TOPIC
Vorstandsverantwortung nach DORA Artikel 5, Risikodatenaggregation nach BCBS 239, Konzentrationsrisiko bei Dritten, Ausstiegstests und die technischen Kontrollen, die operative Resilienz von einem Compliance-Projekt in eine aufsichtsreife Kennzahlentafel verwandeln.
Aufseher lesen seit zwei Jahren Ausstiegspläne, die einen Ausstieg unterstellen, den niemand kalkuliert, budgetiert oder geprobt hat. Im Januar steht die haltbarste Ausrede dafür nicht mehr zur Verfügung.
Finanzunternehmen haben gelernt, die NIS2-Frage mit einem Satz über DORA zu beantworten. Der Satz stimmt, und er wird gleich auf eine Verordnung angewendet, für die er nie geschrieben wurde.
Ein Banking Resilience Index 2026 — KI-Risiko, Cloud-Konzentration, quantensichere Migration, Zahlungs-Kontinuität und kritisches Drittparteienrisiko zu einem Scoreboard für operationelle Resilienz vereint, das Vorstand und Aufsicht gleichermaßen lesen können.
Eine Engineering-Blaupause für Cloud-natives Banking in der DORA-Prüfungsphase. Fünf Plattform-Engineering-Primitive — Kubernetes-Paved-Roads, Backstage-Portal, GitOps via ArgoCD, Open Policy Agent am Admission, OpenTelemetry End-to-End — liefern Artikel-8-Registernachweise im Takt der Pipeline. Jährlich getestete Exit-Ausführung für CTPP-abhängige CIFs gegen BIA-abgeleitete RTO-Ziele. Souveräne Cloud-Optionen (AWS European Sovereign Cloud, Microsoft EU Data Boundary, Bleu, Thales / S3NS) als Engineering-Entscheidungen, nicht als Branding.
DORA, die EU-KI-Verordnung, DSGVO, Cloud-Konzentrationsrisiko und Datensouveränität verschmelzen 2026 zu einem Compliance-Stack für Banken. Die strategische Frage ist Designdisziplin — Compliance, KI-Governance, IKT-Resilienz-Nachweise und Entscheidungen zur Datensouveränität als eine Architektur zu führen, nicht als fünf parallele Programme.
Die Cloud-Architektur hat sich um sechs Pfeiler und eine strategische Frage für Banken verdichtet: Cloud konsumieren oder Cloud gestalten – unter konvergierendem Druck von agentischem Commerce, agentischer Unit Economics, Harvest-Now-Decrypt-Later-Quantenrisiko, MCP-Sicherheit und algorithmischer Ansteckung, kryptografischer Agentenidentität und einem Altlast-Inventar, das weiterhin 70–75 % der IT-Ausgaben in Finanzdienstleistungen bindet.