EBA-Bericht: Fortschritte bei IKT-Risikobewertung, aber weiterer Handlungsbedarf
Die Europäische Bankenaufsichtsbehörde (EBA) hat ihren Folgebericht zur IKT-Risikobewertung im Rahmen des SREP veröffentlicht. Die Aufsichtsbehörden zeigten Fortschritte, doch weitere Anstrengungen sind nötig.
DORA treibt Fortschritte bei IKT-Risikobewertung
Der Folgebericht der EBA zeigt, dass die zuständigen Behörden erhebliche Fortschritte bei der Stärkung der IKT-Risikobewertung erzielt haben.
Dies ist maßgeblich auf die Umsetzung des Digital Operational Resilience Act (DORA) zurückzuführen, der seit Januar 2025 angewendet wird.
Die Überprüfung umfasste die Empfehlungen von 2022 und bewertete den Fortschritt im Hinblick auf die Integration der IKT-SREP-Leitlinien.
Die Ergebnisse bestätigen, dass die Behörden ihre IKT-Aufsichtskapazität und -expertise ausbauen, verstärkt horizontale Analysen nutzen und systematisch Aufsichtsinstrumente anwenden.
Insbesondere wurde eine Verbesserung bei der Nutzung der IKT-Risiko-Unterkategorien festgestellt, die nun von fast allen Behörden breit implementiert werden.
Der Weg zur konsistenten IKT-Aufsicht
Trotz der erzielten Fortschritte bleiben weitere Anstrengungen und kontinuierliche Investitionen unerlässlich, um eine konsistente und effektive IKT-Risikoaufsicht in der gesamten Europäischen Union zu gewährleisten.
Der Bericht fordert die zuständigen Behörden auf, IKT-Risikometodologien und -Unterkategorien vollständig in ihre Aufsichtsprozesse zu integrieren.
Gleichzeitig sollen die Bemühungen zur Verbesserung der aufsichtsrechtlichen Konvergenz und der operativen Resilienz EU-weit fortgesetzt werden.
Die Durchführung dieser Folgebewertung erfolgte gemäß Artikel 30 der EBA-Verordnung (EU) Nr. 1093/2010, die einen Folgebericht zwei Jahre nach der ursprünglichen Peer Review vorschreibt.
DORA als Katalysator, nicht als Lösung
Der EBA-Bericht bestätigt die positive Wirkung von DORA als Treiber für verbesserte IKT-Risikobewertung.
Dennoch zeigt er deutlich, dass die Fragmentierung der Aufsicht weiterhin eine Herausforderung darstellt und die vollständige Integration von Risikometodologien noch aussteht.
Für eine wirklich resiliente europäische Bankenlandschaft sind daher weitere, konzertierte Anstrengungen über die regulatorischen Vorgaben hinaus notwendig.