Die aktuellen Veröffentlichungen verbinden Datenarchitektur, KI-Governance und Cyberresilienz zunehmend mit konkreten Aufsichts- und Steuerungs-anforderungen. Im Finanzsektor stehen ein gemeinsames Datenmodell, ICT-Risiken aus Frontier AI und die Ergebnisse des geopolitischen Reverse-Stresstests im Vordergrund. Zugleich konkretisieren neue Vorgaben die deutsche KI-Marktüberwachung sowie die Governance für sichere digitale Produkte, OT-Systeme und die Wiederherstellung nach Cyberangriffen. Für die Praxis bedeutet das: Fachliche Verantwortlichkeiten, Risikoappetit, Kontrollstrukturen und Nachweisfähigkeit müssen über Datenmanagement, KI, Produktentwicklung und Informationssicherheit hinweg konsistent ausgestaltet werden.
Inhaltsverzeichnis
- 1. EBA, EZB und EIOPA: Konsultation zum gemeinsamen DPM-Datenmodell
- 2. ESAs: Einheitlichere Governance für ICT-Risiken aus Frontier-AI-Modellen
- 3. EZB-Bankenaufsicht: Ergebnisse des geopolitischen Reverse-Stresstests 2026
- 4. ENISA: Playbook für Secure by Design und Secure by Default
- 5. BaFin: Neue Zuständigkeit für die KI-Marktüberwachung im Finanzsektor
- 6. BGBl. I Nr. 223: Deutsches Durchführungsgesetz zum AI Act in Kraft
- 7. CISA und internationale Partner: Leitlinien zur Isolation von OT-Systemen
- 8. NCSC: Leitfaden zur Wiederherstellung nach schwerwiegenden Cyberangriffen
- 9. FIU: Sektorspezifische Risikoanalyse zu juristischen Personen und Rechtsgestaltungen
- 10. Europäische Kommission: Neue Umsetzungshinweise zum Cyber Resilience Act
- Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
1. EBA, EZB und EIOPA: Konsultation zum gemeinsamen DPM-Datenmodell
Anwendbar für: Banken, Versicherer, Meldewesen, Data Governance, Datenarchitektur, IT
Relevante Maßnahmen:
- Auswirkungen des weiterentwickelten Metamodells auf Daten-Governance, Meldearchitektur und fachliche Verantwortlichkeiten bewerten.
- Einheitliche Begriffe, Definitionen und Datenhierarchien im Reporting sicherstellen.
- Anpassungsbedarfe in Change-, Freigabe- und Qualitätssicherungsprozessen verankern.
2. ESAs: Einheitlichere Governance für ICT-Risiken aus Frontier-AI-Modellen
Anwendbar für: Banken, Versicherer, Wertpapierfirmen, DORA-Compliance, KI-Governance, Informationssicherheit
Relevante Maßnahmen:
- Frontier-AI-Risiken in ICT-Risikomanagement, Risikoappetit und Auslagerungssteuerung einbeziehen.
- Verantwortlichkeiten für Auswahl, Einsatz, Überwachung und Beendigung entsprechender Modelle festlegen.
- Konzentrations-, Abhängigkeits- und Drittanbieterrisiken in die laufende Governance integrieren.
3. EZB-Bankenaufsicht: Ergebnisse des geopolitischen Reverse-Stresstests 2026
Anwendbar für: Banken, Risikomanagement, Stresstesting, ICAAP, Geschäftsleitung, Aufsichts-Compliance
Relevante Maßnahmen:
- Geopolitische Risiken mit Kapitalplanung, Liquiditätssteuerung und strategischen Entscheidungen konsistent verknüpfen.
- Kapital-, Liquiditäts-, Cyber- und Drittanbieterrisiken konsistent miteinander verknüpfen.
- Managementmaßnahmen hinsichtlich Verfügbarkeit, Wirksamkeit und Governance absichern.
4. ENISA: Playbook für Secure by Design und Secure by Default
Anwendbar für: Hersteller digitaler Produkte, KMU, Product Security, Softwareentwicklung, Informationssicherheit, CRA-Compliance
Relevante Maßnahmen:
- Secure by Design und Secure by Default als verbindliche Prinzipien der Produkt-Governance verankern.
- Sicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg einheitlich steuern.
- Freigaben, Ausnahmen und Restrisiken nachvollziehbar dokumentieren und verantworten.
5. BaFin: Neue Zuständigkeit für die KI-Marktüberwachung im Finanzsektor
Anwendbar für: Banken, Versicherer, Zahlungs- und Wertpapierinstitute, Kryptowerte-Dienstleister, Kapitalverwaltungsgesellschaften, KI-Governance
Relevante Maßnahmen:
- KI-Governance an den neuen Marktüberwachungszuständigkeiten der BaFin ausrichten.
- Rollen zwischen Fachbereichen, Compliance, Risiko, Datenschutz und Informationssicherheit klar zuordnen.
- Prüfungs- und Nachweisfähigkeit für beaufsichtigte KI-Systeme zentral sicherstellen.
6. BGBl. I Nr. 223: Deutsches Durchführungsgesetz zum AI Act in Kraft
Anwendbar für: Anbieter und Betreiber von KI-Systemen, Finanzunternehmen, öffentliche Stellen, Compliance, Legal, Hinweisgeberstellen
Relevante Maßnahmen:
- Behördenzuständigkeiten, Beschwerdewege und Mitwirkungspflichten in die KI-Governance integrieren.
- Verantwortlichkeiten für Marktüberwachung, Registrierung und Behördenkommunikation festlegen.
- Hinweisgeber- und Eskalationsprozesse auf mögliche Verstöße gegen den AI Act erweitern.
7. CISA und internationale Partner: Leitlinien zur Isolation von OT-Systemen
Anwendbar für: Betreiber kritischer Infrastrukturen, OT-Sicherheit, Produktion, Energie, Business Continuity, Incident Response
Relevante Maßnahmen:
- Isolationsfähigkeit als Bestandteil der OT-Governance und Resilienzplanung verankern.
- Zuständigkeiten für Abschaltung, Notbetrieb, Wiederanbindung und Eskalation festlegen.
- Abhängigkeiten zwischen OT, IT und unterstützenden Systemen in der Risikosteuerung berücksichtigen.
8. NCSC: Leitfaden zur Wiederherstellung nach schwerwiegenden Cyberangriffen
Anwendbar für: Geschäftsleitung, Informationssicherheit, IT-Betrieb, Business Continuity, Krisenmanagement, Dienstverantwortliche
Relevante Maßnahmen:
- Wiederherstellung und Mindestbetrieb als eigenständige Governance-Themen im Krisenmanagement verankern.
- Prioritäten, Entscheidungsbefugnisse und Eskalationswege für längere Ausfälle festlegen.
- Abhängigkeiten von Backups, Dienstleistern und Wiederanlaufressourcen regelmäßig bewerten.
9. FIU: Sektorspezifische Risikoanalyse zu juristischen Personen und Rechtsgestaltungen
Anwendbar für: Verpflichtete nach dem GwG, Banken, Notare, Rechtsanwälte, Steuerberater, KYC, Geldwäschebeauftragte
Relevante Maßnahmen:
- Risiken aus Rechtsform, Eigentumsstruktur und grenzüberschreitenden Gestaltungen differenziert steuern.
- Verantwortlichkeiten für die Bewertung komplexer Beteiligungs- und Kontrollstrukturen festlegen.
- Eskalations- und Freigabeprozesse für intransparente oder nicht plausible Strukturen nachschärfen.
10. Europäische Kommission: Neue Umsetzungshinweise zum Cyber Resilience Act
Anwendbar für: Hersteller und Entwickler digitaler Produkte, Importeure, Händler, Product Security, CRA-Compliance, Legal
Relevante Maßnahmen:
- CRA-Anforderungen in Produkt-Governance, Compliance und Sicherheitsmanagement integrieren.
- Verantwortlichkeiten für Produktklassifizierung, Konformität und Schwachstellenmanagement festlegen.
- Melde-, Dokumentations- und Supportpflichten über den gesamten Produktlebenszyklus steuern.
Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
Bereits viele Compliance-Beauftragte nutzen unseren kostenlosen Service und erhalten die wichtigsten Neuigkeiten aus den Bereichen Compliance, Geldwäscheprävention, Datenschutz und IT-Sicherheit. Wir geben wöchentlich einen Überblick über die wichtigsten Meldungen und ordnen diese ein.
Möchten Sie täglich auf dem aktuellen Stand sein?
Mit unserer Legal Risk Monitoring Software erhalten Sie Zugriff auf alle Meldungen und können diese nach Relevanz, Art und Bereich filtern. Sie können Zusammenfassungen erstellen und herunterladen. Sprechen Sie uns an.
Kontaktieren Sie uns für ein kostenfreies Erstberatungsgespräch.
Wir wünschen Ihnen eine erfolgreiche Woche.
Ihr Team von Riscreen