Siani fordert stärkere Kontrolle über IT-Dienstleister
Giuseppe Siani, Leiter der Banken- und Finanzaufsicht der Banca d’Italia, fordert im parlamentarischen Untersuchungsausschuss in Rom stärkere digitale Widerstandsfähigkeit. Direkt beaufsichtigte Institute müssen bis Ende 2026 einen Maßnahmenplan gegen KI-bezogene Cyberrisiken erstellen.
Dienstleister prägen das Störungsbild
2025 erfasste die Banca d’Italia 101 IT-Vorfälle mit 137 Meldungen, überwiegend durch Softwarefehler und Netzprobleme.
Rund 70 Prozent führten zu Dienstunterbrechungen; 23 Prozent betrafen Cybersicherheit.
IT-Anbieter waren an mehr als der Hälfte beteiligt.
In den ersten neun Monaten 2026 gingen 92 Meldungen zu 68 Vorfällen ein: Rund ein Viertel betraf Cybersicherheit, fast 60 Prozent entfielen auf Drittanbieter.
Die Lieferantenregister zeigen rund 3.600 Anbieter und Unterauftragnehmer, bis zu fünf Lieferstufen, etwa 9.600 Verträge und über 2,6 Milliarden Euro Jahresausgaben.
Etwa die Hälfte der Beziehungen stützt kritische oder wichtige Funktionen.
Die Daten schließen bedeutende italienische Bankengruppen und bestimmte ausländisch beaufsichtigte Gruppen aus.
DORA reicht bis zur Lieferkette
Die EU-Verordnung zur digitalen operationalen Resilienz (DORA) umfasst IT-Risikosteuerung, Vorfallmeldungen, Belastungstests, Drittparteirisiken und Informationsaustausch.
Die europäische Überwachung erfasst 19 kritische IT-Anbieter, darunter kein italienisches Unternehmen.
Siani nennt Lücken bei Kontrollen, IT-Sicherheit und Lieferantenverträgen; begrenzte Verhandlungsmacht erschwert deren Anpassung.
Die Banca d’Italia übernimmt zudem die Marktaufsicht über risikoreiche KI-Systeme im Kreditgeschäft; die einschlägigen Anforderungen und Befugnisse gelten ab 2. Dezember 2027.
Verantwortung lässt sich nicht auslagern
Siani betont, dass formale Regeltreue für digitale Widerstandsfähigkeit nicht ausreicht.
Auch bei ausgelagerten Diensten bleiben die Finanzinstitute für ihre Risiken verantwortlich.
Resilienz verlangt nach seiner Darstellung Entscheidungen der Führung über Investitionen, Kompetenzen und tragfähige Ausstiegsstrategien.