Schreiben SSM-2026-0301: Die Frist läuft.
Die EZB-Bankenaufsicht verlangt von allen bedeutenden Instituten einen konkreten Aktionsplan gegen KI-gestützte Cyberbedrohungen, einzureichen beim Joint Supervisory Team bis zum 31.
Mit Schreiben vom 7. Juli 2026 (SSM-2026-0301) hat die Vorsitzende des EZB-Aufsichtsgremiums, Claudia Buch, die CEOs aller bedeutenden Institute direkt adressiert: Frontier-KI-Modelle entdecken Schwachstellen und erzeugen funktionsfähige Exploits in bislang unbekannter Geschwindigkeit. Die EZB wertet das als langfristige Verschiebung der Bedrohungslage. Institute müssen die Auswirkungen unverzüglich bewerten und bis zum 31. Oktober 2026 einen umfassenden Aktionsplan beim zuständigen Joint Supervisory Team (JST) einreichen.
6 Leistungsbausteine
Einzeln buchbar oder als durchgängiges Programm.
Strukturierte Ist-Aufnahme in zwei bis drei Wochen: Angriffsflächen, Schwachstellen- und Patch-Management, Detektion, Governance und Lieferkette, Defense-in-Depth, Response und Recovery.
Wir schreiben den einreichungsfähigen Plan: konkrete Maßnahmen, Zeitpläne, Verantwortlichkeiten und Ressourcenbedarf, aufgesetzt auf Ihrer Cyber-Risikostrategie.
Die EZB nennt es als ersten kurzfristigen Schwerpunkt: priorisiertes Scanning, beschleunigte Patch-Zyklen und Notfall-Changes, auch vertraglich verankert bei IKT-Dienstleistern.
Nach der Einreichung beginnt die Arbeit: Wir steuern die Umsetzung, liefern den Fortschrittsnachweis für Ihr JST und bereiten Sie auf Rückfragen aus der horizontalen EZB-Analyse vor.
Strukturelle Härtung nach EZB-Erwartung: Segmentierung bis Mikro-Segmentierung, Zero-Trust-Prinzipien mit kontinuierlicher Verifikation sowie Ablösung oder besondere Absicherung von Legacy- und End-of-Life-Systemen.
Getestete Krisenmanagement-, Backup- und Wiederherstellungsprozesse nach DORA, inklusive Übungen für Hochgeschwindigkeits-Szenarien und rechtssicherer Vereinbarungen zum Austausch von Bedrohungsinformationen.
5 Phasen
Wir arbeiten in einem festen Vier-Wochen-Rhythmus, der auf Ihrer bestehenden Cyber-Risikostrategie und Ihren offenen DORA-Maßnahmen aufsetzt. Jede Phase liefert ein prüfungsfestes Zwischenergebnis.
Strukturierte Ist-Aufnahme gegen die sechs EZB-Fokusfelder mit Evidenzen statt Selbstauskunft. Abgleich mit offenen Feststellungen aus Vor-Ort-Prüfungen, Targeted Reviews und dem Cyber-Stresstest 2024.
Reifegrad-Scoring je Fokusfeld und priorisierte Maßnahmenliste.
Bewertung nach Risiko, Aufwand und aufsichtlicher Sichtbarkeit. Abstimmung von Budget, Personal und Verantwortlichkeiten mit IT, Informationssicherheit und Risikocontrolling.
abgestimmte Maßnahmen-Roadmap mit Meilensteinen.
Ausformulierung des Aktionsplans in der Struktur, die Joint Supervisory Teams erwarten: konkrete Maßnahmen, Zeitpläne, Rollen, Ressourcen und Governance-Kapitel mit Berichtswegen und Eskalationslogik.
Review mit Vorstand bzw. Leitungsorgan, Einarbeitung der Rückmeldungen, Finalisierung und fristgerechte Einreichung beim JST vor dem 31. Oktober 2026.
Maßnahmen-Tracking mit Fortschrittsnachweisen, Vorbereitung auf Rückfragen aus der horizontalen EZB-Analyse und Begleitung der Sofortmaßnahmen, vom beschleunigten Patch-Management bis zur Legacy-Absicherung.
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
Der Aktionsplan muss bis zum 31. Oktober 2026 beim zuständigen Joint Supervisory Team eingereicht sein. Die EZB analysiert alle eingereichten Pläne horizontal und spielt die Ergebnisse an die Institute zurück; ein schwacher Plan ist damit auch ein Signal an die Aufsicht. Im Gegenzug verschiebt die EZB die Abgabe des IT Risk Questionnaire auf Februar 2027.
10 FRAGEN, KURZ BEANTWORTET
Direkt adressiert sind die CEOs aller bedeutenden Institute (Significant Institutions) unter direkter EZB-Aufsicht im SSM. Weniger bedeutende Institute (LSIs) sollten sich vorbereiten: Nationale Aufseher wie die BaFin übernehmen EZB-Erwartungen erfahrungsgemäß zeitversetzt, und die zugrunde liegenden DORA-Pflichten gelten ohnehin für alle Finanzunternehmen.
Konkrete Maßnahmen zur Stärkung der relevanten Kontrollen, zugewiesene Ressourcen, klare Rollen und Verantwortlichkeiten sowie Umsetzungszeitpläne. Er muss auf der bestehenden Cyber-Risikostrategie aufbauen und kurzfristige Prioritäten (Angriffsflächen, Schwachstellen- und Patch-Management, Detektion, Drittparteien) mit strukturellen Maßnahmen (Defense-in-Depth, Legacy-Ablösung, Response und Recovery) verbinden.
Die EZB stellt klar: Es gelten keine neuen Regeln, DORA bleibt der verbindliche Rahmen. KI verschärft Tempo und Skalierung bekannter Risiken. Wer sein IKT-Risikomanagement, Informationsregister und Resilienz-Testing nach DORA sauber aufgestellt hat, kann den Aktionsplan weitgehend aus dem Bestand entwickeln. Lücken werden jetzt allerdings mit harter Frist sichtbar.
Das JST bespricht den Plan mit dem Institut und überwacht den Fortschritt. Zusätzlich führt die EZB eine horizontale Analyse aller eingereichten Pläne durch, identifiziert Trends und Schwachpunkte und spielt die Ergebnisse an die Institute zurück. Je nach Ergebnis sind Workshops und weitere aufsichtliche Aktivitäten möglich.
Die jährliche Abgabe des IT Risk Questionnaire wird von September 2026 auf Februar 2027 verschoben. Anpassungen weiterer aufsichtlicher Aktivitäten, etwa bei Vor-Ort-Prüfungen oder Deep Dives, prüft die EZB fallweise im Dialog zwischen JST und Institut.
In der Regel vier Wochen: zwei bis drei Wochen Gap-Assessment gegen die sechs EZB-Fokusfelder inklusive Abgleich mit offenen DORA-Feststellungen, danach Plan-Erstellung in JST-tauglicher Struktur. Institute, die erst im September starten, riskieren einen Plan ohne belastbare Ist-Analyse. Aufseher erkennen den Unterschied.
Erstens Schutz exponierter Angriffsflächen inklusive Drittsoftware und Open-Source-Komponenten. Zweitens skalierbares Schwachstellen- und Patch-Management. Drittens Monitoring, Detektion und KI-gestützte Abwehr. Viertens Governance, Budget, Schulung und Lieferketten-Assurance. Fünftens Defense-in-Depth, Zero Trust und Modernisierung von Legacy-Systemen. Sechstens Response, Recovery, Krisenmanagement und Informationsaustausch.
Ja. Die EZB kündigt ein separates Schreiben zu Post-Quanten-Kryptografie an und betont, dass die Migration jetzt beginnen muss, auch wenn sie einen längeren Zeithorizont hat. Institute sollten das Thema bereits in die strategische IT-Investitionsplanung aufnehmen.
Der Aufwand hängt von Institutsgröße und Reifegrad ab. Das vierwöchige Kernpaket (Gap-Assessment gegen die sechs Fokusfelder plus einreichungsfähiger Aktionsplan) ist als Festpreisprojekt kalkulierbar; die anschließende Umsetzungsbegleitung wird nach Aufwand oder als monatliches Paket abgerechnet. Institute mit aktuellem DORA-Gap-Assessment starten günstiger, weil Phase 1 verkürzt werden kann. Wir kalkulieren transparent nach Scope und nennen den Preis vor Projektbeginn.
Ja, und das ist der Regelfall. Die EZB erwartet keinen abgeschlossenen Umbau bis Oktober, sondern einen glaubwürdigen Plan: belastbare Ist-Analyse, priorisierte Maßnahmen, Ressourcen und Zeitpläne. Offene DORA-Feststellungen gehören ausdrücklich hinein, mit Priorität. Kritisch wird es nur für Institute, die weder Ist-Bild noch Plan vorweisen können. Genau diese Lücke schließt unser Vier-Wochen-Vorgehen.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten