Udo Seidel schreibt in »Warum Open-Source-Patches in Banken oft nicht ankommen« für heise.de:
Es ist bekannt, dass es Wochen, Monate, manchmal sogar Jahre dauern kann, bis ein Sicherheitspatch aus dem Quellcode-Repository in der Produktivumgebung einer Bank landet. Es ist aber noch schlimmer, denn oft genug patchen die Firmen die Software selbst. Allerdings bleibt diese Änderung der Community verborgen. Die Banken verfolgen folgende Prozedur: Klonen, Patchen, Neuabgleich mit dem offiziellen Repo, Patchen, … und so weiter. Auf diese Weise – und das ist nur ein fiktives Beispiel – kann eine Bank auch im Jahr 2026 noch einen Apache-Webserver in der Version 2.2.x betreiben. Sprich: es gibt Software in einem öffentlich unbekannten Zustand in der IT von Finanzinstituten. Dieser Zustand ist nicht neu und ließ sich bis vor ein paar Monaten auch „wegdiskutieren“.
In dem Artikel wird der Gedanke eines Risk-Navigators skizziert. Ich zweifle, dass sich das wirklich durchsetzen wird, auch wenn ich die Idee für sinnvoll halte.