Was passiert mit BAIT unter DORA?

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was BAIT geregelt hat

Die BAIT wurde 2017 erstmals veröffentlicht und 2021 zuletzt überarbeitet. Sie konkretisierte die Pflichten aus § 25a KWG zum Risikomanagement und galt für alle Banken und Sparkassen unter BaFin-Aufsicht.

Inhaltlich strukturiert in acht Themenblöcken:

1. IT-Strategie, strategische Ziele und Maßnahmenrahmen
2. IT-Governance, Rollen, Verantwortung, IT-Sicherheitsbeauftragter
3. Informationsrisikomanagement, Risikobeurteilung, Schutzbedarfsfeststellung
4. Informationssicherheitsmanagement, Schutzmaßnahmen, Sicherheitsleitlinien
5. Operative Informationssicherheit, technische Umsetzung, Identitäts-/Zugriffsverwaltung
6. Identitäts- und Rechteverwaltung, Berechtigungskonzepte
7. IT-Projekte / Anwendungsentwicklung, Change-Management, Test-Pflichten
8. IT-Betrieb, Verfügbarkeit, Backup, Wiederherstellung, Auslagerungen

Zusätzlich kamen 2021 zwei Module hinzu: Operative Resilienz und Management der Beziehungen zu Zahlungsdienstnutzern.

Was DORA neu macht

DORA, die Verordnung (EU) 2022/2554, deckt seit 17. Januar 2025 in den Art. 5-44 dieselben Bereiche ab, allerdings:

• Unmittelbar geltend: Keine nationale Umsetzung erforderlich, EU-weit harmonisiert
• Erweiterter Adressatenkreis: nicht nur Banken, sondern auch Versicherer, Wertpapierfirmen, Kryptodienstleister, zentrale Gegenparteien
• Granulare Drittanbieter-Pflichten: detaillierte Vertragsklauseln, Register-Pflicht, Aufsichtsrahmen für kritische IKT-Drittanbieter (Art. 28-44)
• Pflicht-Incident-Reporting mit standardisierten Templates (Art. 17-20)
• TLPT-Verpflichtung für signifikante Institute (Art. 26-27)
• Joint Committee RTS und ITS als verbindliche Konkretisierung (statt nationaler Rundschreiben)

Wo überlappen BAIT und DORA?

Eine Gegenüberstellung der Kernbereiche zeigt, dass DORA inhaltlich fast die gesamte BAIT abdeckt:

Die Überlappung ist nahezu vollständig. Wo BAIT noch detaillierter ist (z. B. zur Awareness-Schulung oder zur Berechtigungsrezertifizierung), fungieren die Vorgaben de facto als Auslegungshilfe für DORA-Compliance.

Was bleibt von BAIT?

Die BaFin hat in mehreren öffentlichen Verlautbarungen deutlich gemacht: Die BAIT wird nicht formal aufgehoben, weil sie auch für nicht-DORA-Adressaten Anwendungsbereiche hat. Konkret:

Detail

• Banken unterhalb der DORA-Schwelle (es gibt für Banken praktisch keine, DORA gilt für alle Kreditinstitute) oder für Übergangs-Restbestände an BAIT-spezifischen Konkretisierungen
• Vertragsmanagement und Auslagerungen: einige BAIT-Konkretisierungen aus dem Auslagerungskapitel werden zur Auslegung der DORA-RTS herangezogen
• Geschäftsleitungsverantwortung: BAIT-Anforderung zur Geschäftsleitung-Genehmigung der IT-Strategie überschneidet sich mit Art. 5 Abs. 2 DORA, BAIT-Detaillierungen können als Maßstab dienen

Aufsichtspraxis seit Januar 2025

Die BaFin prüft seit dem 17. Januar 2025 systematisch gegen DORA. Erste Beobachtungen aus der aufsichtlichen Praxis:

• Prüfungsplan-Änderungen: Sonderprüfungen nach § 44 KWG werden mit DORA-Fokus durchgeführt, BAIT-Referenzen erscheinen nur noch als Vergleichsanker
• Konkretisierungs-Lücken: Wo DORA und seine RTS unbestimmte Rechtsbegriffe verwenden (z. B. "Stand der Technik", "angemessene Maßnahmen"), greift die BaFin auf BAIT-Konkretisierungen als Auslegungsrichtschnur zurück
• Drittanbieter-Register: Die Register-Pflicht nach Art. 28 Abs. 3 DORA ist neu, BAIT enthielt keine vergleichbare Registerführung
• Auslagerungs-Verträge: Bestehende Auslagerungsverträge müssen an Art. 30 DORA angepasst werden (Vertragsklauseln, Audit-Rechte, Beendigungsstrategien)

Praxis-Empfehlungen für Banken

Für Banken, die heute BAIT-konform sind, lohnt sich folgendes Vorgehen:

1. Gap-Analyse BAIT → DORA: BAIT-Inhalte gegen DORA-Artikel mappen, Delta identifizieren (typischerweise: granulare Drittanbieter-Pflichten, Incident-Reporting-Templates, TLPT bei Signifikanz)
2. Auslagerungs-Verträge updaten: Standardklauseln für DORA Art. 30 in Verträge mit IKT-Drittanbietern einarbeiten, Beendigungs- und Audit-Klauseln nachschärfen
3. Drittanbieter-Register aufbauen: nach Art. 28 Abs. 3 DORA und den korrespondierenden ITS-Templates
4. Incident-Klassifizierung implementieren: EBA-RTS-Schwellwerte in Incident-Response-Playbooks operationalisieren, ESMA-Templates vorbereiten
5. TLPT-Status klären: BaFin-Anschreiben prüfen; bei Signifikanz Provider-Auswahl frühzeitig starten

Häufige Übergangs-Fragen aus der Bank-Praxis

Was passiert mit dem IT-Sicherheitsbeauftragten (ISB)?

Die BAIT-Anforderung zum ISB findet ihre DORA-Entsprechung in Art. 6 (IKT-Risikomanagement-Rahmenwerk) und Art. 5 Abs. 2 (Leitungsorgan-Verantwortung). Die Rolle wandert von "Compliance-Erfüllung" zu einer stärkeren strategischen Funktion: Der ISB berichtet direkt an das Leitungsorgan und ist in IKT-Strategie-Diskussionen eingebunden.

Werden bestehende Auslagerungs-Bestände bestandsgeschützt?

Nein. DORA Art. 50 verlangt, dass bestehende IKT-Verträge zu den Pflichtklauseln aus Art. 30 in einem angemessenen Zeitraum angepasst werden. "Angemessen" ist nicht weiter definiert, die BaFin-Praxis erwartet Nachverhandlungen "ohne unangemessene Verzögerung". Bei größeren Anbieter-Beständen ist das ein Mehrjahres-Projekt, das in 2025/2026 priorisiert auf kritische Funktionen umzusetzen ist.

Wie steht es um interne IT-Dienstleister (Konzern-IT)?

Auch konzerninterne IKT-Dienstleistungen unterliegen Art. 28-30 DORA, sofern es sich um separate juristische Personen handelt. Banken in Konzernverbund mit zentraler IT-Tochter (z. B. Verbund-Dienstleister) müssen die Konzern-Verträge nachschärfen. In Sparkassen- und Genossenschaftsverbund-Strukturen ist das ein häufiges Diskussionsthema.

FAQ

Ist BAIT seit Januar 2025 unwirksam?

Nein. Die BAIT ist ein Verwaltungsrundschreiben der BaFin und gilt formal weiter. Für DORA-Adressaten greift aber der Anwendungsvorrang des EU-Rechts: Wo DORA und BAIT denselben Sachverhalt regeln, ist DORA maßgeblich. Die BAIT fungiert dann als Auslegungshilfe.

Muss ich BAIT-Dokumentationen neu schreiben?

In der Regel nicht. Bestehende BAIT-konforme Dokumentationen erfüllen meist auch die DORA-Anforderungen. Ergänzt werden müssen: Drittanbieter-Register, angepasste Vertragsklauseln, EBA-konforme Incident-Klassifizierung, ggf. TLPT-Vorbereitung. Eine Mapping-Tabelle BAIT → DORA-Artikel ist in vielen Konstellationen ein praktikabler Startpunkt, Einzelfall-Prüfung bleibt erforderlich.

Wie geht die BaFin in Prüfungen mit dem Übergang um?

Die BaFin prüft seit 2025 primär gegen DORA und seine RTS/ITS. BAIT-Referenzen werden für Konkretisierungs-Lücken oder zur Beurteilung der "Angemessenheit" herangezogen. Banken sollten in Berichten DORA-Artikel zitieren, nicht BAIT-Tz.

Was passiert mit der Geschäftsleitungspflicht aus BAIT Tz. 2?

Diese ist materiell in Art. 5 Abs. 2 DORA aufgegangen: Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risikomanagement und muss IKT-Risiken in das übergreifende Risikomanagement integrieren. Geschäftsleitungs-Genehmigung der IKT-Strategie bleibt Pflicht.

Gibt es eine offizielle BAIT-DORA-Konkordanz von der BaFin?

Die BaFin hat keine vollständige Konkordanzliste publiziert, aber in ihren DORA-Verlautbarungen einzelne Themenfelder gemappt. Marktstandard sind interne Konkordanztabellen bei Banken sowie Konkordanzen aus Beratungspraxis und Verbänden (BVR, DSGV, BdB).