Kritische IT-Prozesse im Finanzsektor – Zentrale Erkenntnisse aus der S+P Compliance Services Studie 2026

Wenn es hart auf hart kommt, zählt nur eines: Wie schnell bist du wieder handlungsfähig?

• DORA verpflichtet Finanzunternehmen zu regelmäßigen Krisenübungen und definiert klare Recovery Time Objectives (RTO).

• EZB-Stresstests simulieren großflächige Cyberangriffe auf Banken. Wer hier nicht bestehen kann, riskiert aufsichtsrechtliche Maßnahmen.

• Deloitte-Studien zeigen: Unternehmen mit getesteten BCM-Plänen sind bis zu 50% schneller im Wiederanlauf.

Tipp für dich: Lege nicht nur Pläne in der Schublade ab, sondern teste sie realistisch – mit Tabletop Exercises, Red Team-Übungen und Recovery-Tests.

1. Ganzheitliches IT-Risikomanagement

• Verknüpfe alle IT-Risiken mit deinem Enterprise Risk Management.

• Berücksichtige MaRisk, BAIT, DORA und die EBA Guidelines.

• Internationale Best Practice: FFIEC Cybersecurity Assessment Tool (USA).

2. Regelmäßige Security Audits

• Penetrationstests und Red Team Exercises sind Standard.

• UK: CBEST-Tests unter realistischen Bedingungen.

• DORA: Verpflichtende Threat-Led Penetration Testing (TLPT).

3. Automatisierung und Monitoring

• Nutze integrierte Plattformen für Monitoring, Orchestrierung und Incident Response.

• KI-gestützte Systeme helfen, Anomalien frühzeitig zu erkennen.

4. Steigerung des Budgets

• 64,8% der Unternehmen erhöhen ihre IT-Security-Ausgaben.

• Spitzeninstitute investieren bis zu 10% des Gesamtbudgets in Cyber- und IT-Risikomanagement.

5. Kultur & Top-Management Commitment

• Setze auf ein klares Tone from the Top.

• Rolle des Chief Resilience Officer gewinnt an Bedeutung.

• Internationale Studien zeigen: Engagement auf Vorstandsebene halbiert die Reaktionszeit bei Krisen.

6. Notfall- und Krisenmanagement

• Entwicklung von BCM-Plänen.

• Durchführung von Krisenübungen.

• Definition von Recovery-Zielen (RTO, RPO).

UK – FCA & NCSC

• Verwundbarkeit: Besonders gefährdet sind Zahlungsverkehrs- und Handelsplattformen.

• Pflichtmaßnahmen: Tabletop Exercises, Incident Reporting und Resilienzberichte.

• CBEST-Tests: Realistische Penetrationstests sind verpflichtend für Banken und Versicherer.

• Die FCA erwartet von Finanzunternehmen eine dokumentierte Cyber-Risiko-Strategie, regelmäßige Risikoanalysen und Penetrationstests sowie ein robustes Incident-Management mit direkter, zeitnaher Meldung schwerwiegender Ereignisse an die Aufsicht.

• Operational Resilience ist Top-Priorität: Seit 31. März 2025 müssen Banken, Zahlungsdienstleister und Versicherungen nachweisen, dass sie schwerwiegende Störungen identifizieren, Impact-Toleranzen dokumentieren, regelmäßig testen und End-to-End-Abhängigkeiten wie Cloud-Provider und Outsourcing-Partner abbilden können.

• Die FCA betont bei Cyber-Vorfällen die Bedeutung von Lessons Learned (z. B. CrowdStrike-Outage 2024) und fordert die Integration von Cyber-Risiko und IT-Resilienz als strategisches und direktes Vorstands-Thema, unterstützt durch das Cyber Governance Code of Practice

USA – Federal Reserve, OCC & NIST

• Kritische Bereiche: IAM, Incident Response und Cloud Security.

• Frameworks: NIST Cybersecurity Framework und FFIEC Tools sind Standard.

• Innovation: KI-gestützte Threat Detection ist der effektivste Hebel, um Schäden zu minimieren.

• Die CISA gibt für Finanzunternehmen verbindliche Leitlinien und Notfall-Direktiven heraus (z. B. Emergency Directive 25-03 zu Cisco Vulnerabilities), die eine umgehende Identifikation, Bewertung und Behebung von Sicherheitslücken in wichtigen Systemen verlangen.

• Zu den Lessons Learned aus Incident-Response-Engagements gehören: sofortiges Patching, proaktives Bedrohungs-Monitoring, Asset-Inventory und die Dokumentation der eingesetzten Technologie sowie regelmäßige Tabletop-Exercises.

• CISA arbeitet eng mit anderen US-Behörden (OCC, Federal Reserve, FFIEC) und internationalen Partnern zusammen, gibt strategische Ziele zur Resilienz und zur Qualität der Sicherheitsdaten vor und stellt umfangreiche Ressourcen für Cyber-Performance, Trainings und sektorübergreifendes Risk-Sharing bereit.

Internationaler Vergleich

• Red Team/Blue Team-Übungen sind weltweit anerkannte Best Practice.

• Global Digital Trust Insights 2025 (PwC): Top-Maßnahmen sind

  • Incident Response Automation

  • End-to-End Identity Control

  • Penetrationstests

  • Cyber-Versicherung

  • Board-Level Engagement

Du siehst: Kritische IT-Prozesse sind kein Randthema, sondern der Kern der Finanz-Resilienz.
Wenn du dich heute auf die Bereiche IAM, Patch-Management, Cloud-Security, SIEM und BCM konzentrierst, erfüllst du nicht nur regulatorische Anforderungen, sondern sicherst auch die Zukunftsfähigkeit deines Unternehmens.

Deine To-Dos:

1. Überprüfe dein IAM-System – ist Zero Trust wirklich umgesetzt?

2. Setze ein automatisiertes Vulnerability Management auf.

3. Dokumentiere und kontrolliere deine Cloud-Dienstleister.

4. Investiere in SIEM + SOAR.

5. Teste deine Krisenpläne realistisch.

6. Verankere Cyber-Resilienz in deiner Unternehmenskultur.