Regulatorik-Kalender Legal & Compliance: alle wichtigen Fristen für die Schweiz, Deutschland und die EU

Kurzantwort: Die wichtigsten regulatorischen Fristen 2027 für Legal und Compliance in der Schweiz, Deutschland und der EU sind die Erstmeldungen an das Schweizer Transparenzregister (gestaffelt vom 31. Dezember 2026 bis 31. März 2027), die Umsetzungsfrist für die geänderte CSRD am 19. März 2027, die Geltung der EU-Geldwäscheverordnung AMLR ab dem 10. Juli 2027 und die Hochrisiko-Pflichten des AI Act ab dem 2. Dezember 2027. Schon am 1. Dezember 2026 endet in der Schweiz die Frist für Beraterinnen und Berater, sich einer Selbstregulierungsorganisation anzuschliessen, und am 2. Dezember 2026 greifen neue AI-Act-Verbote. Für Banken und Versicherer der FINMA-Aufsichtskategorien 3–5 gilt ab dem 1. Januar 2027 das Rundschreiben 2026/1 zu Klimarisiken.

Dieser Kalender richtet sich an General Counsel, Heads of Compliance und Projektverantwortliche in der Schweiz und in Deutschland. Er bündelt alle belegten Stichtage von 2025 bis 2029 in einer Tabelle, ordnet sie nach Regelwerk ein und verweist auf unsere Detailartikel. Wir prüfen den Kalender monatlich; zuletzt geprüft am 30. Oktober 2026.

Die nächsten zwölf Stichtage

Ab dem Stand dieses Kalenders stehen bis Anfang 2028 diese zwölf Stichtage an:

1. 01.12.2026 (CH): Beraterinnen und Berater nach Art. 2 Abs. 3bis GwG, die bereits am 1. Oktober 2026 tätig waren, reichen ihr Gesuch um Anschluss an eine Selbstregulierungsorganisation ein (Übergangsbestimmung der GwV; wer die Tätigkeit später aufnimmt, hat dafür zwei Monate Zeit, Art. 12g Abs. 1 lit. b GwV).
2. 02.12.2026 (EU): AI Act: zwei neue Verbote; Kennzeichnung nach Art. 50 Abs. 2 für generative Altsysteme.
3. 31.12.2026 (CH): Transparenzregister: Erstmeldung für AG mit ordentlicher Revision.
4. 01.01.2027 (CH): FINMA-RS 2026/1: Klimarisiken für Institute der Aufsichtskategorien 3–5.
5. 31.01.2027 (CH): Transparenzregister: andere Gesellschaften mit ordentlicher Revision.
6. 28.02.2027 (CH): Transparenzregister: AG ohne ordentliche Revision.
7. 19.03.2027 (EU/DE): Umsetzungsfrist für die CSRD-Änderungen aus dem Omnibus I.
8. 31.03.2027 (CH): Transparenzregister: übrige juristische Personen und ausländische Rechtseinheiten; ab 01.04.2027 melden Finanzintermediäre Differenzen.
9. 10.07.2027 (EU/DE): AMLR gilt; Umsetzungsfrist der AMLD6.
10. Juli–Dezember 2027 (EU): AMLA wählt bis zu 40 direkt beaufsichtigte Institute aus.
11. 02.12.2027 (EU): AI Act: Hochrisiko-Pflichten für Anhang-III-Systeme.
12. 01.01.2028 (CH): FINMA-RS 2026/1 gilt für alle naturbezogenen Finanzrisiken.

Hinzu kommt die jährliche Einreichung des DORA-Informationsregisters: Die BaFin erwartet das Register spätestens bis 31. März mit dem Stand vom 31. Dezember des Vorjahres und gibt jeweils zu Jahresbeginn bekannt, ab wann sie es entgegennimmt. Neue Sanktionspakete können jederzeit und ohne Vorlauf dazukommen.

Fristenkalender 2025–2029: alle Stichtage chronologisch

Die Tabelle enthält alle Stichtage aus unserer geprüften Faktenbasis, auch bereits verstrichene, weil viele Pflichten seither laufend gelten. Markt bezeichnet, wo das Regelwerk gilt.

Hinweis zur GmbH: Für Gesellschaften, die keine AG sind und keine ordentliche Revision haben, etwa die meisten GmbH, ist der Wortlaut des TJPG nicht eindeutig. Art. 51 Abs. 3 lit. d TJPG setzt sechs Monate für «andere Gesellschaften, die die Voraussetzungen für eine eingeschränkte Revision nicht erfüllen» und für andere juristische Personen. Wer sicher planen will, meldet bis 28. Februar 2027, der Frist für AG ohne ordentliche Revision.

Ausserhalb des Kalenderfensters liegen der 02.08.2030 (AI Act, Hochrisiko-Systeme von Behörden) und der 30.06.2032 (Ende der Befristung der Lohngleichheitsanalyse nach GlG).

Was die Fristen für Ressourcen bedeuten

Die Stichtage bündeln sich in drei Spitzen, in denen Legal und Compliance zusätzliche Kapazität brauchen. Wer sie früh erkennt, kann Arbeit verteilen, statt sie kurz vor der Frist zu stauen.

• Winter 2026/2027: Transparenzregister-Meldungen in der Schweiz, AI-Act-Stichtag im Dezember, FINMA-Klimarisiken und CSRD-Umsetzung fallen in dasselbe Quartal.
• Mitte 2027: Bis zur Geltung der AMLR am 10. Juli 2027 müssen Gap-Analysen, Weisungen, Kundendaten und Schulungen angepasst sein.
• Ende 2027: Die Hochrisiko-Pflichten des AI Act erfordern Inventar, Dokumentation und Verträge, besonders bei HR-Systemen.
• Ungeplante Spitzen: Allein 2026 kamen mehrere EU-Sanktionspakete, die jeweils Re-Screening und Vertragsprüfungen auslösten.

Alpinum Solutions stellt für solche Spitzen Legal- und Compliance-Fachkräfte über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, einzeln oder als Projektteam, von Junior bis Senior. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Wie solche Vorhaben methodisch geführt werden, beschreibt der Ratgeber zum Regulatory Change Management.

Schweiz: die Regelwerke im Überblick

In der Schweiz prägen 2026 und 2027 vor allem die Geldwäschereirevision, das Transparenzregister und die FINMA-Rundschreiben die Agenda.

GwG-Revision und Transparenzregister

Seit dem 1. Oktober 2026 gelten das revidierte GwG und das TJPG; das Transparenzregister ist in Betrieb. Bestehende juristische Personen melden gestaffelt bis 31. März 2027, Beraterinnen und Berater unterstehen neu dem GwG. Details im Ratgeber Geldwäschereirevision und Transparenzregister.

FINMA-Rundschreiben 2023/1 und 2026/1

Das RS 2023/1 zur operationellen Resilienz ist seit dem 1. Januar 2026 voll umzusetzen; das RS 2026/1 zu naturbezogenen Finanzrisiken gilt gestaffelt bis 2028. Mehr im Ratgeber FINMA-Rundschreiben 2023/1 umsetzen.

Cyber-Meldepflicht nach ISG

Betreiberinnen kritischer Infrastrukturen melden Cyberangriffe seit dem 1. April 2025 innerhalb von 24 Stunden dem BACS. Siehe NIS2 und Cyber-Meldepflicht in der Schweiz.

Sanktionen

Die Schweiz übernimmt EU-Pakete einzeln und meist zeitversetzt über die Ukraine-Verordnung. Was nach einem Paket zu tun ist, zeigt Sanktions-Compliance: Aufgaben und Rollen.

KI, Datenschutz, Whistleblowing, Nachhaltigkeit

Die Schweiz bereitet die Ratifizierung der KI-Konvention des Europarats vor; die Vernehmlassung zu verbindlichen Regeln ist laut BAKOM für Frühling 2027 vorgesehen (Stand Oktober 2026). Schweizer Unternehmen mit EU-Bezug betrifft der AI Act. Das revDSG gilt seit dem 1. September 2023 (Vergleich im Ratgeber DSGVO und revDSG). Ein allgemeines Whistleblowing-Gesetz für die Privatwirtschaft gibt es nicht (Whistleblowing in Deutschland und der Schweiz). Zum neuen Gesetz über die nachhaltige Unternehmensführung lief bis 9. Juli 2026 die Vernehmlassung (CSRD, CSDDD und Lieferkettengesetz). Arbeitgeber ab 100 Arbeitnehmenden müssen eine Lohngleichheitsanalyse durchführen (Art. 13a ff. GlG); die Regel ist bis 30. Juni 2032 befristet.

Deutschland und EU: die Regelwerke im Überblick

In Deutschland und der EU bestimmen KI, digitale Resilienz und Geldwäscherei die nächsten zwei Jahre.

AI Act und KI-Durchführungsgesetz

Nach dem Digital Omnibus gelten die Hochrisiko-Pflichten ab dem 2. Dezember 2027 bzw. 2. August 2028; in Deutschland ist die Bundesnetzagentur zentrale Aufsicht. Mehr in AI Act: Fristen, Pflichten und Kapazität.

DORA

Finanzunternehmen führen ein Informationsregister, passen IKT-Verträge an und melden schwerwiegende Vorfälle in drei Stufen. Siehe DORA-Arbeitspakete für Legal und Compliance.

NIS2 im BSIG

Schätzungsweise rund 29’500 Einrichtungen sind beim BSI registrierungspflichtig (§ 33 BSIG); die Geschäftsleitung haftet für die Umsetzung (§ 38 BSIG). Siehe NIS2 in Deutschland.

AMLR, AMLA und neues Geldwäschegesetz

Die AMLR gilt ab dem 10. Juli 2027. Deutschland bereitet die Anpassung seines Geldwäscherechts vor: Das Bundesfinanzministerium hat am 28. Oktober 2026 den Referentenentwurf eines «Gesetzes zur Umsetzung der Sechsten EU-Geldwäscherichtlinie und zur Stärkung der Geldwäscheprävention» veröffentlicht; nach Medienberichten soll das neue Gesetz das Geldwäschegesetz von 2017 zu diesem Datum ablösen. Ein Kabinettsbeschluss lag bis 31. Oktober 2026 nicht vor. Mehr in AMLR und AMLA ab 2027.

Entgelttransparenz

Deutschland hat die Umsetzungsfrist vom 7. Juni 2026 verpasst; bis zur Umsetzung gilt das Entgelttransparenzgesetz. Siehe Entgelttransparenz in Deutschland.

Hinweisgeberschutz, Nachhaltigkeit, Datenschutz, Sanktionen

Das HinSchG verlangt eine interne Meldestelle ab in der Regel 50 Beschäftigten (§ 12 HinSchG). CSRD und CSDDD wurden durch den Omnibus I eingeschränkt, das deutsche CSRD-Umsetzungsgesetz und die LkSG-Änderung waren nach unserem Stand vom Oktober 2026 noch nicht verabschiedet. Zur DSGVO hat der Rat am 21. Oktober 2026 sein Mandat zum Digital Omnibus festgelegt; bis zu einer Einigung gilt die 72-Stunden-Meldefrist. Neue Russland-Pakete wirken in der EU ab Inkrafttreten der Verordnungen.

So nutzen Sie den Kalender

Der Kalender wird erst nützlich, wenn jede Zeile einem Verantwortlichen und einem Vorlauf zugeordnet ist. Bewährt hat sich dieses Vorgehen:

1. Betroffenheit markieren: je Zeile festhalten, ob und mit welchen Gesellschaften Ihr Unternehmen betroffen ist.
2. Verantwortung zuweisen: eine verantwortliche Person in Legal oder Compliance und eine in der Fachseite benennen.
3. Rückwärts planen: vom Stichtag aus Gap-Analyse, Umsetzung, Test und Freigabe terminieren.
4. Spitzen erkennen: Fristen nach Quartal bündeln und frühzeitig entscheiden, wo intern, extern oder temporär besetzt wird.
5. Abhängigkeiten prüfen: etwa AI Act und Datenschutz-Folgenabschätzung oder DORA und Datenpannenmeldung.
6. Regelmässig nachführen: offene Punkte, verschobene Fristen und neue Pakete monatlich abgleichen.

Grenzen des Kalenders

Der Kalender enthält nur Stichtage, die wir gegen eine Quelle geprüft haben. Punkte aus laufenden Verfahren sind mit «Stand Oktober 2026» gekennzeichnet; wo keine Primärquelle zugänglich war, steht «nach Fachberichten» oder «nach Medienberichten». Sektorspezifische Fristen, kantonale Regeln und unternehmenseigene Pflichten fehlen. Ob ein Regelwerk für Ihr Unternehmen gilt, beurteilen Ihre Rechtsabteilung oder Ihre Berater. Alpinum ist keine Kanzlei.

Häufige Fragen zum Regulatorik-Kalender

Wie oft wird der Kalender aktualisiert?

Wir prüfen den Kalender monatlich und passen ihn bei neuen Beschlüssen, Verschiebungen oder Sanktionspaketen an. Das Datum der letzten Prüfung steht in der Einleitung, das der letzten Änderung am Ende der Seite. Punkte, die noch in Bewegung sind, etwa das deutsche CSRD-Umsetzungsgesetz oder die Schweizer KI-Vernehmlassung, sind gekennzeichnet und werden bei jeder Aktualisierung zuerst geprüft.

Gelten EU-Regeln für Schweizer Unternehmen?

Nicht als Schweizer Recht. Sie können Schweizer Unternehmen aber über EU-Tochtergesellschaften, über Kundenverträge mit EU-Instituten oder über den Anwendungsbereich einzelner Verordnungen erfassen, etwa beim AI Act, der auch Anbieter und Betreiber in Drittstaaten erfasst, wenn die Ausgabe des KI-Systems in der EU verwendet wird (Art. 2 Abs. 1 lit. c AI Act). Für Schweizer Banken gilt statt DORA das FINMA-RS 2023/1, und EU-Sanktionen übernimmt die Schweiz nur durch eigenen Entscheid.

Welche regulatorischen Fristen sind 2027 am wichtigsten?

In der Schweiz die Erstmeldungen an das Transparenzregister bis 31. März 2027 und die FINMA-Klimarisiken ab 1. Januar 2027. In der EU und in Deutschland die CSRD-Umsetzung bis 19. März 2027, die Geltung der AMLR ab 10. Juli 2027 und die Hochrisiko-Pflichten des AI Act ab 2. Dezember 2027.

Was gilt, wenn Deutschland eine EU-Richtlinie zu spät umsetzt?

Dann gilt zunächst das bestehende deutsche Recht, das richtlinienkonform auszulegen ist. Bei der Entgelttransparenz heisst das: Bis zur Umsetzung gelten der Auskunftsanspruch in Betrieben mit mehr als 200 Beschäftigten und die Berichtspflicht für lageberichtspflichtige Arbeitgeber mit in der Regel mehr als 500 Beschäftigten nach dem Entgelttransparenzgesetz. Unternehmen sollten sich trotzdem auf die Richtlinie vorbereiten.

Welche abgelaufenen Fristen sind noch relevant?

Abgelaufene Fristen bedeuten nicht, dass die Pflicht erledigt ist. Die BSI-Registrierung nach NIS2 ist weiterhin nachzuholen, wenn sie fehlt. Das DORA-Informationsregister ist jährlich einzureichen, bei der BaFin spätestens bis 31. März, und die Meldepflicht nach ISG gilt laufend. Wer eine dieser Pflichten noch nicht erfüllt, sollte sie vor neuen Stichtagen priorisieren.

Nächster Schritt

Nennen Sie uns die Fristen, die für Ihr Unternehmen 2026 und 2027 zählen. Wir zeigen Ihnen, welche Profile Ihr Team in den Spitzen entlasten.

• Regulatory Compliance und Regulatory Change
• Interim Compliance
• AMLR und AMLA: was ab 2027 kommt
• Bedarf besprechen

Stand: 31. Oktober 2026.