Die britische Financial Conduct Authority erlässt vereinfachte Vorschriften für die Meldung von Cybervorfällen und Vorfällen bei Drittanbietern, die ab März 2027 gelten. Ein neuer Bericht von Bridewell zeigt, dass Regulierung mit 35 % zum wichtigsten Treiber der britischen Cyberausgaben für kritische Infrastrukturen geworden ist und damit bedrohungsgetriebene Investitionen überholt hat. Gartner prognostiziert, dass AI-bezogene Probleme bis 2028 50 % der Maßnahmen zur Reaktion auf Sicherheitsvorfälle in Unternehmen beanspruchen werden. Das CA/Browser Forum bestätigt, dass die Laufzeit von TLS-Zertifikaten bis 2029 auf 47 Tage sinken wird. Schatten-AI-Agenten entwickeln sich schneller als die Sicherheitstransparenz in Unternehmen. Wichtige regulatorische Entwicklungen — 21. März 2026.
Die britische Financial Conduct Authority hat neue Vorschriften für die Meldung von Cybervorfällen und Ausfällen bei Drittanbietern erlassen. Finanzunternehmen erhalten zwölf Monate Zeit, sich auf ein vereinfachtes Verfahren vorzubereiten, das mit der Prudential Regulation Authority und der Bank of England abgestimmt ist. Die Änderungen reagieren auf Rückmeldungen der Branche, wonach bestehende Meldepflichten unklar und redundant waren.
FCA-Direktor Mark Francis bezeichnete die Reform als unverzichtbar für eine Zeit, in der „die Widerstandsfähigkeit wie nie zuvor auf die Probe gestellt wird“. Zu den wichtigsten Änderungen gehören:
Der Fokus der FCA auf Risiken durch Drittanbieter entspricht dem seit Januar 2025 geltenden EU-Gesetz über die digitale operationale Resilienz (DORA). Beiden Rahmenwerken liegt eine zentrale Erkenntnis zugrunde: Die Widerstandsfähigkeit des Finanzsektors hängt von der Transparenz der Lieferkette ab. Organisationen, die sowohl im Vereinigten Königreich als auch in EU-Rechtsordnungen tätig sind, sollten diese Annäherung beachten — die Einhaltung eines Rahmenwerks reduziert den Aufwand für das jeweils andere erheblich.
Für DORA-regulierte Unternehmen: Das vereinfachte Meldemodell der FCA könnte als Vorlage für die Optimierung Ihrer eigenen EU-Vorfallmeldungen dienen. Gleichen Sie Ihre bestehenden DORA-Meldeabläufe mit den neuen FCA-Schwellenwerten ab, um Redundanzen und Lücken zu identifizieren.
Ein wegweisender Bericht des britischen Cybersicherheitsunternehmens Bridewell zeigt, dass 35 % der Sicherheitsverantwortlichen in den 13 Sektoren der kritischen nationalen Infrastruktur des Vereinigten Königreichs inzwischen regulatorische Anforderungen als wichtigsten Einflussfaktor auf ihre Sicherheitsprogramme nennen — gegenüber 26 % im Jahr 2025 und 29 % im Jahr 2024.
Andere traditionelle Treiber — stärkere Vernetzung, Innovationsförderung und sich wandelnde Cyberbedrohungen — stagnieren dagegen bei lediglich 25 % als primäre Einflussfaktoren. Diese Verschiebung wird folgenden Entwicklungen zugeschrieben:
Obwohl Regulierung Investitionen antreibt, bleibt die Umsetzung uneinheitlich. Weniger als die Hälfte der Befragten (46 %) gab an, das NCSC CAF umgesetzt zu haben, und nur 29 % meldeten die Einführung von NIS2. Noch besorgniserregender: 39 % haben nur geringes Vertrauen in ihre Cybersicherheitsmaßnahmen zum Schutz von Daten.
Bridewell-CEO Anthony Young warnte: „Compliance auf dem Papier führt nicht automatisch zu operationaler Resilienz. Regulierungsbehörden stellen anspruchsvollere Fragen, und Organisationen müssen sowohl die Übereinstimmung ihrer Richtlinien als auch ihre tatsächlichen Fähigkeiten nachweisen.“
Gartner prognostiziert, dass bis 2028 mindestens die Hälfte der Maßnahmen zur Reaktion auf Sicherheitsvorfälle in Unternehmen auf die Bewältigung von Sicherheitsproblemen im Zusammenhang mit individuell entwickelten AI-Anwendungen entfallen wird. Diese Prognose hat direkte Auswirkungen auf die Einhaltung des EU AI Act — Organisationen, die AI-Systeme mit hohem Risiko einsetzen, müssen Sicherheit in den Entwicklungslebenszyklus integrieren, statt sie erst nach der Bereitstellung nachzurüsten.
„AI entwickelt sich rasant, doch viele Werkzeuge — insbesondere individuell entwickelte AI-Anwendungen — werden eingesetzt, bevor sie vollständig getestet sind“, warnte Christopher Mixter, VP Analyst bei Gartner. „Diese Systeme sind komplex, dynamisch und langfristig schwer abzusichern.“
Die wichtigsten Prognosen von Gartner für die AI-Governance-Landschaft:
Gemäß EU AI Act müssen Betreiber von AI-Systemen mit hohem Risiko ein robustes Risikomanagement einschließlich Sicherheitstests und Überwachung umsetzen. Die Prognose von Gartner bestätigt den „Shift-left“-Ansatz des Gesetzes — wenn Organisationen mit der Behebung von Sicherheitsproblemen warten, bis AI-Systeme produktiv eingesetzt werden, werden die Kosten der Vorfallreaktion überwältigend sein.
Das CA/Browser Forum hat eine drastische Verkürzung der Gültigkeitsdauer von TLS-Zertifikaten offiziell terminiert. Sie wird innerhalb von etwa drei Jahren von einem Jahr auf 47 Tage reduziert. Der Zeitplan:
| Phase | Maximale Gültigkeit | Zieldatum |
|---|---|---|
| Aktuell | 398 Tage (1 Jahr) | Jetzt |
| Phase 1 | 200 Tage | ~2027 |
| Phase 2 | 100 Tage | ~2028 |
| Phase 3 | 47 Tage | ~2029 |
Für Organisationen, die NIS2, DORA oder CRA unterliegen, bedeutet dieser Zeitplan, dass die Verwaltung des Zertifikatslebenszyklus zu einer kritischen Compliance-Anforderung wird. Organisationen müssen Folgendes leisten können:
Verbindung zu NIS2: NIS2 verlangt von wesentlichen und wichtigen Einrichtungen ein robustes Management kryptografischer Schlüssel. Organisationen ohne Zertifikatsautomatisierung riskieren bereits jetzt Verstöße gegen die Vorschriften — Zertifikate mit einer Laufzeit von 47 Tagen werden diese Lücke unübersehbar machen.
Immer mehr Forschungsergebnisse zeigen, dass autonome AI-Agenten in Unternehmensumgebungen schneller zunehmen, als Sicherheitsteams sie überwachen können. Diese „Schatten-AI“-Implementierungen — AI-Agenten, die von Geschäftsbereichen ohne Aufsicht des Sicherheitsteams eingesetzt werden — schaffen regulatorische Risiken in mehreren Rahmenwerken:
Okta hat kürzlich ein neues Rahmenwerk speziell zur Absicherung von AI-Agenten in Unternehmen vorgestellt, während Gartner schätzt, dass bis 2028 40 % der Unternehmen von Sicherheitsvorfällen durch Schatten-AI betroffen sein werden. Das Zusammentreffen der rasanten Verbreitung von AI und der Durchsetzung regulatorischer Vorgaben macht eine konsequente Governance dringend erforderlich.
Kontinuierliche Sicherheitsbewertungen, abgestimmt auf die Anforderungen von NIS2, DORA, CRA, AI Act, GDPR und FCA. Erkennen Sie Ihre Compliance-Lücken, bevor Regulierungsbehörden sie finden.
Kostenlosen Sicherheitsscan starten →Bleiben Sie regelkonform. Seien Sie der Durchsetzung einen Schritt voraus.
🗡️ KENSAI Compliance Intelligence
21. März 2026
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →