Der EZB-Aktionsplan gegen KI-Cyberangriffe: Was Banken bis zum 31. Oktober 2026 einreichen müssen

Am 7. Juli 2026 hat die EZB-Bankenaufsicht eine klare Botschaft an bedeutende Institute gesendet: Bis zum 31. Oktober 2026 muss jedes bedeutende Institut einen konkreten Aktionsplan zur Berücksichtigung KI-gestützter Cyberbedrohungen einreichen.

Dies ist keine routinemäßige Compliance-Übung. Es spiegelt einen strukturellen Wandel wider, wie Cyberrisiken entstehen und skalieren.

Was die EZB fordert

Die EZB erwartet von Banken, dass sie auf ihren bestehenden Cyberstrategien aufbauen und diese in umsetzbare Pläne mit klaren Prioritäten, Verantwortlichkeiten und Zeitplänen übersetzen. DORA bleibt der regulatorische Anker. Eine zentrale Voraussetzung ist die Priorisierung. Offene aufsichtliche Feststellungen, einschließlich solcher aus Prüfungen und dem Cyber-Resilienz-Stresstest 2024, müssen zuerst adressiert werden. Bestehende Schwachstellen werden kritischer, wenn die Angriffsgeschwindigkeit zunimmt.

Warum AI die Gleichung verändert

Die EZB beschreibt AI nicht als neue Risikokategorie, sondern als Verstärker.

AI komprimiert die Zeit zwischen der Entdeckung von Schwachstellen und deren Ausnutzung erheblich. Was sich früher über Wochen oder Monate entwickelte, kann jetzt in Stunden geschehen. Diese Verschiebung stellt bestehende Betriebsmodelle in Sicherheitsteams in Frage, die nicht für dieses Maß an Geschwindigkeit und Häufigkeit ausgelegt sind.

Daher kann die Reaktion nicht inkrementell sein. Banken müssen Priorisierung, Erkennung und Kontrollmechanismen über ihren gesamten Cyber-Stack hinweg überdenken.

Die sechs Schwerpunktbereiche

Die Aktionspläne selbst sind über sechs Schwerpunktbereiche strukturiert:

1. Angriffsflächen priorisieren. Vollständiges Asset-Inventar einschließlich Drittanbieter- und Open-Source-Komponenten, wobei Perimeter- und internetfähige Systeme zuerst berücksichtigt werden.
2. Schwachstellen- und Patch-Management beschleunigen. Priorisiertes Scannen und schnelleres Patchen, wobei AI-Tools nur unter menschlicher Aufsicht eingesetzt werden.
3. Monitoring und AI-gestützte Verteidigung stärken. Bessere Analyse von Anwendungs- und Zugriffslogs sowie Netzwerkverkehr.
4. Governance, Finanzierung und Lieferkette verstärken. AI-spezifische Kennzahlen im Risikoappetit-Framework, Awareness-Schulungen, härteres Drittanbieter-Risikomanagement.
5. Defense-in-Depth vorantreiben. Segmentierung, Zero-Trust-Verifizierung von Benutzern, Anwendungen, APIs und Service Accounts, Least Privilege, MFA und Legacy-Ablösung.
6. Operative Resilienz verbessern. Getestetes Krisenmanagement und Recovery, Übungen gegen Zero-Day-Wellen und destruktive Angriffe sowie sicherer Informationsaustausch.

Nach der Einreichung werden die Aufsichtsbehörden die Pläne institutsübergreifend prüfen und den Dialog mit jeder Bank fortsetzen.

Wo NEXIS ansetzt: Die Identity-Ebene

Während sich ein Großteil der EZB-Leitlinien auf traditionelle Sicherheitskontrollen konzentriert, spielt Identity eine zentrale Rolle über mehrere Schwerpunktbereiche hinweg.

Angriffsflächen sind nicht nur technischer Natur. Sie werden auch dadurch definiert, wer und was Zugriff hat. Hier bietet NEXIS Mehrwert.

Als Identity Visibility and Intelligence Platform (IVIP) konsolidiert NEXIS Identitätsdaten über IGA, PAM und andere Systeme hinweg in einer einheitlichen Sicht.

Least Privilege. Schwerpunktbereich 5 fordert Least-Privilege-Zugriff und kontinuierliche Verifizierung von Benutzern, Anwendungen, APIs und Service Accounts. Überschüssige Berechtigungen und verwaiste Konten sind Teil der Angriffsfläche. NEXIS macht ungenutzte Berechtigungen sichtbar und treibt deren Entfernung voran, was Least Privilege verschärft und auch ungenutzte Lizenzen zurückziehen kann.

Non-Human Identities und Agentic AI. Die AI-Verschiebung vervielfacht die Identitäten, die handeln. Laut einem Whitepaper von KPMG übersteigen Non-Human Identities bereits jetzt Human Identities um das 25- bis 50-fache, und MCP-Server sowie autonome Agenten treiben diese Zahl weiter nach oben. Service Accounts und Agenten benötigen dieselbe Governance wie Menschen: Lifecycle-Prozesse, Segregation of Duties-Regeln, die für NHIs gelten, und kontextbasierte Limits. NEXIS steuert Human Identities und Non-Human Identities in einem Modell.

Visibility (IVIP). Eine Identity Visibility and Intelligence Platform bietet eine konsolidierte Sicht darauf, wer und was auf welche Systeme über IGA, PAM und Access Management zugreifen kann. Sie legt systemübergreifende Segregation of Duties (SoD)-Konflikte offen, die in separaten Silos unsichtbar bleiben, und liefert die Datengrundlage, die AI-gestütztes Monitoring benötigt.

DORA-ready IAM Governance Documentation. Anstelle von Word, Excel oder Wikis generiert NEXIS Berechtigungskonzepte aus zentralen Templates, versioniert diese auditfähig und prüft sie kontinuierlich gegen die tatsächliche Konfiguration durch Drift Detection. Das liefert der Aufsicht aktuelle, auditfähige Nachweise, die der Plan ohnehin zeigen muss.

Fazit

Die Frist ist fix und es ist Zeit zu handeln. Die Identity-Ebene ist keine Randnotiz: Least Privilege, Governance schnell wachsender Non-Human Identities und auditfähige IAM Governance Documentation tragen jeweils mehrere der sechs Schwerpunktbereiche. Schaffen Sie jetzt Visibility und Kontrolle hier, und Sie tun mehr, als die Aufsicht zufriedenzustellen. Sie verkleinern Ihre Angriffsfläche.

Sehen Sie, wie es funktioniert: ein kurzer Durchgang durch DORA-ready Identity-Implementierung und Least-Privilege-Nachweise für Ihren EZB-Aktionsplan:  

Demo anfordern

 

Quellen:

[1] KPMG: EZB fordert Aktionsplan gegen KI-Cyberangriffe bis zum 31. Oktober 2026: Was für Banken jetzt zählt: https://kpmg.com/de/de/themen/finance-und-risk/ezb-fordert-aktionsplan-gegen-ki-cyberangriffe.html#accordion-f80b0b714a-item-5555efdc49

[2] Europäische Zentralbank: Addressing AI-enabled cybersecurity threats. 7. Juli 2026: https://www.bankingsupervision.europa.eu/press/letterstobanks/shared/pdf/2026/ssm.2026_letter_on_AI_enabled_cybersecurity_threats.de.pdf

[3] KPMG & Nexis: Manage and Control Non-Human Identities: https://nexis-secure.com/insights/document/manage-and-control-non-human-identities/