BAIT

Q: Sind die bankaufsichtlichen Anforderungen an die IT (BAIT) noch gültig?

Ja, allerdings nur noch für einen begrenzten Kreis von Finanzinstituten und nicht mehr lange. Seit dem 17. Januar 2025 fallen DORA-pflichtige Institute nicht mehr unter das Rundschreiben, für die übrigen Anwender gelten die BAIT-Anforderungen nur noch bis Ende 2026.

Q: Wann werden die BAIT vollständig aufgehoben?

Mit Ablauf des 31. Dezember 2026 werden die bankaufsichtlichen Anforderungen an die IT vollständig aufgehoben. Ab dem 1. Januar 2027 erweitert sich der DORA-Anwendungsbereich unter anderem auf Finanzdienstleistungsinstitute, sodass das bisherige nationale Regelwerk ausläuft.

Q: Was müssen Institute beim Wechsel von BAIT zu DORA beachten?

Beim Übergang sollten Institute vorhandene Prozesse, Rollen und Kontrollen mit den DORA-Anforderungen abgleichen. Besonders wichtig sind dabei das IKT-Risikomanagement, die IT-Sicherheit, der Umgang mit Drittanbietern und belastbare Nachweise für die Umsetzung der Anforderungen an die digitale Resilienz.

Die bankaufsichtlichen Anforderungen an die IT (BAIT) wurden erstmals im November 2017 veröffentlicht und bündeln wesentliche Anforderungen der BaFin an IT-Steuerung und Informationssicherheit sowie an den sicheren Betrieb in Teilen der Finanzindustrie. 2026 stehen sie jedoch am Ende ihrer Laufzeit: Die DORA-Verordnung übernimmt schrittweise den regulatorischen Rahmen, mit Ablauf des Jahres werden die BAIT vollständig aufgehoben.

BAIT – Auf einen Blick

Was ist die Definition von BAIT?

Die bankaufsichtlichen Anforderungen an die IT konkretisieren für ihren Anwenderkreis Vorgaben zu IT-Governance, Informationssicherheit, IT-Risikomanagement und IT-Betrieb.

Wann werden die BAIT vollständig aufgehoben?

Mit Ablauf des 31. Dezember 2026 endet die Gültigkeit der BAIT, ab dem 1. Januar 2027 wird der DORA-Anwendungsbereich auf weitere Institute ausgeweitet.

Wer muss die BAIT noch beachten?

Betroffen sind nur noch Institute, die bis Ende 2026 nicht bereits unter die einschlägigen DORA-Vorgaben fallen.

Warum sind die BAIT weiterhin relevant?

Bis zum Ende der Übergangsphase bleiben ihre Anforderungen für die verbleibenden Institute verbindlich und prägen wichtige Prozesse der IT-Sicherheit und Risikosteuerung.

Wie sollten Institute den Übergang zu DORA vorbereiten?

Bestehende BAIT-Strukturen sollten mit den Anforderungen der europäischen Verordnung abgeglichen, weiterverwendet und dort angepasst werden, wo neue Vorgaben hinzukommen.

Was sind die bankaufsichtlichen Anforderungen an die IT (BAIT)?

Die bankaufsichtlichen Anforderungen an die IT (BAIT) geben den weiterhin betroffenen Kreditinstituten und Finanzdienstleistungsinstituten einen aufsichtsrechtlichen Rahmen für den sicheren Umgang mit ihrer IT. Herausgegeben werden sie von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und konkretisieren unter anderem Anforderungen aus § 25a KWG (Kreditwesengesetz) und den Mindestanforderungen an das Risikomanagement (MaRisk).

Das BaFin-Rundschreiben 10/2017 in der Fassung vom 16. Dezember 2024 gliedert sich in zwölf Kapitel zu IT, Informationssicherheit und Governance, wobei Kapitel 11 bereits aufgehoben ist. Diese Anforderungen setzen dabei direkt bei der Steuerung an. Die Geschäftsleitung muss eine IT-Strategie festlegen, Zuständigkeiten für Informationssicherheit klären und vorgeben, an welchen Sicherheitsstandards sich das Institut orientiert.

Auch die IT-Architektur und Abhängigkeiten von externen Dienstleistern gehören in dieses Bild. Im Bereich des IT-Betriebs geht es dann um konkrete Kontrollen. Institute müssen Informationsrisiken bewerten, Berechtigungen nachvollziehbar steuern, Sicherheitsvorfälle erkennen und IT-Systeme über ihren Lebenszyklus im Blick behalten.

Inzwischen befinden sich die BAIT allerdings in ihrer letzten Übergangsphase. Seit 2025 ist der Anwenderkreis deutlich kleiner. Mit Ablauf des 31. Dezember 2026 werden die Vorgaben vollständig aufgehoben.

Warum sind die BAIT für Institute wichtig?

Die BAIT schaffen einen klaren Rahmen dafür, wie Risiken rund um IT, Daten und Informationssicherheit organisatorisch beherrscht werden sollen. Für Institute, die weiterhin unter die BAIT fallen, gelten die Anforderungen noch bis Ende 2026 weiter. Sie machen nachvollziehbar, welche organisatorischen und technischen Maßnahmen zur aufsichtsrechtlichen Compliance beitragen.

Im Unternehmensalltag bringt das vor allem Struktur in folgende Themen:

IT-Risiken besser steuern: Aufgaben, Verantwortlichkeiten, Kontrollen und Kommunikationswege müssen klar festgelegt werden.
Informationssicherheit absichern: Schutzbedarf, Risiken und geeignete Maßnahmen werden systematisch bewertet und dokumentiert.
Verantwortung eindeutig zuordnen: Die Geschäftsleitung bleibt für IT-Strategie und Governance verantwortlich und muss deren wirksame Umsetzung sicherstellen.
Technische und organisatorische Resilienz stärken: Vorgaben zu IT-Betrieb, Berechtigungen, Dienstleistern und Notfallmanagement helfen dabei, Störungen und Sicherheitsvorfälle kontrollierter zu behandeln.

Bis zum Ende der Übergangsphase verbinden die BAIT damit bankaufsichtliche Compliance mit konkreten Anforderungen an die technische und organisatorische Ausstattung und Absicherung. Parallel gewinnt für die verbleibenden Institute die Vorbereitung auf die DORA-Verordnung an Bedeutung.

Den Übergang zu DORA strukturiert vorbereiten

Prüfen Sie mit CSM Consulting bestehende BAIT-Strukturen und richten Sie Prozesse, Rollen und Nachweise gezielt auf die DORA-Anforderungen aus.

BAIT und DORA: Was hat sich seit 2025 geändert?

Seit dem 17. Januar 2025 werden die BAIT schrittweise abgelöst. Institute, die bereits ein IKT-Risikomanagement nach den einschlägigen DORA-Vorgaben betreiben müssen, fallen seit diesem Zeitpunkt nicht mehr unter den BAIT‑Anwenderkreis. Gleichzeitig wurde Kapitel 11 der BAIT aufgehoben.

Für die übrigen Finanzinstitute gelten die nationalen Vorgaben bis Ende 2026 weiter. Mit dem Digital Operational Resilience Act (DORA) verlagert sich die Regulierung der digitalen Resilienz für viele Banken, Finanzinstitute und Finanzunternehmen auf europäische Ebene. Der Hintergrund ist ein einheitlicherer regulatorischer Rahmen für den Finanzsektor.

Zum 1. Januar 2027 wird der DORA-Anwendungsbereich durch das Finanzmarktdigitalisierungsgesetz erweitert. Mit Ablauf des 31. Dezember 2026 werden die BAIT vollständig aufgehoben.

Die wichtigsten bankaufsichtlichen Anforderungen an die IT

Für Institute, die bis Ende 2026 noch unter die BAIT fallen, gelten die Anforderungen der BaFin weiterhin. Zu den wichtigsten Themen gehören IT-Strategie, Informationssicherheit, IT-Risikomanagement, IT-Betrieb und die Vorsorge für Ausfälle.

IT-Strategie, IT-Governance und Informationsrisiken

Eine belastbare IT-Strategie muss zur Geschäftsstrategie passen und eine klare Zielsetzung für Aufbau, Betrieb und Weiterentwicklung der IT enthalten. Dazu gehören auch Verantwortlichkeiten, die IT-Architektur und der Umgang mit Abhängigkeiten bei der Auslagerung von IT-Dienstleistungen.

Über die IT-Governance wird anschließend festgelegt, wer diese Vorgaben steuert und kontrolliert. Ergänzend bewertet das Informationsrisikomanagement, welche Risiken für Systeme, Daten und Geschäftsprozesse bestehen. Schutzbedarf, mögliche Folgen und vorhandene Maßnahmen fließen dabei in die Bewertung ein.

Informationssicherheit, Identitäts- und Rechtemanagement

Informationssicherheit soll in den BAIT als laufender Managementprozess funktionieren und konkrete Vorgaben für den Schutz von Daten und IT-Systemen liefern. Beim Identitäts- und Rechtemanagement kommt es besonders darauf an, Benutzern nur die tatsächlich benötigten Zugriffe einzuräumen und diese nachvollziehbar zu steuern.

Wichtige Anforderungen sind:

Berechtigungen begrenzen: Zugriffe orientieren sich an Need-to-know und Least Privilege.
Rechte regelmäßig prüfen: Bestehende Berechtigungen müssen wiederkehrend und bei Änderungen überprüft werden.
Zugriffe nachvollziehbar machen: Zugänge sollen eindeutig einer verantwortlichen Person zugeordnet werden. Als Benutzerkennung kann beispielsweise eine persönliche E-Mail-Adresse dienen.
Kritische Rechte überwachen: Privilegierte Zugriffe erfordern zusätzliche Protokollierung und Kontrolle.

IT-Projekte, Anwendungsentwicklung und IT-Betrieb

Neue IT-Projekte und wesentliche Änderungen an bestehenden Systemen müssen risikoorientiert geplant, dokumentiert und überwacht werden. Für Anwendungen verlangen die BAIT außerdem geregelte Prozesse für Anforderungen, Entwicklung, Qualitätssicherung, Test, Abnahme und Freigabe.

Nach der Produktivsetzung rückt der IT-Betrieb in den Vordergrund. Institute sollen ihre Systeme mit Versionen, Patch-Management, Verantwortlichen und Supportzeiträumen im Blick behalten. Veraltete oder vom Hersteller nicht mehr unterstützte Komponenten müssen in das Lebenszyklusmanagement einbezogen werden.

Gerade bei Änderungen verlangt die BaFin als Aufsicht zudem Tests, eine Bewertung möglicher Risiken und geeignete Möglichkeiten zur Rückabwicklung.

IT-Dienstleistungen, Auslagerungen und IT-Notfallmanagement

Auch weiterhin BAIT-pflichtige Finanzdienstleister müssen ausgelagerte IT-Dienstleistungen in das eigene Risikomanagement einbeziehen. Bei einer Auslagerung konkretisieren die BAIT außerdem § 25b KWG (Kreditwesengesetz). Vor einem Fremdbezug ist eine Risikobewertung erforderlich. Anschließend müssen die vereinbarte Leistung und relevante Risiken der IT-Dienstleister angemessen überwacht werden.

Beim IT-Notfallmanagement verlangt die BAIT konkrete Vorsorge zur Sicherstellung zeitkritischer Geschäftsprozesse bei Störungen und Ausfällen. Für IT-Systeme, die solche zeitkritischen Aktivitäten unterstützen, müssen Institute Wiederanlauf-, Notbetriebs- und Wiederherstellungspläne erstellen. Darin werden unter anderem die zulässige Wiederanlaufzeit (RTO), der maximal tolerierbare Datenverlust (RPO) und wichtige Abhängigkeiten zu anderen Systemen festgelegt.

Mindestens einmal jährlich ist zu testen, ob diese IT-Notfallpläne tatsächlich funktionieren. Bei der Auslagerung zeitkritischer Prozesse müssen außerdem die Notfallkonzepte des Instituts und des IT-Dienstleisters aufeinander abgestimmt sein.

BAIT und das Informationssicherheitsmanagement

Bis zum Ende der Übergangsphase ergänzen die BAIT bei den verbliebenen Instituten das Informationssicherheitsmanagement um konkrete bankaufsichtliche Vorgaben. Dazu gehören etwa eine Informationssicherheitsleitlinie, definierte Rollen, geregelte Sicherheitsprozesse und ein dokumentiertes Informationsrisikomanagement.

In der Praxis lässt sich vieles in ein bestehendes Informationssicherheitsmanagement integrieren. Wer bereits mit einem ISMS arbeitet, muss deshalb kein paralleles Sicherheitssystem allein für BAIT aufbauen. Entscheidend ist, dass die bankaufsichtlichen Anforderungen im vorhandenen Regelwerk, in Verantwortlichkeiten und Kontrollen nachvollziehbar abgebildet werden.

Besonders deutlich wird das an den Schnittstellen:

Über eine Schutzbedarfsanalyse lassen sich kritische Systeme und Informationen einordnen.
Security Awareness unterstützt die von der BaFin geforderte Sensibilisierung und Schulung.
Sicherheitsvorfälle gehören in ein geregeltes Incident-Management.
Technische Prüfungen wie Schwachstellenscans oder Penetrationstests helfen dabei, die Wirksamkeit der Schutzmaßnahmen zu überprüfen. Die BaFin nennt solche Prüfungen in den BAIT ausdrücklich als mögliche Kontrollen.

Für die praktische Ausgestaltung können sich betroffene Institute am IT-Grundschutz oder an der ISO/IEC-27000-Reihe orientieren. Beide werden in den BAIT ausdrücklich als gängige Sicherheitsstandards genannt.

Von BAIT zu DORA: Anforderungen in der Praxis überführen

Für die verbleibenden BAIT-Institute steht inzwischen vor allem der Übergang zur DORA-Verordnung im Vordergrund. Bestehende Geschäfts- und IT-Prozesse sowie Kontrollen können vielfach weitergenutzt werden. Entscheidend ist, ihre Eignung für die DORA-Verordnung zu prüfen und sie gezielt anzupassen.

Die folgenden Schritte geben einen Überblick über die Umstellung:

Anwendungsbereich klären: Prüfen, welche BAIT-Vorgaben bis Ende 2026 noch gelten und welche DORA-Anforderungen künftig greifen.
Bestehende Strukturen erfassen: IT-Systeme, Daten, Risiken, Rollen, Richtlinien und bestehende Auslagerungen aufnehmen.
Lücken zu DORA identifizieren: Vorhandene BAIT-Prozesse mit den neuen Anforderungen abgleichen und offene Compliance-Lücken dokumentieren.
Maßnahmen priorisieren: Maßnahmen für fehlende oder anzupassende Prozesse nach Risiko und Umsetzungsaufwand ordnen.
Übergang dokumentieren: Entscheidungen, Verantwortlichkeiten und wichtige Details so festhalten, dass die neue Struktur nachvollziehbar bleibt.

Häufige Fragen und Antworten

Sind die bankaufsichtlichen Anforderungen an die IT (BAIT) noch gültig?

Ja, allerdings nur noch für einen begrenzten Kreis von Finanzinstituten und nicht mehr lange. Seit dem 17. Januar 2025 fallen DORA-pflichtige Institute nicht mehr unter das Rundschreiben, für die übrigen Anwender gelten die BAIT-Anforderungen nur noch bis Ende 2026.

Was ist der Unterschied zwischen BAIT und DORA?

Die BAIT sind nationale aufsichtsrechtliche Anforderungen für bestimmte Kreditinstitute und Finanzdienstleistungsinstitute in Deutschland, während DORA als europäische Verordnung einen einheitlichen Rahmen für die digitale Resilienz im Finanzsektor schafft. Seit 2025 löst DORA die BAIT schrittweise ab.

Wann werden die BAIT vollständig aufgehoben?

Mit Ablauf des 31. Dezember 2026 werden die bankaufsichtlichen Anforderungen an die IT vollständig aufgehoben. Ab dem 1. Januar 2027 erweitert sich der DORA-Anwendungsbereich unter anderem auf Finanzdienstleistungsinstitute, sodass das bisherige nationale Regelwerk ausläuft.

Was müssen Institute beim Wechsel von BAIT zu DORA beachten?

Beim Übergang sollten Institute vorhandene Prozesse, Rollen und Kontrollen mit den DORA-Anforderungen abgleichen. Besonders wichtig sind dabei das IKT-Risikomanagement, die IT-Sicherheit, der Umgang mit Drittanbietern und belastbare Nachweise für die Umsetzung der Anforderungen an die digitale Resilienz.