Die Compliance-Perspektive 2026
DORA gilt seit dem 17. Januar 2025, Finanzinstitute arbeiten also bereits unter seinem Rahmen für IKT-Risiko und Resilienz — sie bereiten sich nicht mehr nur darauf vor. DORA schreibt weder Post-Quanten-Kryptografie vor noch nennt es bestimmte PQC-Algorithmen. Die Verbindung ist operativ: Abkündigung von Kryptografie, Austausch von HSM oder PKI, Protokollwechsel und Lieferantenmigration können Verfügbarkeit, Integrität, Tests und Drittparteirisiken berühren. Die eigenständige PQC-Roadmap der EU setzt zusätzlich ein strategisches Signal. Professionell ist deshalb, Nachweise zur Quantenbereitschaft in die etablierte DORA-Governance einzubetten, ohne PQC als unmittelbare DORA-Anforderung darzustellen.
DORA verändert den Governance-Kontext
DORA verpflichtet Finanzunternehmen, IKT-Risiko und operative Resilienz über strukturierte Governance, Tests, Vorfallmanagement und Drittparteiaufsicht zu steuern. Es ist keine Verordnung zur Post-Quanten-Kryptografie. Das dadurch entstehende Betriebsmodell ist für die PQC-Umstellung dennoch hochrelevant, weil kryptografische Abhängigkeiten in denselben kritischen Diensten, IKT-Assets und Lieferanten stecken, die Finanzinstitute ohnehin steuern müssen.
Kryptografischer Wandel kann zum Resilienzereignis werden
Muss ein Algorithmus, eine Implementierung oder ein Vertrauensdienst schneller als geplant abgelöst werden, ist die Herausforderung nicht allein technisch. Banken und Versicherer müssen unter Umständen HSMs, PKI, APIs, Zahlungsschnittstellen, Kundenkanäle, Cloud-Anbieter und Softwarelieferanten innerhalb enger Änderungsfenster koordinieren. Die Fähigkeit, Abhängigkeiten zu erkennen, Migrationsmuster zu testen und kontrollierte Änderungen durchzuführen, ist deshalb Teil der Resilienz.
Dritte können den kritischen Pfad bestimmen
Finanzdienstleistungen stützen sich stark auf IKT-Anbieter, Standardsoftware, Cloud-Dienste und spezialisierte kryptografische Hardware. Ein Unternehmen kann intern vorbereitet sein und einen kritischen Dienst dennoch nicht migrieren, solange ein Lieferant die erforderlichen Verfahren nicht unterstützt. PQC-Bereitschaft gehört daher — wo relevant — in Lieferantenprüfung, Architekturstandards, Beschaffungsanforderungen sowie Ausstiegs- und Substitutionsplanung.
Nachweise zählen so viel wie Absicht
Ein belastbares Umstellungsprogramm sollte zeigen, was die Organisation weiß, was sie priorisiert hat und wie Entscheidungen gesteuert werden. Nützliche Nachweise sind kryptografische Inventare, Risikobewertungen, Migrationspläne, Architekturentscheidungen, Lieferantenzusagen, Testergebnisse, Ausnahmen und Managementberichte. Diese Nachweise tragen dieselbe Governance-Disziplin, die im breiteren IKT-Risikomanagement erwartet wird.
Der praktische nächste Schritt
Finanzinstitute müssen kein eigenes Quanten-Governance-Universum erfinden. Sie können Krypto-Agilität in bestehende DORA-konforme Prozesse einbetten: IKT-Asset-Management, Risikobewertung, Änderungsmanagement, Resilienztests, Lieferanten-Governance und Berichterstattung an den Vorstand. Das Ergebnis ist eine Umstellungsfähigkeit, die dauerhafter ist als ein einmaliges Technologie-Upgrade.
Kernaussage
Sicht von QSD: Integrieren Sie kryptografische Erfassung und PQC-Umstellung in Ihre bestehende Governance für IKT-Risiko und operative Resilienz — und behandeln Sie Lieferantenbereitschaft als gleichrangige Abhängigkeit.