Cyber-Risiken durch KI: EZB setzt Großbanken Frist bis Oktober
Veröffentlicht am: 04.08.2026 um 22:43 Uhr | Redaktion boerse-global.de
Die europäischen Aufsichtsbehörden für das Banken-, Versicherungs- und Wertpapierwesen haben eine gemeinsame Stellungnahme zu den Risiken von Frontier-KI veröffentlicht. Die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) sowie die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) mahnen darin zu schnellem Handeln. Hintergrund sind deutlich verkürzte Zyklen bei der Entdeckung von Schwachstellen und deren Ausnutzung durch Cyber-Akteure, die den Einsatz fortschrittlicher Künstlicher Intelligenz (KI) erfordern.
Strategische Einbettung in DORA und den AI Act
Die aktuelle Stellungnahme der drei Behörden (ESAs) baut auf den bestehenden regulatorischen Rahmenwerken des Digital Operational Resilience Act (DORA) und dem AI Act auf. Dabei betonten die Aufseher, dass über die bestehenden Anforderungen von DORA hinaus keine zusätzlichen regulatorischen Vorgaben eingeführt werden sollen. Stattdessen gehe es darum, die bestehenden Instrumente präzise auf die neuen Herausforderungen durch KI-Modelle anzuwenden.
Ein zentraler Aspekt der Empfehlungen ist das Prinzip der Proportionalität gemäß Artikel 4 der DORA-Verordnung. Die Behörden stellen klar, dass es keinen universellen Ansatz für alle Institute geben könne. Vielmehr müssten die Maßnahmen proportional zur Art, zum Umfang und zur Komplexität der jeweiligen Geschäftstätigkeit sowie zum individuellen Risikoprofil der Unternehmen stehen. Dennoch warnten die Aufseher davor, dass Frontier-KI das Potenzial habe, systemische Risiken für den gesamten Finanzmarkt zu erzeugen, was eine stärkere Governance und eine robustere operationelle Resilienz unumgänglich mache.
Wer sich mit der regulatorischen Einordnung von Künstlicher Intelligenz befasst, findet in diesem Leitfaden eine kompakte Übersicht zu den neuen gesetzlichen Anforderungen und Fristen. EU AI Act in 5 Schritten verstehen: Jetzt kostenlosen Überblick sichern
Operative Empfehlungen für Finanzinstitute
Um den technologischen Herausforderungen zu begegnen, schlugen die ESAs eine Reihe konkreter technischer und organisatorischer Maßnahmen vor. Dazu gehören automatisierte Scans zur Identifizierung von Schwachstellen sowie eine strikte Segmentierung der internen Systeme, um die Ausbreitung von Angriffen zu begrenzen. Zudem fordern die Aufseher die Etablierung klarer Standards für die IT-Lieferketten und ein umfassendes Logging aller sicherheitsrelevanten Vorgänge.
Ein weiterer Schwerpunkt liegt auf der Überprüfung der Reaktionsfähigkeit. Die Behörden empfehlen regelmäßige Incident-Response-Tests, verbesserte Disaster-Recovery-Pläne sowie kontinuierliche Überwachungsmechanismen. Auch sogenannte Red-Team-Übungen, bei denen reale Angriffe simuliert werden, sollen verstärkt zum Einsatz kommen, um die Verteidigungsbereitschaft der Institute unter realistischen Bedingungen zu prüfen.
Die Umsetzung der EU-KI-Verordnung stellt Unternehmen vor neue Aufgaben bei der Risikodokumentation und Qualitätssicherung. Dieser praxisnahe Report klärt auf, welche KI-Systeme als Hochrisiko gelten und was Verantwortliche jetzt konkret tun müssen. Kostenlosen Umsetzungsleitfaden zum AI Act herunterladen
Druck der EZB auf Großbanken nimmt zu
Parallel zu den Empfehlungen der ESAs hat die Europäische Zentralbank (EZB) den Druck auf die bedeutendsten Institute im Euroraum erhöht. Für die größten Banken wurde eine Frist bis Ende Oktober gesetzt, bis zu der umfassende Aktionspläne zu KI-bezogenen Cyber-Risiken eingereicht werden müssen. Die EZB drängt die Institute zudem dazu, bereits bestehende Aufsichtsfeststellungen zeitnah zu beheben und Lücken in der Sicherheitsarchitektur zu schließen.
Flankiert werden diese Entwicklungen von Warnungen des Europäischen Ausschusses für Systemrisiken (ESRB). Dieser wies auf die Gefahr vollautomatisierter Cyber-Angriffe hin, die durch die fortschreitende KI-Entwicklung möglich werden. Vor diesem Hintergrund haben die europäischen Aufsichtsbehörden zudem gezielte Gespräche mit kritischen Drittanbietern von Informations- und Kommunikationstechnologien (IKT) aufgenommen, um die Sicherheit der gesamten Wertschöpfungskette im Finanzsektor zu gewährleisten.
