Kernaussagen
- • Ein Rollout über viele Standorte ist eine Governance-Entscheidung, keine IT-Routine. Operative Entropie wird zum zentralen Risikofaktor.
- • Ein Basic-Nachweis gilt 90 Tage; bei Pro- und Abo-Paketen gilt das Urteil 365 Tage. Abo-Pakete scannen automatisch alle 90 Tage, Enterprise alle 30 Tage. Ohne zentrale Überwachung dieser Zyklen fehlen zum Auditzeitpunkt an vielen Standorten aktuelle Nachweise.
- • Die Haftungs-Demarkationslinie trennt Dienstleister, Einzelinstitut und zentrale Gruppenebene nach DORA (IKT-Drittparteienrisiko, seit 17.01.2025) und MaRisk.
- • Wie stark Ergebnisse streuen, zeigt der BaFin50-Scan vom 11.06.2026: Die 50 Bank-Domains der Liste lagen zwischen CES 16,0 und 47,8.
- • Fünf priorisierte Schritte sichern den Rollout ab, von der Positionierung als Compliance Verification Layer bis zum Haftungsausschluss-Framework.
Eine Institutsgruppe mit vielen Standorten, die CERTavia-Validierung über ihr Netzwerk ausrollt, steht vor einer anderen Aufgabe als ein einzelnes Institut mit einer Domain. Unterschiedliche IT-Reifegrade, lokale Konfigurationen und ein systembedingt zeitlich begrenzter Nachweis treffen auf eine Aufsicht, die einheitliche, belastbare Evidenz erwartet. Dieser zweite Teil ordnet die Skalierungsrisiken ein, zieht die Haftungs-Demarkationslinie und benennt die fünf Schritte, mit denen die Gruppe den Rollout sicher umsetzt.
Skalierungsrisiken bei vielen Standorten
Ein gruppenweiter Rollout dieser Größenordnung ist durch signifikante operative Heterogenität geprägt. Unterschiedliche IT-Reifegrade und lokale Konfigurationen gefährden die Vergleichbarkeit der Ergebnisse.
Operative Entropie und Versionierung
Erhält Standort A aufgrund lokaler DNS-Konfigurationen ein FAILED, während Standort B CERTIFIED meldet, entsteht für die zentrale Ebene der Gruppe ein Koordinations- und Erklärungsnotstand. Die einheitliche Bewertung der Gesamtinfrastruktur wird zur eigenständigen Aufgabe.
Dass diese Streuung real ist, zeigt der BaFin50-Scan vom 11.06.2026 (DACH Enterprise Readiness Report 2026). Die 50 Bank-Domains der Liste lagen zwischen CES 16,0 und 47,8, der Median bei 32,0. In Cluster F (AI Governance) erreichten 45 von 50 Domains 0 Punkte, der höchste Wert lag bei 30. Keine Domain der Liste erreichte die CERTIFIED-Schwelle von 75.
Der 90-Tage-Rhythmus als operative Konstante
Ein CERTavia-Befund dokumentiert den Infrastruktur-Zustand zum Scanzeitpunkt. Beim Basic-Nachweis gilt er 90 Tage, der Vault-Eintrag läuft danach ab. Bei Pro, Bulk, Solo, Annual Starter, Annual Subscription und Enterprise gilt das Urteil 365 Tage, der Vault-Eintrag bleibt dauerhaft abrufbar. Solo, Annual Starter und Annual Subscription scannen automatisch alle 90 Tage, Enterprise alle 30 Tage (Re-Scan). Bei einem 90-Tage-Rhythmus sind das vier Scans pro Standort und Jahr, multipliziert mit der Zahl der Standorte. Ohne eine zentrale Stelle auf Gruppenebene, die Gültigkeiten und Ergebnisse überwacht, liegen zum Zeitpunkt eines Audits an vielen Standorten nur veraltete oder abgelaufene Nachweise vor.
Change-Management als Standardisierungsaufgabe
Die Integration externer Verifikationsdaten in lokale IT-Prozesse vieler Einheiten erfordert eine Standardisierung, die über die technische Messung hinausgeht. Ein einheitliches Format für Eskalation, Dokumentation und Freigabe trägt den Rollout über die erste Welle hinaus.
Ein technischer Fehler bleibt ein technischer Fehler, solange ein definierter SLA-Prozess ihn auffängt. Ohne diesen Prozess wird er zu einem Governance-Problem.
Haftungsprofile und Auslagerungssteuerung
Aus Sicht des Instituts ist CERTavia ein IKT-Drittdienstleister im Sinne von DORA, die Vertragsbeziehung gehört damit in das Informationsregister nach Art. 28 Abs. 3 DORA. Die Nutzung externer Nachweise entbindet das Institut nicht von der Pflicht zur eigenständigen Risikoüberwachung, etwa durch das Zentrale Auslagerungsmanagement (ZAM). Die Haftungs-Demarkationslinie ordnet die drei beteiligten Ebenen eindeutig zu.
Dienstleister: CERTavia
Haftet ausschließlich für die technische Korrektheit der Messung über 80+ Parameter in sechs Clustern zum Zeitpunkt der Prüfung.
Einzelinstitut
Trägt die volle Verantwortung für die Bewertung der Ergebnisse und die prozessuale Umsetzung der DORA- und MaRisk-Vorgaben.
Zentrale Ebene der Institutsgruppe
Übernimmt die Rolle des Enablers. Die zentrale Ebene tritt nicht als Ersatz-Auditor auf. Ein implizites Compliance-Versprechen in der Außendarstellung ist rechtlich nicht gedeckt und reduziert die Kontrolltiefe der bankinternen Revision nicht.
Strategische Handlungsempfehlungen für die Institutsgruppe
Um die Vorteile der CERTavia-Engine sicher zu nutzen, priorisiert die zentrale Ebene der Gruppe fünf Schritte.
CERTavia konsequent als Machine-Readable Compliance Evidence kommunizieren. Begriffe wie AI-Act-Zertifizierung vermeiden. Ziel ist der Status Audit-Ready, nicht die pauschale Compliance.
Das CERTavia-Ergebnis als ein Modul der technischen Dokumentation positionieren. Für Hochrisiko-Systeme nach Anhang III Nr. 5 lit. b (Kreditwürdigkeitsprüfung) gilt ab 02.12.2027 die Konformitätsbewertung auf Grundlage einer internen Kontrolle nach Anhang VI; die technische Dokumentation richtet sich nach Anhang IV. Der Infrastruktur-Befund deckt davon nur einen kleinen Ausschnitt ab.
Verbindliche Workflows für den Umgang mit FAILED-Signalen etablieren. Ein technischer Fehler wird innerhalb definierter SLAs eskaliert, um die dokumentarische Integrität der Gruppe zu erhalten.
Die Revision wird frühzeitig beteiligt und legt fest, ob und wie die signierten Befunde als Prüfnachweis in der IT-Prüfung nach DORA und MaRisk verwendet werden. Jeder signierte Nachweis lässt sich mit dem öffentlichen Schlüssel prüfen, den CERTavia als DNS-TXT-Record unter _sovp.certavia.org veröffentlicht.
Ein Framework legt fest, welche Anforderungen nach Art. 50 geprüft werden und welche nach Art. 9, 10 und 14 im Verantwortungsbereich der Bank verbleiben.
Fazit
Evidenz liefert CERTavia. Compliance leistet die Bank.
Der Rollout bietet einen strategischen Vorteil als Vertrauensschicht für das digitale Ökosystem der Banken. Der Erfolg hängt an der strikten Einhaltung der Governance-Demarkationslinien. Die Anzahl der geprüften Parameter allein trägt diesen Erfolg nicht.
← Zurück zu Teil 1: Die Evidence Gap zwischen CERTavia und Art. 50 EU AI Act
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.