FCA Operational Resilience im Jahr 2026: Was Ihre IT-Infrastruktur tatsächlich leisten muss

Operative Ausfallsicherheit ist kein Grundsatzdokument. Es handelt sich um einen aktiven, erprobten und kontinuierlich gepflegten Zustand Ihrer IT-Infrastruktur. Die FCA möchte nicht lediglich Ihre Ausfallsicherheitspläne einsehen – sie verlangt den Nachweis, dass Sie Ihre Systeme erfasst, Ihre Toleranzen getestet und nachweisen können, dass Ihre wichtigen Geschäftsdienste auch im Falle einer Störung weiterlaufen würden. Dieser Nachweis findet sich in Ihrer IT-Umgebung.

In diesem Leitfaden erfahren Sie, welche Anforderungen PS21/3 und das sich weiterentwickelnde Resilienz-Rahmenwerk der FCA im Jahr 2026 tatsächlich an Ihre Technologieinfrastruktur stellen, was die Änderungen bei der Meldung von Vorfällen ab März 2027 für Ihr IT-Team bedeuten und wie ein spezialisierter IT-Anbieter für Finanzdienstleistungen die Lücke zwischen regulatorischen Verpflichtungen und der betrieblichen Realität schließen kann.

Was die FCA-Vorschrift PS21/3 konkret von Ihrer IT-Abteilung verlangt

PS21/3 gilt für Banken, Bausparkassen, von der PRA benannte Wertpapierfirmen, Versicherer, Zahlungsdienstleister sowie SM&CR-Unternehmen mit erweitertem Anwendungsbereich. Falls Ihr Unternehmen der Aufsicht der FCA unterliegt und einer dieser Kategorien angehört, war die vollständige Einhaltung der Vorschriften bis zum 31. März 2025 verpflichtend.

Die Kernanforderungen lassen sich zwar auf den ersten Blick einfach formulieren, sind jedoch ohne fachliche IT-Unterstützung in der Praxis nur schwer umzusetzen:

Was die Änderungen bei der Meldung von Vorfällen im März 2027 für Ihr IT-Team bedeuten

Am 18. März 2026 veröffentlichte die FCA neue Anforderungen zur Meldung von Vorfällen und zur Benachrichtigung Dritter und räumte den Unternehmen eine Vorbereitungszeit von 12 Monaten ein, bevor diese am 18. März 2027 in Kraft treten. Mit den Änderungen werden folgende Neuerungen eingeführt:

• Klarere Meldepflichten bei Betriebsstörungen – was eine Meldung auslöst, wann diese einzureichen ist und welche Angaben erforderlich sind
• Wesentliche Meldungen Dritter – Unternehmen müssen der FCA wesentliche betriebliche Probleme melden, die ihre IT-Outsourcing-Partner und Cloud-Anbieter betreffen
• Kürzere Fristen – die FCA verkürzt den Zeitraum zwischen der Feststellung eines Vorfalls und der ersten Meldung bei den schwerwiegendsten Störungen

Für Ihr IT-Team bedeutet dies, dass Ihre Überwachungs- und Alarmierungsinfrastruktur in der Lage sein muss, Vorfälle so schnell zu erkennen, dass Ihr Compliance-Team innerhalb der vorgeschriebenen Frist genaue Meldungen einreichen kann. Dies bedeutet zudem, dass Ihr IT-Anbieter in der Lage sein muss, kurzfristig Zeitachsen zu Vorfällen, Ursachenanalysen und Nachweise für Abhilfemaßnahmen bereitzustellen.

Unternehmen, deren IT-Umgebungen unzureichende Protokollierung liefern, deren Überwachung eher reaktiv als proaktiv ist oder deren IT-Dienstleister keine strukturierten Vorfallberichte erstellen können, werden große Schwierigkeiten haben, die Anforderungen vom März 2027 zu erfüllen.

Die Anforderungen an die IT-Infrastruktur im Hinblick auf die Einhaltung der FCA-Vorschriften

Um die Anforderungen gemäß PS21/3 in konkrete IT-Anforderungen umzusetzen, muss Ihre Infrastruktur Folgendes gewährleisten:

Umfassende Erfassung der Systemabhängigkeiten

Ihr IT-Anbieter muss in der Lage sein, eine aktuelle Übersicht über jedes System, jede Anwendung und jeden Drittanbieterdienst zu erstellen und zu pflegen, von denen Ihre wichtigen Geschäftsdienste abhängen. Dabei handelt es sich nicht um eine Tabellenkalkulation – es ist eine gepflegte, versionierte und genaue Dokumentation Ihrer IT-Architektur, auf die sich Ihr Compliance-Team in Einreichungen bei der FCA berufen kann.

Wiederherstellungszeitziele im Rahmen Ihrer Ausfalltoleranzen

Wenn Ihre Toleranzgrenze für Ausfälle beim Zugriff auf Kundenkonten vier Stunden beträgt, muss Ihr IT-Notfallwiederherstellungsplan die Wiederherstellung innerhalb dieses Zeitfensters gewährleisten – und dies muss durch Tests nachgewiesen worden sein. Ein theoretischer RTO, der nie validiert wurde, ist für die Zwecke der FCA wertlos.

Unveränderliche Protokollierung von Prüfvorgängen in allen kritischen Systemen

Jeder Zugriffsvorgang, jede Systemänderung und jeder Vorfall muss in einem manipulationssicheren Speicher protokolliert werden. Diese Protokolle bilden die Beweisgrundlage für Ihre FCA-Compliance-Situation. Sie sind zudem Ihre wichtigste Informationsquelle bei der Untersuchung eines Datenschutzverstoßes oder bei der Vorbereitung auf eine FCA-Aufsichtsprüfung.

Archivierung von Kommunikationsdaten im Rahmen der COBS-Aufbewahrungspflichten

Gemäß FCA COBS 11.8 und MiFID II sind Unternehmen verpflichtet, Aufzeichnungen über relevante Kommunikationen aufzubewahren. Das Microsoft 365 Compliance Center bietet Ihnen – sofern es ordnungsgemäß konfiguriert und aktiv verwaltet wird – die Archivierungsfunktionen, die Sie benötigen; die Standardkonfiguration von M365 erfüllt diese Anforderungen jedoch nicht von Haus aus. Es sind eine fachgerechte Konfiguration und eine kontinuierliche Verwaltung erforderlich.

Informationsbarrieren zwischen Front- und Backoffice

Für Unternehmen, die sowohl Beratungs- als auch Ausführungsfunktionen wahrnehmen, sind Informationsbarrieren eine gesetzliche Vorschrift – und nicht nur eine Frage der Unternehmensführung. In Microsoft 365 werden diese durch Richtlinien für Informationsbarrieren umgesetzt, die von einem IT-Team mit spezifischer M365-Compliance-Expertise konfiguriert, getestet und gepflegt werden müssen.

Was Sie von einem IT-Anbieter für die Finanzdienstleistungsbranche erwarten können

Der Unterschied zwischen einem allgemeinen IT-Anbieter und einem Anbieter, der das FCA-Umfeld wirklich versteht, ist messbar. Wenn Foxcomm einen Kunden aus der Finanzdienstleistungsbranche als Neukunden gewinnt, erstellen wir:

• Ein vollständiges SYSC-8-Outsourcing-Vertragspaket mit Prüfungszugriffsrechten, Dokumentation der Sicherheitskontrollen und Angaben zu Subunternehmern
• Dokumentation zur Erfassung der Systemabhängigkeiten in dem für die PS21/3-Selbstbewertung erforderlichen Format
• Ein schriftlicher Notfallwiederherstellungsplan mit getesteten RTOs, die auf Ihre festgelegten Ausfalltoleranzen abgestimmt sind
• Sicherheitsoptimierung und Konfiguration zur Einhaltung von Compliance-Vorgaben für Microsoft 365, einschließlich Archivierung, Informationsbarrieren, DLP-Richtlinien und bedingter Zugriff
• Monatliche Berichte zu Sicherheit und Verfügbarkeit, die Ihrem Compliance-Team konkrete Daten anstelle von mündlichen Zusicherungen liefern
• Strukturierte Vorfallberichte mit Zeitachse, Grundursache und Abhilfemaßnahmen – in dem von der FCA erwarteten Format

Ein Generalist stellt die Infrastruktur bereit. Ein Spezialist für Finanzdienstleistungen stellt sowohl die Infrastruktur als auch die darüber liegende Ebene der Compliance-Dokumentation bereit.

Die ehrliche Einschätzung: Ist Ihre IT derzeit FCA-konform?

Sollten Sie die folgenden Fragen nicht mit „Ja“ beantworten können, bestehen Lücken in Ihrer FCA-Compliance-Situation, die durch Ihre IT-Infrastruktur behoben werden müssen:

• Verfügen Sie über einen schriftlich festgehaltenen, getesteten und datierten Notfallwiederherstellungsplan mit RTOs, die auf Ihre PS21/3-Auswirkungstoleranzen abgestimmt sind?
• Hat Ihr IT-Anbieter SYSC-8-konforme Vertragsunterlagen einschließlich der Prüfungszugriffsrechte bereitgestellt?
• Werden Ihre Microsoft 365-Kommunikationen für die vorgeschriebenen Aufbewahrungsfristen in einem manipulationssicheren Speicher archiviert?
• Haben Sie in den letzten 12 Monaten mindestens einen formellen Test zur IT-Ausfallsicherheit durchgeführt und das Ergebnis dokumentiert?
• Bietet Ihnen Ihre IT-Überwachung die erforderliche Protokollierungstiefe, um genaue FCA-Vorfallberichte innerhalb der gesetzlich vorgeschriebenen Fristen einzureichen?
• Werden Informationsbarrieren eingerichtet und getestet, falls in Ihrem Unternehmen widersprüchliche Geschäftsfunktionen bestehen?

Sollte eine dieser Fragen mit „Wir sind uns nicht sicher“ oder „Das übernimmt unser IT-Dienstleister“ beantwortet werden, lautet die Antwort „Nein“ – und es lohnt sich, genau herauszufinden, welche Leistungen Ihr Dienstleister erbringt und welche nicht, bevor die FCA dieselben Fragen stellt.