ESMAs digitale Innovationspriorität 2027: Was sie für Unternehmen bedeutet
Die European Securities and Markets Authority hat bestätigt, dass sie ab 2027 eine neue Union Strategic Supervisory Priority zum Thema digitale Innovation einführen wird. Der erste Schwerpunkt liegt darauf, wie beaufsichtigte Unternehmen künstliche Intelligenz und Tokenisierung einsetzen, und sie wird parallel zur bestehenden Priorität für Cyber- und operationelle Resilienz laufen, die seit 2025 aktiv ist. Für Buchhaltungsfirmen, Wirtschaftsprüfer und CFOs, die EU-regulierte Mandanten beraten, ist dies ein direktes Signal, dass die Aufsichtsbehörden Kompetenzen aufbauen, um jede Ebene des Technologie-Stacks eines Unternehmens zu prüfen, einschließlich seiner Krypto-Buchhaltungssoftware und der Infrastruktur für digitale Vermögenswerte.
Was eine Union Strategic Supervisory Priority tatsächlich ist
USSPs sind die formalen Konvergenzinstrumente der ESMA. Sie lenken die Aufsichtsressourcen in der gesamten EU auf die Risiken, die die Behörde für den Anlegerschutz, die Finanzstabilität und das ordnungsgemäße Funktionieren der europäischen Finanzmärkte als am bedeutendsten erachtet. Indem die ESMA ein Thema in den Status einer USSP erhebt, signalisiert sie allen National Competent Authorities, dass sie ihre Prüfungsprogramme, Datenanforderungen und Durchsetzungsschwerpunkte entsprechend ausrichten sollten.
Von freiwilligen Leitlinien zu koordiniertem Druck
Eine USSP ist kein neues Regelwerk. Sie schafft nicht von sich aus neue rechtliche Verpflichtungen. Was sie tut, ist die Aufmerksamkeit der Aufsicht zu bündeln und dadurch die praktische Risikobewertung für regulierte Unternehmen neu zu gestalten. Als die ESMA von 2023 an ihre USSP zu ESG-Angaben durchführte, begannen NCAs in der gesamten Union gezielte Anfragen und Mystery-Shopping-Übungen zu starten, die weit über das hinausgingen, was die zugrunde liegende Regulierung streng genommen verlangte. Unternehmen, die ESG als Offenlegungsübung statt als Governance-Aufgabe behandelt hatten, wurden überrascht.
Dieselbe Dynamik spielt nun bei der digitalen Innovation. Die ESMA hat ausdrücklich erklärt, dass sie mit den NCAs zusammenarbeiten wird, wie beaufsichtigte Unternehmen KI und Tokenisierung einsetzen, und dass sie flexibel bleiben wird, um weitere technologische Entwicklungen aufzugreifen, sobald sie auftreten, einschließlich solcher aus fortschrittlichen Frontier-KI-Modellen. Die praktische Konsequenz ist, dass die NCAs ab 2027 ausgestattet und angehalten sein werden, schwierige Fragen zur Technologie-Governance zu stellen.
Die beiden Kerntechnologien im Anwendungsbereich
Künstliche Intelligenz in regulierten Arbeitsabläufen
Die Bezugnahme der ESMA auf KI ist bewusst breit gefasst. Beaufsichtigte Unternehmen, die algorithmische Tools für Handelsentscheidungen, Kunden-Onboarding, Überwachung, Risikomodellierung oder eben auch die Automatisierung von Krypto-Buchhaltungssoftware einsetzen, fallen potenziell in den Anwendungsbereich. Die Behörde hat zudem gemeinsam mit EBA und EIOPA einen gemeinsamen ESA-Aufruf mitunterzeichnet, der eine verbesserte Governance und konsistente Aufsicht fordert, um IKT-Risiken durch Frontier-KI-Modelle im EU-Finanzsektor zu mindern. Dieses Dokument verstärkt die Botschaft: Es reicht nicht aus, KI einzusetzen; Unternehmen müssen nachweisen, dass sie sie beherrschen.
Für Buchhaltungs- und Prüfungsteams hat dies eine unmittelbare praktische Dimension. Automatisierte Abstimmungstools, Anomalie-Erkennungssysteme und KI-gestützte Buchungsworkflows, die digitale Vermögenswerte berühren, müssen in einen Governance-Rahmen eingebettet sein, den eine Aufsichtsbehörde prüfen kann. Unternehmen, die diese Tools in den Boomjahren der Kryptobranche schnell eingeführt haben, ohne zeitgleiche Richtliniendokumentation, sollten den Horizont 2027 als Sanierungsfrist und nicht als entferntes Anliegen betrachten.
Tokenisierung und ihre aufsichtsrechtlichen Implikationen
Die Einbeziehung der Tokenisierung neben KI durch die ESMA ist bedeutsam. Die Tokenisierung von Finanzinstrumenten, Real-World-Assets und Abwicklungsvermögenswerten beschleunigt sich in der EU, angetrieben unter anderem durch das DLT-Pilot-Regime und den breiteren MiCA-Rahmen. Aufsichtsbehörden erkennen, dass tokenisierte Strukturen neue Verwahrungsvereinbarungen, neuartige Fragen der Abwicklungsfinalität und Bewertungsherausforderungen schaffen, für die traditionelle Aufsichtsrahmen nicht konzipiert wurden.
Für Unternehmen, die Software zur Buchhaltung digitaler Vermögenswerte verwenden, um tokenisierte Positionen zu erfassen, wird der aufsichtsrechtliche Blick über die Frage hinausgehen, ob die Positionen korrekt bewertet sind. NCAs werden die End-to-End-Technologiekette verstehen wollen: Welche Plattform erzeugt die Transaktionsdaten, wie fließen diese Daten in das Buchhaltungsjournal, welche Kontrollen bestehen zur Verhinderung von Manipulation, und wer überwacht den Prozess? Dies spiegelt die Governance-Fragen wider, die die ESMA in ihrer ESG-USSP aufgeworfen hat, allerdings angewandt auf eine technisch komplexere Anlageklasse.
Wechselwirkung mit der USSP für Cyber- und operationelle Resilienz
Die USSP für digitale Innovation ersetzt nicht die USSP für Cyber- und operationelle Resilienz, die seit 2025 besteht; sie läuft parallel zu ihr. Das ist wichtig für die Art und Weise, wie Unternehmen ihre Antworten strukturieren. Die Resilienz-USSP verlangt von beaufsichtigten Unternehmen bereits, ein robustes IKT-Risikomanagement, Incident-Reporting und die Kartierung von Abhängigkeiten von Dritten unter DORA nachzuweisen. Die neue USSP für digitale Innovation fügt eine Ebene hinzu: Die Aufsichtsbehörden werden nun auch bewerten, ob Unternehmen die neuartigen Risiken verstehen und beherrschen, die ihre spezifischen Technologieentscheidungen mit sich bringen.
Überschneidende Pflichten für kryptoaktive Unternehmen
Ein Unternehmen, das auf ein tokenisiertes Abwicklungssystem setzt, KI-gestütztes AML-Screening betreibt und Krypto-Buchhaltungssoftware zur Erstellung regulatorischer Berichte verwendet, befindet sich gleichzeitig am Schnittpunkt beider USSPs. Der praktische Arbeitsaufwand verdoppelt sich. Unternehmen sollten die beiden Prioritäten nicht als getrennte Arbeitsbereiche mit getrennten Teams behandeln. Die effizienteste Antwort ist ein integrierter Technologie-Governance-Rahmen, der sowohl die Resilienz- als auch die Innovationsaufsicht aus einer einzigen Richtlinienarchitektur heraus erfüllt.
Für Prüfungsgesellschaften, die Assurance über Angaben zu digitalen Vermögenswerten erbringen, ist dieser Integrationspunkt ebenfalls relevant. Prüfungsverfahren, die auf statische Journaldaten ausgelegt waren, müssen weiterentwickelt werden, um dynamische KI-Ergebnisse und On-Chain-Transaktionsaufzeichnungen abzudecken. Die Kompetenzanforderungen an Prüfungsteams in diesem Bereich steigen.
Der Abschluss der ESG-USSP: Ein nützlicher Präzedenzfall
Die ESMA hat bestätigt, dass sie die USSP zu ESG-Angaben in diesem Jahr abschließt, nach ihrem Start 2023. Die Behörde beschreibt das Ergebnis als starken Fortschritt bei der Verbesserung der ESG-Angaben und als Hilfe für Anleger, Nachhaltigkeitsinformationen besser zu verstehen. Sie warnt zugleich, dass ESG trotz dieses Meilensteins eine langfristige Reise bleibt.
Dieser Abschluss ist lehrreich für alle, die antizipieren wollen, wie die USSP für digitale Innovation verlaufen wird. Der ESG-Zyklus lief etwa vier Jahre von der Einführung bis zum formellen Abschluss. Er brachte unterwegs Berichte zur Aufsichtskonvergenz, NCA-Prüfungskampagnen und sektorspezifische Empfehlungen hervor. Unternehmen, die früh auf die ESG-Priorität eingingen, waren besser positioniert, als die NCA-Fragen kamen. Unternehmen, die auf formelle Durchsetzungssignale warteten, sahen sich mit einem komprimierten Sanierungszeitplan konfrontiert.
Die USSP für digitale Innovation startet ab 2027. Wenn der ESG-Zyklus als Maßstab dient, dürfte sich die intensivste Aufsichtstätigkeit, also NCA-Datenanforderungen, thematische Überprüfungen und mögliche Durchsetzungsverweise, zwischen 2028 und 2030 bündeln. Das ist keine lange Vorlaufzeit für Unternehmen, die noch nicht begonnen haben, ihre KI- und Tokenisierungs-Governance zu kartieren.
Auswirkungen auf Buchhaltung und Prüfung für Unternehmen
Für Buchhaltungsfirmen und Wirtschaftsprüfer
Die USSP erzeugt zwei unterschiedliche Belastungen für professionelle Dienstleistungsunternehmen. Erstens werden sie als Berater regulierter Unternehmen gebeten, Mandanten beim Aufbau der Governance-Dokumentation zu helfen, die Aufsichtsbehörden anfordern werden. Das bedeutet, Auftragsumfänge zu aktualisieren, um Technologierisikobewertungen neben traditioneller Abschlussprüfungsarbeit einzubeziehen. Zweitens können Buchhaltungsfirmen als Organisationen, die selbst KI-gestützte Prüfungstools und Software zur Buchhaltung digitaler Vermögenswerte einsetzen, je nach ihrem regulierten Status in relevanten EU-Jurisdiktionen selbst in den Aufsichtsperimeter fallen.
Unternehmen sollten damit beginnen, jeden KI-gestützten Arbeitsablauf zu katalogisieren, der digitale Vermögenswerte eines regulierten Mandanten berührt. Für jeden Arbeitsablauf lauten die Fragen: Wer hat seine Nutzung genehmigt, welche Tests wurden vor der Einführung durchgeführt, welche laufende Überwachung besteht, und wo ist das dokumentiert? Wenn diese Fragen nicht schnell beantwortet werden können, ist die Governance-Lücke real und der Aufsichtshorizont 2027 näher, als es scheint.
Auch Prüfungsstandards werden sich wahrscheinlich anpassen müssen. Verfahren zur Beurteilung der Vollständigkeit und Richtigkeit von On-Chain-Transaktionsdaten, zur Validierung KI-generierter Bewertungen und zur Prüfung der Integrität tokenisierter Vermögensaufzeichnungen sind noch nicht standardisiert. Unternehmen, die diese Verfahren intern entwickeln, bevor Standardsetzer sie vorschreiben, haben einen Wettbewerbsvorteil und eine stärkere Verteidigung, falls aufsichtsrechtliche Fragen auftauchen.
Für CFOs und Finanzteams bei regulierten Unternehmen
CFOs bei MiCA-regulierten CASPs, MiFID-Wertpapierfirmen mit Engagement in digitalen Vermögenswerten und Fondsmanager, die tokenisierte Instrumente halten, sollten die USSP-Ankündigung als Governance-Auslöser betrachten. Die unmittelbare Priorität ist ein Technologie-Inventar: Welche KI-Tools werden verwendet, wem gehören sie, und wie sind sie mit Finanzberichterstattungs-Ergebnissen verbunden? Bei vielen Unternehmen existiert dieses Inventar noch nicht in einer Form, die eine Aufsichtsbehörde prüfen könnte.
Der nächste Schritt ist die Richtliniendokumentation. Bestehende IKT-Governance-Richtlinien sollten überprüft werden, um zu bestätigen, dass sie ausdrücklich KI-Entscheidungsfindung und Tokenisierungsprozesse adressieren. Wo Lücken bestehen, sollte die Sanierung abgegrenzt und geplant werden. Finanzteams sollten auch bedenken, wie ihre Beziehungen zu Anbietern von Krypto-Buchhaltungssoftware geregelt sind: Nach den Drittanbieter-Risikoanforderungen von DORA ist ein Softwareanbieter, der regulatorische Daten erzeugt, ein kritischer IKT-Anbieter und muss entsprechend behandelt werden.
Für Unternehmen, die bereits ein MiCA-Zulassungsverfahren durchlaufen oder unter Übergangsbestimmungen tätig sind, verstärkt diese USSP das Argument, jetzt in robuste, prüfbare Software zur Buchhaltung digitaler Vermögenswerte zu investieren, statt Governance nachträglich um ein System herumzubauen, das aus operativen Gründen gewählt wurde. Aufsichtsbehörden, die Innovationsrisiken bewerten, werden die Qualität der Aufzeichnungsinfrastruktur eines Unternehmens als Indikator für die Qualität seiner gesamten Technologie-Governance betrachten. Angesichts der engen Beziehung zwischen MiCA-Compliance und den breiteren EU-Aufsichtserwartungen ist das Verständnis davon, wie das ESCB die MiCA-Regeln zur Stablecoin-Liquidität umzuschreiben versucht, direkt relevant dafür, wie Unternehmen ihre Berichtssysteme heute gestalten sollten.
Vorbereitung vor 2027: Praktische Schritte
Jetzt das Technologie-Inventar aufbauen
Beginnen Sie mit einer vollständigen Karte jedes KI- und tokenisierungsbezogenen Systems, das im Unternehmen verwendet wird. Beziehen Sie Drittanbieter-Plattformen, API-Integrationen und jeden automatisierten Prozess ein, der Daten erzeugt, die in regulatorischen Meldungen oder Finanzabschlüssen verwendet werden. Dieses Inventar wird zur Grundlage sowohl für die Drittanbieter-Risikobewertung nach DORA als auch für die bevorstehende aufsichtsrechtliche Überprüfung der digitalen Innovation.
Governance-Dokumentation an die Aufsichtserwartungen ausrichten
Die ESMA und die NCAs werden nach Belegen dafür suchen, dass die Geschäftsleitung das Technologierisiko verantwortet, nicht nur die IT-Abteilung. Governance-Rahmen sollten die Genehmigung von KI-Einsatzentscheidungen auf Vorstands- oder Führungsebene, klare Verantwortlichkeiten für die Tokenisierungsinfrastruktur und regelmäßige Überprüfungszyklen für alle Tools der digitalen Innovation umfassen. Dokumentieren Sie diese in einer Form, die einer Aufsichtsbehörde ohne umfangreiche Übersetzung vorgelegt werden kann.
In Mitarbeiterkompetenz investieren
Die ESMA hat ausdrücklich erklärt, dass die USSP sicherstellen soll, dass die Aufsichtsbehörden selbst über die Expertise und Kapazität verfügen, um neue Technologien zu beaufsichtigen. Beaufsichtigte Unternehmen sollten dieselbe Investition tätigen. Compliance-Beauftragte, interne Revisoren und Finanzmitarbeiter, die verstehen, wie KI-Systeme Ergebnisse erzeugen und wie tokenisierte Vermögensaufzeichnungen entstehen, werden wesentlich besser in der Lage sein, auf NCA-Anfragen zu reagieren und Probleme zu erkennen, bevor die Aufsichtsbehörden es tun. Die breitere Entwicklung der digitalen Finanzwirtschaft in der EU, die wir in unserer Analyse zu ESMAs Eurosystem-Pontes-Plattform und ihren Implikationen für die Buchhaltung digitaler Vermögenswerte untersuchen, macht diese Kompetenzinvestition zunehmend dringlich.
Source: European Securities and Markets Authority (ESMA)
Häufig gestellte Fragen
Was ist eine Union Strategic Supervisory Priority und warum ist sie wichtig?
Eine USSP ist ein formales Instrument, das die ESMA nutzt, um den Aufsichtsschwerpunkt über alle EU National Competent Authorities hinweg auszurichten. Sie lenkt Prüfungsressourcen auf die Risiken, die die ESMA für den Anlegerschutz und die Finanzstabilität als am bedeutendsten erachtet. Als USSP eingestuft zu werden bedeutet, dass NCAs in der gesamten Union aktiv bewerten werden, wie regulierte Unternehmen den betreffenden Risikobereich steuern, was sie zu einem wesentlichen Compliance-Aspekt macht, selbst wenn keine neue rechtliche Verpflichtung geschaffen wurde.
Wann beginnt die USSP für digitale Innovation und was ist ihr Anwendungsbereich?
Die ESMA hat bestätigt, dass die Priorität ab 2027 beginnt. Der erste Fokus liegt auf der Nutzung von KI und Tokenisierung durch beaufsichtigte Unternehmen, wobei die ESMA anmerkt, dass sie flexibel bleiben wird, um weitere aufkommende Technologien, einschließlich Frontier-KI-Modelle, aufzugreifen, wenn sie sich entwickeln.
Schafft dies neue rechtliche Verpflichtungen für Unternehmen unter MiCA oder MiFID?
Nicht direkt. Eine USSP ist ein Instrument zur Aufsichtskonvergenz und kein neues Regelwerk. Sie prägt jedoch die Art und Weise, wie NCAs ihre bestehenden Aufsichtsbefugnisse ausüben, was bedeutet, dass Unternehmen ab 2027 gezieltere Prüfungen, Datenanforderungen und thematische Überprüfungen mit Fokus auf KI-Governance und Tokenisierungsrisiko erwarten können.
Wie sollten Unternehmen ihre Krypto-Buchhaltungssoftware im Kontext dieser Priorität betrachten?
Jede Krypto-Buchhaltungs- oder Software zur Buchhaltung digitaler Vermögenswerte, die KI-gestützte Prozesse nutzt, mit tokenisierten Asset-Plattformen interagiert oder Daten erzeugt, die in regulatorischen Meldungen verwendet werden, fällt potenziell in den Anwendungsbereich. Unternehmen sollten bestätigen, dass ihre Softwareanbieter-Beziehungen unter die Drittanbieter-Risikoregeln von DORA fallen, dass die Ergebnisse der Software erklärt und validiert werden können und dass eine klare interne Verantwortlichkeit für die Nutzung des Tools besteht.
Was können Unternehmen aus dem ESG-USSP-Zyklus lernen?
Die ESG-USSP lief ab 2023 und endet 2025 oder 2026, nachdem sie NCA-Prüfungskampagnen, Konvergenzberichte und Sektorempfehlungen hervorgebracht hat. Unternehmen, die früh eingebunden waren, waren besser vorbereitet, als direkter Aufsichtskontakt erfolgte. Die USSP für digitale Innovation sollte genauso behandelt werden: Jetzt mit der Governance-Arbeit zu beginnen, lange bevor die formelle NCA-Aktivität intensiver wird, ist deutlich kostengünstiger als reaktive Sanierung.