esc

Von Glenn Schröer, Junior Consultant

KI Chancen bewerten und KI-Anwendungsfälle nach Nutzen, Aufwand, Risiko, Strategie und Compliance strukturiert priorisieren.

Künstliche Intelligenz ist in den Fachbereichen vieler Unternehmen angekommen. Ideen entstehen etwa in der Dokumentenanalyse, Kundenkommunikation, Prozessautomatisierung, Betrugsprävention oder Vertriebsunterstützung. Gleichzeitig steigen die Anforderungen an KI Compliance, Datenschutz, Informationssicherheit und Risikomanagement. Damit stellt sich früh die Frage, welche KI-Anwendungsfälle sich wirklich lohnen.

Wer KI-Chancen bewerten möchte, sollte zunächst den erwarteten fachlichen Mehrwert betrachten. In vielen Unternehmen liegt dieser vor allem in der Freisetzung personeller Ressourcen, der Beschleunigung von Prozessen, der Reduzierung manueller Tätigkeiten oder der Verbesserung von Qualität und Service. Ob sich diese Chancen tatsächlich realisieren lassen, hängt jedoch auch von der technischen Umsetzbarkeit und den regulatorischen Anforderungen ab. Entscheidend ist das Gesamtbild aus Nutzen, Aufwand, Kosten, strategischer Relevanz, Umsetzbarkeit und regulatorischen Anforderungen. Eine praxisorientierte KI Bewertungsmatrix macht KI-Ideen vergleichbar und hilft, Ressourcen dort einzusetzen, wo der größte Mehrwert zu erwarten ist.

KI-Regulierung sollte Unternehmen dabei nicht vom KI-Einsatz abhalten. Richtig genutzt schafft sie einen Rahmen für den sicheren und verantwortungsvollen Umgang mit der Technologie. Gerade regulierte Organisationen profitieren davon, wenn neue Technologien kontrolliert eingeführt werden. Eine reine Risiko- oder Compliance-Sicht greift jedoch zu kurz, weil dadurch die fachlichen und wirtschaftlichen Chancen von KI aus dem Blick geraten können. Umgekehrt ist eine reine Innovationssicht riskant: Ein Use Case kann auf den ersten Blick attraktiv sein, aber zu teuer, technisch schwer integrierbar oder regulatorisch aufwendig.

Ausgangspunkt ist ein dreistufiger Ansatz: Zunächst werden die im Unternehmen genutzten KI-Anwendungen ermittelt und dokumentiert. Anschließend werden Chancen, Nutzen, Aufwand und Risikoklassifikation bewertet. Auf dieser Grundlage wird anhand definierter Parameter aus der KI Strategie entschieden, welche Anwendungsfälle weiterverfolgt, vertieft geprüft oder zurückgestellt werden.

Die weiterentwickelte Bewertungsmatrix übersetzt diesen Ansatz in ein Instrument für die frühe Vorbewertung. Unternehmen können damit den Nutzen des KI-Einsatzes bewerten, Risiken einordnen und KI-Anwendungsfälle priorisieren, ohne jede Idee sofort in eine aufwendige Detailprüfung zu überführen.

Die Matrix verbindet daher KI-Strategie, Innovationsmanagement, KI-Risikobewertung und Compliance. Sie fragt nicht nur, was erlaubt ist, sondern auch, was im Hinblick auf die Unternehmensstrategie sinnvoll und wirtschaftlich ist und ob der Einsatz der KI verantwortbar bleibt. Dazu gehört insbesondere, ob Entscheidungen nachvollziehbar sind, Menschen angemessen eingebunden bleiben, Diskriminierungsrisiken vermieden werden und der Einsatz für Kunden, Mitarbeitende und andere Betroffene transparent und verhältnismäßig ist.

Alle KI-Anwendungsfälle werden nach einheitlichen Kriterien bewertet. Ausgangspunkt ist der strategische Zweck: Soll die KI Prozesse beschleunigen, Kosten senken, Erträge steigern, Kundenerlebnisse verbessern, die Qualität erhöhen oder Skaleneffekte ermöglichen? Darauf aufbauend wird der erwartete Nutzen bewertet. Dazu zählen Effizienzgewinne, Kostenersparnisse, Umsatz- oder Ertragspotenziale sowie qualitative Vorteile wie bessere Entscheidungen, schnellere Bearbeitung oder höhere Servicequalität. Ergänzend wird die Dringlichkeit betrachtet, also der konkrete Handlungsdruck: Bestehen bereits geschäftliche Defizite, Wettbewerbsnachteile, Kapazitätsengpässe oder regulatorische bzw. kundenseitige Anforderungen, die eine zeitnahe Umsetzung besonders relevant machen?

Auf der Aufwandsseite betrachtet die Matrix den Implementierungsaufwand, den laufenden Betriebsaufwand und den regulatorischen Aufwand. Dazu gehören u. a. technische Integration, Datenanbindung und erforderliche Kontrollen. Ein zentraler Bestandteil ist außerdem die Risikobewertung. Dabei werden die KI-Risikoklasse und die Rolle des Unternehmens betrachtet, etwa als Betreiber, Anbieter oder Nutzer. Diese Einordnung beeinflusst Pflichten, Nachweise und Kontrollmaßnahmen.

Ergänzend fließen beispielsweise Datenverfügbarkeit, technische Umsetzbarkeit und Fachbereichsrelevanz in die Bewertung ein. Aus der Gesamtschau ergibt sich eine nachvollziehbare Priorität.

Sinnvollerweise sollte die Matrix schon sehr früh im Ideenprozess eingesetzt werden. Fachbereiche beschreiben ihre KI-Ideen, anschließend werden diese anhand der definierten Kriterien bewertet. Ziel ist dabei keine endgültige Freigabe, sondern ein strukturierter Vorfilter. So wird sichtbar, welche Anwendungsfälle hohen Nutzen bei überschaubarem Aufwand versprechen und welche Vorhaben v. a. technische, organisatorische oder regulatorische Hürden haben. Ein einheitliches Bewertungsschema macht Einschätzungen vergleichbarer.

Ein Beispiel verdeutlicht den Nutzen: Eine KI-gestützte interne Dokumentensuche kann Effizienzgewinne bringen und überschaubare regulatorische Anforderungen haben. Ein KI-System mit direktem Kundeneinfluss stellt dagegen höhere Anforderungen an beispielsweise Transparenz, Datenqualität und Kontrolle. Die Bewertungsmatrix schafft daraus eine klare Entscheidungslogik: kurzfristig umsetzen, vertieft prüfen, zurückstellen oder verwerfen.

Für die Geschäftsführung entsteht auf diese Weise ein steuerbares KI-Portfolio. Sie erkennt, welche Initiativen zur Unternehmensstrategie passen, welchen Nutzen sie erwarten lassen und welche Ressourcen benötigt werden. Fachbereiche profitieren, weil ihre Ideen strukturiert aufgenommen und transparent bewertet werden. IT-Leitungen erhalten Klarheit über z. B. technische Umsetzbarkeit, Integrationsaufwand und Datenlage.

Auch Compliance und Risikomanagement werden früh eingebunden. Dazu gehören u. a. Anforderungen an die KI Compliance, den Datenschutz und die Informationssicherheit. Diese werden bereits in der Vorbewertung berücksichtigt. Dadurch entsteht eine gemeinsame Sprache zwischen Innovation, IT, Fachbereich, Compliance und Risiko.

Gleichzeitig ersetzt die Matrix keine Detailprüfung. Sie dient der frühen Orientierung und kann Risiken, Pflichten und technische Herausforderungen nur grob erfassen. Vor der Einführung bleiben weitere Prüfungen notwendig, etwa die Datenschutz-Folgenabschätzung und die Lieferantenbewertung.

Gerade bei vielen KI-Ideen und begrenzten Ressourcen verhindert die Bewertungsmatrix jedoch unnötigen Aufwand in Vorhaben, deren Nutzen oder Umsetzbarkeit unklar ist. KI ist nicht nur ein regulatorisches Risiko, sondern eine strategische Chance. Unternehmen müssen Nutzen, Aufwand, Risiken und regulatorische Anforderungen gemeinsam betrachten.

Die weiterentwickelte KI Bewertungsmatrix hilft, Chancen des KI-Einsatzes zu bewerten, Nutzenpotenziale sichtbar zu machen, Aufwände realistisch einzuschätzen und Anwendungsfälle nachvollziehbar zu priorisieren. Besonders wertvoll ist sie für Unternehmen, die viele Ideen sammeln, aber begrenzte Ressourcen für Umsetzung, Prüfung und Betrieb haben. Statt aus dem Bauch heraus zu entscheiden, entsteht eine Grundlage für Priorisierung und Governance.

Eine strukturierte Bewertungsmatrix ist damit ein zentraler Baustein für fundierte Entscheidungen über KI-Anwendungsfälle. Sie unterstützt Unternehmen dabei, personelle und finanzielle Ressourcen gezielt einzusetzen und die vielversprechendsten Vorhaben nachvollziehbar zu priorisieren.

Bildquelle: KI-generierte Illustration

Bei KI-Projekten in der Finanzindustrie sind neben dem AI Act auch die Anforderungen der DORA zu beachten. Ein Entscheidungsbaum hilft, die KI Compliance zu gewährleisten und liefert auditierbare Nachweise.

KI-Lösungen versprechen effizientere Prozesse, bessere Analysen und schnellere Entscheidungen. Im Finanz- und Unternehmenskontext stehen sie jedoch im Spannungsfeld zwischen Innovation, Effizienz und regulatorischer Sicherheit. Unternehmen müssen deshalb frühzeitig klären, welche regulatorischen Anforderungen der KI-Einsatz konkret auslöst.

Besonders relevant sind dabei der EU AI Act (Verordnung (EU) 2024/1689) und der Digital Operational Resilience Act (DORA) (Verordnung (EU) 2022/2554). Der EU AI Act verfolgt einen risikobasierten Ansatz und unterscheidet zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen und weiteren Pflichten, die je nach Rolle und Nutzung variieren. DORA stellt Anforderungen an die digitale operationale Resilienz, etwa an das IKT-Risikomanagement, die Meldung von IKT-Vorfällen, Resilienztests und das Management von Drittparteienrisiken.

Wo liegt das Problem?

In der Praxis werden AI Act und DORA oft getrennt betrachtet. Das greift jedoch zu kurz, denn KI-Systeme sind in der Finanzindustrie von beiden Regelwerken gleichermaßen betroffen. Ein im Rahmen einer Masterarbeit entwickelter Entscheidungsbaum zum regulatorisch konformen KI-Einsatz hilft Unternehmen, diese Zusammenhänge strukturiert zu prüfen und Compliance-Anforderungen frühzeitig sichtbar zu machen.

Der Grund dafür liegt in der Art, wie KI-Systeme heute eingesetzt werden. Sie greifen auf Daten zu, werden in IT-Landschaften integriert, nutzen externe Modelle oder Cloud-Dienste und beeinflussen mitunter geschäftskritische Prozesse. Damit berühren sie nicht nur Fragen der KI Compliance, sondern auch Sicherheit, Verfügbarkeit, Auslagerung, Überwachung und Nachweisbarkeit.

Während der EU AI Act nach dem Risiko eines KI-Systems fragt, setzt DORA bei der digitalen Betriebsfähigkeit an. Unternehmen müssen nach dem EU AI Act unter anderem prüfen, ob ein System in den Anwendungsbereich fällt, welche regulatorische Rolle sie einnehmen und ob ein Hochrisiko-KI-System vorliegt. Daraus können Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Protokollierung, Transparenz und menschliche Aufsicht entstehen.

DORA ergänzt diese Perspektive um Anforderungen an die Steuerung von IKT-Risiken, die Meldung von schwerwiegenden IKT-Vorfällen, die Durchführung von Resilienztests und die Überwachung und Steuerung externer IKT-Dienstleister. Für KI im Finanzsektor ist das besonders relevant, weil KI-Lösungen häufig Teil der digitalen Wertschöpfung und damit auch Teil der IKT-Risikolandschaft sind.

Wie eng beide Regelwerke zusammenwirken können, zeigt das Beispiel einer KI zur Unterstützung von Kreditentscheidungen. Ein solcher Einsatz kann eine Hochrisiko-Prüfung nach dem AI Act auslösen. Wird die Lösung zugleich über einen externen Anbieter betrieben oder in kritische und wichtige Prozesse eingebunden, können zusätzlich DORA-Anforderungen an Drittparteienrisiken, Verträge, IKT-Vorfallsprozesse und Resilienztests relevant werden.

Welchen Mehrwert bietet der Entscheidungsbaum?

Genau an dieser Schnittstelle setzt der Entscheidungsbaum an. Er führt Schritt für Schritt durch zentrale Prüffragen und schafft eine nachvollziehbare Grundlage für die erste regulatorische Einordnung. Er ersetzt keine Rechtsberatung, hilft aber dabei, relevante Pflichten, Risiken und Nachweise systematisch zu identifizieren.

Am Anfang steht der Einsatzzweck der KI-Lösung. Wird das System intern zur Effizienzsteigerung genutzt? Werden Entscheidungen gegenüber Kunden, Mitarbeitenden oder Dritten unterstützt? Sind sensible Bereiche wie Kreditwürdigkeit, Betrugsprävention oder Personalentscheidungen betroffen? Die Antworten darauf sind entscheidend, weil regulatorische Pflichten stark vom konkreten Nutzungskontext abhängen.

Darauf aufbauend wird die regulatorische Rolle geprüft. Ist das Unternehmen Anbieter, Betreiber oder Teil einer Lieferkette? Das zu wissen ist für die KI Governance von zentraler Bedeutung, weil sich daraus Verantwortlichkeiten, Prüfpflichten und Nachweispflichten ergeben.

Im nächsten Schritt betrachtet der Entscheidungsbaum mögliche Hochrisiko-Konstellationen nach dem EU AI Act. Parallel werden DORA-Bezüge geprüft. Dabei geht es unter anderem darum, ob die KI-Lösung eine IKT-Komponente ist, ob sie kritische Funktionen unterstützt, ob externe Dienstleister eingebunden sind und ob weitere Anforderungen z. B. an das IKT-Vorfallsmanagement, Resilienztests, die Drittbezugsrisikosteuerung und an die Dokumentation entstehen.

Besonders wertvoll ist dieser Ansatz in frühen Projektphasen. Viele KI-Projekte beginnen mit einer fachlichen Idee. Ein Prozess soll automatisiert, ein Chatbot eingeführt oder eine Prognose verbessert werden. Regulatorische Fragen werden jedoch oft erst später gestellt. Dann sind Architektur, Anbieterwahl oder Datenflüsse häufig bereits festgelegt.

Ein Entscheidungsbaum KI verlagert diese Prüfung nach vorn. Fachbereich, IT, Compliance, Datenschutz, Informationssicherheit und Risikomanagement erhalten eine gemeinsame Entscheidungslogik. Anforderungen lassen sich früh abstimmen, statt sie nachträglich in ein laufendes Projekt einzubauen.

Gerade bei DORA Compliance ist diese Verbindung wichtig. Wenn eine KI-Lösung über externe Anbieter betrieben wird, reicht eine isolierte AI-Act-Prüfung nicht aus. Unternehmen müssen auch die DORA-Anforderungen an Verträge, Kontrollrechte, Notfallkonzepte und Überwachungsmechanismen für IKT-Drittdienstleister betrachten.

Wie unterstützt der Entscheidungsbaum interne und externe Audits?

Damit leistet der Entscheidungsbaum auch einen Beitrag zu Governance, Compliance und Auditierbarkeit. Regulatorische Anforderungen an KI verlangen mehr als einzelne Dokumente. Unternehmen müssen zeigen können, warum ein KI-System in einer bestimmten Weise eingeordnet wurde, wer verantwortlich ist, welche Risiken bewertet wurden und welche Kontrollen vorgesehen sind.

Der Entscheidungsbaum macht die Antworten auf Fragen zum Einsatzzweck, der Rolle und Risikoklassifikation bis hin zu DORA-Bezügen und Drittparteienrisiken nachvollziehbar, weil diese in einem Ergebnisdokument detailliert dargestellt werden.

Für die KI Governance ist besonders wertvoll, dass unterschiedliche Perspektiven zusammengeführt werden. Vertrauenswürdige KI besteht nicht nur aus Modellqualität, sondern auch aus kontrollierten Prozessen, Dienstleistersteuerung und sauberer Dokumentation. Zudem unterstützt der Entscheidungsbaum die Standardisierung. Wiederkehrende KI-Anwendungsfälle können entlang eines einheitlichen Prüfrasters eingeordnet werden. Das erhöht Konsistenz, beschleunigt Abstimmungen und verbessert die Auditierbarkeit.

Gleichzeitig bleibt wichtig, die Grenzen des Ansatzes klar zu benennen. Der Entscheidungsbaum ersetzt keine rechtliche Einzelfallprüfung. AI Act und DORA enthalten komplexe Anforderungen, die je nach Branche, Geschäftsmodell, Datenbasis, Architektur und KI-Einsatz unterschiedlich wirken können. Auch Datenschutzrecht, Aufsichtspraxis, Auslagerungsvorgaben und interne Richtlinien können relevant sein.

Seine Stärke liegt daher in der strukturierten Orientierung. Er stellt die richtigen Fragen, macht regulatorische Abhängigkeiten sichtbar und zeigt früh, wo eine vertiefte Prüfung notwendig ist.

Fazit

KI wird für Unternehmen immer wichtiger. Gleichzeitig steigen die Anforderungen an Transparenz, Sicherheit, Resilienz und Nachweisbarkeit. AI Act und DORA sollten deshalb nicht als getrennte Prüfwelten verstanden werden. Viele KI-Lösungen lösen zugleich KI-spezifische Pflichten und Anforderungen an digitale operationale Resilienz aus.

Ein Entscheidungsbaum macht diese Komplexität handhabbar. Er führt durch Fragen zum Einsatzzweck, zur Rolle, zur Hochrisiko-Einstufung, zu DORA-Bezügen, Drittparteienrisiken und Nachweisen. So entsteht eine gemeinsame Entscheidungslogik für Fachbereich, IT, Compliance, Datenschutz und Risikomanagement.

Unternehmen, die KI-Projekte früh strukturiert prüfen, schaffen bessere Voraussetzungen für Innovation, Governance und Auditierbarkeit.

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union weitgehende Pflichten für Hersteller von Soft- und Hardware erlassen, die ab dem 11. Dezember 2027 gelten. Schon ab 11. September 2026 müssen die Hersteller der Aufsichtsbehörde identifizierte Schwachstellen melden und die Nutzer des digitalen Produkts darüber informieren.

Wer ein Produkt kauft oder least erwartet zu Recht, dass es einwandfrei funktioniert und den Zweck erfüllt, zu dem es eingesetzt wird. Bei digitalen Produkten wie Software und Hardware erwartet der Nutzer aber noch mehr: es muss Informationen sicher verarbeiten und resilient gegen böswillige Angriffe sein. Genau hier setzt der Cyber Resilience Act (CRA) der EU an. Er verlangt, dass alle digitalen Produkte, die in der EU auf den Markt gebracht werden, sicher konzipiert sind, über ein angemessenes Schwachstellenmanagement verfügen und während ihres gesamten Lebenszyklus die notwendigen Sicherheitsupdates erhalten. Diese Pflichten betreffen nicht nur die Hersteller, sondern auch Importeure und Händler von Soft- und Hardwareprodukten. Ausgenommen sind lediglich Produkte im Kontext der nationalen Sicherheit, der zivilen Luftfahrt und der Medizin sowie Fahrzeuge und In-vitro-Diagnostika.

Was zunächst wie Bürokratie erscheint, ist letztlich ein klarer Wettbewerbsvorteil für diejenigen, die den CRA zum Nutzen ihrer Kunden konsequent umsetzen:

• Der Nutzer weiß bereits bei der Anschaffung, dass das Produkt so designt wurde, dass es die Anforderungen der betreffenden Kritikalitätsklasse erfüllt.
• Während der Verwendungszeit kann sich der Nutzer sicher sein, dass der Hersteller Schwachstellen des Produkts zeitnah identifiziert und behebt und so die Sicherheit und Widerstandsfähigkeit seines Produkts gewährleistet.

Und damit sind auch die zwei großen Herausforderungen für Hersteller, Importeure und Händler digitaler Produkte beschrieben: Die sichere Produktentwicklung und die Gewährleistung der Produktsicherheit während seines gesamten Lebenszyklus.

Als Beratungsgesellschaft unterstützen wir Unternehmen genau an dieser Schnittstelle zwischen Technologie, Governance und Compliance mit

• einer CRA-Betroffenheitsanalyse,
• einem CRA Maturity Assessment auf Basis des ENISA-Modells für KMUs,
• der Definition von Rollen, Verantwortlichkeiten und Eskalationswegen innerhalb des Unternehmens,
• dem Aufbau von Vulnerability-Management-Prozessen und Product Security Incident Response Teams (PSIRT),
• der Entwicklung von Melde- und Kommunikationsprozessen für identifizierte Schwachstellen und
• der Begleitung des Unternehmens zur Audit- und Compliance-Readiness.

Bereits ab 11. September 2026 sind aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle in Verbindung mit dem Produkt über die Single Reporting Platform (SRP) an die ENISA zu melden. Die Meldefristen sind mit 24 Stunden für die Erstmeldung, 72 Stunden für vertiefende Informationen sowie die Beschreibung ergriffener Korrektur- und Risikominderungsmaßnahmen und 14 Tagen für den Abschlussbericht sehr kurz bemessen. Außerdem müssen die Nutzer der digitalen Produkte über die Schwachstelle informiert werden und konkrete Hinweise zu Korrektur- und Abhilfemaßnahmen erhalten, die sie selbst ergreifen können.

Da der Cyber Resilience Act ab 11. Dezember 2027 in seinem vollen Umfang anzuwenden ist, sollten Unternehmen die Zeit bis dahin gut nutzen, um die Prozesse für das Produktdesign und den Support so anzupassen, dass alle Anforderungen erfüllt werden können.

Wir unterstützen Sie gerne bei der CRA-Betroffenheitsanalyse, der CRA-Reifegradbestimmung Ihres Unternehmens und bei der Umsetzung der Anforderungen des Cyber Resilience Act. Machen Sie die CRA-Compliance zu Ihrem Wettbewerbsvorteil!

Operative Resilienz wird zum entscheidenden Wettbewerbsfaktor

Die Digitalisierung des Finanzsektors schreitet weiter voran. Gleichzeitig steigen die Anforderungen an die Stabilität und Verfügbarkeit von IT-Systemen. Zwei aktuelle Veröffentlichungen liefern hierzu wertvolle Erkenntnisse:

• Der Bericht der ESAs zu schwerwiegenden IKT-Vorfällen unter DORA analysierte erstmals EU-weit Vorfälle aus dem Jahr 2025.
• Der Basler Ausschuss für Bankenaufsicht untersuchte die Ursachen von IKT-Ausfällen und erfolgreiche Praktiken im IKT-Risikomanagement.

Die zentrale Botschaft beider Berichte: Die größte Herausforderung liegt heute nicht mehr ausschließlich in Cyberangriffen, sondern zunehmend in der Beherrschung komplexer IT-Landschaften, Abhängigkeiten von Drittanbietern und fehleranfälligen Änderungsprozessen.

Die gute Nachricht lautet: Maßnahmen zur Cybersicherheit sind wirksam und können Schäden rechtzeitig begrenzen.

3.383 schwerwiegende IKT-Vorfälle in nur einem Jahr

Laut den ESAs wurden im Jahr 2025 insgesamt 3.383 schwerwiegende IKT-bezogene Vorfälle gemeldet. Besonders betroffen waren Kreditinstitute und Zahlungsdienstleister.

Bemerkenswert ist dabei:

• Rund ein Drittel aller Vorfälle hatte grenzüberschreitende Auswirkungen.
• Fast ein Drittel der Vorfälle stand im Zusammenhang mit Drittanbietern.
• Die häufigsten Ursachen waren Systemausfälle, Prozessfehler und externe Ereignisse.
• Zwei Drittel der Vorfälle konnten jedoch frühzeitig erkannt und erfolgreich eingedämmt werden.

Die Zahlen zeigen: Nicht jeder Vorfall entwickelt sich zur Krise. Entscheidend ist die Fähigkeit eines Unternehmens, Störungen schnell zu erkennen, wirksam zu steuern und kontrolliert wiederherzustellen.

Die größten Risikotreiber: Änderungen, Komplexität und Drittanbieter

Der Bericht des Basler Bankenausschusses identifiziert vier Hauptursachen für nicht böswillige IKT-Vorfälle:

1. Schwächen im Änderungsmanagement

2. Mängel in Design, Entwicklung und Testprozessen

3. Kapazitäts- und Leistungsprobleme

4. Ausfälle bei externen Dienstleistern

Besonders das Änderungsmanagement sticht hervor. Banken berichten von Millionen technischer Änderungen pro Jahr. Bereits kleine Fehler können weitreichende Auswirkungen auf Kundenservices, Zahlungsverkehr oder digitale Kanäle haben.

Gleichzeitig steigt die Komplexität moderner IT-Landschaften: Cloud-Services, Microservices, APIs und externe Plattformen schaffen neue Möglichkeiten – erhöhen aber auch die Zahl kritischer Abhängigkeiten.

DORA verschiebt den Fokus von Compliance auf Resilienz

Ein zentrales Ergebnis beider Berichte ist der Wandel im Verständnis von IKT-Risiken.

Früher stand häufig die formelle Einhaltung regulatorischer Anforderungen im Vordergrund. Heute rückt die tatsächliche Widerstandsfähigkeit von Geschäftsprozessen in den Fokus.

Erfolgreiche Institute investieren daher verstärkt in:

• Business Continuity Management und Disaster Recovery
• Echtzeit-Monitoring und Frühwarnsysteme
• Automatisierte Incident-Management-Prozesse
• Umfassende Asset- und Abhängigkeitsinventare
• Konsequentes Risikomanagement für Drittanbieter
• Regelmäßige Resilienz- und Wiederherstellungstests

DORA macht deutlich, dass Unternehmen nicht nur Risiken dokumentieren müssen. Sie müssen nachweisen können, dass kritische Geschäftsprozesse auch unter Störungsbedingungen funktionsfähig bleiben.

KI und Automatisierung gewinnen an Bedeutung

Sowohl die ESAs als auch der Basler Bankenausschuss beobachten einen zunehmenden Einsatz von KI-gestützten Lösungen.

Typische Anwendungsfälle sind:

• Anomalieerkennung
• Kapazitätsprognosen
• Ursachenanalysen
• Testautomatisierung
• Unterstützung im Incident Management

Gleichzeitig betonen die Aufsichtsbehörden, dass menschliche Kontrolle weiterhin unverzichtbar bleibt. KI kann Risiken schneller erkennen, die Verantwortung für Entscheidungen verbleibt jedoch bei den Organisationen.

Handlungsempfehlungen für Finanzunternehmen

Die aktuellen Erkenntnisse lassen sich in fünf konkrete Prioritäten übersetzen:

1. Änderungsmanagement professionalisieren

Automatisierte Deployments, risikobasierte Freigaben und produktionsnahe Tests reduzieren Ausfallrisiken erheblich.

2. Transparenz über kritische Abhängigkeiten schaffen

Vollständige Asset-Inventare und End-to-End-Abhängigkeitsanalysen werden zunehmend zum Erfolgsfaktor.

3. Drittanbieter stärker steuern

Vertragswerke, Exit-Strategien, kontinuierliche Überwachung und Resilienztests müssen fester Bestandteil des Third-Party-Risk-Managements sein.

4. Wiederherstellungsfähigkeit regelmäßig testen

Disaster-Recovery-Tests sollten realistische Szenarien simulieren und nicht nur als Compliance-Übung betrachtet werden.

5. Resilienz als Managementthema etablieren

Operative Resilienz ist kein IT-Thema mehr. Sie betrifft Governance, Prozesse, Technologie und Organisation gleichermaßen.

Fazit

Die aktuellen Berichte der ESAs und des Basler Bankenausschusses zeigen deutlich: Die Zukunft der Finanzbranche hängt an drei Fähigkeiten:

• ausnutzbare Lücken für Cyberangriffe zu minimieren, Angriffe schnell zu erkennen und abzuwehren,
• Drittanbieter und deren Sub-Unternehmer wirksam zu steuern und
• komplexe IT-Ökosysteme zu beherrschen.

DORA setzt hierfür den regulatorischen Rahmen. Die eigentliche Herausforderung besteht jedoch darin, operative Resilienz als festen Bestandteil der Unternehmenssteuerung zu etablieren.

Unternehmen, die Transparenz schaffen, ihre kritischen Prozesse kennen und ihre Wiederherstellungsfähigkeit kontinuierlich testen und verbessern, werden langfristig stabiler aufgestellt sein – regulatorisch wie auch wirtschaftlich.

Von Isaac Michael, Informationssicherheitsbeauftragter (ISB)

Was sich geändert hat:

Das BSI hat seine Handreichung zur Schulung von Geschäftsleitungen aktualisiert.

Auf den ersten Blick wirkt das wie eine normale Überarbeitung. Bei genauerem Hinsehen zeigt sich aber eine wichtige fachliche Verschiebung:

Weg von einer vorläufigen Orientierung am NIS-2-Umsetzungsgesetzentwurf.
Hin zu einer praxisnäheren Einordnung der Schulungspflicht nach dem novellierten BSI-Gesetz.

1. Vom Entwurf zum geltenden BSIG

Die alte Fassung bezog sich noch auf den NIS-2-Umsetzungsgesetzentwurf und arbeitete mit dem Begriff BSIG-E.

Die neue Fassung stellt die Schulungspflicht nun in den Kontext des geltenden BSIG. Damit wird klarer: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind nicht nur Adressaten einer Sensibilisierung. Sie tragen Verantwortung für Umsetzung und Überwachung von Risikomanagementmaßnahmen.

Cybersicherheit wird damit endgültig zur Leitungs- und Governance-Aufgabe.

2. Weniger starres Schulungsschema

Eine der wichtigsten Änderungen betrifft Intervall und Dauer.

Die alte Fassung enthielt noch eine Orientierung an mindestens dreijährigen Schulungsintervallen und durchschnittlich halbtägigen Schulungen.

Die neue Handreichung ist flexibler. Sie betont stärker den risikobasierten Ansatz. Entscheidend sind insbesondere:

• Risikoexposition der Einrichtung
• Vorkenntnisse der Geschäftsleitung
• Änderungen in Geschäftsprozessen
• Änderungen der Bedrohungs- oder Maßnahmenlage
• Wechsel in der Geschäftsleitung

Damit rückt weniger die Frage in den Mittelpunkt, „wie lange“ geschult wird, sondern ob die Schulung Geschäftsleitungen tatsächlich befähigt, informierte Entscheidungen zu treffen.

3. Schulung als Managementbefähigung

Die neue Handreichung macht deutlich: Geschäftsleitungen sollen nicht zu technischen Experten ausgebildet werden.

Sie müssen aber Risiken, Maßnahmen und deren Auswirkungen ausreichend verstehen, um fundierte Entscheidungen treffen zu können.

Dazu gehört insbesondere:

• Cyberrisiken als Geschäftsrisiken einzuordnen
• Risikomanagementmaßnahmen bewerten zu können
• Zielkonflikte zwischen Sicherheit, Wirtschaftlichkeit und Betriebsfähigkeit zu erkennen
• Ressourcenentscheidungen nachvollziehbar zu treffen
• die Umsetzung von Maßnahmen wirksam zu überwachen

Der eigentliche Nachweis guter Schulung liegt daher nicht nur in einer Teilnahmebescheinigung. Er zeigt sich vor allem in der gelebten Entscheidungs- und Steuerungspraxis.

4. Mehr Praxisbezug durch neue Schulungsformate

Besonders relevant ist der stärkere Fokus auf praxisnahe Formate.

Das BSI nennt unter anderem Tabletop Exercises, Audit-Simulationen, Management Red-/Blue-Teaming, Szenarien, Übungen, Case Studies und Live-Hacking als mögliche Bestandteile.

Das ist konsequent. Denn Risikomanagement bleibt abstrakt, solange es nur über Pflichten, Begriffe und Normen vermittelt wird.

Wirklich wirksam wird eine Schulung erst dann, wenn Geschäftsleitungen typische Entscheidungssituationen durchspielen:

• Was passiert bei einem Ransomware-Angriff?
• Wer entscheidet über Prioritäten bei der Wiederherstellung?
• Wann muss gemeldet werden?
• Welche Risiken werden bewusst akzeptiert – und welche nicht?

Genau diese Fragen machen Cybersicherheit greifbar.

5. Dokumentation wird konkreter

Auch beim Nachweis wird die neue Handreichung präziser.

Dokumentiert werden sollten insbesondere Anbieter oder interne Stelle, Teilnehmende mit Rolle, Datum, Dauer, Inhalte, Formate und der Bezug zu den gesetzlichen Anforderungen.

Wichtig ist aber: Die Dokumentation belegt zunächst nur die Teilnahme. Ob ausreichende Kenntnisse und Fähigkeiten tatsächlich vorliegen, zeigt sich erst in der aktiven Mitwirkung der Geschäftsleitung an Risikomanagemententscheidungen.

6. Fazit

Die neue BSI-Handreichung verschiebt den Fokus spürbar:

Von formaler Schulungspflicht zu wirksamer Managementbefähigung.

Für betroffene Einrichtungen bedeutet das: Geschäftsleitungsschulungen sollten nicht als isolierter Pflichttermin verstanden werden. Sie sollten Teil eines belastbaren Governance- und Risikomanagementansatzes sein.

Entscheidend ist, dass Geschäftsleitungen die richtigen Fragen stellen, Risiken angemessen bewerten, Ressourcen bewusst priorisieren und ihre Verantwortung nachvollziehbar wahrnehmen.

Denn Cybersicherheit ist nicht nur IT-Aufgabe.

Sie ist Führungsaufgabe.

Genau hier unterstützen wir Organisationen: mit praxisnahen Geschäftsleitungsschulungen nach § 38 Abs. 3 BSIG, die regulatorische Anforderungen, konkrete Risikoszenarien und die Rolle der Geschäftsleitung miteinander verbinden.

Unser Anspruch ist dabei nicht reine Wissensvermittlung, sondern Entscheidungsfähigkeit: verständlich, anwendungsnah und auf die jeweilige Organisation zugeschnitten.

Quelle: BSI – NIS-2-Geschäftsleitungsschulung

Von Michael Jahn, Director Business Services

Kurzgeschichte

Der Termin war auf 60 Minuten angesetzt. Nach 90 Minuten war klar: Es gibt kein Ergebnis.

Zwölf Teilnehmende, drei Hierarchieebenen, unzählige Perspektiven – und ein gemeinsames Ziel, das eigentlich klar schien. Die Tools waren vorhanden. Die Daten lagen auf dem Tisch. Die Expertise ebenso.

Und trotzdem: keine Entscheidung.

Was in diesem Meeting gefehlt hat, war nicht Technologie. Es fehlte Struktur. Klarheit. Führung im Prozess. Diese Situation ist kein Einzelfall – sie ist Alltag in vielen Organisationen. Und genau hier beginnt für uns das Thema digitale Resilienz.

Digitale Resilienz wird oft falsch verstanden

Wenn ich mit Kunden über digitale Resilienz spreche, höre ich häufig zuerst: „Wir brauchen bessere Tools.“ Neue Plattformen, Automatisierung, KI – all das ist wichtig. Aber es greift zu kurz. Denn die entscheidende Frage ist nicht: Welche Tools nutzen wir?

Sondern: Wie gut sind wir als Organisation in der Lage, gemeinsam klar zu denken, fundiert zu entscheiden und kontinuierlich zu lernen?

Digitale Resilienz entsteht nicht durch Technologie. Sie entsteht durch Zusammenarbeit.

Warum Technologie allein nicht reicht

In den letzten Jahren habe ich zahlreiche Organisationen begleitet – von IT-Transformationen über den Aufbau von Service- und Operations-Strukturen bis hin zu komplexen Change-Initiativen. Ein Muster zeigt sich dabei immer wieder:

· Moderne Tools sind vorhanden

· Prozesse sind definiert

· Fachliche Kompetenz ist hoch

Und dennoch:

· Meetings bleiben ohne Ergebnis

· Entscheidungen ziehen sich unnötig in die Länge

· Teams arbeiten nebeneinander statt miteinander

· Gemeinsames Verständnis fehlt

Das Problem liegt selten in der Technologie. Es liegt in der Art und Weise, wie Zusammenarbeit gestaltet wird.

Das unterschätzte Spielfeld: Facilitation

In meiner Arbeit ist mir eines immer klarer geworden:

Erfolgreiche Organisationen zeichnen sich nicht nur durch gute Tools aus. Sie zeichnen sich durch die Fähigkeit aus, Zusammenarbeit wirksam zu gestalten. Genau hier setzt Facilitation an.

Für mich bedeutet Facilitation:

· Räume zu schaffen, in denen Klarheit entstehen kann

· Gespräche so zu strukturieren, dass Ergebnisse möglich werden

· Teams zu befähigen, Verantwortung zu übernehmen

Das klingt einfach – ist aber ein entscheidender Hebel.

Denn dort, wo Zusammenarbeit strukturiert und bewusst gestaltet wird, entsteht echte Handlungsfähigkeit.

Digitale Resilienz zeigt sich im Alltag

Digitale Resilienz ist kein abstraktes Konzept. Sie zeigt sich in den täglichen Arbeitssituationen:

· Wie schnell kommen wir zu tragfähigen Entscheidungen?

· Wie gehen wir mit Unsicherheit und Komplexität um?

· Wie effektiv nutzen wir die Zeit in Meetings?

· Lernen wir systematisch – oder reagieren wir nur situativ?

Viele Organisationen haben auf diese Fragen keine klaren Antworten. Nicht, weil Wissen fehlt – sondern weil Methoden fehlen.

Wie wir Unternehmen konkret unterstützen

Genau hier setzen wir mit unseren Moderations- und Facilitation-Schulungen an.

Unser Anspruch ist nicht, klassische Moderatoren auszubilden. Unser Ziel ist es, Organisationen entscheidungs- und handlungsfähiger zu machen.

1. Methodenkompetenz aufbauen

Wir vermitteln praxiserprobte Ansätze, die unmittelbar im Arbeitsalltag wirken:

· Strukturierte Entscheidungsverfahren

· Professionelles Workshop-Design

· Visualisierungstechniken

· Formate für effektive Zusammenarbeit

2. Sicherheit im Umgang mit Komplexität stärken

Teilnehmende lernen:

· Diskussionen klar zu führen

· unterschiedliche Perspektiven gezielt einzubinden

· auch in unsicheren Situationen Orientierung zu schaffen

3. Zusammenarbeit wirksam gestalten

Wir arbeiten gezielt an:

· effizienten Meetings

· klaren Kommunikationsstrukturen

· aktiver Beteiligung – auch in hybriden Arbeitsumgebungen

4. Lernen systematisch verankern

Ein zentraler Bestandteil:

· Retrospektiven

· Feedbackmechanismen

· kontinuierliche Verbesserung im Arbeitsalltag

Denn Resilienz entsteht nur dort, wo Lernen bewusst gestaltet wird.

Was sich dadurch verändert

Wenn Teams beginnen, methodisch fundiert zusammenzuarbeiten, verändert sich die Organisation spürbar:

· Diskussionen gewinnen an Klarheit

· Entscheidungen werden schneller und tragfähiger

· Verantwortung wird aktiv übernommen

· Silos werden aufgebrochen

· Veränderung wird gestaltbar

Das ist kein „Soft Skill“-Thema. Es ist ein zentraler Hebel für Performance und Zukunftsfähigkeit.

Fazit: Facilitation als Enabler für digitale Resilienz

Moderation & Facilitation sind ein Enabler für digitale Resilienz, weil sie:

· Orientierung schaffen

· Entscheidungsfähigkeit erhöhen

· Zusammenarbeit stärken

Sie wirken nicht auf der Technologie-Ebene, sondern auf der Organisationsebene – und genau dort entscheidet sich, wie resilient ein Unternehmen wirklich ist.

Warum Cybersicherheit in der Zusammenarbeit mit Lieferanten heute wichtiger ist als je zuvor

Die Anforderungen der NIS2Richtlinie treffen nicht nur Ihr eigenes Unternehmen – sie wirken entlang der gesamten Lieferkette. Jede Schnittstelle zu Lieferanten, Dienstleistern oder technischen Partnern kann zu einem Risiko werden, wenn Cybersicherheitsmaßnahmen nicht aufeinander abgestimmt sind. Genau das erleben wir in der Praxis immer wieder: unterschiedliche Reifegrade, fehlende Zertifizierungen und uneinheitliche Standards schaffen Lücken, die Angreifern ideale Angriffspunkte bieten.

Dieser Beitrag zeigt, welche Gefahren entstehen können, warum harmonisierte Sicherheitsanforderungen so wichtig sind – und wie Unternehmen gemeinsam Lösungen schaffen. 

Gemeinsame Cyberrisiken in vernetzten Lieferketten 

Unternehmen arbeiten heute mit einer Vielzahl externer Partner zusammen:
Rechenzentren, Cloud-Anbieter, Softwarelieferanten, Wartungsfirmen oder Service
Provider. Diese Partner verarbeiten Daten, greifen auf Systeme zu oder betreiben
eigene Infrastrukturen.
Dabei gilt ein einfacher Grundsatz: Cybersicherheit ist nur so stark wie das schwächste
Glied.

In unserer Beratungspraxis sehen wir immer wieder typische Risiken an diesen
Schnittstellen, die in der Zusammenarbeit häufig nicht ausreichend abgestimmt sind:

• Unsichere Systemzugänge von externen Dienstleistern (z. B. RemoteWartung)

• Unklare Patch- und Update-Prozesse, die bei Partnern deutlich verzögert erfolgen

• Unterschiedliche Authentifizierungsstandards (MFA vs. einfache Passwörter)

• Unzureichend gesicherte Cloud- oder SaaSDienste ohne formale Zertifizierung

• Fehlende Sensibilisierung der Mitarbeiter in den Partnerunternehmen

• ShadowIT, wenn Partner Tools einsetzen, von denen Ihr Unternehmen nichts weiß

Selbst dann, wenn Ihre internen Sicherheitsmaßnahmen bereits auf hohem Niveau
sind, können solche Schwachstellen diese Schutzmechanismen aushebeln. Genau
deshalb lohnt sich der Blick auf die gesamte Lieferkette, nicht nur auf das eigene
Haus.

Unterschiedliche Reifegrade: Wenn Zertifikate den Unterschied machen 

Viele Organisationen verfügen über etablierte Standards wie beispielsweise: 

• ISO/IEC 27001

• BSI ITGrundschutz

• TISAX

• NIS2-konformes ISMS

Diese Unternehmen arbeiten meist strukturiert, planvoll, auditierbar und mit klaren Rollenmodellen. 

Doch wie sieht die Realität aus?

Bei vielen kleineren oder weniger regulierten Partnern gibt es lediglich Basismaßnahmen, die oft auch nicht den Stand der Technik abbilden:

• Standard Firewall und Virenschutz ohne Überwachung  

• Spontan gewachsene ITStrukturen ohne nachvollziehbare Architektur 

• IncidentProzesse die weder systematisch verlaufen noch klare Verantwortlichkeiten festgelegt haben 

• Unvollständige oder stark individualisierte Dokumentation  

Das eigentliche Risiko entsteht dann, wenn Unternehmen aus pragmatischen Gründen
ihre eigenen hohen Standards absenken, um die Zusammenarbeit möglich zu machen.
Genau an dieser Stelle entstehen Compliance-Risiken und potenzielle Haftungsfragen
im Kontext von NIS-2. Denn ein Vorfall beim Lieferanten bleibt selten beim Lieferanten.
Er wird schnell zum Problem für Ihr eigenes Unternehmen.

Warum gegenseitige Vereinbarungen unverzichtbar sind

Damit die Sicherheit in der Lieferkette gewährleistet ist, brauchen Unternehmen klar definierte, gemeinsam akzeptierte Regeln.

Aus unserer Erfahrung heraus empfehlen wir vertragliche Regelungen zu treffen, die beiden Seiten als Orientierung zur Stärkung der eigenen Cyberresillienz dienen können: 

• Mindest-Sicherheitsanforderungen festlegen 

• Dokumentationspflichten für den Nachweis von Sicherheitsmaßnahmen 

• Gemeinsame Vorgaben zu Identitäts- & Zugriffsmanagement 

• Regeln für den Austausch von Informationen und Daten 

• Meldepflichten für Sicherheitsvorfälle 

• Verpflichtung zu regelmäßigen Audits 

• Regeln für Remote Zugriffe und gemeinsame Systeme 

Wichtig ist dabei die Haltung: Gegenseitige Kontrollen sind kein Ausdruck von Misstrauen. Sie schaffen Klarheit, schützen beide Seiten und sorgen dafür, dass im Ernstfall nicht erst Zuständigkeiten und Erwartungen geklärt werden müssen.
Audits verstehen wir deshalb nicht als Sanktion, sondern als Instrument gemeinsamer Verbesserung.

Praktische Lösungen für eine sichere Zusammenarbeit

Wir unterstützen Unternehmen dabei, ihre Lieferkette so aufzustellen, dass Sicherheitsanforderungen nicht nur dokumentiert, sondern im Alltag auch wirklich gelebt werden.

✔ Gemeinsame Risikoanalysen durchführen 

Identifizieren Sie kritischer Schnittstellen und Systeme auf beiden Seiten. 

✔ Abgleich der Cybersicherheitsreife vornehmen 

Stellen Sie sich mit Ihrem Partner folgende Fragen: Wo steht der eigene Partner? Welche Lücken sind kritisch? Welche Maßnahmen sind realistisch? 

✔ Wir moderieren Workshops & Awareness-Programme  

Sensibilisieren Sie alle beteiligten Mitarbeiter bis zur Geschäftsleitung. 

✔ Wir unterstützen bei der Einführung struktureller Sicherheitsmaßnahmen 

Wir begleiten die Einführung oder Aufrechterhaltung von Managementsystemen (ISO 27001, TISAX, BSI-Grundschutz etc.) und erstellen mit Ihnen Policies, Rollenmodelle, Passwort- und Berechtigungskonzepte. 

✔ Lieferantenaudits planen und umsetzen 

Gemeinsam mit Ihrem Personal helfen wir bei der regelmäßigen Planung, vereinbaren Termine und sorgen für Transparenz der Ergebnisse. Damit Lieferantenaudits nicht als Kontrolle, sondern als gemeinsame Qualitätsmaßnahme erlebt werden

Wie wir Sie darüber hinaus konkret unterstützen

Wir unterstützen Unternehmen entlang der gesamten Sicherheitskette, insbesondere dort, wo NIS2 klare Pflichten definiert. 

Unsere Angebote für Ihre NIS2Konformität und sichere Lieferketten: 

1. Ausbildung interner Auditoren

• Praxisnahe Schulung interner Auditoren nach ISO 19011  

• Ausbau der Methodenkompetenz für Informationssicherheits- und andere Beauftragte 

• Wir entwickeln Umsetzungswissen speziell für Lieferantenaudits 

2. Schulungen aller Mitarbeiterebenen

• Individuelle Awareness für unterschiedliche Fachbereiche 

• Spezielle Trainings für Führungskräfte und Geschäftsleitung (NIS2Pflicht!) 

• Rollenbezogene Schulungen für IT, Einkauf und Vertrieb 

3. Unterstützung bei Lieferantenaudits

• Mitarbeite bei der Auditplanung und Risikobewertung 

• Erstellung von Auditprogrammen und Fragenkatalogen 

• Durchführung von Audits gemeinsam oder vollständig delegiert 

• Bewertung des Reifegrades und Maßnahmenpläne 

4. Harmonisierung der Sicherheitsanforderungen

• Erstellung von Mindeststandards 

• Entwicklung von Lieferantenrichtlinien 

• Definition von Sicherheitsanhängen für Verträge (z. B. SLA, NDA, AVV) 

5. Begleitung bei der Umsetzung

• Einführung und Aufrechterhaltung eines Informationssicherheitsmanagementsystems 

• Aufbau eines durchgängigen Lieferketten-Sicherheitsmanagements 

• Coaching von Verantwortlichen im Tagesgeschäft 

Die NIS-2-Richtlinie macht deutlich: Cybersicherheit endet nicht an der Grenze Ihres Unternehmens.

Sichere Lieferketten entstehen dort, wo Unternehmen und ihre Partner Verantwortung gemeinsam tragen. Mit klaren Vereinbarungen, nachvollziehbaren Standards, regelmäßigen Audits und einem praxistauglichen Vorgehen schaffen Sie die Grundlage für mehr Sicherheit, mehr Resilienz und mehr Handlungsfähigkeit. Wir unterstützen Sie dabei, Ihre Partner systematisch einzubinden, Risiken frühzeitig zu erkennen und Sicherheitsanforderungen so umzusetzen, dass sie im Alltag funktionieren.