfassend sein, Alternativen bewerten und Über­gangs­pläne enthalten. Er muss realistisch durchführbar sein, einen Zeitplan haben, der zu den Kün­di­gungs­be­din­gun­gen im Vertrag passt, und getestet sowie regelmäßig überprüft werden. Bei Versicherern prüft die Aufsicht zusätzlich die Abhän­gig­kei­ten aus Auslagerungen und die Einhaltung der EIOPA-Vorgaben zu KI-Governance und KI-Risi­ko­ma­nage­ment. Banken sollen unter anderem zeigen, wie das Leitungsorgan in Not­fall­ma­nage­ment und Wie­der­her­stel­lungs­pla­nung eingebunden ist. Hintergrund: BaFin und Bundesbank berichteten im Dezember 2025 aus den ersten DORA-Prüfungen von nicht vollständig iden­ti­fi­zier­ten kritischen oder wichtigen Funktionen, lückenhaften Inventaren, fehlenden Umset­zungs­nach­wei­sen sowie veralteten oder ungetesteten Notfallplänen. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, jede Anforderung bis auf die Detailebene zu zerlegen, jeweils eine ver­ant­wort­li­che Person und einen Nachweis zu benennen und offene Punkte nach Prü­fungs­re­le­vanz abzuarbeiten. Umgesetzt ist eine Anforderung erst dann, wenn der Nachweis vorliegt und der Plan getestet wurde. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Aufsicht%202027%3A%20Vier%20Pr%C3%BCffelder%20f%C3%BCr%20Versicherer%20und%20Banken#erstgespraech) [Weitere Meldungen in Dienstleister](https://qvestcon.com/news/dienstleister/) · [alle Qvestcon-News](https://qvestcon.com/news/)