ECB-Frist Oktober 2026: 110 Banken müssen KI-Cyberrisiken planen
Veröffentlicht: 17.07.2026 um 02:01 Uhr, Redaktion boerse-global.de
Mehrere Aufsichtsbehörden weltweit ziehen die Zügel an – die Finanzbranche steht vor neuen, strengeren Vorgaben zur IT-Resilienz und zum Umgang mit Künstlicher Intelligenz.
Neue Hürden für operative Stabilität
Die Monetary Authority of Singapore (MAS) hat am 15. Juli 2026 ihre Vorschriften zum Technologie-Risikomanagement verschärft. Im Kern geht es um strenge Auflagen für Software-Tests und Validierungen. Schlechtes Änderungsmanagement gilt als Hauptursache für IT-Pannen. Künftig müssen alle Änderungen an kritischen Systemen vor dem Produktivstart umfassend getestet werden. Zudem verlangt die Behörde vollständige IT-Inventarlisten und wirksame Pläne zur Wiederherstellung nach Störfällen.
Parallel dazu legte die indische Zentralbank (RBI) einen Entwurf für ein Data-Governance-Framework vor. Bis zum 17. August 2026 können Marktteilnehmer dazu Stellung nehmen. Die Kernforderung: Institute müssen auf Vorstandsebene eigene Datenkomitees einrichten. Besonders heikel: Die Verantwortung für Daten, die an Dritte weitergegeben werden, bleibt vollständig bei den Finanzhäusern. Die Weitergabe soll streng nach dem „Need-to-know"-Prinzip erfolgen, untermauert durch Geheimhaltungsvereinbarungen.
KI als Brandbeschleuniger für Cyberrisiken
Die Rolle Künstlicher Intelligenz treibt die Aufseher um – sowohl als Schutzschild als auch als Angriffswerkzeug. Die kanadische Finanzaufsicht OSFI warnte in einem Bulletin vom Juli 2026, dass generative und agentische KI die Zeitfenster für Banken drastisch verkürzen, um Sicherheitslücken zu schließen. Bereits Ende April hatte die Behörde vertraulich darauf hingewiesen, dass fortgeschrittene KI-Modelle in der Lage sind, binnen kürzester Zeit Tausende von Schwachstellen aufzuspüren.
Der indische CERT-In-Bericht für 2025/26 untermauert diese Bedenken: Der Finanzsektor des Landes verzeichnete 2025 rund 2,9 Millionen Cyberangriffe – eine Verdopplung gegenüber 2021. Eine gezielte Kampagne Ende 2025 setzte demnach zu rund 90 Prozent auf KI-gestützte Methoden.
Angesichts der rasanten Entwicklung von KI-Systemen stehen Finanzinstitute vor neuen rechtlichen Herausforderungen durch den EU AI Act. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen für Unternehmen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Auch die Europäische Zentralbank handelt: Sie hat 110 bedeutende Banken angewiesen, bis zum 31. Oktober 2026 konkrete Aktionspläne für KI-Cyberrisiken vorzulegen. Trotz der Gefahren setzen die Institute weiter massiv auf die Technologie. Die Toronto-Dominion Bank erwartet bis 2028 einen jährlichen Wertbeitrag von umgerechnet rund 900 Millionen Euro durch KI, die Royal Bank of Canada prognostiziert ähnliche Effekte bereits für 2027.
BaFin-Analyse: Systemfehler dominieren, Angriffe auf Dritte steigen
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) veröffentlichte am 16. Juli 2026 ihre Auswertung der IT-Störungsmeldungen für 2025. Rund 1.200 Finanzunternehmen hatten Vorfälle gemeldet. Die Statistik zeigt: Systemfehler waren mit 47 Prozent die häufigste Ursache. Cyberangriffe machten dagegen nur etwa zehn bis elf Prozent der Fälle aus. Auffällig: 40 Prozent dieser Attacken richteten sich nicht gegen die Institute selbst, sondern gegen deren Dienstleister.
Diese Zahlen passen zu einem Bericht der europäischen Aufsichtsbehörden (ESAs) vom Juni 2026. Demnach gab es 2025 im EU-Finanzsektor rund 3.383 größere IT-Vorfälle. Der Kreditsektor war für 60 Prozent dieser Ereignisse verantwortlich. Fast jeder dritte Vorfall ging auf das Konto eines externen Dienstleisters.
Die zunehmende Vernetzung mit externen Dienstleistern erhöht die Komplexität der IT-Sicherheit und regulatorischen Anforderungen massiv. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und Cyberrisiken durch neue KI-Gesetze jetzt auf Ihr Unternehmen zukommen. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?
DORA: Viel Budget, wenig Compliance
Die Ergebnisse kommen zu einer Zeit, in der die Digital Operational Resilience Act (DORA) seit Januar 2025 vollständig in Kraft ist. Das Gesetz schreibt strenge Risikomanagement-Prozesse und eine Meldepflicht für Vorfälle innerhalb von 24 Stunden vor. Doch die Umsetzung hakt. Eine Deloitte-Umfrage aus dem Jahr 2025 ergab: Von 36 befragten Instituten planten 64 Prozent Budgets zwischen zwei und fünf Millionen Euro für die DORA-Umsetzung. Aber nur acht Prozent betrachteten sich als vollständig compliant – insbesondere bei Resilienztests und dem Management von Drittanbieter-Risiken.
Weitere Fristen am Horizont
Der regulatorische Druck wird bis Jahresende weiter zunehmen. Neben der ECB-Frist im Oktober läuft auch die Umsetzungsfrist für die NIS2-Richtlinie im Oktober 2026 aus. Und ab August 2026 drohen erstmals Sanktionen nach dem EU AI Act. Für grenzüberschreitend tätige Finanzhäuser entsteht so ein immer dichteres Netz aus parallelen Compliance-Anforderungen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
