--- title: "DORA und KI-Agenten in Banken: was das Drittanbieter-Risiko (Art. 28-30) bedeutet - S-PRO" url: https://s-pro.io/de/blog/dora-und-ki-agenten-in-banken lang: de description: "DORA und KI-Agenten: was Art. 28 bis 30 für Verträge mit Modell- und Cloud-Anbietern bedeuten, inkl. Exit-Strategie, Informationsregister und Checkliste." updated: 2026-11-11T05:30:23+00:00 source: S-PRO (https://s-pro.io) --- [Zurück zu Insights](https://s-pro.io/de/blog) Artikel # DORA und KI‑Agenten in Banken: was das Drittanbieter‑Risiko (Art. 28‑30) bedeutet Autor [Igor Izraylevych](https://s-pro.io/de/author/igor-izraylevych) CEO and Co-founder of S-PRO Veröffentlicht 11. November 2026 Zeit zum Lesen 13 min Inhaltsverzeichnis - Kurz gesagt - Inhaltsverzeichnis - Warum ein KI-Agent unter das IKT-Drittparteienrisiko fällt - Was Art. 28 DORA vor dem Vertragsschluss verlangt - Modellanbieter als Subunternehmer: Art. 29 Abs. 2 - Was in den Vertrag gehört: die Mindestinhalte nach Art. 30 - DORA Exit-Strategie: wann sie Pflicht ist und was sie enthält - Regulatorische Einordnung: was verbindlich ist und was Orientierung gibt - Umsetzung in sieben Schritten - Unsere Sicht - Häufige Fragen - So hilft S-PRO - Quellen - Empfehlungen Teilen Ein KI-Agent, der auf einem externen Modell oder in einer fremden Cloud läuft, ist ein IKT-Dienst eines Drittanbieters. Für Institute unter DORA gelten deshalb die Art. 28 bis 30 für den Vertrag mit diesem Anbieter. Für CIO, COO und Compliance heisst das: Die Frage ist nicht, ob der Agent «KI» ist, sondern welche Funktion er unterstützt, wer ihn betreibt und was im Vertrag steht. Wir zeigen, welche Bestimmungen der [Verordnung (EU) 2022/2554 (DORA), ABl. L 333 vom 27.12.2022](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554) verbindlich greifen und welche Aufsichtstexte nur Orientierung geben. Ausserdem zeigen wir, wie Sie ein Agenten-Projekt so aufsetzen, dass Einkauf, IT und Compliance dieselbe Sprache sprechen. S-PRO KI-Agenten DORA-konform einordnen S-PRO entwickelt und betreibt KI-Agenten für Finanzinstitute, konzipiert im Hinblick auf Anforderungen wie DORA und FINMA. Get in touch ## Kurz gesagt - **Verbindlich (DORA):** Ein Institut bleibt nach Art. 28 Abs. 1 lit. a jederzeit voll verantwortlich, auch wenn der KI-Agent auf einem externen Modell läuft. - **Verbindlich (DORA):** Vor Vertragsschluss sind alle relevanten Risiken zu bewerten, inklusive Konzentrationsrisiko (Art. 28 Abs. 4 lit. c). - **Verbindlich (DORA):** Art. 30 Abs. 2 schreibt Mindestinhalte für jeden IKT-Vertrag vor; Art. 30 Abs. 3 ergänzt sie für kritische oder wichtige Funktionen. - **Verbindlich (DORA):** Eine Exit-Strategie verlangt Art. 28 Abs. 8 für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, nicht pauschal für jeden KI-Einsatz. - **Nicht verpflichtend:** Die BaFin-Orientierungshilfe vom 18.12.2025 erläutert die Auslegung. Für Schweizer Institute ordnet die FINMA-Aufsichtsmitteilung 08/2024 die Risiken von KI ein. ## Inhaltsverzeichnis - Umsetzung in sieben Schritten - Unsere Sicht - Häufige Fragen - So hilft S-PRO - Quellen ## Warum ein KI-Agent unter das IKT-Drittparteienrisiko fällt Ein KI-Agent ist für DORA kein Sonderfall, sondern IKT: Er ruft Daten ab, nutzt Schnittstellen und führt Aktionen aus. Sobald ein Teil davon von einem externen Anbieter kommt, fällt der Agent unter das IKT-Drittparteienrisiko. DORA ist technologieneutral und nennt KI-Agenten nicht als eigene Kategorie. Wie [PayTechLaw zu Agentic Payments und DORA](https://paytechlaw.com/agentic-payments-und-dora/) ausführt, kommt es auf die IKT-Funktion und ihr Risiko an, nicht auf die Bezeichnung als Agent. Für die Praxis bedeutet das: Ein Agent für die Alert-Triage in der Geldwäschereibekämpfung wird nach denselben Regeln beurteilt wie jedes andere System, das die gleiche Funktion unterstützt. An einem Agenten sind typischerweise mehrere Drittanbieter zugleich beteiligt: - **Der Modellanbieter**, dessen Sprachmodell über eine API angesprochen wird. - **Der Cloud- oder Hosting-Anbieter**, auf dem Agent, Vektordatenbank und Protokolle laufen. - **Der Integrator oder Betreiber**, der den Agenten baut, an Kernsysteme anbindet und als Service betreibt. - **Weitere Datenquellen**, etwa Listen- oder Adverse-Media-Dienste, die der Agent abfragt. Jede dieser Beziehungen ist eine vertragliche Vereinbarung über IKT-Dienstleistungen. Damit gehören sie in die Steuerung des IKT-Drittparteienrisikos und in das DORA-Informationsregister, das die [Verordnung (EU) 2022/2554](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554) für solche Vereinbarungen vorsieht. ## Was Art. 28 DORA vor dem Vertragsschluss verlangt Art. 28 macht klar, dass Verantwortung nicht ausgelagert werden kann. Er verlangt eine Strategie sowie eine Risikobewertung vor jedem Vertrag. Für KI-Agenten sind vier Bestimmungen zentral. ### Volle Verantwortung bleibt beim Institut (Art. 28 Abs. 1 lit. a) **Verbindlich (DORA):** Ein Finanzunternehmen, das IKT-Dienste vertraglich nutzt, bleibt jederzeit voll verantwortlich für die Einhaltung seiner Pflichten aus DORA und dem anwendbaren Finanzmarktrecht. Ein Satz wie «das Modell hat so entschieden» entlastet niemanden. Wer einen Agenten einsetzt, braucht deshalb einen benannten Owner, dokumentierte Berechtigungen und nachvollziehbare Protokolle der Tool-Aufrufe. ### Strategie für das IKT-Drittparteienrisiko (Art. 28 Abs. 2) **Verbindlich (DORA):** Institute müssen eine Strategie für das IKT-Drittparteienrisiko festlegen und regelmässig überprüfen. Sie umfasst eine Leitlinie für die Nutzung von IKT-Diensten, die kritische oder wichtige Funktionen unterstützen. Das Leitungsorgan überprüft die Risiken aus diesen Vereinbarungen regelmässig. In der Praxis lohnt es sich, Modellanbieter und Agenten-Plattformen ausdrücklich in diese Strategie aufzunehmen, statt sie unter «Software» mitlaufen zu lassen. ### Risikobewertung inklusive Konzentration (Art. 28 Abs. 4 lit. c) **Verbindlich (DORA):** Vor Abschluss eines Vertrags ermittelt und bewertet das Institut alle relevanten Risiken. Dazu gehört auch die Möglichkeit, dass die Vereinbarung das IKT-Konzentrationsrisiko verstärkt. Bei KI-Agenten wird das konkret: Wenn mehrere Agenten, die Wissenssuche und der Kundenservice auf demselben Modell und derselben Cloud laufen, wächst die Abhängigkeit von einem einzigen Anbieter. Zu bewerten sind ausserdem unvorhergesehene Aktionen des Agenten, die Abhängigkeit von externen Datenquellen und die Manipulation von Eingaben. ### Exit-Strategie für kritische oder wichtige Funktionen (Art. 28 Abs. 8) Diesen Punkt behandeln wir weiter unten ausführlich, weil er bei KI-Agenten am häufigsten missverstanden wird. ## Modellanbieter als Subunternehmer: Art. 29 Abs. 2 Wenn Ihr Integrator ein externes Sprachmodell einbindet, ist der Modellanbieter in der Regel ein Subunternehmer. Für kritische oder wichtige Funktionen verlangt Art. 29 Abs. 2, Nutzen und Risiken dieser Weitervergabe abzuwägen, besonders bei Anbietern in Drittstaaten. **Verbindlich (DORA):** Art. 29 Abs. 2 nennt zwei Punkte, die bei KI-Agenten oft übersehen werden: 1. **Subunternehmer in Drittstaaten:** Sitzt der Modell- oder Cloud-Anbieter ausserhalb der EU, sind Nutzen und Risiken der Weitervergabe besonders sorgfältig abzuwägen. 2. **Insolvenz und Datenrückholung:** Das Institut berücksichtigt das Insolvenzrecht, das bei einem Konkurs des Anbieters gelten würde, und mögliche Hindernisse bei der dringenden Wiederherstellung seiner Daten. Für einen Agenten bedeutet das: Prompts, Kontextdaten, Protokolle und gegebenenfalls Embeddings sollten so gespeichert sein, dass Sie im Ernstfall unabhängig vom Modellanbieter darauf zugreifen können. Eine Architektur, die Modell und Daten trennt, erleichtert diese Abwägung erheblich. ## Was in den Vertrag gehört: die Mindestinhalte nach Art. 30 Art. 30 legt fest, was ein IKT-Vertrag mindestens enthalten muss. Abs. 2 gilt für alle IKT-Verträge, Abs. 3 kommt für Dienste hinzu, die kritische oder wichtige Funktionen unterstützen. Die folgende Tabelle übersetzt die für KI-Agenten relevanten Punkte in konkrete Vertragsfragen: | Bestimmung (verbindlich, DORA) | Gilt für | Was das für einen KI-Agenten konkret heisst | | --- | --- | --- | | Art. 30 Abs. 2 lit. a | alle IKT-Verträge | Vollständige Beschreibung aller Funktionen und Dienste: Welche Aufgaben übernimmt der Agent, welches Modell nutzt er, darf der Anbieter weitervergeben und zu welchen Bedingungen? | | Art. 30 Abs. 2 lit. b | alle IKT-Verträge | Regionen oder Länder, in denen Dienste erbracht und Daten verarbeitet und gespeichert werden, plus Pflicht zur Vorabinformation bei einem Standortwechsel, etwa wenn der Modellanbieter die Region ändert. | | Art. 30 Abs. 3 lit. a | kritische oder wichtige Funktionen | Vollständige Service-Level mit präzisen quantitativen und qualitativen Leistungszielen, damit Sie den Dienst wirksam überwachen und bei Abweichungen rasch eingreifen können. | | Art. 30 Abs. 3 lit. c | kritische oder wichtige Funktionen | Der Anbieter implementiert und testet Notfallpläne und verfügt über angemessene IKT-Sicherheitsmassnahmen, Tools und Richtlinien. | | Art. 30 Abs. 3 lit. e | kritische oder wichtige Funktionen | Uneingeschränkte Zugangs-, Inspektions- und Prüfungsrechte für das Institut und die zuständige Behörde. | | Art. 30 Abs. 3 lit. f | kritische oder wichtige Funktionen | Exit-Regeln mit verbindlicher, angemessener Übergangsfrist, in der der Anbieter weiter leistet und das Institut migrieren oder auf eine Eigenlösung umstellen kann. | Ein Hinweis aus der Praxis: Prüfen Sie früh, ob die Standardbedingungen Ihres Modellanbieters diese Punkte abdecken. Klären Sie ausserdem, welche Klauseln Sie direkt mit dem Modellanbieter vereinbaren und welche über den Vertrag mit Ihrem Integrator abgebildet werden. ## DORA Exit-Strategie: wann sie Pflicht ist und was sie enthält Eine Exit-Strategie ist nach Art. 28 Abs. 8 für IKT-Dienste Pflicht, die kritische oder wichtige Funktionen unterstützen. Ein interner Recherche-Agent ohne eine solche Funktion fällt nicht automatisch darunter. Ein Agent im Zahlungsverkehr oder in der Transaktionsüberwachung fällt sehr wohl darunter, wenn die Funktion entsprechend eingestuft ist. **Verbindlich (DORA):** Die Exit-Strategie berücksichtigt unter anderem einen möglichen Ausfall des Anbieters, eine Verschlechterung der Dienstqualität, Betriebsstörungen und die Beendigung des Vertrags. Das Institut muss den Vertrag beenden können, ohne seine Geschäftstätigkeit zu stören, ohne die Einhaltung regulatorischer Anforderungen einzuschränken und ohne Nachteile für Kontinuität und Qualität der Kundendienste. Die Exit-Pläne sind umfassend, dokumentiert, ausreichend getestet und werden regelmässig überprüft. Dazu gehören Alternativlösungen und Übergangspläne. Für KI-Agenten lässt sich das gut technisch abbilden: - **Modellwechsel vorbereiten:** Mit einer Abstraktionsschicht zwischen Agent und Modell lässt sich ein zweites Modell anbinden, ohne die Geschäftslogik neu zu schreiben. - **Evaluationssets bereithalten:** Mit festen Testfällen prüfen Sie, ob ein Ersatzmodell die Aufgabe in vergleichbarer Qualität erledigt. - **Rückfallprozess definieren:** Für kritische Abläufe ist festgelegt, wie Mitarbeitende den Prozess ohne Agenten weiterführen. - **Daten portabel halten:** Protokolle, Prompts und Konfigurationen liegen in Formaten und an Orten, auf die Sie selbst zugreifen. Auch die EZB hält in ihrem [Leitfaden zur Auslagerung von Cloud-Diensten](https://www.bankingsupervision.europa.eu/ecb/pub/pdf/ssm.supervisory_guides202507.es.pdf) fest, dass Institute Anbieterabhängigkeit, Konzentration sowie die Verfügbarkeit alternativer Anbieter und Ausstiegsmöglichkeiten bewerten sollten. ## Regulatorische Einordnung: was verbindlich ist und was Orientierung gibt Für Institute unter DORA ist allein die Verordnung selbst verbindlich. Aufsichtstexte wie die BaFin-Orientierungshilfe oder Reden der EZB erläutern, wie die Aufsicht die Regeln versteht, schaffen aber keine zusätzlichen Pflichten. Für Ihre Dokumentation empfehlen wir, jede Anforderung mit ihrer Rechtsqualität zu kennzeichnen: | Dokument | Art | Rechtsqualität | Relevanz für KI-Agenten | | --- | --- | --- | --- | | [Verordnung (EU) 2022/2554 (DORA)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554), ABl. L 333 vom 27.12.2022 | EU-Verordnung | verbindlich, anwendbar seit 17. Januar 2025 | Art. 28 bis 30 regeln Strategie, Risikobewertung, Subunternehmer, Vertragsinhalte und Exit. | | BaFin-Orientierungshilfe vom 18.12.2025 | Orientierungshilfe | nicht verpflichtend | Zeigt, wie die deutsche Aufsicht DORA beim Einsatz von KI auslegt. | | [FINMA-Aufsichtsmitteilung 08/2024](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20241218-finma-aufsichtsmitteilung-08-2024.pdf) vom 18.12.2024 | Aufsichtsmitteilung | Darstellung der Aufsichtspraxis | Ziff. 1 bis 2 beschreiben Ausgangslage und Risiken beim Einsatz von KI, darunter Abhängigkeiten von Drittparteien. | | [Rede der EZB vom 3. Juni 2026](https://www.ecb.europa.eu/press/key/date/2026/html/ecb.sp260603~5b8e67f237.en.html) | Rede | nicht verpflichtend | Sieht KI als strategische Aufgabe des Leitungsorgans und betont die Überwachung von Drittanbieterabhängigkeiten. | **Nicht verpflichtend (BaFin):** Die Orientierungshilfe vom 18.12.2025 ist eine Auslegungshilfe. Sie eignet sich als Referenz für Ihre Argumentation gegenüber Prüfern, ersetzt aber nicht den Verordnungstext. **Schweizer Aufsicht (FINMA):** In der [Aufsichtsmitteilung 08/2024](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20241218-finma-aufsichtsmitteilung-08-2024.pdf) beschreibt die FINMA in Ziff. 1 die zunehmende Nutzung von KI im Finanzmarkt. In Ziff. 2 beschreibt sie die damit verbundenen Risiken: vor allem operationelle Risiken wie Modellrisiken, IT- und Cyberrisiken, zunehmende Abhängigkeiten von Drittparteien sowie Rechts- und Reputationsrisiken. Ob und in welchem Umfang DORA für Ihr Institut oder Ihre Gruppengesellschaften gilt, klären Sie mit Ihrer Rechts- und Compliance-Funktion. Für die Konformität des KI-Systems selbst ist zusätzlich der EU AI Act massgeblich. Wie wir das bei [KI-Agenten unter dem EU AI Act](https://s-pro.io/de/eu-ai-act-konforme-ki-agenten-banken) umsetzen, beschreiben wir separat. ## Umsetzung in sieben Schritten Am schnellsten kommen Sie voran, wenn Sie Funktion, Anbieterkette und Vertrag gemeinsam betrachten, bevor der Agent in Produktion geht. Diese Checkliste nutzen wir als Gesprächsgrundlage mit IT, Einkauf und Compliance: 1. **Funktion einstufen:** Unterstützt der Agent eine kritische oder wichtige Funktion? Davon hängen Art. 30 Abs. 3 und die Exit-Pflicht nach Art. 28 Abs. 8 ab. 2. **Anbieterkette erfassen:** Modellanbieter, Cloud, Integrator und Datenquellen benennen und im Informationsregister abbilden. 3. **Risiken bewerten:** Nach Art. 28 Abs. 4 lit. c alle relevanten Risiken prüfen, inklusive Konzentration auf ein Modell oder eine Cloud. 4. **Subunternehmer prüfen:** Nach Art. 29 Abs. 2 Drittstaaten, Insolvenzrecht und Datenrückholung abwägen. 5. **Vertrag ergänzen:** Leistungsbeschreibung, Standorte, Service-Level, Notfallpläne, Prüfrechte und Übergangsfrist nach Art. 30 verankern. 6. **Exit technisch vorbereiten:** Modellabstraktion, Evaluationssets, Rückfallprozess und portable Daten einplanen, wo die Funktion kritisch oder wichtig ist. 7. **Verantwortung dokumentieren:** Owner, Berechtigungen, Protokollierung und Freigaben festhalten, damit die volle Verantwortung nach Art. 28 Abs. 1 lit. a im Alltag wahrgenommen wird. Wie solche Prüfpunkte in eine strukturierte Freigabe übergehen, zeigen unsere [sechs Produktionsgates für KI-Agenten](https://s-pro.io/de/ki-agenten-produktionsfreigabe-bank-sechs-gates). Für die Modellseite ergänzt unser Leitfaden zum [Model Risk Management für KI](https://s-pro.io/de/blog/model-risk-management-ai) die Drittanbieterperspektive. Ihr Agent ist technisch bereit, aber die Vertragskette zum Modellanbieter ist noch offen? Sprechen Sie mit unseren Engineers über Ihre Anbieterkette. ## Unsere Sicht > In Banken sehen wir oft dasselbe Muster: Der Agent funktioniert im Pilot, doch kurz vor der Produktion stellt der Einkauf fest, dass der Vertrag mit dem Modellanbieter die Punkte aus Art. 30 nicht sauber abbildet. Dann beginnt die Arbeit von vorn. > > > > Unsere Erfahrung aus KI-Projekten in Finanzinstituten zeigt, dass sich Drittanbieterrisiko am besten in der Architektur lösen lässt. Wenn Modell, Daten und Geschäftslogik getrennt sind, wird eine Exit-Strategie zu einer technischen Eigenschaft statt zu einem Papierdokument. > > > > Deshalb bauen wir Lösungen auf unserer eigenen agentischen Plattform S-PRO Agents auf und betreiben sie als Service. Damit sind wir für unsere Kunden selbst ein IKT-Drittdienstleister, und genau das nehmen wir ernst: Funktionen, Standorte und Subunternehmer gehören von Beginn an auf den Tisch. > > > > Unsere Lösungen sind im Hinblick auf die Anforderungen von EU AI Act, FINMA und DORA konzipiert. Den Nachweis gegenüber der Aufsicht führt am Ende das Institut; unser Anspruch ist, dass Architektur und Dokumentation diesen Nachweis tragen. > > > > *Das S-PRO-Team* ## Häufige Fragen ### Fällt jeder KI-Agent unter die Exit-Pflicht nach DORA? Nein. Art. 28 Abs. 8 verlangt eine Exit-Strategie für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen. Ein interner Assistent für Recherche fällt nicht automatisch darunter, entscheidend ist die Einstufung der unterstützten Funktion. Unabhängig davon gelten die Mindestinhalte nach Art. 30 Abs. 2 für jeden IKT-Vertrag, also auch für weniger kritische Agenten. ### Ist die BaFin-Orientierungshilfe vom 18.12.2025 verbindlich? Nein. Die Orientierungshilfe ist nicht verpflichtend und erläutert, wie die deutsche Aufsicht DORA beim Einsatz von KI versteht. Verbindlich ist die Verordnung (EU) 2022/2554 selbst. Kennzeichnen Sie beide Quellen in der Dokumentation klar getrennt, damit Prüfer erkennen, welche Anforderung auf dem Gesetz beruht und welche auf einer Auslegungshilfe. ### Muss der Vertrag direkt mit dem Modellanbieter geschlossen werden? Nicht zwingend. Häufig ist der Modellanbieter ein Subunternehmer Ihres Integrators. Dann wägen Sie nach Art. 29 Abs. 2 bei kritischen oder wichtigen Funktionen Nutzen und Risiken der Weitervergabe ab, und der Vertrag regelt nach Art. 30 Abs. 2 lit. a, ob und unter welchen Bedingungen weitervergeben werden darf. Wichtig ist, dass die Kette lückenlos dokumentiert ist. ### Wie startet ein Institut am besten, und was kostet ein Pilot? Am besten mit einem klar abgegrenzten Anwendungsfall, dessen Funktion bereits eingestuft ist. Bei S-PRO beginnt das typischerweise mit einem Design-Thinking-Pilot ab CHF 20k, 2-4 Wochen. Darin klären wir Anwendungsfall, Anbieterkette und Architektur, sodass die Punkte aus Art. 28 bis 30 früh sichtbar werden und nicht erst kurz vor der Produktionsfreigabe auftauchen. ## So hilft S-PRO Wir entwickeln KI-Agenten für Banken, Vermögensverwalter und Fintechs und berücksichtigen das IKT-Drittparteienrisiko von der ersten Architekturskizze an. S-PRO hat seinen Hauptsitz in Zürich (Löwenstrasse 45, 8001 Zürich) und R&D-Zentren in Zürich und Łódź. Seit der Gründung 2014 entwickeln wir Software für regulierte Finanzinstitute. Mit S-PRO über Ihr KI-Agenten-Projekt sprechen In Kontakt treten Ein naheliegender Einsatzbereich ist die Compliance: Unsere [KI-Agenten für AML und Transaktionsüberwachung](https://s-pro.io/de/ki-agenten-aml-transaktionsueberwachung-bank) sind darauf ausgelegt, Alert-Triage sowie Adverse-Media- und Sanktionsscreening zu beschleunigen, ohne bestehende AML-Systeme zu ersetzen, mit Human-in-the-Loop und nachvollziehbaren Audit-Trails. - **ISO 27001 und ISO 27701 zertifiziert**, für Informationssicherheit und Datenschutz. - **S-PRO ist Partner im Claude Partner Network**, und unser Team umfasst Claude-zertifizierte Engineers und Architects. - **Eigene Plattform S-PRO Agents**, auf der wir Ihre Lösung aufbauen und als Service betreiben. Sie wollen einen KI-Agenten in Produktion bringen und die Anbieterkette von Anfang an sauber aufstellen? Vereinbaren Sie ein Erstgespräch mit S-PRO. S-PRO Fragen zu DORA und KI-Agenten? Sprechen Sie mit S-PRO über KI-Agenten für Finanzinstitute und deren Einordnung im Hinblick auf regulatorische Anforderungen wie DORA. SS-PRO [Schreiben Sie unshi@s-pro.io](mailto:hi@s-pro.io) [+41 41 539 15 83](tel:+41415391583) ## Quellen - [Verordnung (EU) 2022/2554 (DORA), ABl. L 333 vom 27.12.2022, EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554) - [FINMA-Aufsichtsmitteilung 08/2024: Governance und Risikomanagement beim Einsatz künstlicher Intelligenz, 18.12.2024](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20241218-finma-aufsichtsmitteilung-08-2024.pdf) - [EZB: Strengthening operational resilience for the age of AI, Rede vom 3. Juni 2026](https://www.ecb.europa.eu/press/key/date/2026/html/ecb.sp260603~5b8e67f237.en.html) - [EZB-Leitfaden zur Auslagerung von Cloud-Diensten, 2025](https://www.bankingsupervision.europa.eu/ecb/pub/pdf/ssm.supervisory_guides202507.es.pdf) - [PayTechLaw: Agentic Payments und DORA](https://paytechlaw.com/agentic-payments-und-dora/) Zuletzt aktualisiert: 9. November 2026 ## Empfehlungen - [KI-Agenten für AML und Transaktionsüberwachung](https://s-pro.io/de/ki-agenten-aml-transaktionsueberwachung-bank) - [Agentic Banking: Anwendungsfälle für KI-Agenten in Schweizer und deutschen Banken](https://s-pro.io/de/blog/agentic-banking-anwendungsfalle) - [EU-AI-Act-konforme KI-Agenten für Banken](https://s-pro.io/de/eu-ai-act-konforme-ki-agenten-banken) - [Software für regulierte Finanzinstitute](https://s-pro.io/de/software-regulierte-finanzinstitute) Abonnieren Holen Sie sich technische Einblicke und Branchennews Vielen Dank! Machen Sie sich bereit! Sie erhalten handverlesene Inhalte direkt in Ihren Posteingang. --- Kontakt Sie sprechen mit Engineers, die für Banken entwickeln, nicht mit einem Verkaufsskript. Teilen Sie uns Ihre Ideen, Erkenntnisse und Fragen mit. - **Sicherheit und Datenschutz an erster Stelle**Zertifiziert nach ISO 27001 und ISO 27701. - **Claude Partner Network**S-PRO ist zertifizierter Partner im Claude Partner Network. Unser Team umfasst Claude-zertifizierte Engineers und Architekten. - **Bewährt im regulierten Finanzsektor**Banken, Vermögensverwalter und Fintechs in der Schweiz, der EU und den USA. Ihre Ansprechpartner **Michael Barskyi**Head of Banking & Fintech **Dustin Schulze**Senior Business Analyst Lieber per E-Mail oder Telefon? [hi@s-pro.ioE-Mail](mailto:hi@s-pro.io)[+41 41 539 15 83Telefon](tel:+41415391583) Claude Certified Services Partner(Anthropic) **4,9**46 Bewertungen auf Clutch Kontakt ### Senden Sie uns Ihre Anfrage Drei Felder. Dauert etwa eine Minute. Link in die Zwischenablage kopiert In Kontakt treten