EZB verschärft Cybersicherheitsregeln für Banken

Die Europäische Zentralbank (EZB) beobachtet eine zunehmende Bedrohung durch Cyberangriffe auf europäische Banken. Die Bankenaufsicht hat festgestellt, dass im Jahr 2024 eine ähnliche Anzahl von Angriffen wie im Vorjahr registriert wurde. Im Jahr 2023 verdoppelte sich die Zahl der Cyberangriffe im Vergleich zu 2022. Anneli Tuominen, Mitglied des Aufsichtsgremiums der EZB-Bankenaufsicht, wies auf dem Handelsblatt-Banken-Gipfel darauf hin, dass die Cyberrisiken ein ernstes Problem darstellen. Die Zunahme der Angriffe ist laut Tuominen teilweise auf die geopolitische Lage zurückzuführen, insbesondere auf den russischen Einmarsch in die Ukraine. Besonders besorgniserregend sind Hacker, die im Auftrag von Staaten handeln, da ihnen umfassende Ressourcen zur Verfügung stehen.

Um die Sicherheitsvorkehrungen gegen solche Angriffe zu verstärken, plant die EZB-Bankenaufsicht, die Regeln für Bankendienstleister zu verschärfen. Während Banken in den letzten Jahren widerstandsfähiger geworden sind, gilt dies nicht in gleichem Maße für Drittanbieter von IT-Dienstleistungen wie Cloud-Anbieter oder Softwareentwickler. Diese Dienstleister, die für den operativen Betrieb von Banken als kritisch eingestuft werden, sollen künftig strengeren Vorschriften unterliegen.

Die Ausweitung der Aufsicht auf diese kritischen IT-Dienstleister erfolgt im Rahmen der EU-Verordnung „Digital Operational Resilience Act“ (Dora), die bis 2025 umgesetzt werden soll. Tuominen erläuterte, dass diese Verordnung der EZB mehr Möglichkeiten gebe, kritische IT-Dienstleister von Banken intensiv zu kontrollieren, obwohl diese bislang keine Banklizenz besitzen und daher nicht der Bankenaufsicht unterlagen. Die EZB plant, diese Unternehmen gründlich zu prüfen, um sicherzustellen, dass sie den Sicherheitsanforderungen gerecht werden.

Im Juli führte die EZB einen Stresstest durch, um zu prüfen, wie große Banken auf erhebliche Cyberangriffe reagieren. Von 109 untersuchten Instituten mussten sich 28 einer vertieften Prüfung unterziehen. Die Ergebnisse dieses Tests wurden jedoch nicht veröffentlicht. Tuominen stellte klar, dass es kontraproduktiv wäre, die spezifischen Probleme einzelner Banken offenzulegen. Sie betonte jedoch die Notwendigkeit für Banken, verstärkt in IT-Sicherheit zu investieren, da die internen Schwachstellen oft bekannt seien, es aber schwierig sei, das Management von den notwendigen Investitionen zu überzeugen.

In Zukunft müssen sich nicht nur Banken, sondern auch wichtige IT-Dienstleister auf intensivere Gespräche mit der Bankenaufsicht einstellen, um die Sicherheitsstandards zu gewährleisten.