FS Digital Risk Barometer 2026

Ihr Experte für Fragen

Rüdiger Giebichenstein
Partner im Bereich Financial Services, Technology & Process Risk bei PwC Deutschland
Tel.: +49 175 7954901
E-Mail

Digitale Resilienz: Vom Compliance-Thema zum strategischen Erfolgsfaktor

Die digitale Resilienz ist in der Finanzbranche in den vergangenen Jahren deutlich stärker in den Mittelpunkt der Unternehmenssteuerung gerückt. Mit der Umsetzung von DORA haben viele Institute wesentliche Grundlagen geschaffen: Governance-Strukturen wurden weiterentwickelt, regulatorische Anforderungen in interne Vorgaben und Prozesse überführt und zentrale Steuerungsmechanismen insbesondere im IKT-Risikomanagement gestärkt. Parallel dazu gewinnen technologische Ansätze wie Automatisierung und Künstliche Intelligenz zunehmend an Bedeutung für die Weiterentwicklung von Kontroll- und Steuerungsprozessen.

Mit zunehmendem Reifegrad verschiebt sich jedoch auch der Fokus. Entscheidend ist nicht mehr allein, ob regulatorische Anforderungen formal adressiert und in Richtlinien verankert sind, sondern in welchem Umfang die etablierten Strukturen und Prozesse im operativen Alltag tatsächlich wirksam greifen. Genau an diesem Punkt setzt das FS Digital Risk Barometer 2026 an und untersucht den aktuellen Entwicklungsstand der digitalen Resilienz im deutschen Finanzsektor.

Grundlage der Studie ist eine strukturierte Befragung von 91 Finanzunternehmen aus den Bereichen Banken, Versicherungen sowie Asset & Wealth Management anhand von 44 fachlichen Fragestellungen. Betrachtet werden dabei sowohl regulatorische und organisatorische Rahmenbedingungen als auch deren praktische Umsetzung. Die Analyse umfasst unter anderem die Steuerung von IKT-Risiken und Drittparteien, den Einsatz unterstützender Technologien und Tools sowie den zunehmenden Stellenwert von Automatisierung und Künstlicher Intelligenz.

Die Ergebnisse zeigen ein differenziertes Bild: Während die formalen und organisatorischen Voraussetzungen vielerorts bereits deutlich fortgeschritten sind, besteht zwischen dokumentierter Compliance und nachhaltiger operativer Wirksamkeit weiterhin Entwicklungspotenzial. Digitale Resilienz ist damit zunehmend weniger als zeitlich begrenztes regulatorisches Umsetzungsprojekt zu verstehen. Vielmehr etabliert sie sich als dauerhafte Management- und Steuerungsaufgabe, die regulatorische Sicherheit, operative Stabilität und Effizienz miteinander verbindet und zugleich die Grundlage für die Zukunftsfähigkeit von Finanzunternehmen schafft.

Die Studie im Überblick

Der aktuelle Stand der Umsetzung

Die Ergebnisse des FS Digital Risk Barometers 2026 zeigen: Viele Finanzunternehmen haben bei der Umsetzung regulatorischer Anforderungen wichtige Fortschritte gemacht. Governance-Strukturen wurden ausgebaut, Verantwortlichkeiten geschärft und zentrale Vorgaben in der schriftlich fixierten Ordnung verankert. Gleichzeitig wird deutlich, dass digitale Resilienz nicht allein durch Dokumentation entsteht. Entscheidend ist, ob Anforderungen auch im operativen Alltag wirksam umgesetzt, gesteuert und regelmäßig überprüft werden.

Besonders sichtbar wird diese Lücke beim DORA-Umsetzungsstand: Etwas mehr als die Hälfte der teilnehmenden Finanzunternehmen bewertet die eigene schriftlich fixierte Ordnung bereits als vollständig DORA-konform. Die operative Umsetzung erreicht dieses Niveau jedoch deutlich seltener. Hier sehen sich nur 7,7 % der Finanzunternehmen vollständig compliant.

IKT-Risikomanagement als Grundlage digitaler Resilienz

Ein wirksames IKT-Risikomanagement bildet eine wesentliche Grundlage für die digitale operationale Resilienz von Finanzunternehmen. Eine zentrale Voraussetzung ist dabei die klare Identifikation und Definition kritischer oder wichtiger Funktionen, an denen sich wesentliche Schutz- und Steuerungsmaßnahmen ausrichten.

48,4 % der 91 teilnehmenden Finanzunternehmen haben 11-50 kritische oder wichtige Funktionen identifiziert, während 39,6 % 1-10 Funktionen angeben. 4,4 % verorten sich im Bereich von 51-75 Funktionen, einzelne Finanzunternehmen berichten auch höhere Werte. Betrachtet man den prozentualen Anteil der Funktionen, die kritisch oder wichtig sind, ordnen 61,5 % der Finanzunternehmen 6-20 % ihrer Funktionen als kritisch oder wichtig ein. 18,7 % liegen im Bereich von 21-50 %, während 14,0 % weniger als 5 % ausweisen.

Das Management von Drittparteien bleibt ein zentraler Resilienzfaktor

Die digitale Resilienz von Finanzunternehmen hängt wesentlich von der Stabilität ihrer IKT-Drittdienstleister ab. Ein wirksames Drittparteienrisikomanagement setzt voraus, kritische Abhängigkeiten transparent zu erfassen, daraus entstehende Risiken systematisch zu bewerten und die relevanten Dienstleister kontinuierlich zu überwachen.

Bei 49,5% der befragten Finanzunternehmen unterstützen 6 % bis 20 % ihrer IKT-Drittdienstleister eine kritische oder wichtige Funktion. Bei weiteren 23,1 % liegt dieser Anteil bei über 20 %.

Die Durchführung eigener Audits bei IKT Drittanbietern erfolgt überwiegend risikoorientiert und differenziert nach Kritikalität der Dienstleister. Häufig genannte Ansätze sind regelmäßige Prüfzyklen (z. B. jährlich oder im zwei bis drei Jahresrhythmus), insbesondere für kritische oder wichtige Funktionen.

Neben eigenen Audits werden auch alternative Prüfungsformate genutzt, wie die Auswertung vorhandener Prüfberichte (z. B. ISAE Reports), Pooled Audits oder Zertifizierungen der Dienstleister.

Künstliche Intelligenz im regulatorischen Kontext

Der Einsatz von KI zur Unterstützung regulatorischer Prozesse im DORA-Kontext ist derzeit überwiegend punktuell und noch nicht flächendeckend etabliert. Dort, wo ein Einsatz erfolgt, geschieht dies überwiegend punktuell und themenspezifisch, insbesondere im Bereich der Vertragsanalyse, Vertragsprüfung sowie bei der Überprüfung von Richtlinien und internen Vorgaben.

Darüber hinaus finden sich vereinzelte Anwendungsfälle in der Dokumentenprüfung, im Risikomanagement, bei Audits sowie bei der Analyse regulatorischer Anforderungen. Häufig wird KI auch unterstützend für Recherche- und Auswertungszwecke genutzt oder ist indirekt Bestandteil bestehender Tools (z. B. in SIEM/SOC-Lösungen). In vielen Finanzunternehmen befinden sich entsprechende Use Cases noch in der Planung oder im Aufbau.

Im Vergleich zum Vorjahr zeigt sich dennoch eine deutliche Entwicklung: Während 2025 lediglich 11 % der befragten Finanzunternehmen KI im DORA-Umfeld nutzten oder deren Einsatz planten, setzen 2026 bereits 44 % KI in DORA-bezogenen regulatorischen Prozessen ein. Der Anteil liegt damit viermal so hoch wie im Vorjahr.

Fazit

Strukturen stehen, Wirksamkeit entscheidet!

Die Ergebnisse des diesjährigen FS Digital Risk Barometers zeigen eine spürbare Weiterentwicklung bei der Umsetzung der DORA-Anforderungen: Die Mehrheit der teilgenommenen Finanzunternehmen hat zentrale Grundlagen weiter gefestigt und Governance-Strukturen ausgebaut. Gleichzeitig wird deutlich, dass die Umsetzung in vielen Bereichen noch nicht die erforderliche Tiefe und Durchgängigkeit erreicht hat. Insbesondere bestehen weiterhin Lücken in der operativen Umsetzung und Wirksamkeit zentraler Komponenten, etwa bei der durchgängigen Steuerung von Drittparteienrisiken, der Konsistenz und Integration von Toollandschaften, der Automatisierung von Prozessen sowie der systematischen Durchführung und Validierung fortgeschrittener Resilienztests.

Insgesamt befindet sich die Branche nicht mehr in einem reinen Übergangsstadium, sondern in einer fortgeschrittenen Umsetzungsphase: Die Anforderungen sind weitgehend verstanden und strukturell verankert, jedoch vielfach noch nicht vollständig in stabile, integrierte und skalierbare Steuerungsmechanismen überführt. Der Schwerpunkt muss daher nun konsequent auf der operativen Durchdringung, der End-to-End-Integration sowie der nachhaltigen Verankerung der digitalen operationalen Resilienz liegen. Dabei wird insbesondere der gezielte Einsatz von Automatisierung und KI-gestützter Unterstützung eine zentrale Rolle spielen, um Compliance-Anforderungen effizienter zu erfüllen und gleichzeitig nachhaltige Effizienzgewinne zu realisieren, und so den regulatorischen Erwartungen dauerhaft gerecht zu werden.

Die Methodik

Im Rahmen des Barometers wurden von Ende Januar bis Mitte Mai durch PwC Deutschland 91 Versicherungen, Banken und Asset- & Wealthmanager befragt.