Die Cyber-Schulden der Softwareindustrie werden jetzt in den Banken fällig

Veröffentlicht: 14.07.2026

Themen:

Governance | Operational Resilience | DORA | CRA | Third-Party Risk | Digitale Lieferkette  | Managemententscheidungen

Executive Summary

Der zunehmende Einsatz leistungsfähiger KI-Modelle verändert die Geschwindigkeit von Cyberrisiken grundlegend.
Während Softwarehersteller den Cyber Resilience Act (CRA) erst schrittweise umsetzen müssen, tragen Finanzinstitute bereits heute die Verantwortung für die Stabilität ihrer digitalen Lieferketten.

Der aktuelle CEO-Letter der Europäischen Zentralbank (EZB) verdeutlicht, dass die Steuerung von Risiken entlang der digitalen Lieferkette zu einer zentralen Managementaufgabe geworden ist.

Third-Party-Risk-Management entwickelt sich damit von einer operativen Kontrollfunktion zu einem strategischen Instrument der Unternehmenssteuerung.

Einordnung

Dieser Beitrag wurde ursprünglich am 14. Juli 2026 auf LinkedIn veröffentlicht und für den Knowledge Hub redaktionell aufbereitet.

Jahrelang wurden Sicherheitslücken, technische Altlasten und unzureichend abgesicherte Software in der digitalen Lieferkette aufgebaut. Den Preis dafür zahlen zuerst die Banken und nicht zuerst die Softwarehersteller.

 

Mit dem am 7. Juli 2026 veröffentlichten CEO-Letter macht die Europäische Zentralbank deutlich, dass die Steuerung digitaler Lieferketten inzwischen zur Managementaufgabe geworden ist. Bedeutende Institute müssen innerhalb von wenigen Monaten einen verbindlichen Aktionsplan vorlegen.

Ursache ist die Geschwindigkeit, mit der Risiken inzwischen entstehen können. Allein der Juni-Patchday 2026 brachte 571 CVEs (inkl. Drittanbieter-Komponenten) hervor.

 

Der aktuelle CERT-EU-Bericht verstärkt den Handlungsdruck, denn Angriffe erfolgten  - dank leistungsfähiger KI-Modelle - zunehmend bevor überhaupt ein Patch verfügbar ist. Die klassischen Sicherheitsprozesse können in diesem Wettlauf kaum gewinnen. Und damit geht es nicht mehr nur darum, wie schnell eine Bank patcht.

 

Es geht darum,

• wie schnell Softwarehersteller reagieren,

• wie resilient Cloud-Anbieter agieren,

• wie belastbar Plattformen arbeiten,

• und wie wirksam eine Organisation ihre gesamte digitale Lieferkette steuern kann.

Genau deshalb fordert die EZB nicht in erster Linie neue technische Maßnahmen.

Sie fordert Managemententscheidungen.

 

Vorstände müssen heute beurteilen,

• ob das Third-Party-Risikomanagement noch angemessen ist,

• ob bestehende Risikotoleranzen zur neuen Bedrohungslage passen,

• ob Investitionen noch den tatsächlichen Risiken entsprechen,

• und ob die Governance überhaupt noch mit der Dynamik digitaler Lieferketten Schritt hält.

 

Der Cyber Resilience Act (CRA) wird diese Verantwortung langfristig stärker auf die Softwarehersteller verlagern. Bis diese Wirkung vollständig greift, bleibt jedoch eine kritische Übergangsphase.

Viele digitale Lieferketten reagieren noch immer in monatlichen Zyklen, während Angreifer im Sekundentakt agieren können. Genau dort entsteht heute das eigentliche Risiko.

 

Die europäischen Major-Incident-Daten des ersten DORA-Berichtsjahres zeigen, dass rund jeder dritte Major Incident auf IKT-Drittdienstleister zurückzuführen ist.

Deshalb beginnt operative Resilienz nicht im Rechenzentrum.

Sie beginnt bei der Fähigkeit einer Organisation, ihre digitale Lieferkette wirksam zu steuern.

Die eigentliche Herausforderung besteht heute nicht mehr darin, Risiken zu identifizieren.

Sie besteht darin, Managemententscheidungen schneller anzupassen, als sich das Risikoumfeld verändert.

Das ist keine reine IT-Aufgabe.

 

Es ist eine Managementaufgabe.

Weiterführende Inhalte:

Die in diesem Beitrag beschriebenen Zusammenhänge werden im folgenden Whitepaper vertieft:

Resilienz-Architektur für das KI-Zeitalter – Teil 1: Die Diagnose

 

Die empirische Analyse basiert auf den europäischen Major-Incident-Daten des ersten DORA-Berichtsjahres und untersucht die strukturellen Ursachen operativer Störungen entlang der digitalen Lieferkette.

► zum Governance-Manifest

► zu den Whitepapern

► zu Vorträgen & Workshops
► zu aktuellen Beiträgen auf LinkedIn