Nachweise zur Softwarequalität sind nicht dasselbe wie ein Testprogramm, und dieser Unterschied ist genau das, was die erste ernsthafte Aufsichtsprüfung offenlegt. Die meisten regulierten Finanzinstitute haben QA-Ingenieure, Testsuiten, CI/CD-Pipelines und Dashboards, die grün leuchten. Deutlich weniger haben Nachweise.
Die Wahl eines Nearshore Portugal Partners war lange ein Gespräch über Stundensätze, Zeitzonen und Englischkenntnisse. 2026 taucht in Ausschreibungen regulierter Sektoren zunehmend ein fünftes Kriterium auf: ob der Entwicklungspartner unter demselben regulatorischen Rahmen arbeitet wie der Kunde.
Eine EUDI Wallet Relying Party zu werden ist der Teil von eIDAS 2.0, der bei den Entwicklungsteams landet, und gleichzeitig der Teil mit der geringsten Aufmerksamkeit. Bis zum 24. Dezember 2026 muss jeder Mitgliedstaat eine konforme europäische Brieftasche für digitale Identität für Bürger und Einwohner bereitstellen. Die Frist ist nach der Verordnung (EU) 2024/1183 verbindlich, die Durchführungsrechtsakte sind veröffentlicht, und grenzüberschreitende Interoperabilitätstests zwischen Mitgliedstaaten haben bereits stattgefunden.
Der Stichtag für das Inkrafttreten der EU-KI-Verordnung war der 2. August 2026. Die Berichterstattung in dieser Woche konzentrierte sich vor allem auf die Verzögerungen: die Verschiebung der Pflichten für Hochrisiko-KI-Systeme in den Bereichen Personalentscheidungen, Kreditwürdigkeitsprüfung und Zugang zu öffentlichen Dienstleistungen auf Dezember 2027.
Die CRA-Schwachstellenmeldung wird am 11. September 2026 verpflichtend. Ab diesem Datum muss jeder Softwarehersteller, der in die EU verkauft, eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden nach Kenntnisnahme melden. Nicht 24 Arbeitsstunden. Vierundzwanzig Stunden.
Wenn ein QA-Team bei einer Bank KI-Testwerkzeuge evaluiert, beginnt die Konversation tendenziell mit denselben Fragen, die jedes Ingenieurteam stellen würde: Wie viele Testfälle generiert es, wie genau ist die Generierung, wie gut wird die Wartung von Tests gehandhabt, welche Frameworks werden unterstützt. Das sind berechtigte Fragen. Sie sind auch der falsche Ausgangspunkt, da sie das Problem der KI-gestützten Qualitätssicherung in einem regulierten Finanzinstitut so behandeln, als sei es dasselbe Problem wie die KI-gestützte Qualitätssicherung in einem SaaS-Startup. Das ist es nicht.
Jeder EU-Mitgliedstaat muss bis zum 24. Dezember 2026 eine konforme Wallet für die europäische digitale Identität bereitstellen; regulierte Unternehmen sind verpflichtet, diese zwölf Monate später zu akzeptieren. Dieser Leitfaden erläutert, welche Entscheidungen, Entwicklungs- und Registrierungsschritte Organisationen vor diesen Terminen bewältigen müssen – verfasst aus der Sicht eines Teams, das seit 2011 nationale eID-Middleware betreut.
DORA verlangt von Finanzinstituten, gegenüber den Aufsichtsbehörden ihre operationelle Resilienz nachzuweisen – es reicht nicht aus, lediglich Tests durchzuführen. Dieser Artikel erläutert, welche Nachweise die Qualitätssicherungsteams (QA-Teams) von Banken konkret erbringen müssen, welche DORA-Artikel dies regeln und wo die meisten Testprogramme bei einer aufsichtlichen Überprüfung Mängel aufweisen.
Zwei Tage. Dutzende von Gesprächen. Ein durchgängiges Thema: Die Kluft zwischen politischem Ehrgeiz und operativer Realität ist nach wie vor beträchtlich, und die Organisationen, die diese Lücke schließen, sind diejenigen, die es wert sind, beobachtet zu werden.
Im Jahr 2026 ist der Cyber Resilience Act (CRA) keine künftige Frist mehr, sondern die betriebliche Realität für jedes Unternehmen auf dem europäischen Markt. Mit verbindlichen Sicherheitsanforderungen für Produkte mit digitalen Elementen hat sich Compliance von einem „Nice-to-have“ zu einer grundlegenden Betriebserlaubnis gewandelt. In dieser Landschaft ist reaktive Sicherheit veraltet; eine „Secure by Design“-Philosophie und die Transparenz von Open Source haben sich als die stärksten Verteidigungsmittel gegen moderne Bedrohungen herauskristallisiert.