2026: Regulatory Overhang als neue Normalität.

Payments · Krypto · Digitale Investments

Publikationsdatum: März 2026 | Autor: Nexora Regulatory Team | Jurisdiktion: Österreich / EU

Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Rechts‑, Steuer‑ oder Anlageberatung dar. Regulatorische Anforderungen, Fristen und Sanktionen können sich ändern; für Ihren konkreten Fall wenden Sie sich bitte an Nexora oder einen qualifizierten Rechtsberater.​

Executive Summary – Kernaussagen 2026–2028

• Regulatory Overhang: MiCA, DORA, AI Act, PSD3/PSR und die Kapitalmarktreformen greifen zeitlich gestaffelt bis mindestens 2028; viele Details werden erst durch technische Standards, nationale Übergangsregelungen und Aufsichtspraxis konkret.

• Betroffene Geschäftsmodelle: Banken, Zahlungsdienstleister, Krypto‑Dienstleister (CASPs), digitale Investment‑Plattformen, daten‑ und API‑getriebene FinTech‑Modelle.

• Risiken & Chancen: Steigende Compliance‑Kosten und operative Komplexität, aber zugleich höhere Markteintrittsbarrieren und damit Konsolidierungs‑ und M&A‑Chancen für „regulation‑ready“ Player.

• DORA & AI Act: DORA gilt seit 17.01.2025; der AI Act wird gemäß einem klar definierten Stufenplan zwischen 2025 und 2027 vollständig ausgerollt – viele sektorale Leitlinien befinden sich noch im Aufbau.

• MiCA: MiCA ist in Kraft; zentrale Teile gelten bereits, gleichzeitig erlauben Übergangsregelungen nach Art. 143 MiCA Mitgliedstaaten, CASPs bis spätestens 1. Juli 2026 unter nationalen Regimen weiterarbeiten zu lassen.

• Strategischer Imperativ: Regulatory Overhang aktiv in Strategie, Technologie‑Roadmap und M&A‑Planung integrieren (Investieren, Kooperieren, Desinvestieren), statt nur minimalen Einzel‑Compliance zu verfolgen.

1. MiCA: Vom Rechtsrahmen zur Aufsichtspraxis

1.1 MiCA: Anwendungsbeginn und Übergangsregime

Die Markets in Crypto‑Assets Regulation (MiCA – Verordnung (EU) 2023/1114) ist in Kraft; der Großteil ihrer Vorschriften gilt seit Ende 2024 bzw. Mitte 2025 und bildet den einheitlichen EU‑Rahmen für Krypto‑Assets und Krypto‑Dienstleistungen. Gleichzeitig erlaubt Artikel 143 MiCA den Mitgliedstaaten, Übergangsregelungen für bereits tätige Krypto‑Dienstleister vorzusehen.

Konkret:

• CASPs, die ihre Dienste bereits vor dem 30. Dezember 2024 rechtmäßig erbracht haben, können – abhängig vom nationalen Recht – bis zu 1. Juli 2026 oder kürzer weiterarbeiten, ohne sofort eine MiCA‑Zulassung zu besitzen.

• ESMA hat in einem Statement ausdrücklich darauf hingewiesen, dass dadurch eine fragmentierte Landkarte von Übergangsfristen entsteht und dass Anleger in diesen Übergangsregimen nicht in vollem Umfang den MiCA‑Schutz genießen.

Für Kryptodienstleister ergibt sich: MiCA ist faktisch die verbindliche Referenz, aber bis 1.7.2026 koexistieren MiCA‑Lizenzregime und nationale Übergangslösungen.

1.2 Aufsichtliche Schwerpunkte und Praxisbeispiele

ESMA und EBA haben eine Reihe von technischen Standards und Leitlinien zu MiCA veröffentlicht; weitere befinden sich in Konsultation oder Ausarbeitung. Im Fokus stehen u. a.:

• Anforderungen an Zulassungsanträge und laufende Aufsicht von CASPs,

• Berichtspflichten und Datenanforderungen,

• Interaktion mit bestehenden AML/CFT‑ und Sanktionsregimen.

Nationale Maßnahmen illustrieren den Ernst der Lage: In Österreich untersagte die FMA der KuCoin EU Exchange GmbH, neues Geschäft abzuschließen und neue Kunden zu onboarden, weil zentrale Funktionen im Bereich AML/CFT und Sanktionen nicht angemessen besetzt waren. Das zeigt: Die MiCA‑Lizenz ist notwendig, aber ohne robuste Governance, Personal und Risikokultur kein Garant für dauerhafte Marktpräsenz.

2. PSD3/PSR: Neuordnung des Zahlungsverkehrs

2.1 Von der politischen Einigung zur technischen Ausgestaltung

Für die Payment Services Regulation (PSR) und die Payment Services Directive (PSD3) liegt eine politische Einigung vor; die formelle Annahme und Veröffentlichung der Texte wird 2026 erwartet. Parallel bereitet die EBA die Umsetzung eines umfangreichen Mandatskatalogs vor – nach aktuellem Stand im Bereich von knapp 20 technischen Mandaten unter PSD3 und etwas mehr als 20 Mandaten unter PSR.​

Inhaltliche Schwerpunkte:

• Betrugsprävention & Haftung: Weiterentwickelte SCA‑Regeln, verstärkte „verification of payee“‑Mechanismen, erweiterte Erstattungs‑ und Haftungsregeln, inklusive potenzieller Verantwortung bestimmter Online‑Plattformen.​

• Transparenz & Entgelte: präzisere Informationspflichten und Vorgaben zur Preistransparenz.

• Zugang zu Konten & Daten: Abbau verbleibender Hindernisse für Drittanbieter, höhere Anforderungen an Schnittstellenqualität, Vorbereitung auf einen breiteren Open‑Finance‑Rahmen.​

Für Zahlungsdienstleister ist 2026 daher vor allem ein Design‑ und Planungsjahr, in dem Fraud‑Frameworks, Authentifizierungsprozesse, Preis‑Kommunikation und API‑Landschaft an den kommenden Detailrahmen angepasst werden müssen.

2.2 Open Finance und Finanzdatenrahmen

Parallel arbeitet die EU an einem Finanzdatenrahmen (FIDA oder ähnlicher Rechtsakt), der Open Finance jenseits von PSD2 verankern soll. Ziel ist ein reguliertes Datenökosystem mit klaren Regeln zu:​

• Datentypen und Zugriffsrechten,

• Governance, Einwilligung und Widerruf,

• Sicherheit und Haftung.

Trilog‑Verhandlungen sind im Gange; für 2026 wird Fortschritt erwartet, ohne dass ein endgültiges Abschlussdatum garantiert ist. Marktteilnehmer sollten dennoch davon ausgehen, dass API‑basierte Open‑Finance‑Modelle zum Standard werden und bereits heute in Architektur‑ und Produktentscheidungen eingepreist werden müssen.​

3. Kapitalmarktreformen und „Savings & Investments Union“

3.1 Master‑Verordnung und Master‑Richtlinie

Die Kommission hat Ende 2025 ein Paket zur Stärkung der Kapitalmarktunion und einer „Savings & Investments Union“ vorgelegt. Dieses umfasst u. a.:

• eine Master‑Verordnung, die MiFIR, Transparenz‑, Daten‑ und Marktinfrastrukturvorschriften ändert,

• eine Master‑Richtlinie, die u. a. MiFID II, Prospektrecht und Listing‑Regeln anpasst.

Die Vorschläge befinden sich 2026 im Gesetzgebungsverfahren; konkrete Anwendungstermine hängen von den Trilog‑Verhandlungen ab.​

Wichtig für digitale Geschäftsmodelle:

• Ausbau eines Consolidated Tape für ausgewählte Instrumente als zentraler Datenzugang,​

• erleichterter Kapitalmarktzugang für KMU,

• Diskussion über eine stärkere Rolle von ESMA in bestimmten Aufsichtsbereichen.

3.2 Implikationen für digitale Investment‑Plattformen

Neo‑Broker, Robo‑Advisors und Tokenization‑Anbieter müssen damit rechnen, dass sich in den nächsten Jahren:

• Transparenz‑ und Marktdatenpflichten (inkl. ESG) weiter verdichten,

• Produktklassifikation und Geeignetheitsanforderungen punktuell ändern,

• zusätzliche Anforderungen an KI‑gestützte Strategien und Beratungssysteme ergeben (Schnittstelle zum AI Act).

Da die Detailausgestaltung noch im Fluss ist, ist eine flexible, modulare und daten‑zentrierte Architektur entscheidend, um neue Pflichten schrittweise integrieren zu können.

4. DORA und AI Act: Resilienz und KI als Doppelhebel

4.1 DORA: Gilt seit 17. Januar 2025 – Umsetzung im Fokus

Die Digital Operational Resilience Regulation (DORA – Verordnung (EU) 2022/2554) findet seit dem 17. Januar 2025 Anwendung auf die erfassten Finanzunternehmen. Gesetzliche Übergangsfristen über dieses Datum hinaus sind nicht vorgesehen; stattdessen setzen Aufseher auf Proportionalität bei der Bewertung, wie schnell und in welchem Umfang Institute die Vorgaben umsetzen.

2026 steht daher die Aufsichtsrealität im Vordergrund:

• Institute müssen kritische Funktionen, Assets und IKT‑Drittdienstleister identifizieren und dokumentieren;

• Auslagerungsverträge mit Cloud‑, SaaS‑, Daten‑ und Infrastruktur‑Anbietern müssen DORA‑konform ausgestaltet und überwacht werden;

• Prozesse für ICT‑Incident‑Meldungen und – je nach Größe/Risiko – Resilienztests (z. B. Advanced Penetration Testing) werden von Aufsehern aktiv überprüft.

Gerade kleinere FinTechs und CASPs erleben den Übergang von „Best Practice“ zu aufsichtlichem Mindeststandard: Ohne nachvollziehbare IKT‑Resilienz‑Frameworks wird ein stabiles Aufsichtsverhältnis zunehmend schwieriger.

4.2 AI Act: Klarer Zeitplan, sektorale Konkretisierung läuft

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten; seine Anwendung folgt einem gestaffelten Zeitplan bis 2. August 2027.

• Ab 2. Februar 2025 gelten die Verbote für KI‑Systeme mit „unannehmbarem Risiko“ (z. B. Social Scoring durch Behörden, bestimmte manipulative Praktiken) sowie allgemeine Bestimmungen, einschließlich AI‑Literacy‑Anforderungen.

• Ab 2. August 2025 gelten zentrale Vorgaben für General‑Purpose‑AI‑Modelle (GPAI) und die Governance‑Struktur (AI Office, AI Board, Codes of Practice).

• Ab 2. August 2026 ist der AI Act im Grundsatz allgemein anwendbar; insbesondere greifen die meisten Pflichten für Hochrisiko‑KI‑Systeme, darunter viele Anwendungen in Kreditvergabe, Beschäftigung, kritischer Infrastruktur und bestimmten Finanzdienstleistungen.

• Bis 2. August 2027 müssen GPAI‑Modelle, die bereits vor August 2025 auf dem Markt waren, vollständig konform sein; für bestimmte eingebettete Systeme gelten verlängerte Fristen.

Die sektoralen Finanzrahmen (CRR/CRD, MiFID/MiFIR, Solvency II etc.) bleiben unverändert gültig. ESMA, EBA und EIOPA arbeiten daran, AI‑Act‑Pflichten mit bestehenden Governance‑, Risiko‑ und Offenlegungsanforderungen im Finanzsektor zu verzahnen; detaillierte Leitlinien zu KI‑gestützter Kreditwürdigkeitsprüfung, Robo‑Advice, algorithmischem Handel oder AML‑Monitoring werden schrittweise in den kommenden Jahren erwartet.

Für Finanzinstitute ist damit klar: Der Rechtsrahmen und die Zeitachsen stehen fest, der eigentliche Overhang entsteht durch die noch nicht vollständig harmonisierte sektorale Auslegung und Aufsichtspraxis.

5. Regulatory Overhang als Treiber für Konsolidierung & M&A

5.1 Kostentreiber und Komplexität

Im Zusammenspiel von MiCA, PSD3/PSR, DORA, AI Act und Kapitalmarktreformen steigt der strukturelle Compliance‑Aufwand:

• Technische Infrastruktur: Anpassung von Kernsystemen, Schnittstellen, Logging und Monitoring an DORA, MiCA‑/PSD‑Reporting und künftige Open‑Finance‑Anforderungen.

• Organisation & Governance: Ausbau von Compliance‑, Risiko‑, IKT‑ und Data‑Governance‑Funktionen; höhere Anforderungen an Key‑Function‑Holders, insbesondere im Krypto‑ und Payment‑Bereich.

• Daten & Reporting: Zunehmend granularere, häufigere und standardisierte Meldungen an ESMA/EBA/EIOPA, inklusive neuer Kryptodaten‑ und Zahlungsstatistiken.

• Vertragslandschaft: Neuaufstellung von Verträgen mit Drittanbietern, Plattformen und Distributoren im Einklang mit DORA, PSD3/PSR, AI Act und AML/Sanktionsregimen.​

5.2 Konsolidierung und M&A‑Chancen

Regulatory Overhang fungiert damit als Filter und Katalysator:

• „Regulation‑ready“‑Unternehmen gewinnen an Wert, da sie Käufern einen schnelleren Zugang zu regulierten Märkten mit geringerem Nachrüstbedarf ermöglichen.

• Unterkapitalisierte Player geraten unter Druck und werden eher bereit sein, Lizenzen, Plattformen oder Kundenportfolios zu veräußern.

• Banken und große Broker können regulierte Krypto‑ und Payment‑Infrastrukturen akquirieren, anstatt sie von Grund auf aufzubauen.

• Embedded‑Finance‑Modelle dürften sich verstärkt auf White‑Label‑Kooperationen mit regulierten Instituten stützen.

Für M&A‑Transaktionen bedeutet das: Regulatorischer Umsetzungsstand, Datenqualität, IKT‑Resilienz und Governance werden zu zentralen Werttreibern und Risiko‑Indikatoren und müssen in Due Diligence, Bewertung und Vertragsklauseln (u. a. Regulatory MAC, Garantien, Übergangs‑Services) explizit adressiert werden.​

6. Strategische Empfehlungen aus Nexora‑Perspektive

• Regulierungs‑Roadmap bis 2028 erstellen.

Alle relevanten Regime (MiCA, PSD3/PSR, DORA, AI Act, Kapitalmarktreformen, Finanzdaten‑Rahmen) mit ihren bekannten Meilensteinen und Aufsichtsmandaten von ESMA/EBA kartieren.

• Geschäftsmodell‑spezifische Gap‑Analysen durchführen.

Payments (Fraud, SCA, Haftung), Krypto (MiCA‑Lizenz, Governance, Custody, AML/CFT), digitale Investments (KI‑Nutzung, Marktdaten, ESG‑Disclosure) getrennt betrachten.

• Core‑ vs. Nicht‑Core‑Segmente klar trennen.

Core‑Segmente konsequent auf volle Regulatorik ausrichten; Randaktivitäten frühzeitig als Kooperations‑ oder Exit‑Kandidaten definieren, bevor der Overhang zu einem Zwangs‑Exit führt.

• Daten‑ und IKT‑Funktionen als Kernressource begreifen.

DORA, MiCA‑/PSD‑Reporting und AI Act machen Data Governance, Logging, Monitoring und Model Governance zu zentralen Assets, nicht nur zu Kostenblöcken.

• M&A‑Strategien regulatorisch denken.

Targets nach „Regulation‑Readiness“ auswählen, verbleibenden Anpassungsaufwand realistisch in die Bewertung einpreisen und vertraglich adressieren.

• Proaktive Interaktion mit Aufsicht und Verbänden.

Teilnahme an Konsultationen, Arbeitsgruppen und ggf. Sandboxes – insbesondere bei KI‑ und datenintensiven Geschäftsmodellen – um frühzeitig Einblick in sektorale Leitlinien zu erhalten.

Nexora Unternehmensberatung GmbH – Ihr Partner für regulatorische Transformation MiCA · DORA · AML/KYC · PSD3 · AI Act · M&A · Market Entry Austria www.nexora-consulting.at | office@nexora-consulting.at

#MiCA, #MarketsInCryptoAssets, #DORA, #DigitalOperationalResilience, #EUAIAct, #PSD3, #PSR, #OpenFinance, #SavingsAndInvestmentsUnion, #EURegulation, #RegulatoryOverhang, #FinancialServices, #Payments, #CryptoAssets, #CASP, #FinTech, #RegTech, #DigitalInvestments, #ESMA, #EBA, #EIOPA, #ECB, #FMA, #BaFin, #FINMA, #Compliance, #AML, #KYC, #RiskManagement, #OperationalResilience, #DataGovernance, #APIEconomy