Die Europäische Bankenaufsichtsbehörde, die Europäische Aufsichtsbehörde für das Versicherungswesen und die Europäische Wertpapier- und Marktaufsichtsbehörde haben am 31. Juli 2026 eine gemeinsame Erklärung zu Frontier-KI-Modellen veröffentlicht. Unter dem Aktenzeichen JC 2026 25 fordert sie Aufseher und Unternehmen auf, das Cyberrisiko der leistungsfähigsten KI-Systeme als Frage der Betriebsstabilität zu behandeln statt als Frage der Technikeinführung.
Was die Behörden tatsächlich verlangen
Die Erklärung fordert einen sektorübergreifenden, risikobasierten und einheitlichen Aufsichtsansatz für die Technologierisiken aus Frontier-Modellen. Diese Formulierung ist entscheidend. Sie schlägt kein neues Regelwerk vor, sondern verlangt, dass die drei Behörden und die nationalen Aufseher ihre bestehenden Befugnisse über Banken, Versicherer und Wertpapiermärkte hinweg gleich anwenden.
Die benannte Sorge ist Konzentration, nicht Neuartigkeit. KI-gestützte Angriffswerkzeuge können nach Darstellung der Behörden Schwachstellen schnell finden und ausnutzen, gezielt auf gemeinsam genutzte Infrastruktur zielen und einen einzelnen Ausfallpunkt in ein Ereignis verwandeln, das viele Häuser gleichzeitig trifft. Das ist eine systemische Einordnung, und sie erklärt, warum die Antwort bei der Aufsicht liegt und nicht in einzelnen Risikoabteilungen.
Die Rechtsgrundlage besteht bereits
Die Erklärung stützt sich auf die Verordnung über die digitale operationale Resilienz, die seit dem 17. Januar 2025 EU-weit gilt. In diesem Rahmen sind die drei Behörden federführende Überwacher für kritische IKT-Drittdienstleister, und sie geben an, mit diesen Anbietern bereits gezielte Gespräche über deren KI-Risikomanagement begonnen zu haben.
Dieses Detail ist der praktische Kern der Ankündigung. Der Hebel läuft nicht über tausende beaufsichtigte Institute, sondern über die kleine Zahl von Anbietern, auf deren Infrastruktur diese Institute angewiesen sind.
Verbindung zum Plan der Kommission
Die Erklärung folgt auf die Europäische Kommission, die am 7. Juli 2026 ihren Aktionsplan zu Cybersicherheit und künstlicher Intelligenz vorgestellt hat. Die Behörden verweisen zusätzlich auf Vorarbeiten des Europäischen Ausschusses für Systemrisiken, der EU-Agentur für Cybersicherheit und des einheitlichen Aufsichtsmechanismus. Damit steht die Erklärung in einer bestehenden Analysekette und nicht an deren Anfang.
Worauf zu achten ist
In der Erklärung kommt keine namentlich genannte Person zu Wort, und sie enthält weder Frist noch Schwellenwert noch Meldevorlage. Ihr Gewicht hängt deshalb vollständig davon ab, was die nationalen Aufseher daraus machen. Das Signal, auf das es ankommt: ob KI-spezifische Fragen künftig in regulären Resilienzprüfungen auftauchen und ob aus den Gesprächen mit den kritischen Anbietern etwas Veröffentlichtes hervorgeht.
