Euro­päi­sche Zen­tral­bank prüft bei Ban­ken Resi­li­enz und geschäft­li­che Aus­wir­kun­gen im Falle von Cyber-Atta­cken. 2024 erfol­gen bei beauf­sich­tig­ten Insti­tu­ten Stress­tests mit­tels simu­lier­ter Cyber-Angriffe. 

Die Euro­päi­sche Zen­tral­bank (EZB) wird 2024 bei von ihr direkt beauf­sich­tig­ten 109 Ban­ken einen Stress­test zur Wider­stands­fä­hig­keit bei Cyber­at­ta­cken durch­füh­ren. Dabei wird sie prü­fen, wie die Ban­ken auf einen Cyber­an­griff reagie­ren und wie sie ihren Geschäfts­be­trieb wie­der­her­stel­len. Ob die Ban­ken einen Angriff ver­hin­dern kön­nen, ist nicht Gegen­stand des Tests.

Maß­nah­men zur Wie­der­her­stel­lung des Geschäftsbetriebs
Im ope­ra­ti­ven Sze­na­rio ver­ur­sacht ein erfolg­rei­cher Cyber­an­griff Stö­run­gen im Tages­ge­schäft der Ban­ken. Dann tes­ten die Ban­ken ihre als Reak­tion auf einen Cyber­an­griff und zur Wie­der­her­stel­lung des Geschäfts­be­triebs vor­ge­se­he­nen Maß­nah­men und das inklu­diert etwa Not­fall­ver­fah­ren sowie Maß­nah­men zur Wie­der­her­stel­lung des nor­ma­len Geschäfts­be­triebs. Anschlie­ßend beur­teilt die Auf­sicht, inwie­weit die Ban­ken mit einem sol­chen Sze­na­rio umge­hen können.

28 Ban­ken wer­den im Zuge des Tests ein­ge­hen­der geprüft. Sie müs­sen zusätz­li­che Infor­ma­tio­nen dazu bereit­stel­len, wie sie mit dem Cyber­an­griff umge­gan­gen sind. Diese Stich­probe umfasst Ban­ken mit ver­schie­de­nen Geschäfts­mo­del­len aus diver­sen geo­gra­fi­schen Gebie­ten. So soll ein aus­sa­ge­kräf­ti­ges Bild des Ban­ken­sys­tems im Euro­raum gewon­nen und eine effi­zi­ente Abstim­mung mit ande­ren Auf­sichts­tä­tig­kei­ten gewähr­leis­tet werden.

Gewon­nene Erkennt­nisse flie­ßen in all­ge­meine auf­sicht­li­che Beurteilung
Der Stress­test zur Cyber­re­si­li­enz ist in ers­ter Linie ein qua­li­ta­ti­ver Test. Er wird sich nicht über eine soge­nannte Säule-2-Emp­feh­lung auf das Kapi­tal der Ban­ken aus­wir­ken. Dies ist eine bank­spe­zi­fi­sche Emp­feh­lung zur Kapi­tal­aus­stat­tung, die über die ver­bind­li­chen Anfor­de­run­gen hin­aus­geht. Die gewon­ne­nen Erkennt­nisse sol­len 2024 in die all­ge­mei­nere auf­sicht­li­che Beur­tei­lung einfließen. 

Im Rah­men des auf­sicht­li­chen Über­prü­fungs- und Bewer­tungs­pro­zes­ses (Super­vi­sory Review and Eva­lua­tion Pro­cess – SREP) 2024, bei dem das indi­vi­du­elle Risi­ko­pro­fil einer Bank beur­teilt wird, wird die Auf­sicht die Ergeb­nisse und die dar­aus gezo­ge­nen Leh­ren mit den ein­zel­nen Ban­ken bespre­chen. Die wich­tigs­ten Ergeb­nisse des Stress­tests wer­den im Som­mer 2024 veröffentlicht.