Hochleistungs-KI als IKT-Risikotreiber unter DORA

ESAs veröffentlichen Statement zu IKT-Risiken bei Frontier AI

Die europäischen Aufsichtsbehörden EBA, EIOPA und ESMA reagieren auf die wachsenden Cyberrisiken durch besonders leistungsfähige KI-Modelle. In ihrem gemeinsamen Statement vom 31. Juli 2026 „Toward a consistent and risk-based approach for ICT risks from frontier AI models“ (ESA JC 2026 25) erläutern sie, wie Finanzunternehmen ihre IKT-Risikomanagementrahmen an KI-gestützte Bedrohungen anpassen sollen. Das Papier schafft keine neuen oder verbindlichen Rechtspflichten, ist aber für die Aufsichtspraxis relevant: Die ESAs konkretisieren darin, wie die bereits geltenden, technologieoffenen Anforderungen des Digital Operational Resilience Act (DORA) angesichts eines veränderten Cyberbedrohungsbilds angewendet werden sollen.

Frontier AI als Beschleuniger bestehender Cyberrisiken

Das Papier knüpft an den EU-Aktionsplan zu Cybersicherheit und künstlicher Intelligenz vom 7. Juli 2026, eine Warnung des Europäischen Ausschusses für Systemrisiken und Empfehlungen der Agentur der Europäischen Union für Cybersicherheit (ENISA) an. Ziel ist es, Finanzunternehmen für die durch besonders leistungsfähige KI-Modelle entstehende Cyberrisikodynamik zu sensibilisieren und zugleich einen konsistenten, sektorübergreifenden und risikobasierten Aufsichtsansatz zu fördern.

Unter „Frontier AI Models“ (Hochleistungs-KI-Modelle) verstehen die Aufsichtsbehörden besonders fortgeschrittene KI-Modelle, deren Fähigkeiten dem jeweiligen Stand der Technik nahekommen, ihn erreichen oder übertreffen. Im Mittelpunkt steht dabei nicht allein die Nutzung von KI durch die Finanzunternehmen selbst. Entscheidend ist vielmehr, dass solche Modelle auch von Angreifern eingesetzt werden können.

Die ESAs gehen nicht davon aus, dass Frontier AI notwendigerweise völlig neue Kategorien von Cyberangriffen hervorbringt. Das wesentliche Problem liegt vielmehr in der Geschwindigkeit, Skalierbarkeit und Komplexität bereits bekannter Angriffsformen.

Leistungsfähige KI-Modelle können Angreifer beispielsweise dabei unterstützen,

• Schwachstellen automatisiert zu identifizieren und auszunutzen,
• veröffentlichte Patches zu analysieren und die zugrunde liegenden Schwachstellen zu rekonstruieren,
• mehrere kleinere Sicherheitslücken zu komplexen Angriffsketten zu verbinden,
• Quellcode und technische Konfigurationen auszuwerten,
• Single Points of Failure zu erkennen,
• Angriffe auf gemeinsam genutzte Infrastrukturen zu richten,
• zahlreiche Unternehmen oder Systeme gleichzeitig anzugreifen.

Aus juristischer Sicht ist diese Einordnung deshalb bedeutsam, weil DORA an das jeweils bestehende IKT-Risiko anknüpft. Die Angemessenheit eines IKT-Risikomanagementrahmens kann nicht allein danach beurteilt werden, ob er bei seiner Einführung den regulatorischen Anforderungen entsprach. Verändert sich das relevante Bedrohungsbild erheblich, muss das Finanzunternehmen prüfen, ob seine Prozesse, Kontrollen und Reaktionszeiten weiterhin ausreichen.

Zusammenspiel zwischen DORA und AI Act

Das Statement betrachtet DORA und den AI Act als komplementäre Regelungsrahmen. Der AI Act enthält unter anderem besondere Pflichten für Anbieter von General-Purpose-AI-Modellen mit systemischem Risiko. Diese betreffen beispielsweise Risikobewertungen, technische Dokumentation, Meldungen schwerwiegender Vorfälle und Cybersicherheitsmaßnahmen.

DORA knüpft demgegenüber an das IKT-Risiko und die digitale operationale Resilienz des Finanzunternehmens an. Ein besonders leistungsfähiges KI-Modell kann daher gleichzeitig Gegenstand von Pflichten des Modellanbieters nach dem AI Act und Bestandteil des IKT-Risikomanagements des nutzenden Finanzunternehmens nach DORA sein.

Die AI-Act-Compliance des Anbieters ersetzt die DORA-Risikobewertung des Finanzunternehmens nicht. Umgekehrt folgt aus DORA keine pauschale Verpflichtung, sämtliche an den Anbieter gerichteten AI-Act-Pflichten vertraglich zu wiederholen.

In der Praxis müssen daher zunächst die Rollen und die jeweilige Nutzungskonstellation geklärt werden:

• Ist das Finanzunternehmen Anbieter oder Betreiber des KI-Systems, und treffen es gegebenenfalls weitere Rollenpflichten nach dem AI Act?
• Handelt es sich bei der Leistung zugleich um einen IKT-Dienst im Sinne der DORA?
• Unterstützt der Dienst eine kritische oder wichtige Funktion?
• Welche Pflichten treffen unmittelbar den KI-Anbieter?
• Welche Risiken verbleiben beim Finanzunternehmen?
• Welche Informationen und vertraglichen Rechte benötigt das Finanzunternehmen, um seine eigenen DORA-Pflichten erfüllen zu können?

Erst auf dieser Grundlage lässt sich bestimmen, welche regulatorischen und vertraglichen Maßnahmen tatsächlich erforderlich sind.

DORA schreibt nicht für jede denkbare Technologie einen abgeschlossenen Katalog technischer Maßnahmen vor. Sie verpflichtet Finanzunternehmen vielmehr, ihre IKT-Risiken fortlaufend zu erkennen, zu bewerten, zu steuern und zu überwachen. Die durch Frontier AI verstärkten Cyberbedrohungen sind daher keine eigenständige neue Risikokategorie außerhalb der DORA. Sie sind innerhalb des bestehenden IKT-Risikomanagementrahmens zu berücksichtigen, soweit sie das Risikoprofil des Finanzunternehmens verändern oder die Angemessenheit bestehender Kontrollen infrage stellen.

Drei aufsichtsrechtliche Handlungsfelder

Die ESAs strukturieren ihre Erwartungen entlang von drei Risikominderungsstrategien:

1. Prävention,
2. Detektion,
3. Management von Cyberrisiken und operationaler Resilienz.

Diese Dreiteilung ordnet mögliche Maßnahmen bestehenden Pflichten des IKT-Risikomanagements nach DORA zu.

1. Prävention: Inventarisierung, Architektur und Patch-Management

Ausgangspunkt einer angemessenen Prävention ist nach Auffassung der ESAs ein vollständiges und fortlaufend aktualisiertes IKT-Asset-Inventar. Dieses soll nicht nur Infrastruktur und Anwendungen, sondern auch Datenbestände, APIs sowie KI- und Machine-Learning-Komponenten erfassen.

Rechtlich knüpft dies insbesondere an Art. 8 DORA und die Konkretisierungen der Delegierten Verordnung (EU) 2024/1774 (RTS RMF) an. Der aufsichtsrechtlich entscheidende Punkt besteht darin, dass eine reine Bestandsliste nicht ausreicht. Das Finanzunternehmen muss die Kritikalität der Assets, ihre Exposition und ihre gegenseitigen Abhängigkeiten verstehen. Relevant sind insbesondere Abhängigkeiten von:

• Cloud-Infrastrukturen,
• Softwarebibliotheken und Open-Source-Komponenten,
• externen APIs,
• DNS- und Netzwerkdiensten,
• ausgelagerten Security Operations Centern,
• gemeinsam genutzten Plattformen,
• Unterauftragnehmern von IKT-Dienstleistern.

Das Statement legt damit den Schwerpunkt auf die Gefahr kaskadierender Störungen. Wenn mehrere kritische Prozesse von demselben technischen Baustein oder Dienstleister abhängen, kann bereits eine einzelne Schwachstelle weitreichende Auswirkungen haben.

Weitere Maßnahmen betreffen Security und Resilience by Design, Netzwerksegmentierung, Zero-Trust-Ansätze, den Schutz von Quellcode, die Verringerung unnötiger Angriffsflächen und den Abbau von Legacy-Systemen.

Besonders relevant ist das Patch-Management. Die ESAs gehen davon aus, dass KI-gestützte Angriffe die Zeit zwischen Bekanntwerden und Ausnutzung einer Schwachstelle erheblich verkürzen können. Für besonders exponierte oder kritische Systeme kann dies eine stärkere Automatisierung und Beschleunigung der Patch-Prozesse erforderlich machen.

Daraus folgt jedoch keine allgemeine Rechtspflicht zur vollautomatisierten Installation sämtlicher Patches. Automatisierte Prozesse können selbst Betriebs- und Verfügbarkeitsrisiken erzeugen. Erforderlich bleibt daher eine risikobasierte Abwägung, die unter anderem Testverfahren, Rollback-Möglichkeiten, Redundanzen, Fallback-Lösungen und Überwachung berücksichtigt.

2. Detektion: Sind periodische Kontrollen noch ausreichend?

Im Bereich der Detektion stellen die ESAs die Angemessenheit ausschließlich periodischer Kontrollmodelle infrage. KI-gestützte Angriffe können dynamisch angepasst und mit hoher Geschwindigkeit durchgeführt werden. Zwischen einzelnen Schwachstellenscans oder Compliance-Prüfungen können deshalb erhebliche Expositionszeiträume entstehen.

Als mögliche Reaktionen nennen die ESAs insbesondere:

• kontinuierliches oder häufigeres Vulnerability Scanning,
• umfassendes Logging,
• Behavioural Monitoring und Anomalieerkennung,
• Erkennung lateraler Bewegungen,
• Deception-Techniken,
• häufigere Sicherheits- und Compliance-Prüfungen,
• KI-gestützte Unterstützung von Security Operations Centern und Red Teams.

Auch hier handelt es sich nicht um einen pauschalen Mindeststandard für alle Finanzunternehmen. Art. 4 DORA verlangt weiterhin eine proportionale Umsetzung. Die Häufigkeit und Tiefe der Überwachung müssen zur Kritikalität, Exposition und Komplexität der jeweiligen Systeme passen.

Rechtlich relevant wird damit vor allem die Begründung der Kontrollfrequenz. Für kritische oder wichtige Funktionen, öffentlich erreichbare Schnittstellen oder komplexe Cloud-Umgebungen dürfte ein nur in großen Abständen durchgeführtes Monitoring schwer zu rechtfertigen sein.

Finanzunternehmen sollten daher dokumentieren, anhand welcher Kriterien sie Frequenz und Umfang ihrer Überwachungsmaßnahmen bestimmt haben und wann eine ereignisbezogene Neubewertung erfolgt.

3. Management von Cyberrisiken und operationaler Resilienz

Der dritte Bereich betrifft Incident Response, Business Continuity, Wiederherstellung und Tests der digitalen operationalen Resilienz.

Die ESAs weisen darauf hin, dass bestehende Notfall- und Wiederherstellungspläne häufig auf den Ausfall einzelner Systeme oder lineare Angriffsverläufe ausgerichtet sind. Frontier AI kann demgegenüber die gleichzeitige Ausnutzung mehrerer Schwachstellen und Angriffe auf voneinander abhängige Systeme erleichtern. Finanzunternehmen sollen deshalb prüfen, ob ihre Szenarien insbesondere folgende Konstellationen angemessen abdecken:

• gleichzeitige Beeinträchtigung mehrerer Systeme,
• Ausfall gemeinsam genutzter Infrastruktur,
• Kompromittierung von Primär-, Backup- und Disaster-Recovery-Systemen,
• Ausfall eines Cloud-, DNS-, API- oder Security-Dienstleisters,
• kaskadierende Störungen entlang der IKT-Lieferkette,
• erheblich verkürzte Reaktions- und Eskalationszeiten.

Auswirkungen auf das IKT-Drittparteienrisikomanagement

Besondere Aufmerksamkeit widmen die ESAs der Lieferkette. KI-gestützte Angriffe können gezielt das schwächste Glied innerhalb einer komplexen IKT-Lieferkette identifizieren. Relevant sind nicht nur unmittelbare IKT-Dienstleister, sondern auch Unterauftragnehmer, Cloud-Infrastrukturen, Software- und Hardwarehersteller, APIs und Open-Source-Komponenten.

Finanzunternehmen sollten deshalb überprüfen, ob ihre Risikoanalysen nach Art. 28 Abs. 4 DORA die neuen Angriffsszenarien angemessen berücksichtigen. Bei IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen kann dies zu höheren Anforderungen an Due Diligence, laufende Überwachung und Exit-Planung führen.

Das Statement der ESAs dürfte die Risikobewertung der IKT-Drittdienstleister und damit die zusätzlichen, risikobasiert ausgehandelten Sicherheits- und Informationspflichten beeinflussen. Finanzunternehmen werden von IKT- und KI-Dienstleistern voraussichtlich detailliertere Informationen zu folgenden Themen verlangen (müssen):

• Governance der Modellentwicklung und -bereitstellung,
• Sicherheit und Resilienz der zugrunde liegenden Infrastruktur,
• bekannte Modellgrenzen und Failure Modes,
• Schwachstellen- und Patch-Management,
• Incident Detection und Incident Reporting,
• Abhängigkeiten von Cloud-Anbietern und sonstigen Unterauftragnehmern,
• Business-Continuity- und Disaster-Recovery-Verfahren,
• Auditierbarkeit und Nachweis der implementierten Kontrollen.

Daraus folgt allerdings keine Berechtigung, sämtliche denkbaren Sicherheitsmaßnahmen pauschal auf jeden IKT-Dienstleister zu übertragen. Auch vertragliche Anforderungen müssen sich am konkreten Risiko der Dienstleistung, an ihrer Kritikalität und am Proportionalitätsgrundsatz orientieren. Gerade auf Anbieterseite bleibt daher eine sorgfältige Trennung zwischen tatsächlich durch DORA vorgeschriebenen Vertragsbestandteilen und zusätzlichen kommerziellen oder sicherheitspolitischen Anforderungen wichtig.

Das Leitungsorgan bleibt verantwortlich

Das Statement betont ausdrücklich die Verantwortung des Leitungsorgans. Dieses soll dafür sorgen, dass klare Governance- und Verantwortungsstrukturen bestehen, angemessene Ressourcen zur Verfügung stehen und die Reaktionsfähigkeit des Unternehmens mit der Entwicklung der Bedrohungslage Schritt hält.

Die ESAs empfehlen insbesondere eine Überprüfung des Risk Appetite Framework. Bestehende Kennzahlen, Risikotoleranzen und Kontrollmaßnahmen sollten daraufhin untersucht werden, ob sie KI-bedingte Veränderungen des Cyberrisikos abbilden. Das betrifft sowohl die eigene Nutzung von KI-Modellen als auch die mittelbare Exposition durch Dienstleister und externe Infrastrukturen.

Das Statement verdeutlicht, welche Erwartungen die ESAs angesichts des veränderten Bedrohungsbilds mit der Leitungsorganverantwortung nach Art. 5 DORA verbinden. Das Leitungsorgan muss zwar nicht sämtliche technischen Einzelheiten selbst steuern, aber es muss in der Lage sein, die wesentlichen Risiken, Abhängigkeiten und Defizite zu verstehen, geeignete Prioritäten zu setzen und die Bereitstellung ausreichender personeller und finanzieller Ressourcen zu überwachen.

Besonders relevant ist die Forderung der ESAs, von einer lediglich periodischen Befassung zu einer fortlaufenden, informierten Entscheidungsfindung überzugehen. Dies dürfte Auswirkungen auf Inhalt, Frequenz und Eskalationslogik des IKT-Risikoreportings haben.

Bedeutung für die jährliche Überprüfung des IKT-Risikomanagementrahmens nach Art. 6 Abs. 5 DORA

Das Statement ist insbesondere für die mindestens jährliche Überprüfung des IKT-Risikomanagementrahmens nach Art. 6 Abs. 5 DORA relevant. Weitere Konkretisierungen zu Inhalt und Form des Berichts über diese Überprüfung ergeben sich aus Art. 27 der Delegierten Verordnung (EU) 2024/1774.

Die Überprüfung darf sich nicht darauf beschränken, bestehende Policies formal mit den DORA-Anforderungen abzugleichen. Sie muss auch untersuchen, ob der Rahmen angesichts der aktuellen Risikolage und der tatsächlichen Betriebsorganisation weiterhin angemessen und wirksam ist.

Das ESA-Statement dokumentiert eine neue oder jedenfalls erheblich intensivierte aufsichtsrechtliche Risikoeinschätzung. Es bietet sich daher als Input für die nächste Überprüfung an.

Der Bericht sollte zumindest nachvollziehbar behandeln,

• ob und in welchem Umfang das Finanzunternehmen gegenüber Frontier-AI-bezogenen Cyberrisiken exponiert ist,
• ob das interne Bedrohungsbild und die IKT-Risikoanalyse angepasst wurden,
• welche Systeme, Schnittstellen und Drittanbieter besonders betroffen sein können,
• ob die bestehenden Patch-, Monitoring- und Eskalationszyklen noch angemessen sind,
• ob Multi-System-Failures und Lieferkettenszenarien in BCM und Testing ausreichend abgebildet werden,
• ob Risk Appetite und Risikotoleranzen angepasst werden müssen,
• welche Maßnahmen beschlossen oder priorisiert wurden,
• warum einzelne Maßnahmen des Annexes nicht relevant oder nicht verhältnismäßig sind.

Rechtlich geboten ist dabei keine affirmative Erklärung, dass sämtliche Maßnahmen des Annexes umgesetzt wurden. Erforderlich ist eine belastbare, risikobasierte und dokumentierte Befassung mit denjenigen Risiken, die für das Unternehmen relevant sind.

Praxisrelevanter Annex

Den größten praktischen Mehrwert bietet wohl der Annex „Examples of risk mitigation strategies and actions“. Die ESAs beschreiben darin insgesamt 16 Handlungsfelder, geordnet nach den drei Strategien Prävention, Detektion sowie Risikomanagement und operationale Resilienz. Zu jedem Handlungsfeld stellen sie zunächst das durch Hochleistungs-KI verschärfte Risiko dar und nennen anschließend mögliche Gegenmaßnahmen.

Der Annex ist rechtlich weder abschließend noch verbindlich. Die ESAs stellen ausdrücklich klar, dass er keine zusätzlichen Anforderungen begründet und nicht als umfassende Compliance-Checkliste zu verstehen ist. Die Maßnahmen sollen vielmehr unter Berücksichtigung von Größe, Komplexität, Vernetzung und Risikoexposition des Finanzunternehmens beurteilt werden. Sie können außerdem als Grundlage für den Dialog mit IKT-Drittdienstleistern dienen.

Der Annex mit den Mitigierungsvorschlägen der ESAs sollte nicht in eine vermeintlich verbindliche Liste neuer DORA-Mindestanforderungen umgedeutet werden. Sie ist vielmehr ein aufsichtsnaher Katalog von Risiken und möglichen Maßnahmen. Ihr Nutzen liegt darin, die offenen und risikobasierten DORA-Anforderungen auf das durch Hochleistungs-KI veränderte Bedrohungsbild zu beziehen.

Für jedes Handlungsfeld sollte das Finanzunternehmen daher prüfen:

1. Ist das von den ESAs beschriebene Risiko für das Unternehmen konkret relevant?
2. Welche vorhandenen technischen oder organisatorischen Kontrollen adressieren dieses Risiko?
3. Sind diese Kontrollen angesichts der höheren Geschwindigkeit, Skalierbarkeit und Anpassungsfähigkeit KI-gestützter Angriffe noch angemessen?
4. Besteht ein Anpassungs- oder Remediationsbedarf?
5. Welche der vorgeschlagenen Maßnahmen ist für das konkrete Risikoprofil geeignet und verhältnismäßig?
6. Wie wird eine Entscheidung, eine Maßnahme nicht oder nur teilweise umzusetzen, begründet, genehmigt und künftig überprüft?

Auf diese Weise kann der Annex insbesondere für die jährliche Überprüfung des IKT-Risikomanagementrahmens nach Art. 6 Abs. 5 DORA, DORA-Gap-Assessments, Kontrollbewertungen, BCM- und Testprogramme sowie die IKT-Drittparteiensteuerung eingesetzt werden.

Ausblick: Hochleistungs-KI im Rahmen der CTPP-Aufsicht

Das Statement enthält schließlich einen wichtigen Hinweis auf die künftige Oversight-Praxis gegenüber kritischen IKT-Drittdienstleistern.

Die Lead Overseers haben bereits gezielte Gespräche mit relevanten Critical ICT Third-Party Providers (CTPPs) aufgenommen. Sie untersuchen dabei, wie diese Anbieter die neuen Risiken identifizieren und bewerten, welche Schutzmaßnahmen sie getroffen haben und wie sie die defensiven Möglichkeiten leistungsfähiger KI nutzen.

Die gewonnenen Erkenntnisse sollen in den jährlichen Risikobewertungszyklus und die Priorisierung der Aufsichtstätigkeiten für 2027 einfließen. Die ESAs haben außerdem begonnen, KI-bezogene Risiken in ihre Oversight Examination Methodology aufzunehmen. Diese Risiken sollen sich 2027 im Umfang der Prüfungen und weiteren Oversight-Aktivitäten widerspiegeln.

Das Statement ist damit nicht nur eine abstrakte Risikobeschreibung. Seine Inhalte werden bereits in die Aufsichtsplanung und Prüfungsmethodik unter DORA überführt. Dies dürfte die Anforderungen prägen, die die Lead Overseers im Rahmen ihrer Prüfungen an die Kontrollsysteme, Lieferkettensteuerung und Kundenschnittstellen kritischer IKT-Drittdienstleister (CTPPs) anlegen. Zugleich ist damit zu rechnen, dass die betroffenen Anbieter entsprechende Nachweise und Mitwirkungsprozesse gegenüber ihren Finanzkunden weiterentwickeln.

Fazit

Das neue ESA-Statement schafft keine neuen DORA-Pflichten, verändert aber den aufsichtsrechtlichen Referenzrahmen für die Beurteilung, ob bestehende IKT-Kontrollen bei Bezug von Hochleistungs-KI, aber auch bei der Einschätzung  ihrer Bedrohungslage noch angemessen sind. Finanzunternehmen müssen nicht sämtliche Maßnahmen umsetzen, die in dem Papier genannt sind, sollten jedoch nachvollziehbar prüfen, ob ihre Inventarisierung, Patch- und Monitoring-Prozesse, Resilienztests, BCM-Szenarien, Drittparteiensteuerung und Governance mit der Geschwindigkeit und Komplexität KI-gestützter Angriffe Schritt halten.

Der Annex bietet hierfür eine besonders brauchbare Arbeitsgrundlage. Spätestens bei der nächsten Überprüfung des IKT-Risikomangementrahmens nach Art. 6 Abs. 5 DORA sollte die neue Risikoeinschätzung der ESAs berücksichtigt werden.