BAIT
Bankaufsichtliche Anforderungen an die IT
Banking Supervisory Requirements for IT (Germany)
Die BAIT sind ein Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)-Rundschreiben, das auf Grundlage des § 25a KWG die aufsichtlichen Erwartungen an die IT-Organisation und Informationssicherheit von Banken konkretisiert. Sie waren über Jahre der maßgebliche nationale Maßstab für IT-Sicherheit im Bankensektor. Mit der Europäische Union (EU)-Verordnung Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) werden sie schrittweise abgelöst.
Historie & Fakten. Die BAIT (ursprünglich Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)-Rundschreiben 10/2017) übersetzten abstrakte gesetzliche Anforderungen in prüfbare Erwartungen zu IT-Strategie, -Governance, Berechtigungsmanagement, Auslagerungen und Informationssicherheit. Mit Anwendung von Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) ab dem 17. Januar 2025 wurde der Anwenderkreis reduziert: Institute, die ein Informations- und Kommunikationstechnik (IKT)-Risikomanagement nach DORA betreiben müssen, fallen nicht mehr unter die BAIT, und das Kapitel zu Zahlungsdienstnutzern entfiel.
Ausblick & Empfehlung. Die vollständige Aufhebung der BAIT ist mit Ablauf des 31. Dezember 2026 vorgesehen, abgestuft nach Anwendungsbereich der Institute und flankiert vom Finanzmarktdigitalisierungsgesetz. Auch wenn die BAIT formal auslaufen: Viele ihrer Anforderungen sind in Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) aufgegangen und bleiben als etablierte Praxis relevant. Wer seine Prozesse an BAIT ausgerichtet hat, besitzt für DORA eine gute Ausgangsbasis — eine Gap-Analyse zeigt die verbleibenden Lücken.