ESAs zu Cyberrisiken aus fortgeschrittenen KI-Modellen: koordinierte, risikobasierte Aufsicht statt neuer Regeln
- vor 18 Stunden
- 4 Min. Lesezeit
Am 31. Juli 2026 haben die drei Europäischen Aufsichtsbehörden (European Supervisory Authorities – ESAs), also die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) und die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA), über ihren Gemeinsamen Ausschuss (Joint Committee) eine gemeinsame Erklärung (Statement) zu den IKT-Risiken aus fortgeschrittenen KI-Modellen („frontier AI models") veröffentlicht. Ziel des Statements (Referenz: JC 2026 25) ist ein sektorübergreifender, risikobasierter und konsistenter Aufsichtsansatz – ausdrücklich ohne Einführung neuer regulatorischer Anforderungen.
Worum es geht: beschleunigte Cyberrisiken durch fortgeschrittene KI
Die ESAs stellen fest, dass die Fähigkeiten aktueller fortgeschrittener KI-Modelle Cyberrisiken deutlich beschleunigen und dass rasche Reaktionsfähigkeiten bei Sicherheitsvorfällen dringend erforderlich sind. Als potenziell systemisch stufen die Behörden insbesondere KI-gestützte Angriffswerkzeuge ein, weil sie Schwachstellen sehr schnell auffinden und ausnutzen, Verwundbarkeiten in gemeinsam genutzter Infrastruktur gezielt angreifen und einzelne Ausfallpunkte („single points of failure") über mehrere Unternehmen hinweg ausnutzen können. Zugleich betonen die ESAs, dass dieselben Modelle auch die Verteidigung stärken können – der Vorteil liegt jedoch tendenziell bei Angreifern, während Verteidiger qualitätsgesicherte Prozesse einhalten müssen.
Das Statement ordnet sich ausdrücklich in eine Reihe vorangegangener Initiativen ein und baut auf diesen auf:
den Aktionsplan der Europäischen Kommission zu Cybersicherheit und Künstlicher Intelligenz vom 7. Juli 2026;
die Warnung des Europäischen Ausschusses für Systemrisiken (ESRB) vom 25. Juni 2026 zu systemischen Cyberrisiken aus fortgeschrittenen KI-Modellen (ESRB/2026/3);
erste Empfehlungen der EU-Agentur für Cybersicherheit (ENISA) sowie
Kommunikationen des Einheitlichen Aufsichtsmechanismus (SSM) bzw. der EZB an bedeutende Institute.
Kein neues Regime: DORA und KI-Verordnung als Grundlage
Kernbotschaft des Statements ist, dass der bestehende EU-Rechtsrahmen bereits ein solides Fundament bietet. Die ESAs verweisen vor allem auf die Verordnung über die digitale operationale Resilienz (Digital Operational Resilience Act – DORA) und die KI-Verordnung (AI Act). DORA bleibt über den IKT-Risikomanagementrahmen, das Testen, das Vorfalls- und Wiederherstellungsmanagement sowie das Management von IKT-Drittparteienrisiken einschlägig. Die KI-Verordnung wiederum enthält Vorgaben für „KI-Modelle mit allgemeinem Verwendungszweck und systemischem Risiko", deren Anbieter zusätzlichen Pflichten unterliegen (u. a. Transparenz, technische Dokumentation, Cybersicherheitsaspekte).
Der Rahmen bleibt technologieneutral. Weil sich aber die Zyklen von Entdeckung und Ausnutzung von Schwachstellen verkürzen, fordern die ESAs Finanzunternehmen auf, schnell und proaktiv zu handeln und ihre Cybersicherheitsfähigkeiten an den neuen Kontext anzupassen. Ausdrücklich wird dabei erwartet, dass Maßnahmen verhältnismäßig umgesetzt werden – gemessen an Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Tätigkeiten.
Drei Minderungsstrategien: Prävention, Detektion, Management
Die ESAs empfehlen Finanzunternehmen, ihre IKT-Risikomanagementprozesse entlang von drei Strategien anzupassen. Ein Anhang zum Statement listet dazu illustrative Beispiele auf – dieser Anhang begründet nach ausdrücklicher Klarstellung der ESAs keine zusätzlichen Anforderungen und ist keine abschließende Checkliste.
Prävention: vollständige, laufend aktualisierte Inventare aller IT-Assets (inkl. Infrastruktur, Anwendungen, Datenbanken, APIs, KI-/ML-Komponenten); „Secure-by-design"-Prinzipien; starke Überwachung und proaktives Patchen; Reduktion der Angriffsfläche und Absicherung der Lieferkette.
Detektion: Skalierung der Schwachstellenerkennung in Geschwindigkeit und Tiefe; Übergang von periodischer zu kontinuierlicher Überwachung; umfassendes Logging und Verhaltensanalyse; Stärkung von Security Operations Center (SOC) und Red-Teaming, ggf. mit KI-Unterstützung.
Management: Anpassung von Notfall-, Wiederherstellungs- und Business-Continuity-Prozessen an KI-gestützte Bedrohungen und Mehrsystem-Ausfälle; operationale Resilienztests mit KI-Szenarien; robuste, getrennt gesicherte Backups.
Flankierend adressiert das Statement die Governance: Das Leitungsorgan soll von periodischer Aufsicht zu kontinuierlicher, informierter Steuerung übergehen, klare Verantwortlichkeiten schaffen und ausreichende interne Investitionen sicherstellen. Der Risikoappetit-Rahmen (Risk Appetite Framework) soll überprüft und um Kennzahlen, Toleranzschwellen und Kontrollen für das veränderte Risikoprofil ergänzt werden – sowohl mit Blick auf die eigene Nutzung solcher Modelle als auch auf die indirekte Exponierung.
DORA-Oversight: Fokus auf kritische IKT-Drittdienstleister
Über die Erwartungen an einzelne Finanzunternehmen hinaus informiert das Statement über die laufende und geplante Aufsichtstätigkeit gegenüber kritischen IKT-Drittdienstleistern (Critical ICT Third-Party Providers – CTPPs). Die ESAs als federführende Überwacher („Lead Overseers") haben eine gezielte Kontaktaufnahme mit relevanten CTPPs begonnen, betten KI-bezogene Risiken in ihre Oversight-Prüfmethodik ein und wollen diese Arbeit im Jahr 2027 weiter ausbauen. Entsprechende Bedrohungen sollen 2027 auch in den Umfang der Oversight-Prüfungen einfließen.
Einordnung: Relevanz für kleine und nicht komplexe Institute
Das Statement richtet sich sektorübergreifend an alle Finanzunternehmen im Anwendungsbereich von DORA – und damit grundsätzlich auch an kleine und nicht komplexe Institute (Small and Non-Complex Institutions – SNCIs). Zugleich betonen die ESAs den Proportionalitätsgrundsatz nach Art. 4 DORA: Ein „one-size-fits-all"-Ansatz wäre weder verhältnismäßig noch effizient; Institute sollen ihre Minderungsstrategien an Größe, Risikoprofil, Vernetzung, Umfang und Komplexität ausrichten.
Einordnung (redaktionelle Einschätzung, nicht Aussage der ESAs): Für SNCIs bedeutet dies keine neuen Pflichten, aber eine klare aufsichtliche Erwartungshaltung im laufenden Aufsichtsdialog. Zu beachten ist die Adressatenabgrenzung: Die im Statement erwähnte EZB-Aufforderung an die CEOs (u. a. zügige Behebung offener Aufsichtsfeststellungen; in der ESRB/EZB-Kommunikation vom Juli 2026 mit Fristen wie dem 31. Oktober 2026 für Aktionspläne) betrifft ausschließlich bedeutende Institute (Significant Institutions) unter direkter EZB-Aufsicht – nicht die von den nationalen Behörden beaufsichtigten SNCIs. Für SNCIs sind primär die bestehenden DORA-Pflichten maßgeblich, für die DORA in Art. 16 einen vereinfachten IKT-Risikomanagementrahmen für bestimmte kleine, nicht vernetzte Unternehmen vorsieht.
💡 Hinweise für kleine und nicht komplexe Institute:
Das Statement selbst verlangt nichts Neues - sinnvoll ist aber, das eigene IKT-Asset-Inventar, die Patch- und Backup-Prozesse sowie die Zugriffs- und Berechtigungsverwaltung vor dem Hintergrund verkürzter Angriffszyklen kritisch zu überprüfen.
Prüfen Sie, ob Ihr Risikoappetit-Rahmen KI-gestützte Cyberbedrohungen (eigene Nutzung wie indirekte Exponierung) bereits abbildet; ggf. Kennzahlen und Toleranzschwellen ergänzen.
Nutzen Sie die drei Strategien (Prävention, Detektion, Management) und den illustrativen Anhang als Selbstcheck - proportional zu Größe und Risikoprofil, nicht als Pflichtenkatalog.
Backups sollten nicht denselben Risiken ausgesetzt sein wie die Primärsysteme; testen Sie Notfall- und Wiederherstellungsprozesse auch für Mehrsystem-Szenarien.
Adressieren Sie das Thema aktiv im Aufsichtsdialog und binden Sie das Leitungsorgan ein - die ESAs erwarten sichtbare Governance-Verantwortung.
Denken Sie an die Lieferkette: Klären Sie mit Ihren IKT-Drittdienstleistern, wie diese KI-bezogene Cyberrisiken adressieren.
Quelle / Eckdaten
👉 Link zum Dokument | |
📅 Veröffentlichung | 31. Juli 2026 |
Art des Dokuments | Gemeinsame Erklärung (Statement) des Joint Committee der ESAs; nicht bindend, ohne neue Anforderungen |
Herausgeber | EBA, EIOPA und ESMA (Gemeinsamer Ausschuss der ESAs) |
⚖️ Rechtsgrundlage | ESA-Mandat zur Förderung der Aufsichtskonvergenz (ESA-Gründungsverordnungen VO (EU) 1093/2010, 1094/2010, 1095/2010); inhaltlicher Bezugsrahmen: DORA (VO (EU) 2022/2554) und KI-Verordnung/AI Act (VO (EU) 2024/1689) |
Adressaten | Finanzunternehmen und zuständige Behörden, sektorübergreifend (Banken, Versicherer, Wertpapierfirmen); zusätzlich Ausführungen zu kritischen IKT-Drittdienstleistern (CTPPs) |
✅ Status | Veröffentlicht/final; Grundlage für den aufsichtlichen Dialog |
📅 Erstanwendung | Nicht einschlägig (Statement ohne eigenständige Anwendungsfrist); die zugrundeliegenden DORA-Pflichten gelten seit 17. Januar 2025 |
