⏱ Frist der EZB: 31. Oktober 2026

JST-Ready in sechs Wochen

Die EZB verlangt von jedem bedeutenden Institut einen Aktionsplan gegen KI-getriebene Cyberbedrohungen. TUMAKI liefert ihn: KI-gestützt erstellt, von Menschen entschieden, zum Festpreis.

Festpreis, 6 Wochen
EZB-Cyber-Audit-Erfahrung aus dem Institut heraus
Analyse in Ihrem eigenen Cloud-Tenant
🏆 TÜV Rheinland zertifizierter AI Consultant
🔒 Zertifizierter Datenschützer
📋 25+ Jahre Finanzsektor

Das Schreiben

SSM-2026-0301: Was die EZB von Ihnen verlangt

Am 7. Juli 2026 hat die EZB-Bankenaufsicht die CEOs aller bedeutenden Institute angeschrieben: KI-Modelle entdecken Schwachstellen und erzeugen funktionierende Exploits in bislang unbekannter Geschwindigkeit. Bis zum 31. Oktober 2026 muss jedes Institut seinem Joint Supervisory Team einen konkreten Aktionsplan vorlegen.

Originalschreiben der EZB lesen (PDF, englisch) →

🎯

Angriffsflächen

Alle ICT-Assets inventarisieren, internetexponierte Systeme minimieren und überwachen.

Patch-Management

Auf häufigere, volumenstärkere Patch-Zyklen vorbereiten, Emergency-Changes ermöglichen.

📡

Detection

Monitoring von Logs, Netzverkehr und Kompromittierungsindikatoren verstärken.

🏛️

Governance

Budget, Personal und Risk Appetite Framework durch das Leitungsorgan neu bewerten.

🛡️

Defense-in-Depth

Zero Trust, Segmentierung, Ablösung von Legacy-Systemen.

🔄

Resilienz

Getestete Response- und Recovery-Fähigkeiten für Hochgeschwindigkeits-Szenarien.

Dazu: explizite Priorisierung offener Findings — und ein Querschnittsauftrag, den viele übersehen: das Risk Appetite Framework muss KI-Nutzung und KI-Exponierung messbar abbilden.

Das Problem

Das Problem ist nicht Wissen. Es ist Zeit.

Auf eigene Faust
  • Erhebung quer durch IT, TPRM, Risiko und Fachbereiche — neben dem Tagesgeschäft
  • Abgleich gegen das EZB-Raster ohne erprobte Methodik
  • Risk-Appetite-Fragen landen ungeklärt im Vorstand
  • Big-Four-Angebote: teuer, langsam mobilisiert, Beraterarmee im Haus
Mit TUMAKI
  • Rollenspezifische Erhebungspakete, KI-gestützt konsolidiert
  • Gap-Analyse exakt entlang Annex 1 des EZB-Schreibens
  • Moderierter Risk-Appetite-Workshop mit fertigen Entscheidungsvorlagen
  • Festpreis, sechs Wochen, abgabefertiger Plan plus Traceability-Matrix

Das Programm

Fünf Stufen. Sechs Wochen. Ein abgabefertiger Plan.

1

Erheben

Rollenspezifische Pakete für IT/Security, Drittparteien, Risiko und KI-Einsatz. Ihre Findings und DORA-Artefakte fließen ein.

2

Bewerten

Gap-Analyse gegen alle Annex-1-Anforderungen, Heatmap je Fokusbereich, jede Aussage quellenverlinkt.

3

Entscheiden

Risk-Appetite-Workshop mit Ihrem Management. Vorlagen liefert die KI, die Entscheidung trifft Ihr Haus.

4

Ableiten

Maßnahmen mit Owner, Ressourcen, Terminen — rückverfolgbar bis zur EZB-Anforderung.

5

Abgeben

JST-fertiger Plan, Board-Deck, Traceability-Matrix. Automatischer Formalia-Check vor Export.

Der Unterschied

Warum TUMAKI

🚀

Schnell und planbar

KI-gestützte Analyse statt Beraterarmee. Festpreis, sechs Wochen. Sie zahlen für Ergebnis, nicht für Anwesenheit.

🔐

Souverän

Ihre Daten bleiben unter Ihrer Kontrolle: Standard ist die Analyse in Ihrem eigenen Cloud-Tenant — Ihre Rohdaten verlassen Ihr Haus nicht.

📜

Selbst regulierungskonform

Die EZB verlangt für KI-Einsatz Risikobewertung, Safeguards, Human Oversight. Unser Verfahren bringt seine eigene Governance-Akte mit: AI-Act-Einordnung, DSGVO-Konzept, dokumentierte Oversight-Punkte. Wir praktizieren, was Ihr Plan verspricht.

Und: Die EZB wird alle Pläne horizontal vergleichen. Unsere Programmteilnehmer wissen vorher, wo sie stehen — anonymisiertes Benchmarking je Fokusbereich, inklusive.

Kohorten & Einstieg

Welchen Start erreichen Sie noch?

Kohorte A

Für Entschlossene

Start 3. August
Abgabereife Mitte September
  • 6-Wochen-Programm komplett
  • Anonymisiertes Benchmark
  • 6 Wochen Puffer zur Frist
  • Frühbucher-Konditionen
Platz anfragen

Express

Für Nachzügler

ab Oktober
Individuell, verkürzt
  • Einzeldurchlauf im Sprint
  • Fokus auf Pflichtinhalte
  • Aufschlag auf Basispaket
  • Benchmark nachgeliefert
Anfragen

Plätze je Kohorte begrenzt (max. 6 Institute). Konditionen im Erstgespräch.

Häufige Fragen

Was Institute jetzt fragen

Gilt das Schreiben auch für uns als LSI? +
Direkt adressiert sind nur bedeutende Institute unter EZB-Aufsicht. Es wird aber breit erwartet, dass BaFin und andere nationale Aufseher vergleichbare Anforderungen übernehmen — die zugrunde liegenden DORA-Pflichten gelten ohnehin für alle. Wer das EZB-Raster jetzt adaptiert, ist der Welle voraus.
Was müssen wir intern beisteuern? +
Vier Ansprechpartner (IT/Security, Auslagerung, Risiko, KI-Einsatz), die unsere Erhebungsbögen befüllen und Dokumente bereitstellen, plus einen halben Tag Management-Zeit für den Risk-Appetite-Workshop. Den Rest übernimmt das Programm.
Wie sicher sind unsere Daten? +
Standard ist der Betrieb in Ihrem eigenen Cloud-Tenant — AWS, Azure oder GCP, je nach Ihrer Aufstellung. Ihre Rohdaten verlassen Ihr Haus nicht. Wir nutzen ein Open-Weight-Modell, das in Ihrer Umgebung läuft; es gibt keinen Modellanbieter, der Inhalte speichern könnte. Ist BYOT nicht rechtzeitig möglich, greift die Rückfalloption mit EU-Datenverarbeitung und Auftragsverarbeitungsvertrag. Kein Institut sieht Daten eines anderen; das Benchmark nutzt ausschließlich anonymisierte Aggregate ab fünf Teilnehmern.
Macht Sie das zu einem kritischen ICT-Drittdienstleister nach DORA? +
Nein. Das Programm ist eine befristete Beratungsleistung ohne Betriebskomponente und ohne Zugriff auf Ihre Produktionssysteme — bewusst so geschnitten, dass Ihr Einkauf schnell entscheiden kann.
Was passiert nach dem 31. Oktober? +
Dann beginnt der eigentliche Dialog: JST-Rückfragen, Fortschritts-Monitoring, die horizontale EZB-Analyse, der IT-Risk-Questionnaire im Februar 2027. Die Traceability-Matrix aus dem Programm trägt genau diesen Prozess; auf Wunsch begleiten wir ihn im Retainer.
Ersetzt die KI die fachliche Beurteilung? +
Nein, und das ist Absicht. Die KI extrahiert, klassifiziert und formuliert; jede Bewertung durchläuft definierte Human-Oversight-Gates, und alle Risikoentscheidungen trifft Ihr Haus. Genau dieses Prinzip verlangt die EZB auch von Ihnen — unser Verfahren demonstriert es.

Wer dahintersteht

Diesen Weg bin ich schon einmal gegangen

Ein EZB-Aktionsplan ist kein Papier, das man aus einer Vorlage füllt. Er muss den Aufsichtsdialog überstehen — und dafür hilft es zu wissen, wie dieser Dialog von innen aussieht. Ich habe auf der anderen Seite des Tisches gesessen, als die EZB zum ersten Mal so ein Audit durchführte.

🏛️

Das allererste Cyber Security Audit der EZB begleitet

In der Unterstützung des CISO eines deutschen Großinstituts (SI) habe ich das allererste Cyber Security Audit der EZB begleitet — mit dem damals neu gegründeten Joint Supervisory Team koordiniert, ein neues Audit Framework entwickelt und die abgeleiteten Maßnahmen zur Umsetzung gebracht und überwacht. Genau die Übung, die jetzt jedem bedeutenden Institut bevorsteht.

📨

Prozess für regulatorische Anfragen aufgebaut und verbessert

Nach der Abgabe beginnt die eigentliche Arbeit: Rückfragen des JST, Fortschrittsnachweise, kurzfristig angeforderte Belege. Ich habe im selben Haus den Prozess für regulatorische Anfragen überarbeitet — er entscheidet darüber, ob Anfragen der Aufsicht strukturiert und fristgerecht beantwortet werden oder das Tagesgeschäft der Fachbereiche binden.

🛡️

Risiko-Richtlinien und Reporting erstellt, IS-Risikomanagement als 2nd Line mit aufgebaut

Ebenfalls im Großbankenumfeld: Aufbau der zweiten Verteidigungslinie für Information-Security-Risiken, inklusive neuer Risiko-Richtlinien und Reports. Wer das Risk Appetite Framework um KI-Risiken erweitern soll, muss wissen, wie Metriken, Toleranzschwellen und Berichtslinien tatsächlich entstehen.

🤖

IS-Richtlinien in der Industrie, Risikomanagement, KI-Governance

Über den Finanzsektor hinaus: Information-Security-Richtlinien und Risikomanagement in Industrieunternehmen — heute verbunden mit KI-Compliance nach EU AI Act und DSGVO. Die Schnittstelle, an der der EZB-Auftrag hängt.

Carsten Wittmann, AI Compliance Architect bei TUMAKI
Carsten Wittmann

TUMAKI ist Carsten Wittmann — AI Compliance Architect, TÜV-Rheinland-zertifizierter AI Consultant, zertifizierter Datenschützer, 25+ Jahre Finanzsektor, 200+ Anwendungen DSGVO-analysiert. Eine Person, die beides versteht: KI und Aufsichtsrecht.

Mehr über mich →

Nächster Schritt

Der 3. August kommt schneller, als der Einkauf denkt.

30 Minuten Erstgespräch — danach wissen Sie, wo Sie stehen, was der Plan kostet und welche Kohorte Sie noch erreichen.