Finanzunternehmen müssen sich noch in diesem Jahr mit Post-Quanten-Kryptografie beschäftigen

Faktisch ist das eine DORA-Pflicht, nur lesen kann man sie so in DORA nicht.

Art. 6 Abs. 4 RTS IKT-Risikomanagement verlangt, die Entwicklungen in der Kryptoanalyse zu beobachten und die eigenen kryptografischen Technologien danach auszurichten. Dass es dabei um Quantencomputing geht, erschließt sich aus dem Artikel allein nicht, sondern erst, wenn man ihn zusammen mit Erwägungsgrund 9 liest, in dem es um die Bedrohungen durch die Fortschritte der Quantentechnologie geht.

Das muss man erstmal wissen …

Und nun häufen sich die Aufforderungen, sich mit diesem Thema zu beschäftigen.

So steht im Risikoupdate der ESAs vom 23.09.2026 (JC 2026 29, S. 17) ausdrücklich, dass DORA Kryptografie nach dem Stand der Technik verlangt. Dort heißt es auch, ein Quantencomputer könne gängige Verschlüsselungsverfahren knacken, mit denen heute Kommunikation, Transaktionen, Datenbanken und Blockchains gesichert sind, womöglich noch bevor er kommerziell nutzbar ist.

Außerdem verweisen die ESAs auf die EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie, die 2025 veröffentlicht wurde und zu der jeder Mitgliedstaat bis Ende 2026 eine eigene Strategie entwickeln soll.

Deutschland hat dazu am 12.10.2026 eine gemeinsame Leitlinie von Digitalministerium (BMDS), Innenministerium (BMI) und BSI vorgelegt. Darin wird auch das Bankensystem als Bereich genannt, der auf Kryptografie angewiesen ist.

Laut Leitlinie sollen Behörden und Unternehmen bis Ende 2026:

1. eine verantwortliche Stelle für die Umstellung benennen,
2. ein erstes Inventar der kryptografischen Verfahren und Schlüssel erstellen und
3. Quantenrisikoanalysen im IKT-Risikomanagement verankern, um Anwendungsfälle mit hohem Quantenrisiko zu identifizieren.

Die Leitlinie selbst hat zwar keine unmittelbare Bindungswirkung, aber die Pflicht zu Krypto-Inventar, Quantenrisikoanalyse und Anpassung der Kryptografie ergibt sich für Finanzunternehmen bereits aus DORA.

Aus meiner Sicht zeigt die neue Leitlinie damit auch Finanzunternehmen konkret, wie sich diese DORA-Anforderungen umsetzen lassen. Ich gehe fest davon aus, dass ihre Inhalte und Fristen spätestens 2027 die aufsichtliche Erwartungshaltung prägen.

Wer bereits mit meinem DORA-Navigator 2.0 arbeitet, findet die Pflicht übrigens als Sollmaßnahme D08.008 an Art. 6 RTS IKT-Risikomanagement.

Für alle anderen sei mir hier ein kleiner Werbeblock erlaubt 😅 Der DORA-Navigator ist ein interaktives Handbuch zum DORA-Regelwerk. Darin finden sich alle Pflichten von Finanzunternehmen als praxisnahe Sollmaßnahmen, die ESA-Q&As und BaFin-FAQ sowie die Schulungsfolien aus meiner DORA-Werkstatt.

Mehr Infos dazu: marlen-hofmann.de/dora/dora-navigator