Neue Aufsicht für kritische IT-Dienstleister im Finanzsystem
Bank of England, PRA und FCA übernehmen die direkte Aufsicht über kritische Drittanbieter. Ziel ist es, systemweite Risiken im britischen Finanzsektor abzufedern.
Das digitale Fundament im Stresstest
Modernes Banking stützt sich auf eine Handvoll gemeinsamer Cloud-, Technologie- und Datendienstleister.
Um systemweite Ausfälle zu verhindern, erhalten die britischen Regulierungsbehörden Bank of England, PRA und FCA neue Befugnisse zur direkten Überwachung kritischer Drittanbieter (CTPs).
Im Jahr 2025 wurden 27 Prozent aller gemeldeten Vorfälle bei der FCA durch Drittanbieter verursacht, wobei 37 Prozent davon auf Cyber-Vorfälle entfielen.
Das neue Regime ersetzt nicht die Eigenverantwortung der Institute, sondern schafft eine systemweite Perspektive.
Die ersten kritischen Drittanbieter sind benannt und das Regime ist live.
Die Erwartungen sind klar: CTPs müssen Risiken identifizieren, ihre Resilienz testen und während Störungen offen mit Aufsehern und Finanzfirmen kommunizieren, um die Stabilität des Marktes zu sichern.
Vernetzt, aber verletzlich
Der Vorfall um CrowdStrike im Jahr 2024 sowie Cyber-Angriffe auf grosse Einzelhändler wie Marks & Spencer und Jaguar Land Rover haben drastisch vor Augen geführt, wie schnell operative Störungen von einem Dienstleister auf zahlreiche Organisationen überspringen können.
Einerseits fördern Konzentration und Cloud-Nutzung Innovation und Effizienz im Finanzsektor.
Andererseits wächst die Anfälligkeit für kaskadenartige Ausfälle.
Das neue Aufsichtsregime zielt darauf ab, diese Vernetzung zu steuern und die Kommunikation bei Grossstörungen spürbar zu verbessern.
Mehr als ein Papiertiger
Die direkte Überwachung kritischer IT-Dienstleister ist ein notwendiger Schritt gegen systemische Risiken.
Ob das Regime echte Ausfälle verhindert, hängt von der Konsequenz der Aufseher ab.
Am Ende bleibt operative Resilienz eine geteilte Verantwortung, die Gesetze allein nicht garantieren können.