Was passiert mit BAIT unter DORA?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was BAIT geregelt hat

Die BAIT wurden am 3. November 2017 erstmals veröffentlicht, 2021 grundlegend überarbeitet (Fassung vom 16.08.2021) und zuletzt am 16.12.2024 an DORA angepasst. Sie konkretisieren § 25a Abs. 1 KWG und § 25b KWG (Auslagerungen). Der Anwenderkreis ergibt sich aus AT 2.1 MaRisk.

Inhaltlich gliedern sich die BAIT in zwölf Kapitel:

1. IT-Strategie, strategische Ziele und Maßnahmenrahmen
2. IT-Governance, Rollen, Verantwortung, IT-Sicherheitsbeauftragter
3. Informationsrisikomanagement, Risikobeurteilung, Schutzbedarfsfeststellung
4. Informationssicherheitsmanagement, Schutzmaßnahmen, Sicherheitsleitlinien
5. Operative Informationssicherheit, technische Umsetzung der Sicherheitsmaßnahmen
6. Identitäts- und Rechtemanagement, Berechtigungskonzepte
7. IT-Projekte / Anwendungsentwicklung, Change-Management, Test-Pflichten
8. IT-Betrieb, Verfügbarkeit, Datensicherung
9. Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen
10. IT-Notfallmanagement
11. Management der Beziehungen mit Zahlungsdienstnutzern (in der Fassung vom 16.12.2024 aufgehoben)
12. Kritische Infrastrukturen

Mit der Novelle 2021 kamen drei Kapitel hinzu: Operative Informationssicherheit, IT-Notfallmanagement und Management der Beziehungen mit Zahlungsdienstnutzern. Das Kapitel Kritische Infrastrukturen stammt aus dem Jahr 2018.

Was DORA neu macht

DORA, die Verordnung (EU) 2022/2554, deckt seit 17. Januar 2025 in den Art. 5-44 dieselben Bereiche ab, allerdings:

• Unmittelbar geltend: Keine nationale Umsetzung erforderlich, EU-weit harmonisiert
• Erweiterter Adressatenkreis: nicht nur Banken, sondern auch Versicherer, Wertpapierfirmen, Kryptodienstleister, zentrale Gegenparteien
• Granulare Drittanbieter-Pflichten: detaillierte Vertragsklauseln, Register-Pflicht, Aufsichtsrahmen für kritische IKT-Drittanbieter (Art. 28-44)
• Pflicht-Incident-Reporting mit standardisierten Templates (Art. 17-20)
• TLPT-Verpflichtung für Finanzunternehmen, die die zuständige Behörde nach Art. 26 Abs. 8 DORA bestimmt (Art. 26-27)
• Technische Regulierungs- und Durchführungsstandards, von den Europäischen Aufsichtsbehörden über den Gemeinsamen Ausschuss entworfen und von der Kommission erlassen, als verbindliche Konkretisierung (statt nationaler Rundschreiben)

Wo überlappen BAIT und DORA?

Eine grobe Zuordnung der BAIT-Kapitel zu DORA-Artikeln zeigt, wo die Themen wiederzufinden sind. Sie ersetzt keine eigene Gap-Analyse:

Die Themen überschneiden sich weitgehend, die Detailtiefe unterscheidet sich. Für DORA-Institute sind die BAIT seit dem 17. Januar 2025 nicht mehr anwendbar; maßgeblich sind DORA und die dazu erlassenen technischen Regulierungs- und Durchführungsstandards.

Was bleibt von BAIT?

Laut BaFin-Meldung vom 10.01.2025 bleibt von den BAIT nur ein Rest mit Ablaufdatum:

• Institute ohne DORA-Pflicht: Nicht jedes Institut im Anwenderkreis der MaRisk fällt schon heute unter DORA. Für diese Institute gelten die BAIT bis zum 31. Dezember 2026 weiter.
• Ab 1. Januar 2027: Nach § 1a Abs. 2 KWG in der Fassung des FinmadiG müssen diese weiteren Institute DORA anwenden. Die BAIT werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben.
• Kapitel 11 (Zahlungsdienstnutzer) ist bereits in der Fassung vom 16.12.2024 aufgehoben.

Was sich seit Januar 2025 praktisch ändert

Zwei Punkte sind gegenüber der BAIT tatsächlich neu und in der Umsetzung aufwendig:

• Drittanbieter-Register: Das Informationsregister nach Art. 28 Abs. 3 DORA geht über das Auslagerungsregister nach AT 9 Tz. 14 MaRisk hinaus, auf das die BAIT für IT-Auslagerungen verwiesen: Es erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, nicht nur Auslagerungen
• Auslagerungs-Verträge: Bestehende Auslagerungsverträge müssen an Art. 30 DORA angepasst werden (Vertragsklauseln, Audit-Rechte, Beendigungsstrategien)

Praxis-Empfehlungen für Banken

Für Banken, die heute BAIT-konform sind, lohnt sich folgendes Vorgehen:

1. Gap-Analyse BAIT → DORA: BAIT-Inhalte gegen DORA-Artikel mappen, Delta identifizieren (typischerweise: granulare Drittanbieter-Pflichten, Incident-Reporting-Templates, TLPT bei Bestimmung durch die Behörde)
2. Auslagerungs-Verträge updaten: Standardklauseln für DORA Art. 30 in Verträge mit IKT-Drittanbietern einarbeiten, Beendigungs- und Audit-Klauseln nachschärfen
3. Drittanbieter-Register aufbauen: nach Art. 28 Abs. 3 DORA und den korrespondierenden ITS-Templates
4. Incident-Klassifizierung implementieren: Klassifizierungskriterien und Schwellenwerte aus der Delegierten Verordnung (EU) 2024/1772 in Incident-Response-Playbooks übernehmen, Meldefristen nach der Delegierten Verordnung (EU) 2025/301 einplanen
5. TLPT-Status klären: Nach Art. 26 Abs. 8 DORA bestimmt die zuständige Behörde, welche Finanzunternehmen TLPT durchführen müssen; bei Bestimmung die Auswahl der Tester frühzeitig starten

Häufige Übergangs-Fragen aus der Bank-Praxis

Was passiert mit dem IT-Sicherheitsbeauftragten (ISB)?

DORA kennt die Rolle des ISB nicht ausdrücklich. Art. 6 Abs. 4 DORA verlangt, dass Finanzunternehmen (außer Kleinstunternehmen) die Verantwortung für Management und Überwachung des IKT-Risikos einer Kontrollfunktion mit angemessener Unabhängigkeit zuweisen und IKT-Risikomanagement, Kontrollfunktionen und interne Revision nach dem Modell der drei Verteidigungslinien oder einem vergleichbaren Modell trennen. Viele Institute können die bestehende ISB-Funktion in diese Kontrollfunktion überführen; wie sie organisatorisch aufgehängt wird, legt DORA nicht im Detail fest.

Werden bestehende Auslagerungs-Bestände bestandsgeschützt?

Nein. DORA enthält keine Übergangs- oder Bestandsschutzregel für Altverträge. Die Anforderungen an vertragliche Vereinbarungen nach Art. 28 und Art. 30 DORA gelten seit dem 17. Januar 2025; bestehende Verträge, die diese Pflichtinhalte nicht enthalten, sind anzupassen.

Wie steht es um interne IT-Dienstleister (Konzern-IT)?

Auch konzerninterne IKT-Dienstleistungen unterliegen Art. 28-30 DORA, sofern es sich um separate juristische Personen handelt. Banken in Konzernverbund mit zentraler IT-Tochter (z. B. Verbund-Dienstleister) müssen die Konzern-Verträge nachschärfen. In Sparkassen- und Genossenschaftsverbund-Strukturen ist das ein häufiges Diskussionsthema.

FAQ

Ist BAIT seit Januar 2025 unwirksam?

Für DORA-Adressaten ja: Institute, die ein IKT-Risikomanagement nach Art. 5 bis 15 oder Art. 16 DORA betreiben müssen, sind seit dem 17. Januar 2025 aus dem Anwenderkreis der BAIT ausgenommen. Für die übrigen Institute gelten die BAIT noch bis zum 31. Dezember 2026; danach werden sie vollständig aufgehoben.

Muss ich BAIT-Dokumentationen neu schreiben?

Nicht zwingend von Grund auf. Bestehende BAIT-Dokumentationen lassen sich als Ausgangspunkt nutzen, müssen aber gegen die DORA-Artikel abgeglichen werden. Neu hinzu kommen typischerweise das Informationsregister nach Art. 28 Abs. 3, Vertragsinhalte nach Art. 30, die Vorfallklassifizierung nach der Delegierten Verordnung (EU) 2024/1772 und gegebenenfalls die TLPT-Vorbereitung. Eine Mapping-Tabelle BAIT → DORA-Artikel ist ein praktikabler Startpunkt, die Einzelfallprüfung ersetzt sie nicht.

Wie geht die BaFin in Prüfungen mit dem Übergang um?

Für DORA-Institute sind die BAIT seit dem 17. Januar 2025 nicht mehr anwendbar; Prüfungsmaßstab sind DORA und die dazu erlassenen technischen Standards. In Berichten und Richtlinien empfiehlt es sich deshalb, DORA-Artikel zu zitieren, nicht BAIT-Textziffern.

Was passiert mit der Geschäftsleitungspflicht aus BAIT Kapitel 1 und 2?

Diese ist materiell in Art. 5 Abs. 2 DORA aufgegangen: Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risiko (lit. a) und die Gesamtverantwortung für Festlegung und Genehmigung der Strategie für die digitale operationale Resilienz (lit. d). Der IKT-Risikomanagementrahmen ist Teil des Gesamtrisikomanagements (Art. 6 Abs. 1 DORA).

Gibt es eine offizielle BAIT-DORA-Konkordanz von der BaFin?

Die BaFin-Meldung vom 10.01.2025 regelt, für wen die BAIT noch gelten und wann sie entfallen; eine vollständige Konkordanzliste BAIT → DORA enthält sie nicht. Das Mapping ist Aufgabe des Instituts im Rahmen der eigenen Gap-Analyse.