Regulatorische Projekte besetzen: Welche Rollen DORA, MiCA, AI Act und AMLR verlangen

Kurzantwort: DORA, MiCA, AI Act und AMLR verlangen nicht nur neue Prozesse, sondern ausdrücklich zuständige und fachlich geeignete Personen. Für die Personalplanung regulatorischer Projekte heisst das: Legal Counsel, Regulatory Specialists, Compliance Officers, Datenschutz- und KI-Fachleute sowie Vertragsjuristen werden befristet und gleichzeitig gebraucht. Die nächsten Stichtage sind der 2. Dezember 2026 (AI Act) und der 10. Juli 2027 (AMLR).

Dieser Ratgeber richtet sich an Rechts- und Compliance-Verantwortliche in Banken, Versicherungen, Fintechs und Industrieunternehmen in der Schweiz und in Deutschland. Er verbindet die Artikel des Regulatorik-Radars mit der Frage, welche Rollen ein Projekt braucht und wie Sie die Besetzung planen.

Worum geht es: vier Regelwerke, ein Engpass

Die vier Regelwerke betreffen unterschiedliche Themen, verlangen aber alle benannte Verantwortliche und ausreichend qualifiziertes Personal. Beispiele aus den Verordnungstexten:

• DORA (VO (EU) 2022/2554): Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risiko und legt klare Aufgaben für alle IKT-bezogenen Funktionen fest (Art. 5 Abs. 2). Das IKT-Risiko wird einer unabhängigen Kontrollfunktion übertragen (Art. 6 Abs. 4); für Verträge mit IKT-Drittdienstleistern braucht es eine Überwachungsfunktion oder ein zuständiges Mitglied der Geschäftsleitung (Art. 5 Abs. 3).
• MiCA (VO (EU) 2023/1114): Krypto-Dienstleister beschäftigen Personal mit den nötigen Kenntnissen, Fähigkeiten und Fachkenntnissen (Art. 68 Abs. 5) und führen wirksame Strategien zur Einhaltung der Verordnung ein (Art. 68 Abs. 4).
• AI Act (VO (EU) 2024/1689): Betreiber von Hochrisiko-KI-Systemen übertragen die menschliche Aufsicht Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis (Art. 26 Abs. 2). Anbieter und Betreiber fördern die KI-Kompetenz ihres Personals (Art. 4).
• AMLR (VO (EU) 2024/1624): Verpflichtete benennen ein Mitglied des Leitungsorgans als Compliance-Manager und ernennen einen Geldwäschebeauftragten mit ausreichend hoher Stellung (Art. 11 Abs. 1 und 2).

Weil diese Pflichten zeitlich überlappen, entsteht in vielen Rechts- und Compliance-Abteilungen ein Engpass: Das Tagesgeschäft läuft weiter, und zusätzlich braucht es für Monate Spezialwissen, das intern nicht vorhanden oder ausgelastet ist.

Wer ist betroffen?

Am stärksten betroffen sind Finanzunternehmen, weil bei ihnen DORA, AMLR und oft MiCA zusammenkommen. Der AI Act betrifft jede Branche, die KI-Systeme entwickelt oder einsetzt, etwa in HR, Kreditprüfung oder Kundenservice. In der Schweiz gelten diese EU-Verordnungen nicht unmittelbar. Schweizer Gruppen sind aber betroffen, wenn sie Gesellschaften oder Kunden in der EU haben. Parallel gelten eigene Vorgaben, etwa das FINMA-Rundschreiben 2023/1 zur operationellen Resilienz von Banken, dessen Übergangsfristen am 1. Januar 2026 endeten.

Fristen und Stand der vier Regelwerke

DORA und MiCA gelten bereits vollständig; beim AI Act und bei der AMLR stehen die grossen Stichtage noch bevor. Die Tabelle zeigt den Stand am 11. November 2026.

Quellen: Verordnungstexte auf EUR-Lex, Digital Omnibus zum AI Act (VO (EU) 2026/1744), abgerufen am 11.11.2026. Alle Fristen im Überblick zeigt der Regulatorik-Kalender Legal & Compliance.

Rollenmatrix: welche Rollen DORA, MiCA, AI Act und AMLR verlangen

Die meisten Rollen kommen in mehreren Regelwerken vor; der Schwerpunkt der Arbeit unterscheidet sich. Die Matrix zeigt typische Aufgaben je Rolle und Regelwerk.

Legal Counsel / Regulatory Lawyer

• DORA: Auslegung, Vertragsstandard für IKT-Verträge (Art. 30)
• MiCA: Einordnung von Token und Diensten, Whitepaper, Kundenbedingungen
• AI Act: Rollen als Anbieter oder Betreiber klären, Verträge mit KI-Lieferanten
• AMLR: Auslegung, Anpassung von Richtlinien und Kundenverträgen

Vertragsjuristen (Contract Review)

• DORA: Remediation des Vertragsbestands mit IKT-Dienstleistern
• MiCA: Auslagerungsverträge (Art. 73)
• AI Act: Lieferantenverträge und Nutzungsbedingungen
• AMLR: Verträge mit Dritten, auf die Sorgfaltspflichten gestützt werden

Regulatory Specialist

• DORA: Informationsregister, Meldungen an die Aufsicht
• MiCA: Zulassung aktuell halten, Anzeigen, technische Standards
• AI Act: Verfolgen von Leitlinien und Durchführungsrecht
• AMLR: Lückenanalyse gegen die neuen Standards

Compliance Officer

• DORA: Kontrollen und Nachweise
• MiCA: Verhaltens- und Kundenschutzpflichten, Interessenkonflikte
• AI Act: Inventar, Risikoklassen, Schulungen zur KI-Kompetenz
• AMLR: Compliance-Programm, Berichte an den Compliance-Manager

AML-Spezialist, Geldwäschebeauftragte

• MiCA: Onboarding, Transaktionsüberwachung, Kundenmigration
• AMLR: Tägliche Umsetzung, Verdachtsmeldungen (Art. 11 Abs. 2), KYC-Remediation

Datenschutz- und KI-Governance-Fachperson

• DORA: Datenstandorte und Datenzugang in IKT-Verträgen
• MiCA: Datenschutz im Onboarding
• AI Act: Menschliche Aufsicht, Folgenabschätzung, Datenqualität
• AMLR: Datenschutz beim Informationsaustausch

Projektleitung / PMO

• DORA: Programmsteuerung über IT, Einkauf und Recht
• MiCA: Nachbesserungen und Kundenmigration
• AI Act: KI-Programm über Fachbereiche
• AMLR: Umsetzungsprogramm bis 10.07.2027

Quelle: Zusammenstellung Alpinum Solutions auf Basis der Verordnungstexte, Stand November 2026.

Typische Projektphasen und Kapazitätsverlauf

Regulatorische Projekte brauchen nicht über die ganze Laufzeit gleich viel Personal: Am meisten Kapazität binden die Lückenanalyse und vor allem die Umsetzung. Ein typischer Verlauf:

1. Betroffenheit und Lückenanalyse: Wenige erfahrene Fachleute klären, welche Gesellschaften, Produkte und Systeme betroffen sind und wo Lücken bestehen. Hier zählt Senior-Erfahrung mehr als Kopfzahl.
2. Konzept und Planung: Richtlinien, Verantwortlichkeiten und Zeitplan werden festgelegt, das Budget gesichert. Rollen wie Regulatory Specialist und Projektleitung kommen dazu.
3. Umsetzung: Verträge, Prozesse, Kontrollen und Dokumentation werden angepasst. Diese Phase bindet am meisten Kapazität, oft mit Teams auf Junior- und Mid-Level, etwa für die Vertragsremediation unter DORA oder die KYC-Remediation unter der AMLR.
4. Test und Nachweis: Kontrollen werden geprüft, Nachweise für Aufsicht und Revision zusammengestellt.
5. Übergabe in den Betrieb: Das Wissen geht an die Linie über; projektbezogene Rollen laufen aus, laufende Funktionen bleiben intern.

Wie lange jede Phase dauert und wie viele Personen sie braucht, hängt vom Bestand ab: Anzahl Verträge, KI-Systeme, Kundendossiers oder Gesellschaften. Diese Mengen sollten am Anfang erhoben werden, weil sie die Kapazität stärker bestimmen als das Regelwerk selbst. Wie ein Programm vom Radar bis zum Nachweis läuft, zeigt der Ratgeber Regulatory Change Management: neue Vorschriften zuverlässig umsetzen.

Intern, Beratung oder temporäre Spezialisten?

Die drei Wege schliessen sich nicht aus; die Wahl hängt davon ab, wer steuert und wie lange das Wissen gebraucht wird.

Den ausführlichen Vergleich zeigt der Ratgeber Beratungsunternehmen oder Interim-Spezialisten? Compliance-Projekte richtig besetzen.

So planen Sie die Besetzung

Eine gute Besetzungsplanung beginnt mit dem Bestand und endet mit der Übergabe. Ein bewährtes Vorgehen:

1. Bestand erheben: Verträge, Systeme, Dossiers und betroffene Gesellschaften zählen.
2. Rollen aus der Matrix ableiten: Für jede Phase festlegen, welche Rolle mit welchem Level und Pensum nötig ist.
3. Interne Kapazität prüfen: Wer kann wie viel Zeit neben dem Tagesgeschäft einbringen?
4. Lücken befristet besetzen: Fehlende Rollen über Staff Leasing oder Freelancing ergänzen, in Teilzeit oder Vollzeit.
5. Steuerung und Übergabe festlegen: Interne Projektverantwortung benennen und die Übergabe in den Betrieb von Anfang an planen.

Wie Interim-Unterstützung hilft

Interim-Fachkräfte bringen Spezialwissen für die Dauer des Projekts ins eigene Team. Das Unternehmen steuert die Arbeit und behält die Verantwortung für die Umsetzung; Alpinum erbringt keine Rechtsberatung.

Alpinum Solutions stellt Legal Counsel, Vertragsjuristen, Regulatory Specialists, Compliance Officers, AML-Spezialisten und Projektteams über Staff Leasing und Freelancing bereit, vom Junior- bis zum Senior-Level. Alpinum Solutions legt je Suche in der Regel zwei bis vier Profile vor; ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor, den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Fachkräfte können auch formale Funktionen übernehmen, etwa als Geldwäschereifachstelle oder Geldwäschebeauftragte. Wie Unternehmen befristet Spezialwissen einsetzen, zeigt die Seite Projekt und Spezialwissen. Die Pflichten je Regelwerk erklären die Radar-Artikel zu DORA, MiCA, dem AI Act und der AMLR.

Häufige Fragen zur Besetzung regulatorischer Projekte

Welche Rollen braucht ein DORA-Projekt?

Ein DORA-Projekt braucht meist Legal Counsel für die Auslegung, Vertragsjuristen für die Remediation der IKT-Verträge nach Art. 30, Regulatory Specialists für Informationsregister und Meldungen sowie eine Projektleitung. DORA verlangt zudem eine unabhängige Kontrollfunktion für das IKT-Risiko (Art. 6 Abs. 4) und eine Funktion zur Überwachung der IKT-Drittdienstleister (Art. 5 Abs. 3), die dauerhaft intern verankert sein sollten.

Wie viel Kapazität bindet der AI Act?

Das hängt davon ab, wie viele KI-Systeme ein Unternehmen entwickelt oder einsetzt und ob Hochrisiko-Systeme darunter sind. Der erste Schritt ist ein Inventar mit Risikoklassen; daraus ergibt sich der Aufwand für Dokumentation, menschliche Aufsicht und Schulungen. Mit den Hochrisiko-Pflichten für Anhang-III-Systeme ab dem 2. Dezember 2027 steigt der Bedarf deutlich.

Wann lohnt sich ein temporäres Projektteam?

Ein temporäres Team lohnt sich, wenn eine Phase grosse Mengen bewältigen muss, etwa hunderte Verträge oder Kundendossiers, und das Wissen nach Projektende nicht in voller Breite gebraucht wird. Das Unternehmen steuert das Team und kann es nach Bedarf verkleinern. Laufende Funktionen wie der Geldwäschebeauftragte oder die IKT-Kontrollfunktion gehören langfristig in die eigene Organisation.

Gelten DORA, MiCA, AI Act und AMLR auch in der Schweiz?

Nicht unmittelbar. Schweizer Unternehmen sind betroffen, wenn sie Gesellschaften oder Kunden in der EU haben oder Dienstleister von EU-Finanzunternehmen sind. Daneben gelten eigene Vorgaben, etwa das FINMA-Rundschreiben 2023/1 zur operationellen Resilienz und das Geldwäschereigesetz. Gefragt sind deshalb Fachleute, die EU-Recht und Schweizer Aufsichtspraxis kennen.

Welche Rollen sollten intern bleiben?

Intern bleiben sollten Rollen, die das Gesetz einem Mitglied des Leitungsorgans zuweist, etwa der Compliance-Manager nach Art. 11 Abs. 1 AMLR, und die Gesamtverantwortung für das IKT-Risiko nach Art. 5 Abs. 2 DORA. Temporäre Fachkräfte unterstützen diese Verantwortlichen und können operative Funktionen übernehmen, sofern Aufsicht und Recht dies zulassen.

Nächster Schritt

Alpinum Solutions ist der führende Anbieter für Interim Legal & Compliance in der Schweiz und in Deutschland und besetzt Rollen für DORA-, MiCA-, AI-Act- und AMLR-Projekte, von der Einzelperson bis zum Projektteam. Beschreiben Sie Regelwerk, Bestand und Zeitplan; wir zeigen passende Profile.

• Regulatory Compliance und Regulatory Change: Fachkräfte für neue Vorschriften
• Projekt und Spezialwissen: befristete Expertise für Ihr Team
• Regulatory Change Management: neue Vorschriften zuverlässig umsetzen
• Regulatorik-Radar: alle Artikel zu regulatorischen Veränderungen
• Bedarf besprechen

Stand: 11. November 2026.