JST-Ready in sechs Wochen
Die EZB verlangt von jedem bedeutenden Institut einen Aktionsplan gegen KI-getriebene Cyberbedrohungen. TUMAKI liefert ihn: KI-gestützt erstellt, von Menschen entschieden, zum Festpreis.
Das Schreiben
SSM-2026-0301: Was die EZB von Ihnen verlangt
Am 7. Juli 2026 hat die EZB-Bankenaufsicht die CEOs aller bedeutenden Institute angeschrieben: KI-Modelle entdecken Schwachstellen und erzeugen funktionierende Exploits in bislang unbekannter Geschwindigkeit. Bis zum 31. Oktober 2026 muss jedes Institut seinem Joint Supervisory Team einen konkreten Aktionsplan vorlegen.
Originalschreiben der EZB lesen (PDF, englisch) →
Angriffsflächen
Alle ICT-Assets inventarisieren, internetexponierte Systeme minimieren und überwachen.
Patch-Management
Auf häufigere, volumenstärkere Patch-Zyklen vorbereiten, Emergency-Changes ermöglichen.
Detection
Monitoring von Logs, Netzverkehr und Kompromittierungsindikatoren verstärken.
Governance
Budget, Personal und Risk Appetite Framework durch das Leitungsorgan neu bewerten.
Defense-in-Depth
Zero Trust, Segmentierung, Ablösung von Legacy-Systemen.
Resilienz
Getestete Response- und Recovery-Fähigkeiten für Hochgeschwindigkeits-Szenarien.
Dazu: explizite Priorisierung offener Findings — und ein Querschnittsauftrag, den viele übersehen: das Risk Appetite Framework muss KI-Nutzung und KI-Exponierung messbar abbilden.
Das Problem
Das Problem ist nicht Wissen. Es ist Zeit.
- Erhebung quer durch IT, TPRM, Risiko und Fachbereiche — neben dem Tagesgeschäft
- Abgleich gegen das EZB-Raster ohne erprobte Methodik
- Risk-Appetite-Fragen landen ungeklärt im Vorstand
- Big-Four-Angebote: teuer, langsam mobilisiert, Beraterarmee im Haus
- Rollenspezifische Erhebungspakete, KI-gestützt konsolidiert
- Gap-Analyse exakt entlang Annex 1 des EZB-Schreibens
- Moderierter Risk-Appetite-Workshop mit fertigen Entscheidungsvorlagen
- Festpreis, sechs Wochen, abgabefertiger Plan plus Traceability-Matrix
Das Programm
Fünf Stufen. Sechs Wochen. Ein abgabefertiger Plan.
Erheben
Rollenspezifische Pakete für IT/Security, Drittparteien, Risiko und KI-Einsatz. Ihre Findings und DORA-Artefakte fließen ein.
Bewerten
Gap-Analyse gegen alle Annex-1-Anforderungen, Heatmap je Fokusbereich, jede Aussage quellenverlinkt.
Entscheiden
Risk-Appetite-Workshop mit Ihrem Management. Vorlagen liefert die KI, die Entscheidung trifft Ihr Haus.
Ableiten
Maßnahmen mit Owner, Ressourcen, Terminen — rückverfolgbar bis zur EZB-Anforderung.
Abgeben
JST-fertiger Plan, Board-Deck, Traceability-Matrix. Automatischer Formalia-Check vor Export.
Der Unterschied
Warum TUMAKI
Schnell und planbar
KI-gestützte Analyse statt Beraterarmee. Festpreis, sechs Wochen. Sie zahlen für Ergebnis, nicht für Anwesenheit.
Souverän
Ihre Daten bleiben unter Ihrer Kontrolle: Standard ist die Analyse in Ihrem eigenen Cloud-Tenant — Ihre Rohdaten verlassen Ihr Haus nicht.
Selbst regulierungskonform
Die EZB verlangt für KI-Einsatz Risikobewertung, Safeguards, Human Oversight. Unser Verfahren bringt seine eigene Governance-Akte mit: AI-Act-Einordnung, DSGVO-Konzept, dokumentierte Oversight-Punkte. Wir praktizieren, was Ihr Plan verspricht.
Und: Die EZB wird alle Pläne horizontal vergleichen. Unsere Programmteilnehmer wissen vorher, wo sie stehen — anonymisiertes Benchmarking je Fokusbereich, inklusive.
Kohorten & Einstieg
Welchen Start erreichen Sie noch?
Kohorte A
Für Entschlossene
- 6-Wochen-Programm komplett
- Anonymisiertes Benchmark
- 6 Wochen Puffer zur Frist
- Frühbucher-Konditionen
Kohorte B
Der Standardweg
- 6-Wochen-Programm komplett
- Anonymisiertes Benchmark
- Profitiert von Erkenntnissen aus Kohorte A
- Knapper, aber sicherer Puffer
Express
Für Nachzügler
- Einzeldurchlauf im Sprint
- Fokus auf Pflichtinhalte
- Aufschlag auf Basispaket
- Benchmark nachgeliefert
Plätze je Kohorte begrenzt (max. 6 Institute). Konditionen im Erstgespräch.
Häufige Fragen
Was Institute jetzt fragen
Gilt das Schreiben auch für uns als LSI?
Was müssen wir intern beisteuern?
Wie sicher sind unsere Daten?
Macht Sie das zu einem kritischen ICT-Drittdienstleister nach DORA?
Was passiert nach dem 31. Oktober?
Ersetzt die KI die fachliche Beurteilung?
Wer dahintersteht
Diesen Weg bin ich schon einmal gegangen
Ein EZB-Aktionsplan ist kein Papier, das man aus einer Vorlage füllt. Er muss den Aufsichtsdialog überstehen — und dafür hilft es zu wissen, wie dieser Dialog von innen aussieht. Ich habe auf der anderen Seite des Tisches gesessen, als die EZB zum ersten Mal so ein Audit durchführte.
Das allererste Cyber Security Audit der EZB begleitet
In der Unterstützung des CISO eines deutschen Großinstituts (SI) habe ich das allererste Cyber Security Audit der EZB begleitet — mit dem damals neu gegründeten Joint Supervisory Team koordiniert, ein neues Audit Framework entwickelt und die abgeleiteten Maßnahmen zur Umsetzung gebracht und überwacht. Genau die Übung, die jetzt jedem bedeutenden Institut bevorsteht.
Prozess für regulatorische Anfragen aufgebaut und verbessert
Nach der Abgabe beginnt die eigentliche Arbeit: Rückfragen des JST, Fortschrittsnachweise, kurzfristig angeforderte Belege. Ich habe im selben Haus den Prozess für regulatorische Anfragen überarbeitet — er entscheidet darüber, ob Anfragen der Aufsicht strukturiert und fristgerecht beantwortet werden oder das Tagesgeschäft der Fachbereiche binden.
Risiko-Richtlinien und Reporting erstellt, IS-Risikomanagement als 2nd Line mit aufgebaut
Ebenfalls im Großbankenumfeld: Aufbau der zweiten Verteidigungslinie für Information-Security-Risiken, inklusive neuer Risiko-Richtlinien und Reports. Wer das Risk Appetite Framework um KI-Risiken erweitern soll, muss wissen, wie Metriken, Toleranzschwellen und Berichtslinien tatsächlich entstehen.
IS-Richtlinien in der Industrie, Risikomanagement, KI-Governance
Über den Finanzsektor hinaus: Information-Security-Richtlinien und Risikomanagement in Industrieunternehmen — heute verbunden mit KI-Compliance nach EU AI Act und DSGVO. Die Schnittstelle, an der der EZB-Auftrag hängt.
TUMAKI ist Carsten Wittmann — AI Compliance Architect, TÜV-Rheinland-zertifizierter AI Consultant, zertifizierter Datenschützer, 25+ Jahre Finanzsektor, 200+ Anwendungen DSGVO-analysiert. Eine Person, die beides versteht: KI und Aufsichtsrecht.
Nächster Schritt
Der 3. August kommt schneller, als der Einkauf denkt.
30 Minuten Erstgespräch — danach wissen Sie, wo Sie stehen, was der Plan kostet und welche Kohorte Sie noch erreichen.