Einleitung
DORA war für viele Institute zunächst ein regulatorisches Pflichtprogramm. Die Umsetzung erfolgte unter hohem Zeitdruck und war mit erheblichem Aufwand verbunden. In der Erstumsetzung stand daher häufig die formale Normerfüllung im Vordergrund; die Frage, wie die neuen Prozesse im laufenden Betrieb effizient, skalierbar und qualitativ hochwertig gesteuert werden können, wurde dagegen meistens erst nachgelagert beantwortet.
 
Mit zunehmender Reife der DORA-Umsetzung verschiebt sich der Fokus: Es geht nicht mehr nur darum, regulatorische Mindestanforderungen zu erfüllen, sondern DORA als Ausgangspunkt für ein zukunftsfähiges Steuerungsmodell digitaler Resilienz zu nutzen. Genau hier eröffnet der gezielte Einsatz von Künstlicher Intelligenz (KI) eine Chance. KI kann Prozesse beschleunigen, große Datenmengen effizient verarbeiten, Entscheidungsvorlagen verbessern und insbesondere im Risikomanagement eine kontinuierliche, selbstlernende und vorausschauende Steuerung ermöglichen.

Warum jetzt handeln?
Viele DORA-Prozesse sind funktional, aber noch nicht effizient. Sie sind häufig manuell geprägt, über verschiedene Bereiche (fragmentiert) verteilt und nur begrenzt skalierbar. Gleichzeitig steigt die regulatorische Dynamik, die Systemkomplexität und die Geschwindigkeit cyberbezogener Bedrohungen. ^[9] Damit wächst der Druck, DORA nicht nur als Dokumentations- und Meldepflicht zu verstehen, sondern als operatives Steuerungsinstrument für digitale Resilienz.
 
Dass Cyberrisiken sowie Risiken aus der Informations- und Kommunikationstechnologie (IKT) kein abwegiges Szenario darstellen, zeigen die jüngsten Signale der Aufsicht. ^[1] Die Europäische Zentralbank weist darauf hin, dass der Fortschritt bei KI-Modellen die Anforderungen an das Schwachstellenmanagement und die operative Resilienz erhöht. ^[6] Gleichzeitig verdeutlichen aktuelle Untersuchungen zur Finanzstabilität im KI-Zeitalter, dass bestimmte KI-Architekturen selbst neue Dynamiken und Instabilitäten erzeugen können. Das zeigt exemplarisch die Entwicklung des KI-Sprachmodells „Claude Mythos Preview“ (LLM) von Anthropic, das als bahnbrechend im Bereich der Cybersicherheit angesehen wird. ^[2] Bei bewusst böswilligem Einsatz kann es die digitale operative Resilienz von Banken beeinflussen.
 
Für Banken folgt daraus ein doppelter Handlungsauftrag: KI als Chance zur besseren DORA-Steuerung nutzen und zugleich KI-bedingte Risiken DORA-konform beherrschen.

Die 5 Säulen von DORA
Um zu prüfen, an welchen Stellschrauben ein KI-Einsatz zielführend erscheint, ist zunächst die Norm „DORA“ und deren inhaltliche Einteilung zu betrachten.

Der „Digital Operational Resilience Act“, kurz DORA, ist eine verbindliche EU-Verordnung (EU 2022/2554), die am 17. Januar 2023 in Kraft getreten ist und seit dem 17. Januar 2025 in allen EU-Mitgliedsstaaten verbindlich anzuwenden ist. Sie hat zum Ziel, die Cybersicherheit und digitale Widerstandsfähigkeit in Zeiten geopolitischer Unsicherheiten im Finanzsektor zu stärken. ^[3] Betroffen hiervon sind nahezu alle Finanzunternehmen, wie Banken, Versicherungsunternehmen und FinTechs sowie deren kritischen Drittanbieter in der Lieferkette aus dem IKT-Bereich. DORA schafft den Rahmen für ein effektives Management von IKT-Risiken und lässt sich in fünf zentrale Säulen gliedern. ^[4] Diese bilden die Grundlage für die Bewertung von KI-Einsatzmöglichkeiten:

• 1. IKT-Risikomanagement: Aufbau robuster Governance-, Kontroll- und Steuerungsrahmen für IKT-Risiken. ^[8]
• 2. Klassifizierung und Berichterstattung von IKT-Vorfällen: Etablierung von Prozessen zur Identifikation, Bewertung, Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle.
• 3. Testen der digitalen Resilienz: Regelmäßige Tests der IKT-Systeme, inkl. fortgeschrittener Threat-Led Penetration Tests für kritische Unternehmen zur Erkennung von Schwachstellen.
• 4. Management von IKT-Drittparteirisiken: Steuerung und Überwachung der Risiken aus IKT-Dienstleistungen, Auslagerungen und Lieferketten.
• 5. Informations- und Nachrichtenaustausch: Austausch von Cyber-Bedrohungsinformationen innerhalb des Finanzsektors zur Stärkung der kollektiven Abwehrfähigkeit.

Für die Bewertung von KI-Potenzialen ist entscheidend, dass diese Säulen nicht isoliert betrachtet werden. Sie sind operativ miteinander verbunden: Risikomanagement benötigt Daten aus Vorfällen, Tests, Drittparteien und Threat Intelligence; Vorfallmeldungen wiederum profitieren von einem aktuellen Risikobild und einer sauberen Asset- und Prozesszuordnung.
 
Strategische und technische Voraussetzungen für den erfolgreichen Einsatz von KI sowie Verhältnismäßigkeit von Nutzen und Kosten

Strategische Voraussetzungen für den Einsatz von KI
Bevor KI im DORA-Kontext produktiv eingesetzt werden kann, sollten strategische, organisatorische und kulturelle Voraussetzungen geschaffen werden. Der Erfolg hängt nicht allein von der Leistungsfähigkeit des Modells oder Datenqualität ab, sondern davon, ob ein Institut konkrete Use Cases, belastbare Daten, klare Verantwortlichkeiten und eine tragfähige Governance miteinander verbindet.
 
Für Banken empfiehlt sich ein evolutionärer Ansatz: klein starten, Wirkung nachweisen und anschließend skalieren. Ein Proof of Concept kann als Speerspitze dienen, um die Verbindung von DORA und KI greifbar zu machen, Akzeptanz in den Fachbereichen zu erzeugen und Erfahrungen für eine spätere Standardisierung zu sammeln. Erfolgskritisch sind insbesondere:

1. Klare Strategie und Zielsetzung

• ›konkreter Scope mit Bezug zu DORA-Zielen, Risikoreduktion und Effizienz
• ›klare Use Cases statt unspezifischer KI-Initiativen
• ›Pilotierung mit messbaren Erfolgskriterien und Skalierungsoption
  

2. Datenqualität und -verfügbarkeit

• ›konsistente, korrekte und zugängliche Daten („Garbage in, garbage out“ als größtes Risiko)
• ›Abbau von Datensilos und Aufbau stabiler Datenpipelines
• ›Data Governance einschließlich Datenschutz, Zugriffskontrollen und Bias-Vermeidung
  

3. Unternehmenskultur und Change Management

• ›Akzeptanz durch Transparenz über Rolle und Grenzen von KI
• ›Einbindung von Fachbereichen, IT, Risikomanagement und Compliance
• ›Lern- und Fehlerkultur für Pilotierung und iterative Verbesserung
  

4. Kompetenzen und Ressourcen

• ›interdisziplinäre Teams aus Data Science, IT, Security, Risk und Compliance
• ›Qualifizierung der Mitarbeitenden im Umgang mit KI-gestützten Entscheidungsvorlagen
• ›gezielter Einsatz externer Expertise, sofern internes Know-how fehlt
  

5. Technologie und Governance

• ›sichere und kontrollierte KI-Umgebungen (Sandboxing)
• ›Responsible & Explainable AI und Human-in-the-Loop-Kontrollen ^[9]
• ›Auditierbarkeit und regulatorische Nachvollziehbarkeit, auch mit Blick auf den EU AI Act ^{[7, 10]}
  

Damit wird KI im DORA-Kontext nicht zu einem reinen Technologieprojekt, sondern zu einem datengetriebenen Change- und Steuerungsprojekt. Der Weg vom Pilotbetrieb in den produktiven Einsatz gelingt nur, wenn Organisation, Datenbasis und Governance gemeinsam entwickelt werden. Viele Institute haben hierzu schon die Basis gelegt. Nun gilt es, weitere Potenziale über erste Use Cases zu heben.
 
Technische Voraussetzungen für den erfolgreichen KI-Einsatz
Neben der strategischen Verankerung sind Standardisierung und technische Integration erfolgskritisch. In der Praxis scheitert der produktive KI-Einsatz häufig nicht am Algorithmus, sondern an fragmentierten Datenlandschaften, uneinheitlicher Performance, fehlenden Schnittstellen und inkonsistenten Klassifizierungen. Wesentliche technische Voraussetzungen sind:

1. Datenstandardisierung:

• ›standardisierte Incident-Kategorien
• ›harmonisierte Risikoklassifizierungen
• ›konsistente Asset-, Prozess- und Service-IDs
• ›einheitliche Zeitstempel und Ereignisdefinitionen
• ›definierte Datenmodelle für DORA-relevante Informationen
  
  Ohne Standardisierung entstehen Inkonsistenzen, die automatisierte KI-Auswertungen massiv erschweren.

2. Schnittstellenfähigkeit (APIs):

• ›Anbindung an SIEM-, Ticketing- und CMDB-Systemen
• ›Integration von Cloud-Plattformen, IAM-Systemen und Vulnerability-Scannern
• ›automatisierte Datenübernahme aus Drittparteien- und Vertragsmanagementsystemen
• ›technische Grundlage für Echtzeit- oder Near-Realtime-Auswertungen
  
  Moderne API-Architekturen sind damit eine zentrale Voraussetzung für Echtzeit-KI.

3. Datenintegration & Data Lake:

• ›Zusammenführung von Daten aus IT, Security, Operations, Risikomanagement, Compliance und von externen Providern
  
  ›Aufbau eines konsistenten Lagebilds über Risiken, Assets, Vorfälle und Abhängigkeiten
  
  ›Nutzung großer Datenmengen als Grundlage für Mustererkennung und Frühwarnindikatoren
  
  Erst durch zentrale Datenplattformen (z. B. Data Lakes) entsteht ein ganzheitliches Lagebild.

4. Governance & Nachvollziehbarkeit im regulatorischen Umfeld ist „Black Box AI“ problematisch. Erforderlich sind:

• ›Explainable AI statt Black-Box-Entscheidungen ^[9]
• ›Versionierung von Modellen und Entscheidungslogiken
• ›Dokumentation von Datenquellen, Modellannahmen und Entscheidungspfaden
• ›menschliche Kontrollinstanzen bei regulatorisch relevanten Entscheidungen ^[9]
  
  Dies gewinnt zusätzlich durch den EU AI Act an Bedeutung. ^[6]

Gerade im regulierten Umfeld muss KI nicht nur gute Ergebnisse liefern, sondern auch erklären können, auf welcher Datenbasis und anhand welcher Logik diese Ergebnisse zustande gekommen sind.
 
KI-Einsatz aus betriebswirtschaftlicher Perspektive
Neben Strategie und Technik stellt sich die Frage, wann KI im Verhältnis von Kosten und Nutzen tatsächlich sinnvoll ist. KI entfaltet ihren größten Mehrwert dort, wo große Datenmengen (Big Data), heterogene Informationsquellen und komplexe Abwägungsentscheidungen zusammentreffen. Dies ermöglicht dynamische Risikobewertungen unter Nutzung von automatisierten Risikoaggregationen, intelligente Voranalysen, regulatorische Vorbereitungen und Frühwarnindikatoren.
 
Bei rein deterministischen oder binären Entscheidungslogiken genügt häufig ein klassischer Algorithmus. Der Mehrwert moderner KI liegt dagegen in der intelligenten Gewichtung, Priorisierung und Interpretation von Informationen – also dort, wo eine Entscheidung nicht nur regelbasiert, sondern risikoorientiert und kontextabhängig vorbereitet werden muss.
 
Kurzfristig verursacht der Einsatz von KI Investitionen in Infrastruktur, Datenintegration, Governance und Kompetenzaufbau. Langfristig können jedoch erhebliche Skalierungs- und Effizienzvorteile entstehen: manuelle Aufwände sinken, Analysen werden schneller, Datenqualität und -konsistenz steigen, und Risikoinformationen können präventiv genutzt werden. Durch maschinelles Lernen entwickelt sich die KI über die Zeit weiter, kann Daten in Echtzeit auswerten, regulatorisch verwertbar machen und Zusammenhänge zunehmend autonom erkennen. ^[9] Dadurch sinkt der manuelle Pflege- und Anpassungsaufwand. Gerade im DORA-Kontext entsteht der Nutzen nicht nur durch Automatisierung, sondern durch bessere und frühere Steuerungsinformationen.
 
DORA-spezifische Daten als Grundlage für KI

Der erfolgreiche Einsatz von KI im DORA-Kontext setzt die strukturierte Bereitstellung regulatorisch relevanter Datenobjekte voraus. DORA verlangt in nahezu allen Säulen die Erfassung, Verarbeitung und Auswertung von Informationen zu IKT-Systemen, Vorfällen, Risiken, Kontrollen, Dienstleistern und Wiederherstellungsfähigkeiten. Für KI sind insbesondere folgende Datenarten relevant:

1. Vorfalls- und Incidentdaten

• ›Zeitpunkt & Dauer des Vorfalls
• ›Betroffene Systeme, Anwendungen, Prozesse & Kunden
• ›Schweregrad, Auswirkungen & finanzielle Effekte
• ›Root-Cause-Analysen & Wiederherstellungszeiten
• ›regulatorische Meldehistorie

→ Diese Daten bilden die Grundlage für Klassifizierung, Mustererkennung, Prognosen sowie die Vorbereitung von Erst-, Zwischen- und Abschlussmeldungen.

2. Log- und Telemetriedaten

• ›Netzwerk- und Firewall-Logs
• ›SIEM-Daten und Endpoint-Events
• ›Authentifizierungsereignisse
• ›API-Transaktionen & Cloud-Monitoring-Daten

→ Hier entstehen die größten Big-Data-Mengeneffekte. ^[8] Eigens bei großen Instituten können täglich Millionen von Events anfallen, die ohne automatisierte Voranalyse kaum beherrschbar sind.

3. Asset- und Konfigurationsdaten

• ›CMDB-Daten
• ›Systemabhängigkeiten & Service-Mappings
• ›Kritikalitätsbewertungen
• ›Versionsstände & Schwachstelleninformationen

→ Diese Daten sind notwendig, um Risiken kontextbezogen zu bewerten und kritische Abhängigkeiten sichtbar zu machen.

4. Drittparteien- und Vertragsdaten

• ›Kritische Dienstleister & Unterauftragnehmer
• ›SLA-Daten & Exit-Regelungen
• ›Konzentrations- und Klumpenrisiken
• ›Audit-Feststellungen & Kontrollnachweise

→ Gerade im Drittparteirisiko-management ermöglicht KI die Verbindung interner Vertragsdaten mit externen Marktinformationen.

5. Threat-Intelligence-Daten

• ›Indicators of Compromise
• ›SCVE-Datenbanken
• ›externe Cyber-Threat-Feeds
• ›CERT-Meldungen & Dark-Web-Informationen ^[8]

→ KI kann externe Bedrohungsmuster mit internen Schwachstellen, Assets und Kontrollinformationen verknüpfen und so Frühwarnindikatoren erzeugen.

Priorisierung der DORA-Säulen nach KI-Wirkung

Die Priorisierung der DORA-Säulen nach KI-Wirkung verschiebt sich gegenüber einer rein operativen Betrachtung: Das IKT-Risikomanagement ist der strategisch wichtigste KI-Anwendungsfall. Säule 2 (Vorfallmanagement) bleibt ein wichtiger Effizienzhebel; Säule 1 ist jedoch der eigentliche Steuerungs- und Präventionshebel. ^{[6, 9]}

#1: IKT-Risikomanagement (Säule 1)

Das IKT-Risikomanagement ist der zentrale KI-Sweet-Spot im DORA-Kontext. Hier geht es nicht nur um die Verarbeitung einzelner Meldungen, sondern um kontinuierliche Risikoidentifikation, Bewertung, Steuerung und Überwachung. Damit verbindet Säule 1 genau jene Eigenschaften, bei denen KI besonders wirksam ist: hohe Datenmengen, komplexe Abhängigkeiten, dynamische Veränderungen und qualitative Abwägungsentscheidungen.

Besonders relevant ist, dass das IKT-Risikomanagement den Risikoappetit, die Kritikalität von Assets, bestehende Kontrollmechanismen, Schwachstelleninformationen, Dienstleisterabhängigkeiten und aktuelle Bedrohungslagen zusammenführen muss. Diese Fakten und Zusammenhänge sind zudem nicht statisch, sondern ändern sich kontinuierlich im Zeitverlauf. Die Selektion, Strukturierung und Gewichtung von Informationen ist schwer rein regelbasiert zu automatisieren, eignet sich aber gut für eine KI-basierte Entscheidungsunterstützung.

Viele Institute behandeln Teile des IKT-Risikomanagements noch dokumentationsorientiert und teilweise Excel-basiert. ^[4] Das reicht künftig nicht aus. DORA verlangt ein lebendes, kontinuierlich aktualisiertes Risikobild mit vorausschauendem Charakter. ^{[6, 7]} KI kann helfen, Risiken nicht nur retrospektiv zu dokumentieren, sondern frühzeitig zu erkennen, zu priorisieren und durch Präventivmaßnahmen zu reduzieren.

Exemplarische Use Cases für Säule 1 sind:

• › KI-gestützte Aggregation von IKT-Risiken aus Vorfällen, Schwachstellen, Threat Intelligence & Audits
• › dynamische Risikobewertung kritischer Assets und Services
• › Entwicklung von Frühwarnindikatoren für steigende operative Risiken

Damit wird Säule 1 zum wirksamsten Einsatzfeld für KI: Sie stärkt nicht nur Effizienz, sondern vor allem die Qualität und Aktualität der Risikoentscheidungen.

#2: Vorfallklassifizierung und -meldung (Säule 2)

Die Vorfallklassifizierung und -meldung bleibt ein wichtiger KI-Anwendungsfall, vor allem mit Blick auf Effizienz, Geschwindigkeit und Datenkonsistenz. Hier treffen hohe Datenvolumina, Zeitkritikalität und zahlreiche Quellsysteme aufeinander.

Zu vermerken ist, dass die Vorfallmeldung bei vielen Banken durchaus stark standardisiert ist, u. a. aufgrund der bereits vorhandenen Meldungen an die Aufsicht. Somit kann einerseits argumentiert werden, dass der zusätzliche Mehrwert eines KI-Einsatzes begrenzt ist, da der Prozess bereits (weitestgehend automatisiert) funktioniert. Andererseits bietet ein hoher Automatisierungsgrad eine ideale Voraussetzung für den Einsatz von KI.

So kann KI Incidents automatisch aggregieren, Ereignisse korrelieren, Vorfälle klassifizieren und regulatorische Meldungen vorbereiten. Besonders relevant ist dies für Erst-, Zwischen- und Abschluss-meldungen, bei denen Informationen häufig unter hohem Zeitdruck – z. B. 24h-Erstmeldefrist – aus verschiedenen Systemen zusammengeführt werden müssen. ^[5]

Der Unterschied zu Säule 1 liegt jedoch im Charakter des Anwendungsfalls: Säule 2 ist stärker operativ und prozessual geprägt. Der Mehrwert liegt vor allem in Automatisierung, Beschleunigung und Qualitätssteigerung der Meldeprozesse. Säule 1 geht darüber hinaus, weil dort die komplexe, kontinuierliche Risikoentscheidung im Mittelpunkt steht. Messbare Mehrwerte in Säule 2 sind:

• › Reduktion manueller Analyse- und Koordinationsaufwände
• › höhere Konsistenz der Meldedaten
• › schnellere Vorbereitung regulatorischer Meldungen
• › bessere Skalierbarkeit bei steigenden Incident-Zahlen (abhängig vom Automatisierungsgrad)

#3: Drittparteirisikomanagement (Säule 4)

Auch im Drittparteirisikomanagement kann KI einen Qualitätsbeitrag leisten. Besonders relevant sind Konzentrations- und Klumpenrisiken. ^[8] Diese entstehen nicht nur aus direkten Vertragsbeziehungen, sondern auch aus Subdienstleistern, Unternehmensverflechtungen, Übernahmen oder technologischen Abhängigkeiten.

KI kann interne Vertragsdaten mit externen Marktinformationen verknüpfen und dadurch Zusammen-hänge sichtbar machen, die manuell kaum vollständig zu erfassen sind. So kann etwa erkannt werden, wenn mehrere scheinbar unabhängige Anwendungen mittelbar von demselben Provider, derselben Cloud-Infrastruktur oder derselben Unternehmensgruppe abhängig sind.

Der Schwerpunkt liegt hier weniger auf Effizienz als auf Qualitätssteigerung: KI kann die Transparenz über Abhängigkeiten verbessern und dadurch fundiertere Steuerungsentscheidungen ermöglichen. Potenzielle Klumpenrisiken werden frühzeitig aufgedeckt und reduzieren den manuellen Prüfungsaufwand sowie das Risiko einer (zu) späten Identifikation.

#4: Resilienztests (Säule 3)

Bei Resilienztests kann KI Testszenarien optimieren, Angriffsmuster analysieren und Simulationen unterstützen. Der Nutzen ist relevant, bleibt aber stärker spezialisiert. Gerade fortgeschrittene Tests wie Threat-Led Penetration Testing erfordern weiterhin erhebliche menschliche Expertise, Erfahrung und regulatorische Einordnung.

#5: Informationsaustausch (Säule 5)

Beim Informationsaustausch kann KI insbesondere bei der Mustererkennung, der Strukturierung von Threat Intelligence und der Ableitung relevanter Hinweise unterstützen. Der Nutzen hängt jedoch stark von Qualität, Aktualität und Verfügbarkeit externer Daten ab. Daher ist das KI-Potenzial hier im Vergleich zu Säule 1 und 2 begrenzter.

Abbildung 1 fasst die zuvor beschrieben Priorisierung der DORA-Säulen nach ihrer KI-Wirkung überblicksartig zusammen:

Fazit

DORA ist nicht nur ein regulatorischer Rahmen, sondern ein Impuls für eine modernere Steuerung digitaler Resilienz. Der Einsatz von KI kann dabei helfen, die umfangreichen regulatorischen Anforderungen effizient, zuverlässig und automatisiert zu erledigen.

Die kurze Analyse zeigt: Der größte strategische Mehrwert von KI liegt im IKT-Risikomanagement. Säule 1 verbindet große Datenmengen, komplexe Abhängigkeiten, kontinuierliches Monitoring und stetig verbesserte Bewertungen sowie qualitative Risikoentscheidungen. Genau dort kann KI ihre Stärke ausspielen: Informationen vorselektieren, Risiken gewichten, Frühwarnindikatoren erzeugen und präventive Maßnahmen unterstützen – und das über aktives, autarkes Lernen.

Hinzu kommt: DORA wird sich weiterentwickeln. ^[4] Regulatorische Anforderungen werden nicht statisch bleiben, sondern mit neuen Technologien, Bedrohungen und Geschäftsmodellen wachsen. Klassische regelbasierte Systeme stoßen in einem solchen Umfeld schnell an Grenzen. Banken benötigen daher lern- und anpassungsfähige Systeme, die mit regulatorischen und technologischen Veränderungen mitwachsen.

Gleichzeitig rückt die AI Resilience als solche zusehends in den aufsichtsrechtlichen Fokus. ^[6] Agentische KI-Systeme, autonome Prozesse und KI-gestützte Kundeninteraktion können neue operative Risiken erzeugen. Für Banken bedeutet dies: KI muss nicht nur zur Erfüllung von DORA eingesetzt werden; KI muss selbst resilient, kontrollierbar und DORA-konform gestaltet sein.

Die eigentliche Innovation liegt damit nicht allein in der Automatisierung regulatorischer Prozesse. Sie liegt in der Fähigkeit, hochkomplexe Datenlandschaften in Echtzeit in steuerungsrelevante Erkenntnisse zu übersetzen. Institute, die frühzeitig auf geeignete Datenmodelle, integrierte Plattformarchitekturen und KI-gestütztes IKT-Risikomanagement setzen, werden regulatorische Anforderungen künftig nicht nur effizienter erfüllen, sondern daraus einen strategischen Wettbewerbsvorteil entwickeln.

Jetzt gilt es, DORA von einer regulatorischen Pflichtübung auf einen nachhaltigen Entwicklungspfad zu führen. Ein strukturierter Einstieg über KI Pilot-Use-Cases ermöglicht schnelle Erkenntnisse und eine nachhaltige Skalierung.

Autoren: Dr. Christoph Hauke (Senior Consultant) und Arno Eitz (Partner)

LITERATUR

[1] Arnold, Martin (2026): ECB summons banks to urge them to fix flaws exposed by latest AI models, in: Financial Times (2026) vom 24.05.2026, online, URL: https://www.ft.com/content/482c56aa-6d2b-4456-9d33-b42dc30788bd?syn-25a6b1a6=1.

[2] Elderson, Frank (2026): “Market fragmentation is banks’ real constraint”, in: Europäische Zentralbank (2026): Supervision Newsletter vom 13.05.2026, online, URL: https://www.bankingsupervision.europa.eu/press/interviews/date/2026/html/ssm.in260513~cb8e1269c5.en.html.

[3] Ohne Verfasser (2026): DORA – Digital Operational Resilience Act, in: Bundesaufsicht für Finanzdienstleistungen, online, URL: https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/ueberblick/ueberblick_node.html.

[4] European Parliament and Council of the European Union (2022): Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (Digital Operational Resilience Act – DORA), Official Journal of the European Union, 27.12.2022.

[5] European Banking Authority (2024): Final draft Regulatory Technical Standards (RTS) and Implementing Technical Standards (ITS) on major ICT-related incident reporting under Regulation (EU) 2022/2554 (DORA).

[6] European Central Bank (2024): Cyber Resilience Oversight Expectations for Financial Market Infrastructures, Frankfurt am Main.

[7] Bundesanstalt für Finanzdienstleistungsaufsicht (2025): DORA-Umsetzungshinweise und nationale Auslegung, Bonn/Frankfurt am Main.

[8] European Union Agency for Cybersecurity (ENISA) (2024): ENISA Threat Landscape Report 2024.

[9] National Institute of Standards and Technology (2023): AI Risk Management Framework (AI RMF 1.0), U.S. Department of Commerce.

[10] European Union (2024):Regulation laying AI Risk Management Framework (AI RMF 1.0), U.S. Department of Commerce.

Zurück zur Übersicht Nächster Beitrag